Datenschutzbeauftragter: ab wann ist er Pflicht?

Ab wann ist ein Datenschutzbeauftragter Pflicht?

Die DSGVO verlangt einen Datenschutzbeauftragten in drei Fällen (Art. 37 Abs. 1): bei Behörden und öffentlichen Stellen, wenn Ihre Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordert, und wenn sie in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über Straftaten besteht.

Weitere Fälle dürfen die Mitgliedstaaten vorschreiben (Art. 37 Abs. 4). Deutschland tut das in § 38 Abs. 1 BDSG mit zwei Regeln.

Erstens benennen Sie einen Datenschutzbeauftragten, soweit Sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Zweitens brauchen Sie unabhängig von dieser Zahl einen, wenn Sie Verarbeitungen vornehmen, die einer Datenschutzfolgenabschätzung unterliegen, oder Daten geschäftsmäßig zur Übermittlung, auch anonymisiert, oder für Zwecke der Marktforschung oder Meinungsforschung verarbeiten.

Art. 37 Abs. 1 und 4 DSGVO · § 38 Abs. 1 BDSG

Wie zählen Sie die 20 Personen?

Der Wortlaut zählt Personen, nicht Vollzeitstellen, und nur die, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die ganze Belegschaft zählt also nicht automatisch.

Nach unserer Lesart zählt, wer regelmäßig am Rechner mit solchen Daten arbeitet, etwa mit Kundendaten im Warenwirtschaftsprogramm, mit Lohndaten oder mit E-Mails von Kunden. Wer nur gelegentlich eine solche Liste öffnet, ist nicht ständig damit beschäftigt.

Ein Beispiel: Die Hofmann Elektrotechnik GmbH (ausgedacht) hat 85 Beschäftigte, davon 60 Monteure und 25 im Büro. Die 25 arbeiten jeden Tag mit Angeboten, Rechnungen, Lohndaten und Kundenmails. Damit sind es mindestens 20, und Hofmann muss einen Datenschutzbeauftragten benennen.

Ob auch die Monteure zählen, die auf dem Tablet Auftragsberichte mit Kundennamen schreiben, muss Hofmann dafür nicht mehr klären. Bei 15 Leuten im Büro käme es genau darauf an; dann lohnt eine Rückfrage bei der Datenschutzaufsicht des Landes.

§ 38 Abs. 1 Satz 1 BDSG

Eigener Mitarbeiter oder externer Dienstleister?

Beides ist erlaubt: Der Datenschutzbeauftragte kann Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6). Eine Unternehmensgruppe kann einen gemeinsamen benennen, wenn er von jeder Niederlassung aus leicht erreichbar ist (Abs. 2).

Benannt wird nach Fachwissen im Datenschutzrecht und in der Praxis und nach der Fähigkeit, die Aufgaben aus Art. 39 zu erfüllen (Abs. 5). Er bekommt keine Anweisungen zu diesen Aufgaben, darf deswegen nicht abberufen oder benachteiligt werden und berichtet direkt der höchsten Managementebene, in einer GmbH also der Geschäftsführung (Art. 38 Abs. 3).

Ein interner Datenschutzbeauftragter, den Sie benennen müssen, hat in Deutschland besonderen Schutz (§ 38 Abs. 2 mit § 6 Abs. 4 BDSG). Abberufen werden kann er nur entsprechend § 626 BGB, gekündigt nur aus wichtigem Grund, auch noch ein Jahr nach Ende seiner Tätigkeit. Bei einem externen regeln Sie Laufzeit und Kündigung im Dienstleistungsvertrag.

Art. 37 Abs. 2, 5 und 6 · Art. 38 Abs. 3 DSGVO · § 38 Abs. 2 und § 6 Abs. 4 BDSG

Was der Datenschutzbeauftragte tut, und was beim Unternehmen bleibt

Seine Aufgaben stehen in Art. 39 Abs. 1. Er unterrichtet und berät Geschäftsführung und Beschäftigte, überwacht die Einhaltung der DSGVO und Ihrer eigenen Datenschutzregeln samt Schulungen, berät auf Anfrage zur DSFA und ist Anlaufstelle für die Aufsichtsbehörde.

Ihr Unternehmen bindet ihn frühzeitig in alle Fragen zum Schutz personenbezogener Daten ein und gibt ihm die nötigen Mittel und Zugang zu den Daten (Art. 38 Abs. 1 und 2). Betroffene können sich direkt an ihn wenden (Abs. 4).

Verantwortlich bleibt Ihr Unternehmen: Es muss die Grundsätze der DSGVO einhalten und das nachweisen können (Art. 5 Abs. 2, Art. 24 Abs. 1). Der Datenschutzbeauftragte berät und kontrolliert; entscheiden muss die Geschäftsführung.

Art. 38 und 39 DSGVO

Häufige Fehler

Den Leiter der IT oder der Personalabteilung benennen. Andere Aufgaben sind erlaubt, solange sie zu keinem Interessenkonflikt führen (Art. 38 Abs. 6). Die europäischen Leitlinien WP 243 zählen solche leitenden Positionen als Faustregel zu den Konfliktfällen, weil sie über Zwecke und Mittel der Verarbeitung entscheiden.

Die zweite Regel übersehen. Eine Verarbeitung mit DSFA Pflicht, etwa die Ortung von Beschäftigten im Außendienst, macht einen Datenschutzbeauftragten auch unter 20 Personen nötig (§ 38 Abs. 1 Satz 2 BDSG).

Benennen und vergessen. Ihr Unternehmen veröffentlicht seine Kontaktdaten und teilt sie der Aufsichtsbehörde mit (Art. 37 Abs. 7); in Deutschland ist das für Unternehmen die Behörde ihres Landes (§ 40 BDSG).

Art. 37 Abs. 7 · Art. 38 Abs. 6 DSGVO · § 38 Abs. 1 Satz 2 und § 40 BDSG

Mit einem KI Assistenten

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann aus Ihrem Organigramm zählen, wer für die 20 Personen in Frage kommt, und die Zweifelsfälle auflisten. Er kann die Benennung, eine Aufgabenbeschreibung nach Art. 39 und den Absatz für Ihre Datenschutzhinweise entwerfen.

Ob Sie benennen und wen, entscheidet Ihr Unternehmen, und die Aufgaben selbst weist die DSGVO dem Datenschutzbeauftragten zu. Für das Zählen braucht der Assistent Rollen, keine Namen; was Sie ihm zeigen, verarbeitet sein Anbieter mit.

Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.