Ob Sie einen Datenschutzbeauftragten benennen müssen, hängt nicht allein von der Zahl Ihrer Beschäftigten ab. Entscheidend ist auch, welche Daten Sie verarbeiten und wie Sie das tun. Mit den folgenden fünf Fragen prüfen Sie das in wenigen Minuten.
Das Wichtigste in Kürze
- Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein Datenschutzbeauftragter Pflicht (§ 38 Abs. 1 BDSG).
- Unabhängig von der Zahl ist er Pflicht, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Sie Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeiten.
- Gleiches gilt, wenn Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonders sensibler Daten oder in der systematischen Überwachung von Personen besteht (Art. 37 Abs. 1 DSGVO).
- Behörden und öffentliche Stellen brauchen immer einen Datenschutzbeauftragten.
Der Schnellcheck in fünf Fragen
Sobald Sie eine der Fragen mit Ja beantworten, brauchen Sie einen Datenschutzbeauftragten. Die übrigen Fragen müssen Sie dann nicht mehr prüfen.
1. Sind bei Ihnen in der Regel mindestens 20 Personen ständig mit personenbezogenen Daten befasst?
Gemeint sind alle, die regelmäßig am Computer mit Daten von Kunden, Beschäftigten oder Lieferanten arbeiten, etwa mit E-Mails, einer Kundendatenbank oder einer Warenwirtschaft. Gezählt wird nach Köpfen, Teilzeitkräfte und Auszubildende zählen also voll mit. Lautet die Antwort Ja, brauchen Sie nach § 38 Abs. 1 BDSG einen Datenschutzbeauftragten. Lautet sie Nein, geht es mit Frage 2 weiter, denn die Zahl allein entscheidet nicht.
2. Ist für eine Ihrer Verarbeitungen eine Datenschutz-Folgenabschätzung erforderlich?
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Typische Beispiele sind die umfangreiche Videoüberwachung öffentlich zugänglicher Bereiche oder Scoring-Verfahren. Die Aufsichtsbehörden haben dazu Listen veröffentlicht. Ist eine solche Prüfung erforderlich, brauchen Sie nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Beschäftigtenzahl einen Datenschutzbeauftragten. Das gilt ebenso, wenn Sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder für Markt- oder Meinungsforschung verarbeiten.
3. Verarbeiten Sie als Kerntätigkeit umfangreich besonders sensible Daten?
Besonders sensibel sind nach Art. 9 DSGVO Gesundheitsdaten, genetische und biometrische Daten, Daten zum Sexualleben oder zur sexuellen Orientierung sowie Daten, aus denen die ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen. Hinzu kommen nach Art. 10 DSGVO Daten über strafrechtliche Verurteilungen und Straftaten.
Kerntätigkeit heißt, dass die Verarbeitung zum eigentlichen Geschäft gehört und nicht nur nebenbei anfällt. Ein Krankenhaus oder ein Pflegedienst verarbeitet Gesundheitsdaten als Kerntätigkeit. Ein Handwerksbetrieb, der die Krankmeldungen seiner Beschäftigten verwaltet, dagegen nicht. Ist die Verarbeitung zugleich umfangreich, brauchen Sie nach Art. 37 Abs. 1 lit. c DSGVO einen Datenschutzbeauftragten.
4. Überwachen Sie als Kerntätigkeit Personen umfangreich, regelmäßig und systematisch?
Das betrifft etwa Auskunfteien, Anbieter von Tracking- und Profiling-Diensten, Detekteien oder Unternehmen, deren Geschäftsmodell auf der Ortung von Personen beruht. Lautet die Antwort Ja, brauchen Sie nach Art. 37 Abs. 1 lit. b DSGVO einen Datenschutzbeauftragten.
5. Sind Sie eine Behörde oder öffentliche Stelle?
Dann brauchen Sie nach Art. 37 Abs. 1 lit. a DSGVO immer einen Datenschutzbeauftragten. Ausgenommen sind nur Gerichte, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln.
Wenn Sie keinen Datenschutzbeauftragten brauchen
Auch dann bleiben alle Pflichten aus der DSGVO bestehen. Sie brauchen weiterhin ein Verzeichnis von Verarbeitungstätigkeiten, Datenschutzhinweise, Auftragsverarbeitungsverträge und geschulte Mitarbeitende. Die Verantwortung dafür liegt dann allein bei der Geschäftsleitung. Eine Datenschutzschulung für Mitarbeiter ist dafür der einfachste Einstieg. Sie können einen Datenschutzbeauftragten außerdem jederzeit freiwillig benennen.
Wenn Sie unsicher sind
Wenn Sie bei der Beantwortung der Fragen nicht sicher sind, helfe ich Ihnen gern bei der Prüfung. Sie können sich auch an die für Ihr Unternehmen zuständige Landesdatenschutzbehörde wenden.
Und dann intern oder extern?
Steht fest, dass Sie einen Datenschutzbeauftragten brauchen, müssen Sie als nächstes entscheiden, ob es ein eigener Mitarbeiter oder ein externer Dienstleister sein soll. Die wichtigsten Unterschiede habe ich in einer Entscheidungshilfe zusammengestellt.