Wann brauche ich einen Datenschutzbeauftragten?
Die Richtlinien dazu sind sehr einfach. Es gibt sieben Gründe, aus denen ein Datenschutzbeauftragter bestellt werden muss. Ist keiner der sieben Gründe erfüllt, braucht auch kein Datenschutzbeauftragter bestellt zu werden.
Der Haken: Man kann sich den Vorgaben der DSGVO nicht entziehen. Alle Unternehmen müssen die DSGVO umsetzen, ob mit oder ohne Datenschutzbeauftragten.
Bild: KI-generiert (OpenAI)
Wenn man keinen Datenschutzbeauftragten zu bestellen braucht, kümmert sich die Geschäftsführung selbst darum, die Vorgaben umzusetzen.
Die sieben Gründe
Irrtümlicherweise glauben viele Unternehmer, dass sie die Vorgaben aus der DSGVO und dem BDSG nicht umzusetzen brauchen, wenn diese Erfordernisgründe auf sie nicht zutreffen. Das stimmt aber nicht.
Denn die Pflicht zur Umsetzung hat gar nichts damit zu tun, ob man einen Datenschutzbeauftragten bestellen muss oder nicht.
Das sind zwei getrennte Fragen. Die eine beantwortet niemals die andere.
Jedes Unternehmen muss die DSGVO umsetzen, egal ob mit oder ohne Datenschutzbeauftragten.
Die sieben Erfordernisgründe
Sichtbar ist jeweils die Regel. Einzelheiten und Beispiele erscheinen, sobald man einen Punkt anfährt oder anklickt.
1Die Verantwortliche Stelle ist eine Behörde.+
Damit sind alle Behörden und öffentlichen Stellen gemeint.
Einzige Ausnahmen sind solche mit justiziellen Tätigkeiten.
Das trifft zum Beispiel auf Rathäuser, Schulen und Sozialämter zu.
2Die Kerntätigkeit besteht aus regelmäßiger, systematischer und umfangreicher Verarbeitung personenbezogener Daten.+
Entscheidend ist das Wort Kerntätigkeit. Es geht um das, womit das Unternehmen sein Geld verdient.
Das trifft zum Beispiel auf Auskunfteien, Detekteien oder Unternehmen für zielgerichtete Werbung zu.
3Die Kerntätigkeit besteht aus der umfangreichen Verarbeitung sensibler personenbezogener Daten.+
Sensible Daten sind Angaben zu:
- ethnischer Herkunft,
- politischen Meinungen,
- religiösen oder weltanschaulichen Überzeugungen,
- Gewerkschaftszugehörigkeit,
- genetischen Merkmalen,
- biometrischen Merkmalen zur eindeutigen Identifizierung,
- Gesundheit,
- Sexualleben und sexueller Orientierung,
- strafrechtlichen Verurteilungen und Straftaten.
Das trifft zum Beispiel auf Krankenhäuser, Gen-Labore, Beratungsstellen wie Pro Familia oder Versandhändler für Erotikartikel zu.
420 oder mehr Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.+
Gezählt wird, wer in der Regel ständig damit befasst ist. Teilzeitkräfte und Aushilfen zählen mit.
Büroarbeitsplätze sind in aller Regel solche Arbeitsplätze.
Das trifft zum Beispiel auf ein Handwerksunternehmen mit großer Verwaltung oder eine Steuerkanzlei zu.
5Eine Verarbeitung unterliegt einer Datenschutz-Folgenabschätzung.+
Eine Datenschutz-Folgenabschätzung ist eine Risikoprüfung vor dem Start. Sie wird fällig, wenn eine Verarbeitung für die Betroffenen voraussichtlich ein hohes Risiko bedeutet.
Das trifft zum Beispiel auf die Videoüberwachung großer öffentlich zugänglicher Bereiche zu.
6Personenbezogene Daten werden geschäftsmäßig zum Zweck der Übermittlung verarbeitet.+
Gemeint ist die Weitergabe als Geschäftszweck. Das gilt auch dann, wenn die Daten vorher anonymisiert werden.
Das trifft zum Beispiel auf Adresshändler zu.
7Personenbezogene Daten werden für Zwecke der Markt- oder Meinungsforschung verarbeitet.+
Hier kommt es nicht auf den Umfang an. Auch kleine Erhebungen lösen die Pflicht aus.
Das trifft zum Beispiel auf Meinungsforschungsinstitute und Betreiber von Online-Befragungen zu.
Randnotiz: Die Bundesregierung hat angekündigt, die Gründe 4 bis 7 — vier deutsche Sonderregeln — bis Ende 2026 abzuschaffen. Ein Gesetzentwurf liegt dafür noch nicht vor. An der Kernaussage ändert das nichts. Ob es drei oder sieben Gründe gibt, einen Datenschutzbeauftragten bestellen zu müssen — die Pflicht zur Umsetzung der DSGVO bleibt davon unberührt. Ob mit oder ohne Datenschutzbeauftragten.
Wenn Sie keinen Datenschutzbeauftragten bestellen müssen, was kommt dann auf Sie zu?
Auch wenn keiner dieser Gründe erfüllt ist, kommen Sie um die Umsetzung der DSGVO nicht herum.
Sie müssen alles genau so erstellen und erfüllen, als hätten Sie einen Datenschutzbeauftragten bestellt. Es gibt da keinen Unterschied.
In diesem Fall übernimmt die Geschäftsführung die Aufgaben des Datenschutzbeauftragten.
Ein Datenschutzbeauftragter muss jedoch eine Person mit Fachkunde und Erfahrung sein.
Und hier kann es kompliziert werden.
Zum Glück gibt es kein Bestellungsverbot.
Oft führt die fehlende Fachkenntnis im eigenen Hause zu höheren Kosten und einem höheren Haftungsrisiko für die Geschäftsführung.
Auch wenn Sie zur Bestellung eines Datenschutzbeauftragten nicht verpflichtet sind, so können Sie dennoch einen bestellen.
Dieser stellt nicht nur zu Beginn die DSGVO-Konformität her. Er kümmert sich auch fortlaufend um die Einhaltung der Vorgaben.
Das muss auch gar nicht teuer sein. Einen Datenschutzbeauftragten gibt es für kleine Unternehmen auch für kleines Geld.