Tätigkeitsbericht des DSB
Der Tätigkeitsbericht des Datenschutzbeauftragten ist nur für Behörden verpflichtend. Dennoch kann ein regelmäßiger Bericht auch für Ihr Unternehmen von Vorteil sein. Wir zeigen Ihnen weshalb und worauf Sie beim Erstellen achten sollten.
Anders als die Aufsichtsbehörden, die nach Art. 59 DSGVO verpflichtet sind, jährlich einen Tätigkeitsbericht zu veröffentlichen, besteht für den Betriebs- oder Personaldatenschutzbeauftragten keine rechtliche Verpflichtung.
Dennoch ist es sinnvoll, einmal im Jahr einen solchen Bericht zu erstellen. Ein solcher Tätigkeitsbericht kann beispielsweise ein geeignetes Mittel sein, um die Unternehmens- bzw. Behördenleitung über den aktuellen Stand des Datenschutzes und der Datensicherheit im Unternehmen/in der Behörde zu informieren und sie wieder einmal an das Thema zu erinnern. Gleichzeitig können Sie durch die Erstellung eines Tätigkeitsberichts Ihre Kompetenz und Ihr Engagement als Datenschutzbeauftragter für das Unternehmen/die Behörde unter Beweis stellen.
In manchen Unternehmen/Behörden wird ein Tätigkeitsbericht auch von der Unternehmens-/Behördenleitung als eine Art Arbeitsnachweis verlangt.
Vorteile eines Tätigkeitsberichts
Aber auch im Unternehmenskontext ist die Erstellung eines regelmäßigen Datenschutzberichts sinnvoll.
Der Datenschutzbeauftragte kann durch die fortlaufende Dokumentation seiner Maßnahmen seine Tätigkeit gegenüber der Unternehmensleitung nachweisen. Für das Unternehmen kann der Bericht die Grundlage sein, um auf Anfrage der Aufsichtsbehörde seine Bemühungen im Bereich des Datenschutzes nachzuweisen.
Darüber hinaus bietet ein aussagekräftiger Tätigkeitsbericht dem Datenschutzbeauftragten die Möglichkeit, auf wichtige Themen hinzuweisen und die Verantwortlichen im Unternehmen für die Einhaltung des Datenschutzes zu motivieren. Es empfiehlt sich daher für betriebliche Datenschutzbeauftragte, den Mehraufwand für den Bericht auf sich zu nehmen.
Inhalt eines Tätigkeitsberichts
Es besteht keine gesetzliche Verpflichtung zur Erstellung eines Tätigkeitsberichts. Daher gibt es auch keine Formvorschriften. Sie können daher den Inhalt und die Form des Tätigkeitsberichts selbst bestimmen. Es kann auch sinnvoll sein, den Tätigkeitsbericht zusätzlich in Form eines Vortrages der Geschäfts- bzw. Behördenleitung zu präsentieren.
Folgende Punkte sollten jedoch in einem Tätigkeitsbericht unbedingt angesprochen werden:
- Gehen Sie knapp auf die unerledigten Punkte des Vorjahresberichts ein
- Es folgen Informationen über Ihre Tätigkeiten als betrieblicher/behördlicher Datenschutzbeauftragter im Berichtszeitraum sowie Ihre Pläne im kommenden Jahr
- Darstellung der aktuellen Situation im Unternehmen/in der Behörde und Aufzeigen bestehender Schwächen im Sicherheitskonzept sowie ungelöster Datenschutzprobleme
- Bericht über aktuelle Erkenntnisse im Allgemeinen und in Ihrem Unternehmen/Ihrer Behörde
- Bericht über datenschutzrechtliche/technische Prüfungen, falls diese im Berichtszeitraum stattgefunden hat sowie das resultierende Ergebnis
- Information über Auskunftsersuchen, Werbewidersprüche und Betroffenen-Beschwerden
Gestaltung des Tätigkeitsberichts
Gehen Sie bei der Erstellung Ihrer Tätigkeitsberichte am besten strukturiert vor. Erstellen Sie eine Vorlage, die Sie jedes Jahr verwenden können. Schon während des Jahres sollten Sie immer wieder Stichpunkte und kurze Notizen in die aktuelle Vorlage eintragen. Dies verringert die Gefahr, dass Sie für den nächsten Tätigkeitsbericht wichtige Punkte vergessen.
Adressatenkreis des Tätigkeitsberichts
Der jährliche Tätigkeitsbericht des Datenschutzbeauftragten eines Unternehmens oder einer Behörde sollte als vertrauliche interne Information direkt an die Leitung des Unternehmens oder der Behörde adressiert werden und sollte deshalb nicht veröffentlicht oder der Öffentlichkeit zugänglich gemacht werden. Nur wenn die Unternehmens- bzw. Behördenleitung dies wünscht, kann der Empfängerkreis (z. B. Leiter der IuK-Abteilung, IT-Sicherheitsbeauftragter, Personalvertretung) auch erweitert werden.
Umfang des Tätigkeitsberichts
Auch hier gilt: In der Kürze liegt die Würze.
Für einen ellenlangen Bericht hat Ihre Unternehmens- oder Behördenleitung in der Regel weder Zeit noch Muse. Halten Sie Ihren Bericht kurz und prägnant: In der Regel sollte ein Bericht nicht länger als 50 Seiten sein.
Der Tätigkeitsbericht im Einklang mit der DSGVO
Erfüllung der Dokumentations- und Rechenschaftspflicht
Die Dokumentations- und Rechenschaftspflichten der Unternehmen werden durch die DSGVO deutlich ausgeweitet. So sind Unternehmen nach Art. 5 Abs. 2 DSGVO umfassend verpflichtet, die Einhaltung der in Art. 5 Abs. 1 DSGVO niedergelegten Grundsätze einer ordnungsgemäßen Datenverarbeitung nachzuweisen. Dabei handelt es sich insbesondere um die Grundsätze der Rechtmäßigkeit, der Transparenz, der Zweckbindung, der Datenminimierung, der Richtigkeit, der Integrität und der Vertraulichkeit.
Ein regelmäßiger Tätigkeitsbericht des Datenschutzbeauftragten ist eine wichtige Hilfe, um dieser umfassenden Rechenschaftspflicht nachkommen zu können.
Der Tätigkeitsbericht und Vertraulichkeit
Bekanntlich sind Sie als Datenschutzbeauftragter zur Verschwiegenheit (teilweise auch gegenüber der Geschäfts- bzw. Behördenleitung) über die Identität der Ihnen anvertrauten Betroffenen sowie über Umstände, die Rückschlüsse auf die Betroffenen zulassen, verpflichtet (Art. 38 Abs. 5 DSGVO). Bei der Erstellung des Tätigkeitsberichts ist daher darauf zu achten, dass möglichst keine Namen genannt oder Hinweise gegeben werden, die Rückschlüsse auf betroffene Personen zulassen.
Als externer Datenschutzbeauftragter unterstützen wir Sie bei der Umsetzung der DSGVO und erstellen regelmäßige Tätigkeitsberichte.
Ihre Vorteile mit Cortina Consult
Cortina Consult hilft Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen.
Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der gesetzlichen Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
- Gebündelte Erfahrung aus 10 Jahren in der Branche und 500 erfolgreichen Datenschutzprojekten
- Beratung, Software & Schulung aus einer Hand
- Prozessoptimierung frei nach dem Motto: so viel wie nötig, so wenig wie möglich
