Externer Datenschutzbeauftragter Hildesheim

Was ein externer Datenschutzbeauftragter in Hildesheim übernimmt

Ein externer Datenschutzbeauftragter ist ein spezialisierter Dienstleister, den ein Unternehmen nach Art. 37 Abs. 6 DSGVO auf Grundlage eines Dienstleistungsvertrags benennt. Er übernimmt die gesetzlichen Aufgaben aus Art. 39 DSGVO, ohne dass dafür eine eigene Stelle geschaffen werden muss. Verantwortlich für den Datenschutz bleibt die Geschäftsleitung (Art. 24 DSGVO).

Als externer Datenschutzbeauftragter in Hildesheim übernimmt Cortina Consult unter anderem diese Aufgaben:

• Beratung der Geschäftsführung und der Fachabteilungen, etwa bei neuer Software, Cloud-Diensten oder KI-Anwendungen
• Überwachung der Datenschutzorganisation durch digitale Audits und Stichproben
• Dokumentation von Verarbeitungsverzeichnis, technischen und organisatorischen Maßnahmen und Auftragsverarbeitungsverträgen in unserer Software
• Schulung der Beschäftigten per E-Learning mit automatischem Teilnahmenachweis
• Ansprechpartner für Beschäftigte, Kunden, Patienten und die Aufsichtsbehörde

Alle Termine finden per Video oder Telefon statt. Das spart Zeit und hält die Pauschale niedrig.

Wann Hildesheimer Unternehmen einen DSB benennen müssen

Die Benennungspflicht ergibt sich aus Art. 37 DSGVO und § 38 BDSG. Unternehmen und Vereine müssen einen Datenschutzbeauftragten benennen, wenn mindestens eine dieser Voraussetzungen erfüllt ist:

• In der Regel arbeiten mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten.
• Eine Verarbeitung erfordert eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
• Personenbezogene Daten werden geschäftsmäßig übermittelt oder für Markt- und Meinungsforschung verarbeitet.
• Zur Kerntätigkeit gehört die umfangreiche Verarbeitung besonderer Kategorien wie Gesundheitsdaten oder die regelmäßige, systematische Überwachung von Personen.

Bei der 20-Personen-Schwelle zählen Köpfe, nicht Vollzeitstellen. Teilzeitkräfte, Auszubildende und Werkstudierende gehören dazu, wenn sie regelmäßig mit Kunden-, Patienten- oder Personaldaten arbeiten. Gerade Zulieferer, Pflegedienste und Praxen überschreiten die Schwelle oft früher als gedacht. Für kirchliche Einrichtungen gelten eigene Regeln, die wir im übernächsten Abschnitt erklären.

Interner oder externer Datenschutzbeauftragter im Vergleich

Unternehmen können einen eigenen Mitarbeiter zum Datenschutzbeauftragten benennen oder einen externen Datenschutz-Dienstleister beauftragen. Beide Wege erfüllen die gesetzliche Pflicht, unterscheiden sich im Alltag aber deutlich:

• Kosten: Ein interner DSB braucht Ausbildung, Fortbildung und feste Arbeitszeit für das Amt. Der externe DSB kostet eine planbare Monatspauschale.
• Kündigungsschutz: Interne Datenschutzbeauftragte sind nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG besonders geschützt. Ein externer Vertrag endet nach den vereinbarten Fristen.
• Interessenkonflikte: Geschäftsführung, IT- und Personalleitung scheiden als interne DSB in der Regel aus. Der externe DSB bringt den unabhängigen Blick von außen mit.
• Erfahrung: Externe Datenschutzbeauftragte kennen Prüfungen, Datenpannen und Behördenanfragen aus vielen Mandaten.

Eine interne Lösung lohnt sich vor allem für große Organisationen, die eine Vollzeitstelle auslasten. Für die meisten kleinen und mittleren Betriebe in Hildesheim ist der externe Weg wirtschaftlicher. Bei Cortina Consult beginnt die Datenschutz-Betreuung bei 125 € im Monat, abhängig von Beschäftigtenzahl, Branche und Umfang der Verarbeitung.

Kirchliche Träger in Hildesheim: KDG und DSG-EKD

Wer für das Bistum, die Caritas, eine katholische Klinik oder eine evangelische Einrichtung arbeitet, wendet in der Regel nicht die DSGVO direkt an, sondern ein eigenes kirchliches Datenschutzgesetz. Grundlage dafür ist Art. 91 DSGVO: Kirchen dürfen eigene, umfassende Regeln anwenden, wenn sie mit der DSGVO in Einklang stehen.

• Katholische Einrichtungen wie das Bistum Hildesheim, Pfarreien, Caritas-Verbände, Kitas und das St. Bernward Krankenhaus wenden das Gesetz über den Kirchlichen Datenschutz (KDG) an.
• Evangelische Einrichtungen wie Kirchengemeinden und diakonische Träger, etwa die Diakonie Himmelsthür, wenden das Datenschutzgesetz der EKD (DSG-EKD) an.

Beide Gesetze orientieren sich eng an der DSGVO, weichen aber im Detail ab, etwa bei der Benennung des betrieblichen Datenschutzbeauftragten (§ 36 KDG) und bei den zuständigen Aufsichtsstellen. Für katholische Stellen im Bistum Hildesheim ist die Katholische Datenschutzaufsicht Nord in Bremen zuständig, für evangelische Stellen der Beauftragte für den Datenschutz der EKD in Hannover.

Wir kennen beide Regelwerke und betreuen kirchliche Träger ebenso wie privatwirtschaftliche Unternehmen. Datenpannen melden wir mit Ihnen an die richtige Stelle, und Schulungen richten sich nach dem jeweils geltenden Gesetz.

Viele Träger arbeiten zudem mit weltlichen Partnern zusammen, etwa mit Abrechnungsdienstleistern, Softwareanbietern oder Kommunen. Dann treffen KDG oder DSG-EKD auf DSGVO und BDSG. Auftragsverarbeitungsverträge müssen beide Welten abbilden, und bei gemeinsamen Projekten ist zu klären, welches Recht für welche Verarbeitung gilt.

Aufsicht und Datenpannen: der LfD Niedersachsen in Hannover

Für Unternehmen, Praxen und Vereine mit Sitz in Hildesheim ist der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) zuständig. Die Behörde sitzt in Hannover, rund 30 Kilometer entfernt. Sie berät, bearbeitet Beschwerden, nimmt Meldungen zu Datenpannen entgegen und kann Bußgelder verhängen. Für öffentliche Stellen wie Stadtverwaltung, Landkreis und kommunale Betriebe gilt ergänzend das Niedersächsische Datenschutzgesetz (NDSG). Wer trotz Pflicht keinen Datenschutzbeauftragten benennt, riskiert bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).

Kommt es zu einer Datenpanne, etwa durch einen Hackerangriff auf die Produktionssteuerung, ein verlorenes Diensthandy oder einen falsch adressierten Arztbrief, zählt die Zeit. Besteht ein Risiko für die Betroffenen, muss der Vorfall innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden (Art. 33 DSGVO). Bei hohem Risiko sind zusätzlich die betroffenen Personen zu informieren (Art. 34 DSGVO). Wir bewerten den Vorfall mit Ihnen, bereiten die Meldung vor und dokumentieren die Maßnahmen. Die Entscheidung bleibt bei Ihrem Unternehmen.