Ein Datenschutzbeauftragter ist Pflicht, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das steht in § 38 Abs. 1 BDSG. Unabhängig von dieser Zahl gibt es zwei weitere Auslöser, die auch sehr kleine Betriebe treffen können. Und die Zählweise ist eine andere, als die meisten annehmen.
Die 20 ist keine Mitarbeiterzahl
Der häufigste Irrtum: Man zählt die Belegschaft. Das Gesetz zählt etwas anderes. Erfasst sind Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daraus folgen drei praktische Regeln.
Es geht um Personen, nicht um Stellen
Vier Teilzeitkräfte mit je zehn Stunden sind vier Personen, nicht eine Stelle. Auch Aushilfen, Werkstudenten und Leiharbeitnehmer zählen mit, wenn sie regelmäßig mit personenbezogenen Daten arbeiten. Wer nur gelegentlich einspringt, zählt nicht.
Automatisiert heißt praktisch: am Rechner
Die Pflege von Kundendaten im Warenwirtschaftssystem, das Schreiben von Angeboten mit Namen und Anschrift, die Bearbeitung von Bewerbungen im Postfach, die Zeiterfassung: alles automatisierte Verarbeitung. Wer ausschließlich in der Werkstatt steht und nie an ein System geht, zählt nicht mit.
In der Regel heißt: der Normalzustand
Maßgeblich ist der übliche Betrieb über das Jahr, nicht ein Stichtag. Ein Saisonbetrieb, der sechs Wochen im Jahr die Schwelle überschreitet, ist deshalb nicht automatisch pflichtig. Ein Betrieb, der sie zehn Monate überschreitet, ist es.
Die zwei Auslöser ohne Kopfzahl
Hier wird es für kleine Unternehmen relevant. § 38 Abs. 1 Satz 2 BDSG ordnet die Benennung unabhängig von jeder Personenzahl an, wenn eine der folgenden Lagen vorliegt.
Verarbeitungen mit Folgenabschätzung
Unterliegt eine Verarbeitung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, ist ein Datenschutzbeauftragter zu benennen. Typische Fälle sind umfangreiche Videoüberwachung öffentlich zugänglicher Bereiche, systematische Auswertung des Verhaltens von Beschäftigten oder die Verarbeitung von Gesundheitsdaten in größerem Umfang.
Geschäftsmäßige Übermittlung und Marktforschung
Wer personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet, ist ebenfalls pflichtig. Das trifft Adresshändler, Auskunfteien und Marktforschungsinstitute, aber auch manches Dienstleistungsmodell, das sich selbst nicht so nennt.
Und die europäische Ebene
Unabhängig vom deutschen Recht verlangt Art. 37 Abs. 1 DSGVO die Benennung in drei Fällen: bei Behörden und öffentlichen Stellen, bei Kerntätigkeiten, die eine umfangreiche regelmäßige und systematische Überwachung von Betroffenen erfordern, und bei umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen.
Besondere Kategorien sind unter anderem Gesundheitsdaten, biometrische Daten und Angaben zur Gewerkschaftszugehörigkeit. Für eine Arztpraxis oder einen Pflegedienst ist das der entscheidende Punkt, nicht die Personenzahl.
Intern oder extern
Das Gesetz lässt beides zu. Art. 37 Abs. 6 DSGVO stellt ausdrücklich klar, dass der Datenschutzbeauftragte Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen kann. In der Praxis sprechen bei kleineren Betrieben drei Dinge für die externe Lösung: der laufend erforderliche Fachkundestand, die fehlende Interessenkollision und der Umstand, dass beim internen Beauftragten ein besonderer Abberufungsschutz nach § 6 Abs. 4 BDSG entsteht.
Wer intern benennt, darf niemanden auswählen, der sich selbst kontrollieren müsste. Geschäftsführung, IT-Leitung und Personalleitung scheiden deshalb regelmäßig aus.
Was Sie jetzt konkret tun sollten
Zählen Sie einmal sauber durch, wer in Ihrem Betrieb ständig mit personenbezogenen Daten am System arbeitet, und halten Sie das Ergebnis schriftlich fest. Prüfen Sie danach die beiden Auslöser ohne Kopfzahl. Liegt Benennungspflicht vor, benennen Sie, veröffentlichen Sie die Kontaktdaten und melden Sie sie der Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO.
Liegt keine Pflicht vor, heißt das nicht, dass keine Arbeit anfällt. Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Informationspflichten und Betroffenenrechte gelten unabhängig davon. Was ein externer Beauftragter davon übernimmt, steht auf der Seite externer Datenschutzbeauftragter.
Wenn Sie unsicher sind, ob Sie über der Schwelle liegen: Kontakt aufnehmen oder anrufen unter 05406 500 4210. Wir klären das in einem kurzen Gespräch.
Häufige Fragen zur Benennungspflicht
Ab wie vielen Mitarbeitern braucht man einen Datenschutzbeauftragten?
Ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt wird nicht die Gesamtbelegschaft, sondern wer regelmäßig mit personenbezogenen Daten am Rechner arbeitet.
Zählen Teilzeitkräfte und Aushilfen mit?
Ja. § 38 Abs. 1 BDSG stellt auf Personen ab, nicht auf Vollzeitstellen. Wer ständig mit automatisierter Verarbeitung befasst ist, zählt mit, unabhängig vom Stundenumfang.
Braucht ein Betrieb mit fünf Beschäftigten nie einen Datenschutzbeauftragten?
Doch, das ist möglich. Unabhängig von der Personenzahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder wenn Daten geschäftsmäßig zum Zweck der Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.
Muss der Datenschutzbeauftragte gemeldet werden?
Ja. Art. 37 Abs. 7 DSGVO verlangt, die Kontaktdaten zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen. In Niedersachsen ist das die Landesbeauftragte für den Datenschutz.
Was passiert, wenn niemand benannt wird, obwohl Pflicht besteht?
Die unterlassene Benennung ist ein eigenständiger Verstoß und nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt. In der Praxis fällt sie meist bei einer Prüfung oder nach einer Beschwerde auf.
