FRAGE:
Das Unternehmen, in dem ich Datenschutzbeauftragter bin, ist auch Auftragsverarbeiter. Im Fall einer neuen Beauftragung findet sich im Vertrag eine Klausel, dass bei Beendigung des Vertrags die Daten gelöscht werden müssen. Dass datenschutzkonform gelöscht wurde, soll ich als Datenschutzbeauftragter bestätigen. Bin ich hier nicht der falsche Adressat?
ANTWORT:
Sie liegen hier vollkommen richtig. Sie sind als Datenschutzbeauftragter tatsächlich der falsche Adressat. Generell treffen die Anforderungen aus der Datenschutz-Grundverordnung den Verantwortlichen bzw. den Auftragsverarbeiter. Insofern haben Sie als Datenschutzbeauftragter auch keine Umsetzungsverantwortung. Vielmehr würde es ggf. zu einem Interessenkonflikt führen, wenn Sie etwa Teile der Verantwortung des Verantwortlichen übernehmen würden. Das wäre auch der Fall, wenn Sie etwas bestätigen sollen, was in der Umsetzungsverantwortung anderer im Unternehmen liegt.
Die Formulierung im Vertrag sollten Sie so nicht stehen lassen. Machen Sie deutlich, dass Sie lediglich eine Beratungs- und Kontrollfunktion haben. Etwa die Umsetzung einer ordnungsgemäßen Löschung und eine diesbezügliche Bestätigung ist Sache des Unternehmens bzw. beispielsweise des IT-Leiters.
Sie möchten eine Arbeitshilfe herunterladen, aber haben noch keinen Zugang?
Testen Sie jetzt ‘Datenschutz aktuell professional’ und erhalten Sie Zugriff auf eine Vielzahl hilfreicher Mustervorlagen, Checklisten und Schritt-für-Schritt-Anleitungen, die Ihren Alltag optimieren!