Nicht überall, wo Datenschutz draufsteht, ist auch Qualifikation drin.

Auswertung einer Marktübersicht zu Datenschutzbeauftragten Schulungen und was muss er können.

Alle Behörden und viele Unternehmen sind zur Benennung eines Datenschutzbeauftragten (DSB) verpflichtet. Das Problem: Es ist nicht klar definiert, welche Qualifikation erforderlich ist.
Oder anders ausgedrückt: Eine genormte Ausbildung mit allgemein anerkanntem Abschluss gibt es nicht. Der DSB muss über genügende fachliche Qualifikation verfügen.
Zur besseren Orientierung wurde nunmehr der Versuch unternommen, verschiedene Lehrgangsangebote in einer Marktübersicht gesichtet und der rechtliche Rahmen von Benennungspflicht, Überprüfung und Zertifikaten umrissen.

Info - Transparenz

Alle Behörden und viele Unternehmen sind zur Benennung eines Datenschutzbeauftragten (DSB) verpflichtet. Das Problem: Es ist nicht klar definiert, welche Qualifikation erforderlich ist.
Oder anders ausgedrückt: Eine genormte Ausbildung mit allgemein anerkanntem Abschluss gibt es nicht. Der DSB muss über genügende fachliche Qualifikation verfügen.
Zur besseren Orientierung wurde nunmehr der Versuch unternommen, verschiedene Lehrgangsangebote in einer Marktübersicht gesichtet und der rechtliche Rahmen von Benennungspflicht, Überprüfung und Zertifikaten umrissen.

Die DS-GVO ist da sehr „schmallippig“: „Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben“ (Art. 37 Abs. 5 DS-GVO). Er muss also zunächst mal das können, was im Art. 39 als sein Aufgabenbereich umschrieben ist.
Das erforderliche Fachwissen orientiert sich am Umfang der Datenverarbeitung und dem Schutzbedarf der personenbezogenen Daten (Erwägungsgrund 97 DS-GVO). Je mehr Daten von der verantwortlichen Stelle verarbeitet werden und je sensibler die Daten sind, desto höhere Anforderungen sind an die Qualifikation der Datenschutzbeauftragten zu stellen. 

Nach überwiegender Auffassung gehören dazu auch gewisse Kenntnisse … 
Unabhängig von Branche und Größe der verantwortlichen Stelle müssen die Datenschutzbeauftragten über Grundkenntnisse zum verfassungsrechtlich garantierten informationellen Selbstbestimmungsrecht und Datenschutzrecht der Betroffenen und der Beschäftigten der verantwortlichen Stelle sowie umfassende Kenntnisse der einschlägigen Regelungen der DS-GVO, des BDSG und anderer datenschutzrechtlicher Bestimmungen verfügen. Darüber hinaus sind Kenntnisse der einschlägigen technischen Vorschriften (IT), der Datenschutzgrundsätze nach Art. 5 DS-GVO und der Datensicherheitsanforderungen insbesondere nach Art. 25, 32 DS-GVO erforderlich. Einrichtungsspezifisch sind des Weiteren Kenntnisse der spezialgesetzlichen datenschutzrelevanten Vorschriften, der Informations- und TK-Technologie und der Datensicherheit, der Sicherheitsrisiken, der betriebswirtschaftlichen Zusammenhänge, der technischen und organisatorischen Struktur sowie deren Wechselwirkung in der zu betreuenden verantwortlichen Stelle und im praktischen Datenschutzmanagement der verantwortlichen Stelle notwendig (vgl. z.B. Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht/Drewes,2019, DS-GVO Art. 37 Rn. 46; LfDI BW, Praxisratgeber Die/der Beauftragte für den Datenschutz Teil II, 2019; LfDI Hessen, Der behördliche und betriebliche Datenschutzbeauftragte nach neuem Recht, 2017).
 
… und auch ein paar persönliche Eigenschaften
Der Begriff der Fähigkeit zur Erfüllung der den Datenschutzbeauftragten obliegenden Aufgaben ist sowohl im Sinne ihrer persönlichen Eigenschaften (z.B. Integrität, Zuverlässigkeit, Belastbarkeit) und Kenntnisse als auch ihrer Position innerhalb der Stelle zu verstehen. Die erforderlichen rechtlichen, technischen sowie organisatorischen Mindestkenntnisse sollten grundsätzlich bereits zum Zeitpunkt der Benennung zum Datenschutzbeauftragten im ausreichenden Maße vorhanden sein.
Die Marktuntersuchung hat nun gezeigt, dass die überwiegende Anzahl der Anbieter von Schulungen oder Lehrgängen für Datenschutzbeauftragte den Teilnehmenden die Möglichkeit zum Erhalt einer qualifizierten Bescheinigung über die Teilnahme bieten. Diese wird i.d.R. als Zertifikat bezeichnet. Ein solches Zertifikat ist auf den Teilnehmenden der Ausbildung personalisiert. Es wird in der Regel erst nach Abschluss einer Prüfungsleistung am Ende der Schulung erteilt und soll so den Fähigkeitsnachweis erlauben. Insgesamt handelt es sich dabei um eine qualifizierte Teilnahmebescheinigung.
Die erworbenen Zertifikate sind also keinesfalls mit einer Zertifizierung des Teilnehmenden oder gar seines Arbeitsgebers zu verwechseln.
Zu Recht weisen einige der Anbieter von Schulungen für Datenschutzbeauftragte daher drauf hin, dass die Verleihung eines Zertifikats den Empfänger nicht dazu berechtigt, sich nach außen als zertifiziert zu bezeichnen und damit zu werben, was vor allem für externe Datenschutzbeauftragte von Bedeutung sein dürfte. Die Werbung als zertifizierter Datenschutzbeauftragter dürfte dazu geeignet sein, bei einem erheblichen Teil des angesprochenen Verkehrskreises eine unrichtige Vorstellung zur Qualifikation und Erfahrung des Werbenden iSv § 5 UWG hervorzurufen. Im datenschutzrechtlichen Zusammenhang ist dies von besonderer Bedeutung, wird die Zertifizierung von Datenverarbeitungsvorgängen doch sogar ausdrücklich im Gesetz geregelt (Art. 42 DS-GVO), was die Gefahr der Irreführung sogar noch erhöht.

Reichen die angebotenen Schulungen aus? 
Kurze Antwort: Kann man so nicht wirklich beurteilen.
Wie die Marktuntersuchung zeigte, gibt es im Bereich der Ausbildung oder Schulung Datenschutzbeauftragter viele Anbieter von Schulungen, Aus- und Fortbildungen sowie ausgestellten Zertifikaten. Das liegt offenkundig daran, dass das Berufsbild der Datenschutzbeauftragten staatlich nicht reglementiert ist. 
Seitens der Aufsichtsbehörden wird das jeweilige Fachwissen von Datenschutzbeauftragten nur im Einzelfall überprüft, z.B. im Rahmen eines Beschwerdeverfahrens oder bei einer Kontrolle. Die Prüfung erfolgt ebenfalls individuell und im Lichte des Umfangs und der Formen der jeweiligen Datenverarbeitungen beim Verantwortlichen oder Auftragsverarbeiter. 
Die Wirk- und Überzeugungskraft der meisten Zertifikate dürfte allerdings wohl sehr unterschiedlich sein. Zur Erfüllung der Rechenschaftspflicht des Art. 5 Abs. 2 DS-GVO wird dem Verantwortlichen empfohlen, fachspezifische Nachweise sowie beruflich/fachlich einschlägige Erfahrungen der oder des Datenschutzbeauftragten zu dokumentieren. 

Die Marktuntersuchung

Für den vorliegenden Bericht wurde eine Marktuntersuchung anhand im Internet beworbener Ausbildungsangebote durchgeführt. Die Marktübersicht erhebt keinen Anspruch auf Vollständigkeit. Die Angebote wurden zuletzt am 25.3.‌2022 überprüft. Informationen zu Preis und Dauer stammen aus den Werbematerialen der Anbieter. In die Preise wurden (ggf.) die von den Anbietern angegebenen zusätzlichen Kosten einer Prüfung und Erteilung eines Zertifikats eingerechnet. Bei den verschiedenen Anbietern ist der Lehrgang inklusive Prüfung. Bei Mitgliedschaften in bestimmten Berufs- und Interessenverbänden räumen einige Anbieter Rabatte auf die Lehrgangspreise ein. 
Die Bericht zeigt bereits bei kursorischer Betrachtung ein sehr heterogenes Bild: Die Kursdauer variiert zwischen 2 und 17 Tagen, wobei der Durschnitt 5 1/2 Kurstage ist. Die Preispanne liegt zwischen 600 EUR und 5.740 EUR, wobei der Durchschnitt um 2.100 EUR ist.

Hier kommt insbesondere die Frage auf, inwieweit innerhalb von nur 2 Tagen – aber auch innerhalb von 5 Tagen – auch nur annähernd das vermittelt werden kann, was in den oberen Abschnitten an erforderlichen Kenntnissen, Wissen, Erfahrung und weiteren Voraussetzungen als Grundlage für eine einigermaßen erfolgreiche Tätigkeit als DSB gefordert wurde.

Die Marktuntersuchung hat hinsichtlich der Inhalte und des durch die Lehrgänge vermittelten Fachwissens ein sehr uneinheitliches Bild ergeben. Dies zeigt sich unbeschadet dessen, dass hier zum Vergleich natürlich nur die Kursbeschreibungen und -überblicke der Anbieter iSv Werbematerialen zu Verfügung standen. Auch bei deren nur kursorischem Vergleich fallen Unterschiede hinsichtlich Praxisbezug, Dauer der Ausbildung, Qualifikation und Praxiserfahrung der Ausbilder, Transparenz der Prüfungsinhalte sowie Schwere und Dauer der Prüfungen auf. Eine Vergleichbarkeit der verschiedenen Angebote kann so nicht angenommen werden. Entsprechend diesem Missstand gibt es die Forderung, den Beruf des Datenschutzbeauftragten und dessen Ausbildung zu professionalisieren.

 

 

Quelle: Johannes/Preuß: Marktübersicht zu Schulungen Datenschutzbeauftragter, ZD-Aktuell 2022, 01115

 

Nicht überall, wo Datenschutz draufsteht, ist auch Qualifikation drin.
Archive

Schreiben Sie einen Kommentar