Im Zusammenhang mit der Wirksamkeit der DSGVO-Verordnung und dem neu geschaffenen Institut des Datenschutzbeauftragten ist auf dem relevanten Markt ein „Kampf“ um diesen Beruf zu beobachten. Die DSGVO schreibt keine juristische Ausbildung als Bedingung für die Ausübung dieser Funktion vor, und so bewerben sich viele andere Unternehmen aus verschiedenen Bereichen (IT-Techniker, Wirtschaftsprüfer, Compliance-Manager oder Absolventen verschiedener Crash-Kurse) mit einem Zertifikat einer beliebigen Institution, (die noch nicht einmal ein halbes Jahr alt sind) knirschen mit den Zähnen, um diese Position auszuüben, da sie seit Inkrafttreten der DSGVO bereits wie Pilze aus dem Boden geschossen ist.

Darüber hinaus beginnen die Praktiken einzelner Bewerber für diese Position räuberisch zu werden, was angesichts der Tatsache, dass Treuhänder immer noch ein eher knappes Gut sind, etwas überraschend ist. Eine beliebte Praxis ist insbesondere die sogenannte negative Vergleichswerbung im Stil der Nennung von Gründen, warum jemand anderer diesen Beruf nicht ausüben kann (die Kontroverse, ob eine solche Vergleichswerbung im konkreten Fall nicht irreführend ist und nicht an Wettbewerbswidrigkeit grenzt). Verhalten kann für ein anderes Mal aufgehoben werden). Rechtsanwälte sind ein beliebtes Ziel für negative Vergleiche, vielleicht weil die Ernennung eines Anwalts zum Treuhänder angesichts der Grundanforderung der DSGVO, dass der Treuhänder über Rechts- und Praxiskenntnisse auf diesem Gebiet verfügen muss, für viele Administratoren selbstverständlich und erste Wahl ist des Datenschutzes. Was haben wir also über Anwälte als „ungeeignete“ Kandidaten für das Amt des Kommissars gelesen? [1]. haben sie zugehört? Hier ist eine kurze Übersicht:

1. Ein Anwalt oder ein Anwalt im Allgemeinen ist niemals unabhängig und kann die DSGVO-Anforderung, dass kein Interessenkonflikt besteht, nicht erfüllen.
2. Einige Anwaltskanzleien oder Anwälte werden versuchen, für die Position eines Beauftragten zu nominieren, mit der Absicht, das Abrechnungsvolumen für Dienstleistungen außerhalb ihres Zuständigkeitsbereichs zu erhöhen.
3. Die meisten Anwaltskanzleien bzw. Rechtsanwälte werden aufgrund der vielfältigen Spezialisierung nicht ausreichend mit den gesetzlichen Regelungen und der Anwendungspraxis zum Schutz personenbezogener Daten vertraut sein.
4. Selbst wenn einige Anwaltskanzleien oder Anwälte echte Experten für den Schutz personenbezogener Daten sind, reicht das aus, um von der DSGVO vorgeschrieben zu werden?
5. Im Gegensatz zu Anwälten muss ein professioneller Treuhänder verstehen, was das Gesetz erfordert und wie er es im operativen Sinne umsetzt. Daher muss der Beauftragte in der Lage sein, Risiken von Regelverstößen zu erkennen, Kontrollen festzulegen und durchzuführen, sicherzustellen, dass Anweisungen allen betrieblichen und rechtlichen Anforderungen entsprechen, Ratschläge in Bezug auf Prozessänderungen zu erteilen, um deren Einhaltung von Vorschriften sicherzustellen, und Beziehungen zu überwachen mit Auftragsverarbeitern, obwohl angeblich keine dieser Tätigkeiten die Arbeit von Anwälten ist.
6. Neben juristischen Kenntnissen muss der Treuhänder auch Verständnis für IT, Informationssicherheit, Kommunikation und Marketing haben.
7. Die Rolle und Verantwortlichkeiten eines Treuhänders sind so umfassend und erfordern so viel praktische Erfahrung in der Leitung einer Organisation, dass der enge Fokus eines Anwalts nicht ausreicht.
8. Der Treuhänder muss nicht nur wissen, was das Gesetz sagt, sondern auch, was es bedeutet und wie es auf die Aktivitäten des Treuhänders anzuwenden ist. Sie müssen kein Anwalt sein, um das Gesetz zu verstehen.

Schöne Sammlung, was sagt ihr? Laut der EU-Datenschutzgruppe (WP29) sollte der Datenverantwortliche auch über einen gewissen Standard an moralischer Integrität und Ethik verfügen [2].Zumindest diese Eigenschaften können jedoch bei den Promotern der oben skizzierten Werbung angezweifelt werden.

Bevor wir zu den obigen Ausführungen weitere Schlussfolgerungen ziehen, erinnern wir uns daran, was die DSGVO in Bezug auf den Treuhänder, die Voraussetzungen für die Ausübung dieses Berufs und seine grundsätzlichen Aufgaben vorgibt.

Art. 37 Abs. 5 DSGVO legt fest, dass die Bestellung des Datenschutzbeauftragten auf der Grundlage seiner fachlichen Qualität, insbesondere seiner Fachkenntnisse im Datenschutzrecht und in der Datenschutzpraxis sowie seiner Befähigung zur Wahrnehmung der in Art. 39 DSGVO genannten Aufgaben erfolgen muss. Zu den Aufgaben des Beauftragten nach Art. 39 Abs. 1 DSGVO gehören:
a) Bereitstellung von Informationen und Beratung für Verantwortliche im Einklang mit der DSGVO und anderen Vorschriften der Union oder der Mitgliedstaaten im Bereich Datenschutz;
b) Überwachung der Einhaltung dieser Verordnung, anderer Vorschriften der Union oder der Mitgliedstaaten im Bereich des Datenschutzes und der Konzepte des Administrators oder Auftragsverarbeiters im Bereich des Schutzes personenbezogener Daten, einschließlich der Aufgabenteilung, Sensibilisierung und Berufsausbildung der Arbeitnehmer, die an Verarbeitungsvorgängen und damit verbundenen Audits beteiligt sind;
c) Beratung auf Anfrage hinsichtlich der Folgenabschätzung des Schutzes personenbezogener Daten und Überwachung ihrer Anwendung;
d) Zusammenarbeit mit der Aufsichtsbehörde;
e) als Ansprechpartner für die Aufsichtsbehörde in Angelegenheiten im Zusammenhang mit der Verarbeitung zu fungieren, einschließlich der vorherigen Konsultation gemäß Artikel 36 der DSGVO, und ggf. Beratungen in anderen Angelegenheiten zu leiten.

Aus dem Vorstehenden geht klar hervor, dass der Treuhänder nicht unbedingt über eine juristische Ausbildung verfügt. Die meisten seiner Aufgaben beziehen sich jedoch auf die Auslegung, Anwendung, Rechtsberatung und Überwachung der Entwicklung und Einhaltung des gesamten Spektrums von Vorschriften, nicht nur im Bereich des Schutzes personenbezogener Daten. Viel Glück für diejenigen, die mutig genug sind, einen mehrtägigen Kurs für diese Aktivität in Anspruch zu nehmen. Es könnte auch umstritten sein, ob es sich bei der Tätigkeit des Treuhänders um die Erbringung juristischer Dienstleistungen handelt oder nicht und ob es sich bei diesen Personen nicht um eine Rechnungslegung handelt (auch wenn dies nach offiziellen Angaben des Treuhänders der Fall ist). Tschechische Anwaltskammer (ČAK), die Ausübung der Tätigkeit des Treuhänders stellt keine Erbringung von Rechtsdienstleistungen im Sinne des Gesetzes über die Anwaltschaft dar, sondern ist eine andere Tätigkeit eines Rechtsanwalts im Sinne von § 56 des Gesetzes über die Anwaltschaft) [3].

Es besteht kein Zweifel, dass ein Anwalt ein geeigneter Kandidat für die Position des Beauftragten ist, selbst die internationale Organisation IAPP (International Association of Privacy Professionals) empfiehlt, dass die Position des Beauftragten von einem erfahrenen Anwalt oder einem orientierten Wirtschaftsprüfer für Informationssysteme besetzt wird der Schutz personenbezogener Daten oder technisches Recht [4]. . Um jedoch nicht auf das Niveau unserer „Konkurrenten“ auf dem Proxy-Markt herabzusinken, werden wir nicht kategorisch behaupten, dass nur Anwälte die einzigen geeigneten Kandidaten für diese Position sind und alle oben geschilderten Kritikpunkte dagegen lächerlich sind, sondern wir werden ihre Gültigkeit konstruktiv bewerten.

Zunächst ist einzuräumen, dass das Gebot des Verbots von Interessenkonflikten die Ausübung der Treuhänderstellung sowohl durch Rechtsanwälte als auch durch die Syndikusanwälte einzelner Verwalter einschränkt. Das Amt für den Schutz personenbezogener Daten (ÚOOÚ) kam zu dem Schluss, dass ein Interessenkonflikt ein Sonderrecht darstellen kann, wenn die Treuhänder ihnen zu bestimmten Zeitpunkten das Handeln unmöglich machen könnten (z. B. besondere Schweigepflicht von Rechtsanwälten). [5]. . Der Council of European Bar Associations (CCBE) warnt [6]. , dass die Gleichstellung der beiden Funktionen (Anwalt vs. Treuhänder) und die Gefahr einer Verwechslung zwischen diesen Funktionen ein zentrales Anliegen für jeden Anwalt sind, der auf Wunsch eines Mandanten zum Treuhänder ernannt werden könnte. Es kann vorkommen, dass der Anwalt zwischen der Funktion eines Anwalts und der Funktion eines Rechtsanwalts, der einen reglementierten Beruf ausübt, wechseln muss. Ein Anwalt in der Funktion des Treuhänders muss die Unabhängigkeit gewährleisten und Interessenkonflikte vermeiden, insbesondere Konflikte, die sich daraus ergeben können, dass er aus der Position des Treuhänders auch gegen die Interessen des Verwalters handeln muss (z. B. Berichtspflicht gegenüber ÚOOÚ). ), wobei er auch verpflichtet ist, die Interessen des Mandanten im gesetzlich zulässigen Umfang zu vertreten. In diesem Zusammenhang empfiehlt die CAK ihren Mitgliedern, im Vertrag mit dem Mandanten klar zu definieren, welche Tätigkeiten nicht ausgeführt werden dürfen, um einen Interessenkonflikt zu vermeiden (z. B. dass der Anwalt den Mandanten in einem damit zusammenhängenden Fall nicht vor Gericht vertritt). Schutz personenbezogener Daten) [7].. Laut ČAK sollte ein Rechtsanwalt in der Funktion eines Treuhänders vor allem konsequent alle Formen der Rechtsvertretung und Rechtsberatung sowohl im Bereich der Verarbeitung und des Schutzes personenbezogener Daten als auch in den Bereichen, in denen die Verarbeitung dieser Daten erfolgt, ausschließen Daten notwendigerweise zusammenhängen (z. B. arbeitsrechtliche Fragen, E-Commerce und Marketing usw.). Argumente über einen Interessenkonflikt zwischen diesen einzelnen Mandanten, die möglicherweise in einer Wettbewerbsposition stehen, tauchten auch im Zusammenhang mit der Ausübung der Treuhänderfunktion für mehrere Mandanten auf. Insbesondere ist die ÚOOÚ der Ansicht, dass es angemessen ist, den Wettbewerbsaspekt zu berücksichtigen, wenn ein Vertreter Dienstleistungen für einen Wettbewerber erbringen kann und die Gefahr der Offenlegung von Know-how besteht [8].. In diesem Zusammenhang kann man den Autoren des Kommentars zur DSGVO jedoch zustimmen, dass der Beauftragte im Rahmen seiner ihm zugewiesenen Rolle nicht die Person ist, die über Geschäftsbeziehungen und Abläufe zwischen Wettbewerbern beraten sollte, sie sollten dies also auch nicht tun auf seine (durch die Verordnung vorgeschriebene) Tätigkeit Einfluss nehmen können. Ausschlaggebend dürfte daher allein der Interessenkonflikt im Bereich des Schutzes personenbezogener Daten sein [9]. Tatsächlich könnte die gegenteilige Schlussfolgerung die Verfügbarkeit dieses Dienstes erheblich einschränken, was die größten Auswirkungen auf kleine und mittlere Unternehmen hätte, für die beispielsweise die interne Bereitstellung der Funktion des Treuhänders oft keinen wirtschaftlichen Sinn ergibt. Wie die Autoren der Kommentare zur DSGVO jedoch treffend anmerken, wird die Richtigkeit dieser Meinung letztendlich nur durch die entsprechende Entscheidungspraxis bestätigt.

Auch Unternehmensjuristen in der Funktion als Treuhänder können das Risiko von Interessenkonflikten nicht vermeiden. So sollte beispielsweise nach gängiger deutscher Praxis (wo es seit vielen Jahren spezielle Stellen für den Schutz personenbezogener Daten gibt) die Position des Beauftragten wohl nicht mit einem für die Gewährleistung des Schutzes personenbezogener Daten zuständigen Unternehmensjuristen besetzt werden . Es stimmt, dass ein interner Anwalt einen großen Vorteil darin hat, die internen Prozesse und Sicherheitsmaßnahmen des Administrators besser zu kennen als ein externer Anwalt. Laut der WP29-Arbeitsgruppe muss jedoch sichergestellt werden, dass der Verantwortliche niemals in der Lage ist, die Zwecke oder Mittel der Verarbeitung festzulegen oder verbindlich zu genehmigen – in einem solchen Fall könnte er in eine Situation geraten, in der Aus der Position des Verantwortlichen heraus kontrolliert er seine eigene (andere) Tätigkeit [10].. In diesem Zusammenhang kann auch auf den Interessenkonflikt zwischen der betroffenen Person, deren Rechte der Treuhänder zu schützen und durchzusetzen verpflichtet ist, und dem Verwalter, der andererseits den Treuhänder beschäftigt und in dessen Interesse der Treuhänder handelt, hingewiesen werden sollte im Einklang mit den arbeitsrechtlichen Vorschriften handeln.

Die weiteren oben genannten Kritikpunkte an der Ausübung der anwaltlichen Tätigkeit durch Rechtsanwälte lassen sich in einen Topf werfen, da sie allesamt auf mangelnde Fachkenntnisse und Erfahrung der Rechtsanwälte, insbesondere im Bereich der IT-Sicherheit und damit verbundener Prozesse, verweisen , inkl. Durchführung von Risikoanalysen, Audits, Kontrollen etc. Das vorgebrachte Argument ist in gewisser Weise auch berechtigt. Denn ohne eine Orientierung in diesem Bereich ist es unmöglich, die praktische Sicherheit und den Schutz personenbezogener Daten kompetent zu überwachen. An diesen Aspekt erinnert jedoch die DSGVO selbst, die in Artikel 38 Absatz 1 und Absatz 2 für Administratoren und Auftragsverarbeiter die Verpflichtung festlegt, dass der Verantwortliche ordnungsgemäß und rechtzeitig in alle Angelegenheiten im Zusammenhang mit dem Schutz personenbezogener Daten einbezogen wird Daten. Darüber hinaus sind der Administrator und der Auftragsverarbeiter verpflichtet, den Treuhänder bei der Erfüllung seiner Aufgaben zu unterstützen, indem sie ihm die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen, den Zugriff auf personenbezogene Daten und Verarbeitungsvorgänge sowie die Aufrechterhaltung seines Fachwissens zur Verfügung stellen.

Der Treuhänder sollte daher auf die Unterstützung einzelner relevanter Abteilungen des Administrators wie IT, interne Revision, Compliance, Personalwesen, Sicherheit usw. zurückgreifen können. Er sollte von diesen Abteilungen nicht nur die für die Erfüllung seiner Aufgaben erforderlichen Informationen erhalten können, aber auch sekundäre Unterstützung. Mit der Unterstützung der gegebenen Komponenten soll der Rechtsanwalt in der Lage sein, die Funktion eines Treuhänders kompetent wahrzunehmen. Schließlich ist eine solche Zusammenarbeit zwischen einem Anwalt und Experten (Experten, Expertenteam von Mandanten usw.), auf deren Grundlage der Anwalt seine Ergebnisse in der Praxis aufbaut, eine gängige und oft unvermeidliche Praxis in der Arbeit von Rechtsanwälten. Vor diesem Hintergrund sind die oben genannten Beschwerden weiterhin unbegründet.

Allerdings ist dieses „Gefecht“ von Rechtsanwälten und Experten aus anderen relevanten Fachgebieten um die Ausübung des Amtes des Treuhänders im Hinblick auf die Anforderungen der DSGVO an die Ausübung dieses Berufs selbstverständlich. Wie oben erwähnt, sollte der Beauftragte nicht nur über Fachkenntnisse im Recht, sondern auch in der Praxis auf dem Gebiet des Datenschutzes verfügen, da er die Wirksamkeit datenschutzrechtlicher Sicherheitsmaßnahmen analysieren und bewerten muss. Allerdings ist eine solche Kombination aus juristischer und IT-Ausbildung eher selten. Für Administratoren, die für die Auswahl eines qualitativ hochwertigen Treuhänders verantwortlich sind, scheint die Bestellung eines „kollektiven“ Treuhänders, also eines Teams, dem sowohl ein Anwalt als auch ein Experte für IT-Sicherheit angehören, die idealste und unsicherste Lösung zu sein. Die Einführung einer solchen Abteilung intern innerhalb der Organisationsstruktur des Verwalters stellt möglicherweise kein Problem dar, diese Lösung dürfte jedoch auch bei externen Treuhändern unproblematisch sein. In diesem Zusammenhang brachte das ÚOOÚ zum Ausdruck, dass die Tätigkeit eines Treuhänders auch von einer juristischen Person erbracht werden kann, und verwies dabei auf die Bestimmungen der DSGVO, die die Tätigkeit eines Treuhänders auch auf der Grundlage eines Vertrags über die Erbringung von Dienstleistungen ermöglicht [11].. Für den Fall, dass die Dienstleistung von einer juristischen Person erbracht wird, muss laut UOO jedoch immer eine bestimmte natürliche Person benannt werden, die die Dienstleistung erbringt. Auch die ČAK äußerte sich positiv zu dem vorliegenden Konzept und bestätigte, dass ein Rechtsanwalt eine eigene Gesellschaft gründen kann, um die Tätigkeit eines Treuhänders auszuüben [12].. Solche Unternehmen, deren Mitglieder sowohl Rechtsanwälte als auch Experten für IT- und Datenschutzsicherheit sind, gibt es in unserer Praxis bereits.

Die konkrete Auswahl eines Treuhänders als Experte, auf welchem ​​Gebiet und in welchen Modalitäten er seine Funktion wahrnimmt, hängt vom konkreten Verwalter, seinen Umständen und Bedürfnissen ab. WP29 bestätigt, dass das erforderliche Maß an Fachwissen nicht genau definiert ist, sondern der Sensibilität, Komplexität und Menge der von der Organisation verarbeiteten Daten angemessen sein muss [13].. Wenn die Datenverarbeitungsaktivität beispielsweise besonders komplex ist oder eine große Menge sensibler Daten umfasst, benötigt der Datenverantwortliche möglicherweise ein höheres Maß an Fachwissen und Unterstützung. Es gibt auch einen Unterschied, je nachdem, ob die Organisation personenbezogene Daten systematisch in Länder außerhalb der EU übermittelt oder ob es sich dabei um gelegentliche Übermittlungen handelt. Im Falle einer systematischen Übermittlung ist zumindest ein Rechtsanwalt als Mitglied des Beauftragtenteams erforderlich, da zu prüfen ist, ob die Rechtssysteme der Länder, in die die Daten übermittelt werden, ausreichende Datenschutzgarantien bieten .

Generell sollte der Verantwortliche über ausreichende Kompetenzen zur Erfüllung seiner Aufgaben gemäß DSGVO verfügen. Dies bedeutet jedoch nicht, dass er unbedingt ein Experte für IT, Sicherheit, Recht und Personal sein muss, die Kombination einer solch komplexen Qualifikation ist in der Praxis nahezu unrealistisch. Aus Sicht der DSGVO reicht es aus, wenn der Verantwortliche über ausreichende Kenntnisse in diesen Bereichen verfügt [14].. Der Administrator sollte dem Treuhänder dann Zugang zu Experten in diesen Bereichen innerhalb anderer Abteilungen der Organisation oder extern oder bei Bedarf direkt innerhalb seines Teams verschaffen. Aus dieser Sicht scheint es unklar, ob der Treuhänder ein Anwalt mit Unterstützung anderer Abteilungen oder ein Sachverständiger mit Unterstützung eines Anwalts sein wird. Es scheint also, dass es im Wettbewerb um Treuhänder keinen klaren Gewinner gibt und dass der Schlüssel zum Erfolg in der Fähigkeit liegt, das Ego zu zügeln und die Qualitäten des anderen zu erkennen, einschließlich der Notwendigkeit gegenseitiger Zusammenarbeit.

Quelle: epravo Magazin 4/2018

---

[1]. Vergleichen z.B. der mündliche Austausch zwischen Thomas Shaw und Emma Butler (beide Treuhänder) auf der IAPP-Plattform, hier verfügbar: https://iapp.org/news/a/two-pros-square-off-must-the-dpo-be-a-lawyer/  oder ein Artikel mit dem Titel „Warum ein Anwalt kein DPO sein sollte“ im Blog eines führenden britischen Proxy-Dienstleistungsunternehmens: https://blog.dpo-experts.com/blank/why-a-lawyer-shouldnt-be-a-dpo
[2]. Siehe WP29-Leitfaden zu Datenschutzbeauftragten
[3]. Vergleichen ČAK-Website, Abschnitt DSGVO, FAQ: https://www.cak.cz/scripts/detail.php?id=18807
[4]. Vergleichen ČAK-Website, Abschnitt DSGVO, FAQ: https://www.cak.cz/scripts/detail.php?id=18807
[5]. Vergleichen ÚOOÚ-Website, Abschnitt DSGVO, Grundlegender Leitfaden zur DSGVO, Beauftragter für den Schutz personenbezogener Daten: https://www.uoou.cz/9-poverenec-pro-nbsp-ochranu-osobnich-udaju/d-27280/p1=4744
[6]. Sehen CCBE-Leitfaden zu den wichtigsten Maßnahmen für Anwälte zur Einhaltung der DSGVO, hier verfügbar: http://www.bulletin-advokacie.cz/doporuceni-ccbe-ohledne-klicovych-opatreni
[7]. Vergleichen ČAK-Website, Abschnitt DSGVO, FAQ: https://www.cak.cz/scripts/detail.php?id=18807
[8]. Vergleichen ÚOOÚ-Website, Abschnitt DSGVO, Grundlegender Leitfaden zur DSGVO, Beauftragter für den Schutz personenbezogener Daten: https://www.uoou.cz/9-poverenec-pro-nbsp-ochranu-osobnich-udaju/d-27280/p1=4744
[9]. Nulíček, Donát, Nonnemann, Lichnovský, Tomíšek, DSGVO. Allgemeine Verordnung zum Schutz personenbezogener Daten. Praktischer Kommentar. Prag: Wolters Kluwer CR, 2017. 544 S.
[10]. Nulíček, Donát, Nonnemann, Lichnovský, Tomíšek, DSGVO. Allgemeine Verordnung zum Schutz personenbezogener Daten. Praktischer Kommentar. Prag: Wolters Kluwer CR, 2017. 544 S.
[11]. Gemäß Artikel 37 Absatz 6 der DSGVO kann der Datenschutzbeauftragte ein Mitarbeiter des Administrators oder Auftragsverarbeiters sein oder Aufgaben auf der Grundlage eines Vertrags über die Erbringung von Dienstleistungen wahrnehmen.
[12]. Vergleichen ČAK-Website, Abschnitt DSGVO, FAQ: https://www.cak.cz/scripts/detail.php?id=18807
[13]. Siehe WP29-Leitfaden zu Datenschutzbeauftragten.
[14]. Nulíček, Donát, Nonnemann, Lichnovský, Tomíšek, DSGVO. Allgemeine Verordnung zum Schutz personenbezogener Daten. Praktischer Kommentar. Prag: Wolters Kluwer CR, 2017. 544 S.