Ab wann benötigt man einen Datenschutzbeauftragten nach DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) hat die Anforderungen an den Datenschutz in Unternehmen erheblich verschärft. Eine der zentralen Fragen, die sich Unternehmer stellen, ist: Wann muss ich einen Datenschutzbeauftragten bestellen? Diese Entscheidung hat weitreichende Konsequenzen für die Organisation des Datenschutzes und kann bei falscher Einschätzung zu erheblichen Bußgeldern führen.

Die Bestellpflicht für Datenschutzbeauftragte ist nicht nur eine formale Anforderung, sondern ein wichtiger Baustein für die praktische Umsetzung des Datenschutzes im Unternehmen. Ein zertifizierter Datenschutzbeauftragter kann dabei helfen, Datenschutzverletzungen zu vermeiden und die Compliance-Anforderungen zu erfüllen.

Gesetzliche Grundlagen der Bestellpflicht

DSGVO-Vorgaben

Die Bestellpflicht für Datenschutzbeauftragte ergibt sich aus Artikel 37 der DSGVO. Demnach müssen Unternehmen einen Datenschutzbeauftragten benennen, wenn bestimmte Voraussetzungen erfüllt sind. Die DSGVO unterscheidet zwischen verschiedenen Fallkonstellationen, die eine Bestellpflicht auslösen können.

Nationale Umsetzung im BDSG

Das deutsche Bundesdatenschutzgesetz (BDSG) konkretisiert die europäischen Vorgaben und legt in § 38 BDSG fest, wann deutsche Unternehmen einen Datenschutzbeauftragten bestellen müssen. Diese nationalen Regelungen gehen deutlich über die Mindestanforderungen der DSGVO hinaus.

Wann ist ein Datenschutzbeauftragter zu bestellen?

Schwellenwerte nach deutschem Recht

Nach § 38 BDSG müssen Unternehmen einen Datenschutzbeauftragten bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder wenn besondere Kategorien personenbezogener Daten verarbeitet werden, oder bei bestimmten Arten der Datenverarbeitung (z.B. geschäftsmäßige Übermittlung, Markt- oder Meinungsforschung). Diese Schwelle wurde vom ursprünglich geplanten Wert von zehn Personen auf 20 Personen angehoben.

Entscheidend ist dabei nicht die Gesamtzahl der Beschäftigten, sondern nur derjenigen, die ständig mit der Verarbeitung personenbezogener Daten befasst sind. Hierbei werden sowohl Vollzeit- als auch Teilzeitbeschäftigte mitgezählt, sofern sie regelmäßig mit personenbezogenen Daten arbeiten.

Besondere Verarbeitungsarten

Unabhängig von der Anzahl der Beschäftigten besteht eine Bestellpflicht, wenn das Unternehmen: 

• Verarbeitungen durchführt, die einer Datenschutz-Folgenabschätzung unterliegen 
• Geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet

Diese Regelung erfasst insbesondere Unternehmen, die mit sensiblen Daten arbeiten oder deren Geschäftsmodell auf der Verarbeitung personenbezogener Daten basiert.

Praktische Beurteilung der Bestellpflicht

Was bedeutet „ständig beschäftigt“?

Der Begriff „ständig beschäftigt“ wird in der Praxis unterschiedlich interpretiert. Entscheidend ist, dass die Verarbeitung personenbezogener Daten zu den regelmäßigen Aufgaben der Beschäftigten gehört. Dabei ist es unerheblich, ob die Datenverarbeitung die Haupttätigkeit darstellt oder nur einen Teil der Arbeitszeit umfasst.

Beispiele für ständig beschäftigte Personen sind: 

• Mitarbeiter in der Personalabteilung 
• Beschäftigte im Kundenservice 
• Mitarbeiter in der Buchhaltung 
• IT-Administratoren 
• Vertriebsmitarbeiter mit Kundenkontakt

Automatisierte Verarbeitung

Die Bestellpflicht bezieht sich ausschließlich auf die automatisierte Verarbeitung personenbezogener Daten. Reine Papierakten lösen keine Bestellpflicht aus, auch wenn sie personenbezogene Daten enthalten. In der heutigen Geschäftswelt ist jedoch fast jede Datenverarbeitung zumindest teilweise automatisiert.

Besonderheiten bei verschiedenen Unternehmenstypen

Kleine und mittlere Unternehmen

Für kleine und mittlere Unternehmen stellt sich oft die Frage, ob sie die Schwellenwerte erreichen. Dabei ist zu beachten, dass auch Auszubildende oder Freelancer, die regelmäßig mit personenbezogenen Daten des Unternehmens arbeiten, unter Umständen mitzuzählen sind.

Konzernstrukturen

In Konzernen kann die Bestellpflicht sowohl auf Ebene der einzelnen Gesellschaften als auch auf Konzernebene entstehen. Nach der nationalen Umsetzung der DSGVO im BDSG kann ein Konzern-Datenschutzbeauftragter für alle Konzernunternehmen bestellt werden, sofern dieser für alle Konzernunternehmen zugänglich ist und die erforderliche Fachkunde besitzt.

Öffentliche Stellen

Für öffentliche Stellen gelten besondere Regelungen. Behörden müssen grundsätzlich immer einen Datenschutzbeauftragten bestellen, unabhängig von der Anzahl der Beschäftigten oder der Art der Datenverarbeitung.

Folgen bei Nichtbestellung

Bußgeldrisiken

Die Nichtbestellung eines Datenschutzbeauftragten trotz Bestellpflicht kann zu erheblichen Bußgeldern führen. Die Aufsichtsbehörden können Bußgelder bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes der Unternehmensgruppe des vorhergehenden Geschäftsjahres verhängen.

Praktische Konsequenzen

Neben den Bußgeldrisiken kann die fehlende Bestellung eines Datenschutzbeauftragten auch praktische Nachteile haben. Ohne fachkundige Beratung steigt das Risiko von Datenschutzverletzungen und damit verbundenen Schadenersatzansprüchen.

Interner oder externer Datenschutzbeauftragter?

Vorteile interner Lösungen

Ein interner Datenschutzbeauftragter kennt die Unternehmensstrukturen und -prozesse genau. Er ist jederzeit verfügbar und kann schnell auf Änderungen reagieren. Allerdings müssen interne Datenschutzbeauftragte über die erforderliche Fachkunde verfügen und regelmäßig fortgebildet werden.

Vorteile externer Datenschutzbeauftragter

Ein externer Datenschutzbeauftragter bringt spezialisierte Fachkenntnisse mit und ist bereits entsprechend qualifiziert. Diese Lösung ist oft kostengünstiger als die interne Besetzung der Position und ermöglicht es, auf umfangreiche Erfahrungen aus verschiedenen Branchen zurückzugreifen. Als TÜV-zertifizierter Datenschutzbeauftragter verfügt Rechtsanwalt Giel über die notwendige Expertise und kann Unternehmen bei der Erfüllung ihrer Datenschutzpflichten kompetent unterstützen.

Qualifikationsanforderungen

Fachkunde

Der Datenschutzbeauftragte muss über die erforderliche Fachkunde verfügen. Diese umfasst sowohl rechtliche Kenntnisse als auch technisches Verständnis für Datenverarbeitungsprozesse.

Zuverlässigkeit

Neben der Fachkunde muss der Datenschutzbeauftragte auch zuverlässig sein. Bei internen Datenschutzbeauftragten sind Interessenkonflikte zu vermeiden.

Fortbildung

Die Datenschutzgesetze und -praxis entwickeln sich kontinuierlich weiter. Datenschutzbeauftragte müssen sich daher regelmäßig fortbilden, um ihre Fachkunde auf dem aktuellen Stand zu halten.

Ein Geschäftsführer als Datenschutzbeauftragter?

Ein Geschäftsführer kann unter keinen Umständen Datenschutzbeauftragter sein. Hier liegt eine Interessenkollision vor, die nicht umgangen werden kann.

Aktuelle Entwicklungen und Trends

Verschärfung der Kontrollen

Die Aufsichtsbehörden kontrollieren verstärkt, ob Unternehmen ihrer Bestellpflicht nachkommen. Dabei werden nicht nur Bußgelder verhängt, sondern auch Nachbesserungen gefordert.

Digitalisierung und neue Risiken

Die fortschreitende Digitalisierung führt zu neuen Datenschutzrisiken. Unternehmen, die bisher keine Bestellpflicht hatten, können durch neue Geschäftsmodelle oder Technologien plötzlich betroffen sein. Hier zeigt sich der Wert einer fundierten Beratung durch einen erfahrenen IT-Rechtsanwalt und Datenschutzbeauftragten wie Rechtsanwalt Giel, der sowohl die rechtlichen als auch die technischen Aspekte der digitalen Transformation versteht.

Homeoffice und mobile Arbeit

Die Zunahme von Homeoffice und mobiler Arbeit stellt neue Herausforderungen an den Datenschutz. Datenschutzbeauftragte müssen diese Entwicklungen im Blick behalten und entsprechende Maßnahmen entwickeln.

Checkliste: Brauche ich einen Datenschutzbeauftragten?

• Zählen Sie alle Mitarbeiter, die regelmäßig mit personenbezogenen Daten arbeiten 
• Prüfen Sie, ob die Schwelle von 20 Personen erreicht wird 
• Berücksichtigen Sie auch Auszubildende und Freelancer 
• Prüfen Sie, ob besondere Kategorien personenbezogener Daten verarbeitet werden 
• Bewerten Sie, ob Ihre Datenverarbeitung einer Datenschutz-Folgenabschätzung unterliegt 
• Prüfen Sie, ob Ihr Geschäftsmodell auf der Verarbeitung personenbezogener Daten basiert 
• Dokumentieren Sie Ihre Entscheidung und deren Begründung 
• Überprüfen Sie regelmäßig, ob sich die Voraussetzungen geändert haben

Handlungsempfehlungen für Unternehmen

Unternehmen sollten die Bestellpflicht nicht auf die leichte Schulter nehmen. Eine sorgfältige Analyse der eigenen Datenverarbeitungsaktivitäten ist der erste Schritt. Dabei sollten alle Abteilungen und Geschäftsprozesse betrachtet werden.

Falls eine Bestellpflicht besteht, sollte diese zeitnah erfüllt werden. Die Suche nach einem geeigneten Datenschutzbeauftragten kann Zeit in Anspruch nehmen, insbesondere wenn spezielle Branchenkenntnisse erforderlich sind.

Bei der Auswahl zwischen internem und externem Datenschutzbeauftragten sollten die Vor- und Nachteile sorgfältig abgewogen werden. Externe Datenschutzbeauftragte können oft kostengünstiger sein und bringen bereits die erforderliche Expertise mit.

Fazit

Die Bestellpflicht für Datenschutzbeauftragte ist ein komplexes Thema, das eine sorgfältige rechtliche Bewertung erfordert. Unternehmen, die unsicher sind, ob sie einen Datenschutzbeauftragten bestellen müssen, sollten sich rechtzeitig beraten lassen. Die Kosten für eine Beratung sind meist deutlich geringer als die möglichen Bußgelder bei einer Pflichtverletzung.

Als erfahrener Fachanwalt für Informationstechnologierecht und TÜV-zertifizierter Datenschutzbeauftragter steht Rechtsanwalt Giel Unternehmen als kompetenter Partner zur Seite und kann sowohl bei der Beurteilung der Bestellpflicht als auch bei der Übernahme der Datenschutzbeauftragten-Funktion unterstützen. Mit der Kombination aus juristischer Expertise und praktischer Erfahrung im Datenschutz können Unternehmen sicher sein, dass ihre Datenschutzpflichten ordnungsgemäß erfüllt werden.

Wenn Sie Fragen zur Bestellpflicht haben oder Unterstützung bei der Umsetzung des Datenschutzes benötigen, zögern Sie nicht, professionelle Hilfe in Anspruch zu nehmen. Ein gut aufgestellter Datenschutz ist nicht nur eine rechtliche Pflicht, sondern auch ein wichtiger Baustein für das Vertrauen Ihrer Kunden und Geschäftspartner.

Häufig gestellte Fragen