Vertrauliche Kommunikation mit dem Datenschutzbeauftragten: Rechtliche Grundlagen und praktische Umsetzung

Um dieser Rolle gerecht zu werden, sieht die DSGVO unter anderem vor, dass betroffene Personen sich vertraulich an den DSB wenden können. Der Begriff der betroffenen Person umfasst dabei sowohl Beschäftigte des Unternehmens als auch andere Personen außer- und innerhalb des Unternehmens, die von der Datenverarbeitung durch den Verantwortlichen betroffen sind. Diese Verpflichtung wirft in der Praxis rechtliche und organisatorische Fragen auf, insbesondere in Bezug auf die Einrichtung eines geschützten Kommunikationskanals.

Die rechtliche Grundlage für die Verpflichtung zur Vertraulichkeit ergibt sich aus Art. 38 Abs. 4 DSGVO. Dort heißt es wörtlich:
"Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen."
Zwar wird das Wort „vertraulich“ nicht explizit verwendet, doch aus Erwägungsgrund 97 DSGVO ergibt sich eindeutig, dass die Kontaktaufnahme mit dem DSB ohne Kontrolle oder Einflussnahme durch den Verantwortlichen möglich sein muss.

Darüber hinaus verlangt Art. 38 Abs. 6 DSGVO, dass der DSB in der Ausübung seiner Aufgaben keine Weisungen erhält. Daraus folgt logisch, dass auch die Kommunikationswege zum DSB von jeglicher Einflussnahme durch den Arbeitgeber freigehalten werden müssen – eine Forderung, die nur durch strikt vertrauliche Kommunikationskanäle erfüllt werden kann.

Außerdem ist zu berücksichtigen, dass der Datenschutzbeauftragte nach Art. 38 Abs. 5 DSGVO zur Geheimhaltung und zur Verschwiegenheit verpflichtet ist. Im Rahmen einer ordnungsgemäßen Einbindung des Datenschutzbeauftragten hat das Unternehmen die Einhaltung dieser Verpflichtung auch durch vertrauliche Kommunikationskanäle zu gewährleisten.

Für die Praxis stellt sich nun die Frage, wie diese gesetzliche Verpflichtung am besten umgesetzt werden kann. Insbesondere um auch Personen außerhalb der Organisation die Kontaktaufnahme zu ermöglichen, wird häufig eine spezielle E-Mail-Adresse. beispielsweise datenschutzbeauftragter@unternehmen.de eingerichtet und auf der Homepage des Unternehmens veröffentlicht. Diese Vorgehensweise, ist jedoch nur dann DSGVO-konform, wenn allein der Datenschutzbeauftragte Zugriff auf dieses Postfach hat und keine Zugriffsmöglichkeiten für andere Personen bestehen.

Um dies zu gewährleisten, sind insbesondere folgende Maßnahmen umzusetzen:

• Exklusiver Zugriff: Das eingerichtete E-Mail-Postfach darf ausschließlich vom DSB verwaltet werden.
• Keine Weiterleitung: E-Mails an den DSB dürfen nicht an andere Postfächer weitergeleitet werden.
• Technische Absicherung: Zugriffsbeschränkungen sind auf Serverebene konsequent umzusetzen und zu protokollieren.
• Organisatorische Absicherung: Es ist durch interne Richtlinien sicherzustellen, dass Dritte – insbesondere Vorgesetzte oder IT-Verantwortliche – keine Einsicht in die Kommunikation mit dem DSB erhalten.
• Transparente Kommunikation: Mitarbeitende und betroffene Personen müssen klar und verständlich über die vertraulichen Kommunikationswege informiert werden.

Neben der elektronischen Kommunikation erstreckt sich die Verpflichtung zur Wahrung der Vertraulichkeit auch auf alle anderen Kommunikationswege mit dem Datenschutzbeauftragten. Dies betrifft insbesondere den telefonischen Kontakt, den Schriftverkehr per Brief sowie persönliche Gespräche. In all diesen Fällen muss sichergestellt sein, dass die Kommunikation unbeobachtet und unbeeinflusst erfolgen kann.

Neben der vertraulichen Kommunikation mit dem Datenschutzbeauftragten gibt es auch datenschutzrelevante Anliegen, die nicht unter dessen besondere Vertraulichkeitsverpflichtung fallen, sondern in den allgemeinen Verantwortungsbereich des Unternehmens gehören. Hierzu zählen beispielsweise Anfragen von Geschäftspartnern zur Auftragsverarbeitung oder interne Rückfragen zur Umsetzung von Datenschutzmaßnahmen. Für solche Zwecke kann eine allgemeine E-Mail-Adresse wie datenschutz@unternehmen.de eingerichtet werden, auf die autorisierte Mitarbeitende – etwa aus der Rechts- oder Compliance-Abteilung – Zugriff haben.

Entscheidend ist hierbei jedoch, dass eine klare Trennung zwischen den Kontaktwegen besteht: Betroffene Personen müssen unmissverständlich erkennen können, welcher Kanal für allgemeine datenschutzbezogene Anliegen gedacht ist und welcher ausschließlich für vertrauliche Mitteilungen an den Datenschutzbeauftragten zur Verfügung steht. Eine eindeutige Kommunikation und Kennzeichnung dieser Kanäle sind unerlässlich, um rechtlichen Anforderungen zu genügen und Missverständnisse zu vermeiden.

Die Verpflichtung zur Einrichtung eines vertraulichen Kommunikationskanals mit dem Datenschutzbeauftragten ist kein optionales Element, sondern ein rechtlich zwingender Bestandteil der datenschutzrechtlichen Compliance. Unternehmen müssen durch technische und organisatorische Maßnahmen gewährleisten, dass ausschließlich der Datenschutzbeauftragte Zugriff auf eingerichtete Kommunikationskanäle hat.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.