Du fragst dich, ob dein Unternehmen einen Datenschutzbeauftragten braucht? Diese Frage stellen sich viele Geschäftsführer und Unternehmer. Die gute Nachricht: Es gibt klare Regeln, die dir dabei helfen, diese Entscheidung zu treffen.
Die Datenschutzkonferenz (DSK), die unabhängigen Datenschutzbehörden von Bund und Ländern, hat ein Kurzpapier veröffentlicht, das als erste Orientierungshilfe dient. Es richtet sich besonders an Organisationen außerhalb des öffentlichen Sektors und erläutert, wann nach Ansicht der DSK ein Datenschutzbeauftragter (DSB) erforderlich ist. Gleichzeitig zeigt es, welche Regeln dabei sowohl für Verantwortliche als auch für Auftragsverarbeiter gelten.
Die drei wichtigsten Situationen, in denen du handeln musst
In Deutschland gibt es drei konkrete Fälle, in denen du einen Datenschutzbeauftragten ernennen musst – unabhängig davon, was die EU-Datenschutzgrundverordnung (DSGVO) vorschreibt:
1. Du hast mindestens 20 Mitarbeiter mit Datenzugriff
Sobald du regelmäßig 20 oder mehr Personen beschäftigst, die automatisiert mit personenbezogenen Daten arbeiten, wird ein Datenschutzbeauftragter zur Pflicht.
Wichtig zu wissen: Der Begriff „Personen“ ist dabei sehr weit gefasst. Es zählen nicht nur deine Vollzeitangestellten, sondern auch:
- Teilzeitkräfte
- Leiharbeiter
- Freie Mitarbeiter
- Auszubildende
Deine Geschäftsführung zählst du allerdings nicht mit – diese Personen sind ja nicht „beschäftigt“ im eigentlichen Sinne, sondern leiten das Unternehmen.
Was bedeutet „automatisierte Verarbeitung“? Das ist einfacher erreicht, als viele denken. Schon wenn deine Mitarbeiter geschäftliche E-Mails schreiben, arbeiten sie mit personenbezogenen Daten. Das betrifft typischerweise Bereiche wie:
- Kundenbetreuung und Vertrieb
- IT-Abteilung
- Personalabteilung
- Buchhaltung
2. Du führst riskante Datenverarbeitungen durch
Wenn dein Unternehmen Datenverarbeitungen durchführt, die eine Datenschutz-Folgenabschätzung erfordern, brauchst du ebenfalls einen Datenschutzbeauftragten. Das kann schon bei einer einzigen solchen Verarbeitung der Fall sein.
Eine Datenschutz-Folgenabschätzung wird nötig, wenn deine Datenverarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Das passiert besonders häufig in diesen Bereichen:
Automatisierte Bewertungen und Profile Wenn du systematisch Profile von Personen erstellst oder sie automatisch bewertest – zum Beispiel durch Scoring-Systeme oder automatisierte Entscheidungen über Kreditvergaben oder Jobauswahl.
Umfangreiche Verarbeitung sensibler Daten Hierzu gehören besonders schützenswerte Informationen wie:
- Gesundheitsdaten
- Informationen zur ethnischen Herkunft
- Religiöse oder politische Überzeugungen
- Daten zu Straftaten oder Verurteilungen
Systematische Überwachung öffentlicher Bereiche Video- oder Tonüberwachung in öffentlich zugänglichen Bereichen fällt in diese Kategorie. Auch der Einsatz von Sensoren, die ihre Umgebung systematisch beobachten, kann dazugehören.
3. Du handelst geschäftsmäßig mit Daten
Wenn du personenbezogene Daten geschäftsmäßig verarbeitest, um sie zu übertragen, anonym zu übermitteln oder für Markt- und Meinungsforschung zu nutzen, benötigst du einen Datenschutzbeauftragten.
Wann wird es besonders kritisch?
Die Wahrscheinlichkeit, dass du eine Datenschutz-Folgenabschätzung durchführen musst (und damit einen Datenschutzbeauftragten brauchst), steigt erheblich, wenn deine Datenverarbeitung mindestens zwei dieser Kriterien erfüllt:
- Du bewertest oder stufst Personen ein
- Du triffst automatisierte Entscheidungen mit rechtlichen Folgen
- Du überwachst systematisch
- Du verarbeitest besonders vertrauliche oder persönliche Daten
- Du verarbeitest Daten in großem Umfang
- Du führst verschiedene Datensätze zusammen
- Du verarbeitest Daten von besonders schutzbedürftigen Personen (z.B. Kindern)
- Du nutzt innovative oder neue Technologien
- Deine Verarbeitung hindert Betroffene daran, ihre Rechte auszuüben oder Dienstleistungen zu nutzen
Du bist dir nicht sicher, ob Du einen DSB brauchst? Kontaktiere uns und wir ermitteln gemeinsam, ob Du und Dein Unternehmen unter diese Pflicht fallen.
Mit Legal Living Hub bekommst Du moderne Datenschutzberatung und KI-Compliance auf Augenhöhe
Fazit
Die Entscheidung, ob du einen Datenschutzbeauftragten brauchst, ist in den meisten Fällen ziemlich eindeutig. Prüfe einfach, ob eine der drei Hauptsituationen auf dein Unternehmen zutrifft. Im Zweifel ist es besser, einen Experten zu konsultieren – denn die Bußgelder bei Verstößen können empfindlich sein.
Denk daran: Ein Datenschutzbeauftragter ist nicht nur eine Pflichterfüllung, sondern kann dir dabei helfen, Datenschutzrisiken zu minimieren und das Vertrauen deiner Kunden zu stärken.
