Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter zu benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Mitgezählt werden auch Teilzeitkräfte, Aushilfen und Personen, die lediglich Kundendaten in ein System eingeben.
Unabhängig von dieser Schwelle greift die Pflicht nach Art. 37 Abs. 1 DSGVO, wenn die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO besteht – etwa Gesundheitsdaten – oder in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen. Für Arztpraxen, Zahnarztpraxen und Pflegedienste gilt die Pflicht deshalb praktisch immer.
Der Preis richtet sich weniger nach der Mitarbeiterzahl als nach dem Datenschutzrisiko: Art der verarbeiteten Daten, Zahl der Verarbeitungstätigkeiten und Auftragsverarbeiter, Drittlandtransfers sowie der Stand Ihrer bisherigen Dokumentation.
Üblich ist eine monatliche Pauschale für die laufende Betreuung, bei fehlender Dokumentation ergänzt um ein einmaliges Aufbauprojekt. Wir nennen nach einem kurzen Erstgespräch einen konkreten Festpreis.
Ja. Art. 37 Abs. 6 DSGVO stellt beide Wege ausdrücklich gleich: Der Datenschutzbeauftragte kann Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen.
Für die externe Lösung sprechen drei Punkte: Es entsteht kein Abberufungs- und Kündigungsschutz nach § 6 Abs. 4 in Verbindung mit § 38 Abs. 2 BDSG. Interessenkonflikte werden vermieden – Geschäftsführung, IT- und Personalleitung dürfen die Rolle nach Art. 38 Abs. 6 DSGVO nicht ausüben. Und der Aufwand für die laufende Fachkunde nach Art. 37 Abs. 5 DSGVO liegt beim Dienstleister.
Nach Art. 35 DSGVO immer dann, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ausdrücklich genannt sind drei Fälle: die systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling, die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO und die systematische weiträumige Überwachung öffentlich zugänglicher Bereiche.
Ergänzend führen die Aufsichtsbehörden Listen von Verarbeitungen, für die eine DSFA zwingend ist. Eine unterlassene DSFA ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt.
Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde zu melden. Die Frist läuft ab Kenntnis des Vorfalls, nicht ab Klärung der Ursache.
Zuerst den Vorfall eingrenzen, nichts löschen, Logdateien sichern und den Zeitpunkt der Kenntnisnahme dokumentieren – diese Dokumentation verlangt Art. 33 Abs. 5 DSGVO auch dann, wenn am Ende nicht gemeldet werden muss. Besteht ein hohes Risiko, sind zusätzlich die Betroffenen selbst zu benachrichtigen (Art. 34 DSGVO).
Die DSGVO kennt zwei Stufen, jeweils gilt der höhere Betrag:
Bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 DSGVO – etwa bei fehlendem Datenschutzbeauftragten, fehlender Datenschutz-Folgenabschätzung oder fehlendem Auftragsverarbeitungsvertrag.
Bis 20 Millionen Euro oder 4 Prozent nach Art. 83 Abs. 5 DSGVO – etwa bei Verarbeitung ohne Rechtsgrundlage oder bei Missachtung von Betroffenenrechten.
Für nicht-öffentliche Stellen mit Sitz in Niedersachsen ist die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen) mit Sitz in Hannover zuständig.
Dort gehen Beschwerden Betroffener ein, dort werden Datenpannen nach Art. 33 DSGVO gemeldet, und von dort kommen Prüfungen und Auskunftsersuchen. Als bestellter Datenschutzbeauftragter sind wir nach Art. 39 Abs. 1 lit. e DSGVO Ihr Ansprechpartner gegenüber der Behörde.
