Externer DATENSCHUTZBEAUFTRAGTER München

Pflicht zur Bestellung eines Datenschutzbeauftragten

Bis Ende 2019 war die Grundregel wie folgt: Wenn 10 Personen im Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt waren, musste ein (interner oder externer) DSB bestellt werden.

Doch diese Faustregel ist nicht mehr aktuell. Nach der Verabschiedung des zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz EU (DSAnpUG) am 26. November 2019 wurde eine Änderung des § 38 I S. 1 BDSG beschlossen.

So liegt die Pflicht zur Bestellung nun bei mindestens 20 Personen, die sich ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Wenn Sie sich jetzt denken, Sie wären aus dem Schneider, da Sie unter dieser Personenzahl bleiben: aufgepasst!

Denn ganz so einfach ist es nicht:

Unabhängig von der Anzahl der Beschäftigten kann sich die Pflicht zur Bestellung eines DSB sowohl aus der Norm des § 38 I BDSG, als auch aus Art. 37 I DSGVO ergeben.

So geht aus § 38 I S. 2 BDSG eine Benennungspflicht hervor, wenn

• der Verantwortliche oder der Auftraggeber Verarbeitungen vornimmt, die einer Datenschutz-Folgeabschätzung gem. Art. 35 DSGVO unterliegen. In der Positivliste der deutschen Aufsichtsbehörden finden Sie heraus, ob dies der Fall ist.
• personenbezogene Daten geschäftsmäßig verarbeitet werden und dies zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung geschieht.

Oder gem. Art. 37 I DSGVO, wenn

• Die Kernaktivität Ihres Unternehmens in der Durchführung von Verarbeitungsvorgängen besteht, welche durch Art, Umfang oder des Zweckes eine regelmäßige und systematische Überwachung der betroffenen Personen erforderlich macht.
• Die Kerntätigkeit Ihres Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien von Daten gem. Art. 9 DSGVO oder Art. 10 DSGVO besteht. Die Definition einer „umfangreichen Verarbeitung“ orientiert sich dabei unter anderem an der Anzahl der betroffenen Personen sowie dem Umfang der Datenerhebung.

Möchte Ihr Unternehmen unabhängig dieser Regelungen freiwillig einen Datenschutzbeauftragten bestellen, ist dies natürlich ebenfalls möglich.

Plus: Die Befreiung von der Bestellpflicht (eines int. / ext. DSB) bedeutet nicht, dass Sie vom rechtmäßigen Umgang mit personenbezogenen Daten (Interessenten / Kunden, Mitarbeiter, Lieferanten) befreit sind.