Wann benötige ich einen Datenschutzbeauftragten?

Viele Unternehmen fragen sich, ob Sie zwingend einen Datenschutzbeauftragten bestellen müssen. Dieser Artikel gibt Antworten auf die wichtigsten Fragen.

Interner oder externer Datenschutzbeauftragte?

Der interne Datenschutzbeauftragte ist eine bei Ihnen im Unternehmen beschäftigte Person. Diese muss einen gewissen Teil ihres Arbeitsumfangs aufgeben zugunsten des Datenschutzes. 

Beispiel: Der Sachbearbeiter M arbeitet auf einer Vollzeitstelle, fünf Tage die Woche. Sie bestellen M als Datenschutzbeauftragten. Dann müssen Sie ihn je nach Umfang der Datenschutztätigkeit in Ihrem Unternehmen zwischen einem und vier Tagen von der bisherigen Arbeit freistellen und ihm ermöglichen, sich um den Datenschutz zu kümmern. Selbstverständlich muss M eine geeignete Fortbildung zum "internen Datenschutzbeauftragten" absolvieren und jährliche Fortbildungen besuchen. Die Geschäftsleitung hat M auch entsprechende Arbeitsressourcen zur Verfügung zu stellen, also ggf. ein eigenes Büro, Computer, Datenschutz-Management-System, Bücher, Literatur etc.

HINWEIS:

Der interne Datenschutzbeauftragte darf nicht gleichzeitig zur Führungsebene gehören oder sonst eine ganz wesentliche Abteilung verantworten (z.B. Personal, IT). Denn dann läge ein "Interessenkonflikt" vor, und das ist nach der Datenschutzgrundverordnung (DSGVO) verboten.

Der externe Datenschutzbeauftragte ist ein externer Dienstleister, wie z.B. auch ein Rechtsanwalt oder Steuerberater. Sie schließen mit ihm einen Dienstvertrag ab und fertig!

Um Aus- und Fortbildung kümmert sich der "Externe" selbst. Ebenso hat er üblicherweise bereits Zugriff auf Fachressourcen und Mustervorlagen. 

Wann besteht eine Pflicht?

Es gibt in den Gesetzen verschiedene Vorschriften, die das regeln. Die einfachste ist die sog. 20er Regel. Diese besagt (vereinfacht), dass Sie einen Datenschutzbeauftragten bestellen müssen, wenn in Ihrem Unternehmen 20 oder mehr Beschäftigte dauerhaft mit personenbezogenen Daten arbeiten.

Beispiel: Sie haben in Ihrem Unternehmen 15 Vollzeitbeschäftigte, 4 Teilzeitbeschäftigte und 3 Aushilfsbeschäftigte. Alle werden "voll" gezählt, also ergibt die Summe 22. Wenn alle 22 Beschäftigte mit personenbezogenen Daten arbeiten, gilt hier eine Pflicht zur Bestellung.

Zudem muss ein Datenschutzbeauftragter zwingend bestellt werden, wenn Sie eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen müssen. Dies betrifft im Wesentlichen Unternehmensprozesse unter Verwendung neuer Technologie mit potentieller Gefahr für die Daten. Unter anderem kann eine Videoüberwachung darunter fallen - muss aber nicht.

Zudem muss ein Datenschutzbeauftragter zwingend bestellt werden, wenn Sie eine umfangreiche Verarbeitung von sensiblen Daten durchführen. Darunter fallen beispielsweise Gesundheitsdaten. Für alle größeren Arztpraxen dürfte daher eine Bestellpflicht bestehen.

Wenn Ihr Unternehmen im Bereich "Markt- und Meinungsforschung" tätig ist, besteht ebenfalls nach § 38 Absatz 1 BDSG eine Bestellpflicht.

Der freiwillige Datenschutzbeauftragte

Selbstverständlich können Sie auch freiwillig einen Datenschutzbeauftragten bestellen. 

Warum sollten Sie das tun?

Viele Unternehmen wünschen sich einen vertrauensvollen und langfristigen Berater in Sachen Datenschutz. Einen Berater, der Ihr Unternehmen kennt und jederzeit ansprechbar ist, wenn intern mal eine Fachfrage aufkommt. 

Zudem zeigen Sie durch eine offizielle Bestellung Ihren Kunden, Lieferanten und anderen Geschäftspartnern, dass Sie damit nicht nur eine "lästige Pflicht" erfüllen, sondern der Datenschutz fester Bestandteil Ihrer Unternehmensethik ist.

Kennen Sie schon meine anderen Beiträge zum Datenschutz?

Folgende Artikel sind auf anwalt.de bereits erschienen:

1. Cookies auf Webseiten - Alles gut oder teurer Spaß?
2. Datenschutzhinweis - Reicht der auf der Website?
3. IT-Sicherheit und Datenschutz -  best buddy`s?
4. Externe Dienstleister - Besonderheiten im Datenschutz
5. Datenübermittlung in Drittländer: Gute Idee oder "no-go"?
6. Schulung der Beschäftigten - Muss das sein?
7. Bußgeld für Datenschutzverstoß - zahlen oder kämpfen?
8. Datenschutz-Doku - warum so unbeliebt?