Ab wann ist ein Datenschutzbeauftragter Pflicht ?

Die DSGVO gibt den rechtlichen Rahmen zur Pflichtbestellung eines Datenschutzbeauftragten vor. Sie macht dies unabhängig von der Anzahl von Beschäftigten in einem Unternehmen. Vielmehr stellt sie – gemäß Art. 37 Abs. 1 lit. b DSGVO – die sogenannten Kerntätigkeiten in den Mittelpunkt der Verpflichtung: Dabei geht es um Haupttätigkeiten des Unternehmens, die aus Datenverarbeitungsvorgängen bestehen, welche eine umfangreiche, regelmäßige und systematische Überwachung der betroffenen Personen ermöglichen. 

Mit Haupttätigkeiten sind Geschäftsbereiche gemeint, welche für die Umsetzung der Unternehmensstrategie maßgebend sind und nicht lediglich routinemäßige Verwaltungsaufgaben darstellen. Betroffen sind typischerweise Vertriebsmitarbeitende, Mitarbeitende der IT-Abteilung, Sachbearbeitende sowie Personal- und Finanzabteilungen. Keine Kerntätigkeit liegt bspw. bei der Verarbeitung von Mitarbeiterdaten vor, da dies in der Regel nur ein Unterstützungsprozess ist und deshalb nicht zur Haupttätigkeit des Betriebs gehört.

Wenn Firmen solche Kerntätigkeiten ausüben (wie etwa Marktforschungsunternehmen), dann ist es Pflicht, einen Datenschutzbeauftragten zu benennen. Außerdem gilt die Bestellungspflicht, wenn in großem Umfang besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO (Gesundheitsdaten, Daten zur Konfession, Daten zur Ethnie/Rasse sowie politische Meinungen) sowie personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO verarbeitet werden.

Wenn mindestens 20 Mitarbeitende ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind, wird ein Datenschutzbeauftragter für Unternehmen Pflicht. Das betrifft beispielsweise Datenverarbeitungen unter Einsatz von EDV wie Outlook oder Excel, aber auch Softwareprogramme z.B. in Marketing- oder Sales-Abteilungen. Der deutsche Gesetzgeber konkretisiert damit die Anforderungen der DSGVO im Rahmen des neu gefassten Bundesdatenschutzgesetzes (BDSG-neu) folgendermaßen: Gemäß § 38 des neuen BDSG ist dann ein betrieblicher Datenschutzbeauftragter (DSB) zu bestellen, wenn in dem Betrieb in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Im alten BDSG bestand die Pflicht zur Benennung eines Datenschutzbeauftragten bereits ab 10 Mitarbeitenden. Hintergrund der Anhebung der Mitarbeiterzahl ist die bürokratische Entlastung von Selbstständigen und KMUs.

Achtung: Laut des neuen BDSG werden Teilzeitkräfte, Aushilfen, freie Mitarbeitende, Leiharbeitende oder Praktikumskräfte bei der Bemessung der Anzahl der Personen voll berücksichtigt. Entscheidend ist, dass die betreffenden Mitarbeiter mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Die alte Grenze ab 10 Mitarbeitenden gilt heute nicht mehr. 

Unabhängig von der Zahl der Mitarbeiter gilt gemäß § 38 Absatz 1 Satz 2 BDSG-neu die Pflicht zur Benennung eines Datenschutzbeauftragten, wenn eine Datenschutzfolgenabschätzung nach Art. 35 DSGVO notwendig wird. Letztere ist erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Schließlich wird in die Pflicht genommen, wer geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet.

Hohe Bußgelder bei Nichtbestellung des Datenschutzbeauftragten

Nach den aktuellen Vorschriften wird sich der Kreis der aus dem Zusammenspiel von EU-Datenschutzgrundverordnung und BDSG-neu verpflichteten Unternehmen nochmals erweitern. Bei drohenden Bußgeldern von bis zu 10 Millionen EURO oder 2 % des weltweiten Jahresumsatzes gemäß Art. 83 Abs. 4 lit. a DSGVO sollte jetzt gehandelt werden, falls die Pflicht zur Bestellung eines Datenschutzbeauftragten in Ihrem Unternehmen bisher noch nicht die notwendige Aufmerksamkeit gefunden hat.