Bestellung nach Art. 37 DSGVO
Externer Datenschutzbeauftragter für Osnabrück und Niedersachsen
Wir übernehmen die Funktion des Datenschutzbeauftragten für Ihr Unternehmen – ohne dass Sie internes Personal binden, aufbauen oder dauerhaft freistellen müssen.
Rechtsgrundlagen
Ab wann ist ein Datenschutzbeauftragter Pflicht?
Für deutsche Unternehmen greifen zwei Rechtsgrundlagen parallel. Es genügt, wenn eine davon erfüllt ist.
§ 38 Abs. 1 BDSG
Die 20-Personen-Schwelle
Sobald in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Teilzeitkräfte und Aushilfen zählen mit.
Art. 37 Abs. 1 DSGVO
Unabhängig von der Personenzahl
Wenn die Kerntätigkeit in umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO besteht – etwa Gesundheitsdaten – oder in systematischer Überwachung.
§ 38 Abs. 1 S. 2 BDSG
Bei DSFA-Pflicht
Außerdem, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder Daten geschäftsmäßig zur Übermittlung verarbeitet werden.
20
Personen
Die Schwelle wird oft unterschätzt
Mitgezählt wird jede Person, die regelmäßig personenbezogene Daten in ein System eingibt – auch Teilzeitkräfte, Aushilfen und Werkstudenten. Für Arztpraxen, Zahnarztpraxen und Pflegedienste greift die Pflicht ohnehin unabhängig von der Personenzahl.
Grundlage: § 38 Abs. 1 BDSG · Art. 37 Abs. 1 lit. c DSGVO
Leistungsumfang
Was wir konkret übernehmen
Von der formalen Bestellung bis zur Kommunikation mit der Aufsichtsbehörde.
Verarbeitungsverzeichnis
Aufbau und Pflege des Verzeichnisses nach Art. 30 DSGVO – die Unterlage, die im Prüffall zuerst verlangt wird.
Auftragsverarbeitung
Prüfung und Erstellung der Verträge nach Art. 28 DSGVO für jeden externen Dienstleister.
Folgenabschätzung
Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO inklusive Risikobewertung und Dokumentation.
Mitarbeiterschulungen
Sensibilisierung nach Art. 39 Abs. 1 lit. b DSGVO – vor Ort oder online, mit Teilnahmenachweis.
Betroffenenanfragen
Bearbeitung von Auskunfts- und Löschersuchen nach Art. 15 bis 22 DSGVO innerhalb der Fristen.
Behördenkontakt
Ansprechpartner für die LfD Niedersachsen nach Art. 39 Abs. 1 lit. e DSGVO.
Ablauf
So läuft die Zusammenarbeit
1
Erstgespräch
Wir klären, ob und auf welcher Grundlage bei Ihnen eine Bestellpflicht besteht.
2
Bestandsaufnahme
Erfassung der Verarbeitungstätigkeiten, Systeme und Dienstleister.
3
Bestellung
Formale Benennung und Meldung an die Aufsichtsbehörde.
4
Umsetzung
Priorisierte Abarbeitung der Lücken – zuerst das Prüfungsrelevante.
5
Betrieb
Fester Ansprechpartner, regelmäßige Prüfungen, jährlicher Bericht.
Häufige Fragen
Die wichtigsten Fragen und Antworten
Ja. Art. 37 Abs. 6 DSGVO stellt beide Wege ausdrücklich gleich: Der Datenschutzbeauftragte kann Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen. Für die externe Lösung spricht, dass kein Abberufungs- und Kündigungsschutz nach § 6 Abs. 4 in Verbindung mit § 38 Abs. 2 BDSG entsteht.
Die unterlassene Benennung ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt – mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Nach Art. 38 Abs. 6 DSGVO darf die Rolle nicht ausüben, wer über Zwecke und Mittel der Verarbeitung mitentscheidet. Das schließt Geschäftsführung, IT-Leitung und Personalleitung faktisch aus.
Für nicht-öffentliche Stellen mit Sitz in Niedersachsen ist die Landesbeauftragte für den Datenschutz Niedersachsen mit Sitz in Hannover zuständig.
Klären wir in 20 Minuten, ob Sie verpflichtet sind
Ein kurzes Gespräch genügt, um Ihre Ausgangslage einzuordnen. Danach erhalten Sie einen konkreten Festpreis.