Tätigkeitsbericht als Steuerungsinstrument für Datenschutzbeauftragte

Die französische Datenschutzbehörde CNIL jüngst eine Empfehlung samt Mustervorlage für den Tätigkeitsbericht des Datenschutzbeauftragten veröffentlicht. Die Empfehlungen decken sich weitgehend mit der deutschen Praxis – mit einer bemerkenswerten Ausnahme.

Obwohl weder DS-GVO noch BDSG einen Tätigkeitsbericht für betriebliche Datenschutzbeauftragte vorschreiben, empfiehlt die CNIL diesen als zentrale Best Practice. Das entspricht der gelebten Praxis auch im deutschen Raum: Die in Art. 38 Abs. 3 DS-GVO verankerte Pflicht, unmittelbar an die höchste Managementebene zu berichten, bildet die natürliche Grundlage für einen strukturierten Jahresbericht. Auch das DSK-Kurzpapier Nr. 12 unterstreicht, dass der DSB den Stand des Datenschutzniveaus analysiert und der Geschäftsleitung Verbesserungsvorschläge sowie Defizithinweise gegenüber kommuniziert.

Inhaltlich empfiehlt die CNIL, den Bericht als strategisches Steuerungsinstrument zu nutzen: Er soll Verarbeitungstätigkeiten und Projekte diagnostizieren, rechtliche, finanzielle und reputationsbezogene Risiken bewerten sowie Maßnahmen zur Compliance dokumentieren – ergänzt durch Kennzahlen wie Betroffenenanfragen, Datenpannen oder erstellte Dokumentenvorlagen. Das entspricht dem deutschen Verständnis des Tätigkeitsberichts als Risiko- und Steuerungsdokument an die Geschäftsführung.

Einen Unterschied gibt es allerdings: Die CNIL empfiehlt, Berichtsinhalte auch an Mitarbeitende und Arbeitnehmervertretungen weiterzugeben. Die CNIL sieht den Tätigkeitsbericht nicht nur als Managementinstrument, sondern auch als Mittel zur Sensibilisierung der Beschäftigten.

Ein Bericht könne:

• die Sichtbarkeit des Datenschutzbeauftragten erhöhen,
• laufende Datenschutzaktivitäten sichtbar machen,
• den Handlungsbedarf verdeutlichen.

Hierfür empfiehlt die CNIL, wesentliche Erkenntnisse aus dem Managementbericht in geeigneter Form mit Mitarbeitenden und Arbeitnehmervertretungen zu teilen.

Im deutschen Kontext dürfte in diesem Punkt zumindest Zurückhaltung geboten sein. Da der Tätigkeitsbericht typischerweise sensible Risikoeinschätzungen enthält, sollte eine Weitergabe an den Betriebsrat oder die Belegschaft stets in Abstimmung mit der Geschäftsführung erfolgen – andernfalls kann das Vertrauensverhältnis zwischen DSB und Leitung belastet werden.

Hinsichtlich Form und Rhythmus besteht Gestaltungsfreiheit: Der Bericht kann quartalsweise, halbjährlich oder jährlich erstellt werden. Die Mustervorlage der CNIL bietet auch für deutsche DSB eine praxistaugliche Orientierungshilfe.

(Foto: magele-picture – stock.adobe.com)