Welche Unternehmen brauchen einen Datenschutzbeauftragten?
von Thomas Engelhardt
Regelung nach der DSGVO und dem neuen BDSG
Welche Unternehmen benötigen nach der Datenschutzgrundverordnung einen Datenschutzbeauftragten?
Vorliegend geht es zunächst nur um das Erfordernis der Bestellung eines Datenschutzbeauftragten für nicht-öffentliche Stellen, also Unternehmen, Vereine, etc.
a) bisherige Regelung
Im aktuellen Bundesdatenschutzgesetz findet sich in § 4f Abs.1 folgende Regelung hierzu:
Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind. Die Sätze 1 und 2 gelten nicht für die nichtöffentlichen Stellen, die in der Regel höchstens neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Soweit aufgrund der Struktur einer öffentlichen Stelle erforderlich, genügt die Bestellung eines Beauftragten für den Datenschutz für mehrere Bereiche. Soweit nicht-öffentliche Stellen automatisierte Verarbeitungen vornehmen, die einer Vorabkontrolle unterliegen, oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung automatisiert verarbeiten, haben sie unabhängig von der Anzahl der mit der automatisierten Verarbeitung beschäftigten Personen einen Beauftragten für den Datenschutz zu bestellen.
Man konnte also davon ausgehen, dass ab der zehnten Person, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist ein Datenschutzbeuftragter zu bestellen ist bzw. ab der zwanzigsten Person, die in der Regel mit einer anderen Weise mit der Verarbeitung oder Nutzung beschäftigt ist.
b) Regelung in der Datenschutzgrundverordnung
b) Regelung in der Datenschutzgrundverordnung
In der DSGVO ist der maßgebliche Artikel insoweit Artikel 37. Dort heißt es in Absatz 1:
Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn
a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln,
b) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
c) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln,
b) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
c) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
Absatz 4 erweitert dies wie folgt:
In anderen als den in Absatz 1 genannten Fällen können der Verantwortliche oder der Auftragsverarbeiter oder Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, einen Datenschutzbeauftragten benennen; falls dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, müssen sie einen solchen benennen. Der Datenschutzbeauftragte kann für derartige Verbände und andere Vereinigungen, die Verantwortliche oder Auftragsverarbeiter vertreten, handeln.
Hier ist also die Möglichkeit für die Mitgliedsstaaten normiert eine gesonderte Regelung vorzunehmen, welche allerdings nicht im Widerspruch zur DSGVO stehen darf. Von dieser so genannten Öffnungsklausel hat die Bundesrepublik Deutschland Gebrauch gemacht.
c) Bundesdatenschutzgesetz neu
c) Bundesdatenschutzgesetz neu
Im neuen Bundesdatenschutzgesetz findet sich in § 38 die konkretisierende Regelung zur DSGVO zu Datenschutzbeauftragten nicht-öffentlicher Stellen. Dort heißt es:
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutz-beauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, Absatz 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
(2) § 6 Absatz 4, Absatz 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Man sieht, dass auch zukünftig die Benennungspflicht ab einer Beschäftigung von ständig mindestens zehn Personen mit der automatisierten Verarbeitung besteht. Allerdings besteht nach § 38 Abs.1 S. 2 eine weitergehende Benennungspflicht.
d) Wichtig: Art 37 Abs. 7 DSGVO
Neu und sehr wichtig ist, dass nach Art. 37 Abs. 7 der DSGVO der Verantwortliche oder der Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen hat und diese Daten der Aufsichtsbehörde mitzuteilen hat.
gez. Engelhardt
Datenschutz TE
Datenschutz-T.E., RA Thomas Engelhardt
Ochsenbuck 2
91710 Gunzenhausen
91710 Gunzenhausen
Telefon: +49 9831 613342
Telefax: +49 9831 613113
Mail: info@externer-datenschutzbeauftragter-bdsg.de
https://externer-datenschutzbeauftragter-bdsg.de
Website Security
