Ab wann ist ein Datenschutzbeauftragter Pflicht?

Datenschutzbeauftragte (DSB) sind Schlüsselperson für Unternehmen, die ihre Daten vor Missbrauch und Verlust und sich selbst vor Imageschäden und Bußgeldern schützen möchten. Egal ob Verantwortliche dafür eine Person aus dem Unternehmen oder einen externen Datenschutzbeauftragten bestellen: Ihre wichtigste Aufgabe ist es, die Datenschutzgrundverordnung (DSGVO) sicher umzusetzen.

Grundlagen: Welche Unternehmen müssen laut DSGVO einen Datenschutzbeauftragten bestellen?

Bei der Frage, ob ein Unternehmen einen Datenschutzbeauftragten bestellen muss oder nicht, gibt die DSGVO den rechtlichen Rahmen vor. Gemäß Art. 37 DSGVO muss ein Datenschutzbeauftragter benannt werden, wenn

• eine Behörde oder eine öffentliche Stelle Daten verarbeitet – eine Ausnahme gilt nur für Gerichte, die bei der Datenverarbeitung in ihrer gerichtlichen Funktion handeln

• die Kerntätigkeiten des Verantwortlichen oder Auftragsverarbeiters aus Datenverarbeitungsvorgängen bestehen, die eine umfangreiche, regelmäßige und systematische Überwachung der betroffenen Personen ermöglichen

• der Verantwortliche oder Auftragsverarbeiter hauptsächlich besonders sensible Daten oder strafrechtlich relevante Daten verarbeitet

Was sind Kerntätigkeiten?

Kerntätigkeiten sind Geschäftsbereiche, die für die Umsetzung der Unternehmensstrategie maßgebend sind und keine routinemäßigen Verwaltungsaufgaben darstellen. Typischerweise üben Sachbearbeiter, Mitarbeitende im Vertrieb und in der IT-Abteilung sowie Personal- und Finanzabteilungen solche Kerntätigkeiten aus.  

Für Unternehmen wie Marktforschungsunternehmen, die Daten im Rahmen ihres Geschäftsmodells verarbeiten, ist die Benennung eines Datenschutzbeauftragten Pflicht. Außerdem gilt die Bestellungspflicht für Unternehmen, die in großem Umfang personenbezogene Daten verarbeiten, die  

• besonderen Kategorien nach Art. 9 DSGVO entsprechen, zum Beispiel Gesundheitsdaten oder Daten zur Konfession und politische Meinungen

• gemäß Art. 10 DSGVO im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten stehen

Keine Kerntätigkeit stellt dagegen in vielen Unternehmen die Verarbeitung von Mitarbeiterdaten vor. Der Grund: In der Regel stellt diese Art der Datenverarbeitung nur einen Unterstützungsprozess dar und gehört in diesem Fall nicht zur Haupttätigkeit eines Unternehmens.

Betrieblicher Datenschutzbeauftragter: Ab wie vielen Mitarbeitern ist er Pflicht?

Neben der DSGVO sind bei der Frage, ab wann man einen Datenschutzbeauftragten braucht, auch die Regelungen des Bundesdatenschutzgesetzes (BDSG) relevant für Unternehmen. Der deutsche Gesetzgeber konkretisiert mit § 38 BDSG die Anforderungen der DSGVO folgendermaßen:  

Ein betrieblicher Datenschutzbeauftragter ist zu bestellen, wenn in dem Betrieb in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.  

Die Datenverarbeitung ist zum Beispiel dann automatisiert, wenn Unternehmen dafür Tools wie Outlook oder Excel nutzen oder wenn Marketing- und Sales-Teams mit Softwarelösungen wie einem CRM-System arbeiten.  

Gut zu wissen: Die alte Fassung des BDSG verpflichtete Unternehmen bereits ab zehn Mitarbeitern dazu, einen Datenschutzbeauftragten zu benennen. Um Selbstständige und KMU bürokratisch zu entlasten, hat der Gesetzgeber die Mitarbeiterzahl auf 20 angehoben.  

Beachten Sie jedoch, dass Teilzeitkräfte, Aushilfen, freie Mitarbeitende, Leiharbeitende oder Praktikumskräfte bei der Bemessung der Anzahl der Personen voll berücksichtigt werden. Entscheidend ist immer, dass die betreffenden Mitarbeiter mit der automatisierten Verarbeitung personenbezogener Daten befasst sind.

Tipp: Es besteht keine Pflicht dazu, Ihren DSB schriftlich zu benennen. Gemäß Art. 37 DSGVO müssen Unternehmen der zuständigen Aufsichtsbehörde allerdings die Kontaktdaten ihres DSB mitteilen. Je nach Behörde ist die Meldung online möglich. Um die Mitteilung durchzurühren und um nachweisen zu können, dass Sie Ihren DSGVO- und BSDG-Pflichten nachgekommen sind und einen Datenschutzbeauftragten bestellt haben, sollten Sie die Bestellung deshalb dokumentieren. Nutzen Sie dafür unser kostenloses Muster.

Wann müssen Unternehmen mit weniger Beschäftigten einen DSB bestellen?

Unabhängig von der Zahl der Mitarbeiter gilt gemäß § 38 Absatz 1 Satz 2 BDSG die Pflicht zur Benennung eines Datenschutzbeauftragten, wenn eine Datenschutzfolgenabschätzung nach Art. 35 DSGVO notwendig wird. Das ist zum Beispiel der Fall, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Das ist zum Beispiel im Zusammenhang mit Videoüberwachung der Fall.

Alles über die Datenschutzfolgenabschätzung lesen Sie in unserem Magazin.

Außerdem sind Unternehmen zur DSB-Benennung verpflichtet, wenn sie geschäftsmäßig personenbezogene Daten zum Zweck der (anonymisierten) Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.

Wann brauche ich einen externen Datenschutzbeauftragten?

Ist Ihr Unternehmen verpflichtet, einen Verantwortlichen für den Datenschutz zu benennen, können Sie das Thema intern aufhängen oder sich externe Unterstützung holen.

Wer darf Datenschutzbeauftragter sein laut DSGVO?

Mit dem Datenschutz in Ihrem Unternehmen dürfen Sie jeden Mitarbeiter betrauen, der bestimmte Voraussetzungen erfüllt. Dazu gehört zum Beispiel, dass die Person  

• fachlich geeignet ist und  

• über genügend Fachwissen verfügt,  

um ihre Aufgabe korrekt zu erfüllen.  

Erfahren Sie, welche Qualifikation Ihr Datenschutzbeauftragter mitbringen muss.

Intern vs. extern: Was ist besser?

Ein betrieblicher Datenschutzverantwortlicher kennt Ihre Prozesse und Kerntätigkeiten. Allerdings ist viel Weiterbildung notwendig, damit ein interner Datenschutzbeauftragter bei rechtlichen Neuerungen auf dem aktuellen Stand ist. Außerdem sind besteht das Risiko von Interessenkonflikten.

Externe Datenschutzbeauftragte müssen sich zwar mit Ihrem Unternehmen vertraut machen. Dafür bringen sie umfassende Fachkenntnisse im Datenschutz mit und sind mit den Besonderheiten und Herausforderungen Ihrer Branche vertraut.  

Tipp: Die wichtigsten Unterschiede und eine praktische Entscheidungshilfe stellen wir Ihnen in unserer Infografik kostenfrei zur Verfügung  

Das droht bei einem Verstoß gegen die DSB-Pflicht

Ist Ihr Unternehmen nach den Regeln der DSGVO und des BDSG zur Benennung eines Datenschutzbeauftragten verpflichtet, sollten Sie dieser Pflicht unbedingt nachgehen: Bekommt das Thema Datenschutz bei Ihnen nicht die nötige Aufmerksamkeit und passieren Verstöße gegen die DSGVO, drohen Bußgelder in Höhe von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.

Lesen Sie mehr zu den Kosten von Datenschutzverstößen

Braucht Ihr Unternehmen einen Datenschutzbeauftragten?

Wenn in Ihrem Unternehmen mehr als 20 Personen regelmäßig mit sensiblen Daten arbeiten, sollten Sie sich durch einen erfahrenen Datenschutzexperten unterstützen lassen. Wenn Sie das Thema Datenschutz ohne Aufwand und Interessenskonflikte behandeln möchten, begleiten unsere Experten Sie gern bei der Erfüllung der DSGVO-Vorgaben und räumen Ihnen bürokratische Hürden aus dem Weg.

‍

FAQ zur DSB-Pflicht

Die wichtigsten Fragen und Antworten zur Pflicht, einen Datenschutzbeauftragten zu bestellen.

Ab wann muss ein Datenschutzbeauftragter bestellt werden?

Ein DSB muss bestellt werden, wenn in Ihrem Unternehmen mindestens 20 Mitarbeiter ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind. Unabhängig von der Mitarbeiterzahl brauchen Unternehmen einen DSB, wenn ihre Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten besteht oder sie besonders risikoreiche Verarbeitungen durchführen. Das gilt zum Beispiel für Behörden.

Welche Mitarbeiter muss ich in die 20 Personen einberechnen, die Daten verarbeiten?

Zu den Personen, die laut BDSG relevant für die Pflicht zur Bestellung eines DSB sind, zählen neben festangestellten Vollzeitkräften auch Praktikanten, Teilzeitkräfte oder Freelancer. Voraussetzung ist, dass zu ihren Aufgaben die automatisierte Verarbeitung personenbezogener Daten gehört.

Brauchen Unternehmen mehrere Datenschutzbeauftragte?

Die DSGVO spricht von der Pflicht zur Benennung „eines“ DSB. Es ist zwar nicht ausdrücklich verboten einen zweiten zu benennen. Allerdings sprechen die institutionelle Einordnung sowie die Aufgaben des DSB dagegen. Ein stellvertretender Datenschutzbeauftragter kann sinnvoll sein und dem DSB zuarbeiten. Für öffentliche Stellen ist die Benennung mehrerer Datenschutzbeauftragter dagegen sogar unzulässig.