Datenschutzbeauftragter: Wann Ihr Unternehmen einen braucht – intern oder extern?

Viele Unternehmerinnen und Unternehmer stoßen erst durch einen Brief der Aufsichtsbehörde, eine Kundenanfrage oder eine Abmahnung auf die Frage: Brauchen wir eigentlich einen Datenschutzbeauftragten? Die Antwort hängt nicht nur von der Größe des Unternehmens ab, sondern auch davon, welche Daten Sie verarbeiten.

Ab wann ist ein Datenschutzbeauftragter Pflicht?

In Deutschland gilt für Unternehmen vor allem diese Regel: Sie müssen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).

Wichtig dabei:

• Gezählt werden Köpfe, nicht Vollzeitstellen – auch Teilzeitkräfte, Auszubildende und freie Mitarbeitende zählen mit, wenn sie regelmäßig mit Daten arbeiten.
• „Automatisierte Verarbeitung“ heißt im Alltag: Wer am PC, Laptop oder Smartphone mit Kundendaten, E-Mails oder Personaldaten arbeitet, zählt dazu.

Wann gilt die Pflicht schon bei weniger Mitarbeitenden?

Unabhängig von der Zahl der Beschäftigten brauchen Sie einen Datenschutzbeauftragten zum Beispiel, wenn

• Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonders sensibler Daten besteht, etwa Gesundheitsdaten (Art. 37 Abs. 1 DSGVO),
• Ihre Kerntätigkeit eine umfangreiche, regelmäßige Überwachung von Personen erfordert, etwa durch Ortung oder Tracking,
• Sie Verarbeitungen durchführen, für die eine Datenschutz-Folgenabschätzung nötig ist, oder Daten geschäftsmäßig zum Zweck der Übermittlung oder für Markt- und Meinungsforschung verarbeiten (§ 38 Abs. 1 BDSG).

Ob einer dieser Fälle vorliegt, ist oft nicht eindeutig. Eine kurze Prüfung schafft Sicherheit.

Wer darf Datenschutzbeauftragter sein?

Der Datenschutzbeauftragte braucht Fachwissen im Datenschutzrecht und in der Praxis (Art. 37 Abs. 5 DSGVO). Außerdem darf es keinen Interessenkonflikt geben. Deshalb sind in der Regel ungeeignet:

• Geschäftsführung und Inhaber,
• IT-Leitung, Personalleitung oder Marketingleitung – also Personen, die selbst über die Datenverarbeitung entscheiden.

Den Datenschutzbeauftragten müssen Sie der zuständigen Aufsichtsbehörde mitteilen und seine Kontaktdaten veröffentlichen, etwa in der Datenschutzerklärung (Art. 37 Abs. 7 DSGVO).

Intern oder extern?

Interner Datenschutzbeauftragter: Eine Mitarbeiterin oder ein Mitarbeiter übernimmt die Aufgabe zusätzlich. Dafür braucht die Person Zeit und regelmäßige Fortbildungen – und sie genießt einen besonderen Kündigungsschutz, der auch nach dem Ende der Tätigkeit noch ein Jahr fortwirkt (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG).

Externer Datenschutzbeauftragter: Eine Fachperson von außen übernimmt die Aufgabe auf Grundlage eines Vertrags. Die Vorteile:

• Fachwissen ist sofort vorhanden, Fortbildungen kosten Sie nichts.
• Kein besonderer Kündigungsschutz, der Vertrag ist kündbar.
• Keine Interessenkonflikte im eigenen Team.
• Meist eine planbare monatliche Pauschale.

Was macht ein Datenschutzbeauftragter?

Er berät die Geschäftsführung und die Beschäftigten, überwacht die Einhaltung der DSGVO, schult Mitarbeitende, begleitet Datenschutz-Folgenabschätzungen und ist Ansprechpartner für die Aufsichtsbehörde und für Betroffene (Art. 39 DSGVO). Die Verantwortung für den Datenschutz bleibt aber beim Unternehmen.

Und wenn wir keinen brauchen?

Auch dann gilt die DSGVO vollständig. Sie brauchen trotzdem unter anderem ein Verzeichnis der Verarbeitungstätigkeiten, eine korrekte Datenschutzerklärung, Verträge zur Auftragsverarbeitung mit Dienstleistern und einen Plan für Auskunftsanfragen und Datenpannen. Verstöße können zu Bußgeldern und Abmahnungen führen.

So gehen Sie vor

1. Zählen: Wie viele Personen arbeiten regelmäßig mit personenbezogenen Daten am Computer?
2. Daten prüfen: Verarbeiten Sie Gesundheitsdaten, überwachen Sie Personen oder ist Datenverarbeitung Ihr Geschäftsmodell?
3. Entscheiden: intern oder extern – Aufwand, Fachwissen und Kosten vergleichen.
4. Benennen und melden: Datenschutzbeauftragten schriftlich benennen, der Aufsichtsbehörde mitteilen und die Kontaktdaten veröffentlichen.
5. Grundlagen schaffen: Verarbeitungsverzeichnis, Datenschutzerklärung, Verträge und Abläufe für Datenpannen.

Dieser Artikel enthält allgemeine Informationen zur Rechtslage und ersetzt keine Rechtsberatung im Einzelfall. Für eine verbindliche Einschätzung Ihrer Situation sprechen Sie uns gern an.