Braun-Lüdicke Der Konzerndatenschutzbeauftragte

Eine Analyse der rechtlichen und praktischen Bedeutung
2009
ISBN: 978-3-8349-9990-0
Verlag: Betriebswirtschaftlicher Verlag Gabler
Format: PDF
Kopierschutz: 1 - PDF Watermark

E-Book, Deutsch, 288 Seiten, eBook

Reihe: DuD-Fachbeiträge

Sebastian Braun-Lüdicke untersucht die Umsetzbarkeit einer gesetzlichen Regelung des Konzerndatenschutzbeauftragten in einem rechtstheoretischen, einem rechtspraktischen und einem empirischen Teil. Er zeigt die rechtlichen und praktischen Probleme der fehlenden Rechtsgrundlage auf und entwickelt einen Lösungsansatz in Form eines Normierungsvorschlags.

Dr. Sebastian Braun-Lüdicke studierte an den Universitäten Würzburg und Salamanca und promovierte anschließend bei Prof. Dr. Alexander Roßnagel am Lehrstuhl für Öffentliches Recht der Universität Kassel. Er absolviert heute sein Referendariat im OLG-Bezirk Bamberg.

Zielgruppe

Research

Autoren/Hrsg.

Braun-Lüdicke, Sebastian

Weitere Mitwirkende

Roßnagel, Prof. Dr. Alexander

Inhaltsverzeichnis

1;Geleitwort;6
2;Vorwort;8
3;Inhaltsverzeichnis;10
4;Abkürzungsverzeichnis;15
5;1 Einleitung;19
5.1;1.1 Problemaufriss;19
5.2;1.2 Fragestellung;24
5.3;1.3 Gang der Untersuchung;24
6;2 Betriebsbeauftragtensystem als rechtlicher Hintergrund;27
6.1;2.1 Regulierungsmöglichkeit;29
6.2;2.2 Technikrecht als Repräsentant neuer Regulierungsstrategien;31
6.3;2.3 Formen gesellschaftlicher Selbststeuerung;33
6.3.1;2.3.1 Selbstregulierung;33
6.3.2;2.3.2 Selbstkontrolle;36
6.4;2.4 Entwicklung des Betriebsbeauftragtensystems;38
6.5;2.5 Entwicklung des Datenschutzbeauftragten;40
6.6;2.6 Vergleichbarkeit der verschiedenen Beauftragten;43
6.7;2.7 Funktion der Betriebsbeauftragten;44
6.7.1;2.7.1 Funktion innerhalb des Umweltschutzrechts;45
6.7.2;2.7.2 Funktion innerhalb des Datenschutzrechts;46
6.8;2.8 Funktion der Konzernbeauftragten;48
7;3 Rechtliche Bedeutung des Datenschutzbeauftragten;53
7.1;3.1 Bestellung;53
7.2;3.2 Stellung im Unternehmen;55
7.2.1;3.2.1 Formen des Datenschutzbeauftragten;56
7.2.1.1;3.2.1.1 Interner oder externer Datenschutzbeauftragter;56
7.2.1.2;3.2.1.2 Hauptoder nebenamtlicher Datenschutzbeauftragter;57
7.2.2;3.2.2 Kontrollorgan im eigenen Unternehmen;59
7.2.2.1;3.2.2.1 Unmittelbare Unterstellung des Datenschutzbeauftragten;60
7.2.2.2;3.2.2.2 Weisungsfreiheit des Datenschutzbeauftragten;63
7.2.2.3;3.2.2.3 Benachteiligungsverbot des Datenschutzbeauftragten;64
7.2.2.4;3.2.2.4 Kündigungsschutz des Datenschutzbeauftragten;65
7.2.2.5;3.2.2.5 Unterstützungspflicht der verantwortlichen Stelle;67
7.2.2.6;3.2.2.6 Verschwiegenheitspflicht des Datenschutzbeauftragten;70
7.3;3.3 Aufgaben;71
7.3.1;3.3.1 Aufgabenkatalog gemäß § 4g BDSG;71
7.3.1.1;3.3.1.1 Hinwirkungsaufgabe;72
7.3.1.2;3.3.1.2 Kontrolle der Datenverarbeitung;74
7.3.1.3;3.3.1.4 Verfahrensverzeichnis;76
7.3.1.4;3.3.1.3 Schulung;75
7.3.2;3.3.2 Vorabkontrolle gemäß § 4d Abs. 5 BDSG;78
7.4;3.4 Persönliche Anforderungen;79
7.4.1;3.4.1 Fachkunde;80
7.4.1.1;3.4.1.1 Kenntnisse;81
7.4.1.2;3.4.1.2 Fähigkeiten;83
7.4.2;3.4.2 Zuverlässigkeit;84
7.4.2.1;3.4.2.1 Persönliche und fachliche Zuverlässigkeit;84
7.4.2.2;3.4.2.2 Interessenkollision;85
7.5;3.5 Haftung des Datenschutzbeauftragten;87
7.5.1;3.5.1 Haftung gegenüber dem Betroffenen;88
7.5.2;3.5.2 Haftung gegenüber dem Unternehmen;89
7.5.2.1;3.5.2.1 Haftung des internen Datenschutzbeauftragten;90
7.5.2.2;3.5.2.2 Besonderheiten bei der Haftung des externen Datenschutzbeauftragten;94
7.6;3.6 Datenschutzbeauftragter und Betriebsrat;94
7.6.1;3.6.1 Verhältnis von Bundesdatenschutzgesetz und Betriebsverfassungsgesetz;95
7.6.2;3.6.2 Gegenseitige Kontrollbefugnisse;96
7.6.2.1;3.6.2.1 Mitwirkung bei der Anstellung;96
7.6.2.2;3.6.2.2 Kontrolle der Tätigkeit des Datenschutzbeauftragten;98
7.6.2.3;3.6.2.3 Überwachung des Betriebsrats durch den Datenschutzbeauftragten;99
7.7;3.7 Regelungen zu Datenschutzbeauftragten in anderen EU-Mitgliedstaaten;101
7.7.1;3.7.1 Niederlande;102
7.7.2;3.7.2 Luxemburg;104
7.7.3;3.7.3 Schweden;105
7.7.4;3.7.4 Frankreich;107
7.7.5;3.7.5 Slowakei und Polen;109
7.7.6;3.7.6 Großbritannien;110
7.7.7;3.7.7 Bedeutung der Regelungen für den Datenschutzbeauftragten gem. § 4f BDSG;110
7.8;3.8 Exkurs: Risikomanagement und Corporate Compliance;111
7.8.1;3.8.1 Funktion des Risikomanagements in Unternehmen;113
7.8.1.1;3.8.1.1 Risikomanagementsystem;115
7.8.1.2;3.8.1.2 Risikomanagementorganisation;117
7.8.2;3.8.2 Bedeutung des Risikomanagements für den Datenschutzbeauftragten;119
7.8.2.1;3.8.2.1 Risikomanagement und Datenschutz;120
7.8.2.2;3.8.2.2 Position des Datenschutzbeauftragten im Risikomanagement;122
7.8.3;3.8.3 Bedeutung von Corporate Compliance für den Datenschutzbeauftragten;124
7.8.3.1;3.8.3.1 Datenschutz als Risikofeld des Compliance-Systems;125
7.8.3.2;3.8.3.2 Compliance-Aufgabe des Datenschutzbeauftragten;126
7.9;3.9 Stellungnahme zum Datenschutzbeauftragten;127
8;4 Konzerndatenschutzbeauftragter als Sonderform;129
8.1;4.1 Grundbegriffe;130
8.1.1;4.1.1 Konzern;130
8.1.1.1;4.1.1.1 Allgemeine Vorschriften;131
8.1.1.1.1;4.1.1.1.1 Verbundene Unternehmen gem. § 15 AktG;132
8.1.1.1.2;4.1.1.1.2 Mehrheitsbeteiligung gemäß § 16 AktG;132
8.1.1.1.3;4.1.1.1.3 Abhängigkeit gemäß § 17 AktG;133
8.1.1.1.4;4.1.1.1.4 Konzern gemäß § 18 AktG;134
8.1.1.1.5;4.1.1.1.5 Wechselseitige Beteiligung gemäß § 19 AktG;135
8.1.1.2;4.1.1.2 Aktienkonzernrecht;136
8.1.1.2.1;4.1.1.2.1 Unternehmensverträge;137
8.1.1.2.2;4.1.1.2.2 Leitungsmacht;137
8.1.1.2.3;4.1.1.2.3 Eingliederung;139
8.1.1.3;4.1.1.3 GmbH-Konzernrecht;139
8.1.1.4;4.1.1.4 Konzernrecht der Personengesellschaften;141
8.1.1.5;4.1.1.5 Auswirkung auf Konzernbeauftragte;142
8.1.2;4.1.2 Konzernprivileg;144
8.1.3;4.1.3 Konzerndatenschutzbeauftragter;146
8.1.3.1;4.1.3.1 Bisherige Konzepte;147
8.1.3.1.1;4.1.3.1.1 Zentralisiertes Modell;147
8.1.3.1.2;4.1.3.1.2 Dezentralisiertes Modell;149
8.1.3.1.3;4.1.3.1.3 Gemischtes Modell;152
8.1.3.2;4.1.3.2 Bisherige Definitionen;154
8.1.3.3;4.1.3.3 Eigene Definition;158
8.2;4.2 Konzernbeauftragte anderer Rechtsgebiete;159
8.3;4.3 Rechtliche Bedeutung des Konzerndatenschutzbeauftragten;162
8.3.1;4.3.1 Bestellung;163
8.3.2;4.3.2 Stellung im Konzern;164
8.3.2.1;4.3.2.1 Formen des Konzerndatenschutzbeauftragten;164
8.3.2.1.1;4.3.2.1.1 Interner oder externer Konzerndatenschutzbeauftragter;165
8.3.2.1.2;4.3.2.1.2 Hauptoder nebenamtlicher Konzerndatenschutzbeauftragter;166
8.3.2.2;4.3.2.2 Konzerndatenschutzbeauftragter als Kontrollorgan;167
8.3.2.2.1;4.3.2.2.1 Unmittelbare Unterstellung des Konzerndatenschutzbeauftragten;168
8.3.2.2.2;4.3.2.2.2 Weisungsfreiheit des Konzerndatenschutzbeauftragten;169
8.3.2.2.3;4.3.2.2.3 Benachteiligungsverbot des Konzerndatenschutzbeauftragten;170
8.3.2.2.4;4.3.2.2.4 Kündigungsschutz des Konzerndatenschutzbeauftragten;171
8.3.2.2.5;4.3.2.2.5 Unterstützungspflicht aller verantwortlichen Stellen;172
8.3.2.2.6;4.3.2.2.6 Verschwiegenheitspflicht des Konzerndatenschutzbeauftragten;175
8.3.3;4.3.3 Aufgaben;175
8.3.3.1;4.3.3.1 Beratung;177
8.3.3.1.1;4.3.3.1.1 Zielgruppe;177
8.3.3.1.2;4.3.3.1.2 Umfang;177
8.3.3.2;4.3.3.2 Koordination;178
8.3.3.2.1;4.3.3.2.1 Datenschutzphilosophie als Ausgangspunkt;179
8.3.3.2.2;4.3.3.2.2 Datenschutzstrategie als Konkretisierung der Datenschutzphilosophie;180
8.3.3.2.3;4.3.3.2.3 Einheitliche Datenschutzorganisation als konkreter Maßnahmenkatalog;181
8.3.3.3;4.3.3.3 Kontrolle;182
8.3.3.3.1;4.3.3.3.1 Originäre Kontrollaufgaben;183
8.3.3.3.2;4.3.3.3.2 Überwachung der Mitarbeiter;185
8.3.3.3.3;4.3.3.3.3 Einhaltung der Datenschutzstrategie;185
8.3.3.3.4;4.3.3.4 Exkurs: Selbstregulierung als Aufgabe des Konzerndatenschutzbeauftragten;187
8.3.3.3.4.1;4.3.3.4.1 Selbstregulierungsinstrumente des Bundesdatenschutzgesetzes im Einzelnen;188
8.3.3.3.4.2;4.3.3.4.2 Selbstregulierung am Beispiel des § 4c Abs. 2 Satz 1 BDSG;191
8.3.3.3.4.3;4.3.3.4.3 Einhaltung und Überwachung durch den Konzerndatenschutzbeauftragten;196
8.3.4;4.3.4 Persönliche Anforderungen;198
8.3.4.1;4.3.4.1 Fachkunde;198
8.3.4.1.1;4.3.4.1.1 Kenntnisse;199
8.3.4.1.2;4.3.4.1.2 Fähigkeiten;202
8.3.4.2;4.3.4.2 Zuverlässigkeit;203
8.3.5;4.3.5 Haftung des Konzerndatenschutzbeauftragten;205
8.3.5.1;4.3.5.1 Haftungsrechtliche Besonderheiten der Doppelstellung;205
8.3.5.2;4.3.5.2 Haftung für Fehler des Hilfspersonals;207
8.3.5.2.1;4.3.5.2.1 Haftung gegenüber dem Betroffenen aus zivilrechtlicher Sicht;208
8.3.5.2.2;4.3.5.2.2 Haftung gegenüber dem Unternehmen aus zivilrechtlicher Sicht;210
8.3.6;4.3.6 Konzerndatenschutzbeauftragter und Betriebsrat;212
8.3.6.1;4.3.6.1 Ausgangssituation;212
8.3.6.2;4.3.6.2 Gegenseitige Kontrollbefugnisse auf Konzernebene;212
8.3.6.2.1;4.3.6.2.1 Mitwirkung bei der Anstellung des Konzerndatenschutzbeauftragten;212
8.3.6.2.2;4.3.6.2.2 Kontrolle der Tätigkeit des Konzerndatenschutzbeauftragten;214
8.3.6.2.3;4.3.6.2.3 Überwachung des Konzernbetriebsrats;215
8.3.6.3;4.3.6.3 Situation anderer Konzernbeauftragter;216
8.3.6.3.1;4.3.6.3.1 Verhältnis von Konzerngeldwäschebeauftragtem und Betriebsrat;216
8.3.6.3.2;4.3.6.3.2 Verhältnis von Konzernumweltschutzbeauftragten und Betriebsrat;217
8.3.7;4.3.7 Konzerndatenschutzbeauftragter im multinationalen Konzern;219
8.3.7.1;4.3.7.1 Gemeinschaftsrechtlicher Bezugsrahmen;220
8.3.7.2;4.3.7.2 Globaler Bezugsrahmen;222
8.3.8;4.3.8 Risikomanagement und Compliance im Konzern;224
8.3.8.1;4.3.8.1 Besonderheiten eines Konzernrisikomanagementsystems;224
8.3.8.2;4.3.8.2 Position des Konzerndatenschutzbeauftragten im Risikomanagement;226
8.3.8.3;4.3.8.3 Konzerndatenschutz und Compliance;227
8.3.9;4.3.9 Stellungnahme zum Konzerndatenschutzbeauftragten;228
9;5 Konzerndatenschutzbeauftragte in der Praxis;229
9.1;5.1 Methodisches Vorgehen;229
9.1.1;5.1.1 Auswahl der Interviewpartner;230
9.1.2;5.1.2 Datenerhebung und -auswertung;231
9.2;5.2 Ergebnisse;233
9.2.1;5.2.1 Personelle und institutionelle Einordnung der Befragten;234
9.2.1.1;5.2.1.1 Berufliche Laufbahn;234
9.2.1.2;5.2.1.2 Anstellungsverhältnis;234
9.2.1.3;5.2.1.3 Allgemeine Arbeitsschwerpunkte;235
9.2.2;5.2.2 Konzernorganisation;236
9.2.2.1;5.2.2.1 Organisation des Unternehmens aus Sicht der Datenverarbeitung;236
9.2.2.2;5.2.2.2 Aufbau des Datenschutzes im Unternehmen;237
9.2.2.3;5.2.2.3 Besondere Schwerpunkte des Schutzes personenbezogener Daten;238
9.2.3;5.2.3 Konzerndatenschutzorganisation;239
9.2.3.1;5.2.3.1 Datenschutzstrategie;239
9.2.3.2;5.2.3.2 Stellung des Konzerndatenschutzbeauftragten in der Datenschutzstrategie;240
9.2.3.3;5.2.3.3 Zusammenarbeit mit anderen Institutionen;241
9.2.3.4;5.2.3.4 Verhältnis zum Betriebsrat;241
9.2.4;5.2.4 Spezielle Wirkungsbereiche des Konzerndatenschutzbeauftragten;243
9.2.4.1;5.2.4.1 Beratung, Koordination und Kontrolle als Aufgabenfelder;243
9.2.4.2;5.2.4.2 Konzernweit einheitliches Datenschutzniveau;244
9.2.4.3;5.2.4.3 Ausgestaltung der Position des Konzerndatenschutzbeauftragten;245
9.2.4.4;5.2.4.4 Datenübermittlung mit Schwerpunkt Auslandsdatentransfer;245
9.2.4.5;5.2.4.5 Selbstregulative Instrumente;246
9.2.4.6;5.2.4.6 Risikomanagement;248
9.2.4.7;5.2.4.7 Erwägungen der Interviewten;249
10;6 Gesamtsituation des Konzerndatenschutzbeauftragten;251
10.1;6.1 Rechtliche Beurteilung;251
10.1.1;6.1.1 Rechtstheoretische Gesichtspunkte;251
10.1.2;6.1.2 Rechtsdogmatische Schwierigkeiten;253
10.1.2.1;6.1.2.1 Mehrfachbestellung;254
10.1.2.2;6.1.2.2 Zuordnung im Konzern;254
10.1.2.3;6.1.2.3 Veränderter Aufgabenbereich;256
10.1.2.4;6.1.2.4 Anforderungsprofil eines Konzerndatenschutzbeauftragten;259
10.1.2.5;6.1.2.5 Haftungsrisiko;260
10.1.2.6;6.1.2.6 Verhältnis zum Betriebsrat;260
10.1.2.7;6.1.2.7 Internationaler Bezug;262
10.2;6.2 Beurteilung der empirischen Erhebung;263
10.2.1;6.2.1 Unternehmensspezifische Ausgestaltung des (Konzern-)Datenschutzbeauftragten;263
10.2.2;6.2.2 Datenschutzrechtliche Organisationsmöglichkeiten eines Konzerns;264
10.2.3;6.2.3 Strategien zur Umsetzung des Datenschutzes innerhalb von Konzernen;265
10.2.4;6.2.4 Konzernweite datenschutzrechtliche Aufgaben;266
10.3;6.3 Schlussfolgerungen;268
10.3.1;6.3.1 Gesetzliche Legitimation für den Konzerndatenschutzbeauftragten;269
10.3.2;6.3.2 Art der Regelung;270
10.3.3;6.3.3 Kompatibilität mit anderen Normen;271
10.3.4;6.3.4 Inhaltliche Ausgestaltung der Gesetzesregelung;272
10.3.5;6.3.5 Normierungsvorschlag;273
10.3.6;6.3.6 Konsequenzen der Normierung;273
11;7 Ergebnis und Ausblick;276
12;Literaturverzeichnis;280
13;Anhang;303
13.1;I. Fragebogen Leitfadeninterview ;303
13.1.1;1. Person und Bestellung des (Konzern-) Datenschutzbeauftragten;303
13.1.2;2. Organisation des Konzerns aus datenschutzrechtlicher Perspektive;303
13.1.3;3. Umsetzung des Datenschutzes;303
13.1.4;4. Konzerweite datenschutzrechtliche Aufgaben;303
13.1.5;5. Spezifische Problemfelder im Aufgabenbereich;303
13.1.6;6. Ergänzungen durch den Befragten und Schlusswort;303
13.2;II. Liste der Interviewpartner ;304

Betriebsbeauftragtensystem als rechtlicher Hintergrund.- Rechtliche Bedeutung des Datenschutzbeauftragten.- Konzerndatenschutzbeauftragter als Sonderform.- Konzerndatenschutzbeauftragte in der Praxis.- Gesamtsituation des Konzerndatenschutzbeauftragten.- Ergebnis und Ausblick.

Über Autor(innen)

Dr. Sebastian Braun-Lüdicke studierte an den Universitäten Würzburg und Salamanca und promovierte anschließend bei Prof. Dr. Alexander Roßnagel am Lehrstuhl für Öffentliches Recht der Universität Kassel. Er absolviert heute sein Referendariat im OLG-Bezirk Bamberg.