Die kurze Antwort: In Deutschland muss ein Unternehmen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die lange Antwort hat ein paar Haken, und genau an denen scheitern viele Betriebe.
Die zwei Rechtsgrundlagen: DSGVO und BDSG
Die Datenschutz-Grundverordnung regelt in Art. 37 DSGVO, wann ein Datenschutzbeauftragter europaweit Pflicht ist. Für private Unternehmen sind das zwei Fälle:
- Die Kerntätigkeit besteht in Verarbeitungen, die eine umfangreiche, regelmäßige und systematische Überwachung von Personen erfordern, etwa bei Auskunfteien, Detekteien oder Tracking-Dienstleistern.
- Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten) oder von Daten über Straftaten.
Deutschland hat diese Regel mit § 38 BDSG erweitert. Danach brauchen Sie einen Datenschutzbeauftragten zusätzlich, wenn
- in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind,
- Sie Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder
- Sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeiten.
In den letzten beiden Fällen gilt die Pflicht unabhängig von der Zahl der Beschäftigten, also auch für den Ein-Personen-Betrieb.
Wer zählt zu den 20 Personen?
Hier liegt der häufigste Irrtum. Es zählen nicht Vollzeitstellen, sondern Köpfe. Mitgezählt werden alle, die regelmäßig personenbezogene Daten am Computer, Tablet oder Smartphone verarbeiten:
- Angestellte in Voll- und Teilzeit, Minijobber und Aushilfen
- Auszubildende und Praktikanten
- freie Mitarbeitende und Leiharbeitskräfte
- Geschäftsführer und Inhaber, sofern sie selbst Daten verarbeiten
- im Verein: Ehrenamtliche wie Vorstand, Kassierer oder Übungsleiter
„Ständig“ bedeutet nicht „den ganzen Tag“. Es genügt, wenn die Verarbeitung zur regelmäßigen Aufgabe gehört, etwa der Monteur, der täglich Aufträge mit Kundenadressen auf dem Tablet abarbeitet. Nicht mitgezählt wird dagegen, wer nur gelegentlich oder gar nicht mit Daten arbeitet, etwa eine Reinigungskraft.
Beispiel: Die Praxis mit 14 Vollzeitstellen
Eine Zahnarztpraxis hat 14 Vollzeitstellen. Dahinter stehen zwei Zahnärztinnen, neun Fachangestellte (davon fünf in Teilzeit), drei Auszubildende, eine Abrechnungskraft auf Minijob-Basis, eine Praxismanagerin und zwei Aushilfen am Empfang. Das sind 19 Personen. Kommt im Herbst eine weitere Auszubildende dazu, ist die Schwelle erreicht, und der Datenschutzbeauftragte ist Pflicht.
Was gilt unter 20 Personen?
Unterhalb der Schwelle entfällt nur die Pflicht zur Benennung. Alle anderen Pflichten der DSGVO gelten unverändert, und zwar ab dem ersten Kunden:
- ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
- technische und organisatorische Maßnahmen zum Schutz der Daten (Art. 32 DSGVO)
- Datenschutzhinweise für Kunden, Bewerber und Mitarbeitende (Art. 13 und 14 DSGVO)
- Auftragsverarbeitungsverträge mit Dienstleistern (Art. 28 DSGVO)
- die Bearbeitung von Auskunfts- und Löschanfragen
- die Meldung von Datenpannen innerhalb von 72 Stunden (Art. 33 DSGVO)
Die Verantwortung dafür trägt dann die Geschäftsführung selbst. Viele kleine Betriebe benennen deshalb freiwillig einen externen Datenschutzbeauftragten: Sie bekommen fachliche Unterstützung, und im Ernstfall ist dokumentiert, dass der Datenschutz ernst genommen wurde.
Was droht, wenn der Datenschutzbeauftragte fehlt?
Verstöße gegen die Pflichten aus Art. 37 bis 39 DSGVO können mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden. In der Praxis fällt das Fehlen meist dann auf, wenn ohnehin ein Problem besteht: nach einer Beschwerde eines Kunden oder ehemaligen Mitarbeiters oder nach einer gemeldeten Datenpanne. Dann wird es doppelt unangenehm.
Intern oder extern?
Sie können einen eigenen Mitarbeiter benennen oder einen externen Dienstleister beauftragen. Ein interner Datenschutzbeauftragter braucht Fachkunde, regelmäßige Fortbildung und Zeit, darf keinem Interessenkonflikt unterliegen (Geschäftsführung, IT- und Personalleitung scheiden aus) und genießt einen besonderen Kündigungsschutz. Für die meisten kleinen Betriebe ist deshalb ein externer Datenschutzbeauftragter die einfachere und günstigere Lösung.
Unsicher, was für Ihren Betrieb gilt? Im kostenlosen Erstgespräch klären wir das in 15 Minuten.
Jetzt Erstgespräch anfragen oder anrufen unter 06747 40999696.
Autor: Kevin Lipkow, Geschäftsführer der Fi-Lo GmbH und Datenschutzbeauftragter (TÜV) unter Einbeziehung der EU-DSGVO seit 2018. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.