Top-Themen im Datenschutz:
Ob Ihr Unternehmen einen Datenschutzbeauftragten (DSB) benennen muss, hängt von zwei Regelwerken ab, die sich überlagern: Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). In 3 Schritten zur richtigen Antwort.
Bevor Sie die Prüffragen durchgehen, lohnt sich ein Blick auf drei Begriffe. An ihnen scheitert die Selbsteinschätzung in der Praxis am häufigsten.
Kerntätigkeit: Gemeint ist das, was Ihr Geschäftsmodell im Kern ausmacht — nicht jede Nebentätigkeit. Unterstützende Prozesse wie Lohnabrechnung oder allgemeine IT-Administration zählen in der Regel nicht dazu, auch wenn dabei personenbezogene Daten verarbeitet werden.
Umfangreich: Es gibt keine feste Zahlengrenze. Maßgeblich sind nach der Praxishilfe des Europäischen Datenschutzausschusses vor allem: Zahl der betroffenen Personen, Datenmenge und Datenarten, Dauer der Verarbeitung sowie geografische Reichweite. Ein einzelner Arzt verarbeitet Gesundheitsdaten — aber regelmäßig nicht in umfangreichem Maße. Ein Krankenhaus schon.
Ständig: Erfasst ist eine regelmäßige, auf Dauer angelegte Tätigkeit — nicht die tägliche oder ausschließliche Beschäftigung mit Daten. Wer regelmäßig personenbezogene E-Mails bearbeitet, fällt darunter. Gelegentliche oder rein anlassbezogene Nutzung genügt nicht.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie DSGVO verpflichtet Unternehmen unabhängig von ihrer Größe zur Benennung eines DSB, wenn einer der folgenden drei Fälle vorliegt.
Falls ja: DSB-Pflicht. Das betrifft neben klassischen Behörden auch Eigenbetriebe, Anstalten öffentlichen Rechts und vergleichbare Einrichtungen. Eine Ausnahme nennt Art. 37 Abs. 1 lit. a DSGVO ausdrücklich: Gerichte sind ausgenommen, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln. Für ihre Verwaltungstätigkeit gilt die Pflicht hingegen. Die meisten privatwirtschaftlichen Unternehmen können diese Frage mit Nein beantworten.
Überwachung ist hier weiter gefasst, als viele denken: Tracking-basierte Werbung, Scoring und Bonitätsprüfung, Standortverfolgung, umfangreiche Videoüberwachung oder verhaltensbasiertes Profiling fallen darunter. Entscheidend ist, ob die Überwachung Teil Ihres Geschäftsmodells ist — nicht, ob Sie sie als solche bezeichnen. Eine Personalberatung, die systematisch Bewerberprofile abgleicht, kann ebenso betroffen sein wie ein Adtech-Anbieter.
Erfasst sind zwei Kategorien: besondere Datenkategorien nach Art. 9 DSGVO (unter anderem Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit, politische Meinungen, Daten zur sexuellen Orientierung) sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Der zweite Fall wird häufig übersehen — er trifft etwa Detekteien, bestimmte Sicherheitsdienstleister oder Unternehmen mit systematischen Compliance-Screenings.
Wichtig: Die Datenart allein genügt nicht. Es müssen sowohl das Merkmal der Kerntätigkeit als auch das der Umfänglichkeit erfüllt sein. Ein Krankenhaus oder ein großes Labor erfüllt beides. Eine Einzelpraxis in der Regel nicht.
Zwischenergebnis: Wenn Sie eine dieser drei Fragen mit Ja beantwortet haben, besteht die DSB-Pflicht nach DSGVO — unabhängig von der Unternehmensgröße. Andernfalls weiter zu Schritt 2. Drei Kriterien entscheiden in der Praxis am häufigsten über die DSB-Pflicht: die Mitarbeiterzahl, die Art der Datenverarbeitung und die Sensibilität der verarbeiteten Daten.
Genau diese drei Säulen greifen im nächsten Schritt ineinander: Die DSGVO regelt die grundsätzliche Pflicht, das deutsche BDSG verschärft sie für nichtöffentliche Stellen zusätzlich.
Hier übersehen viele Unternehmen ihre Pflicht. § 38 BDSG erweitert die Benennungspflicht für nichtöffentliche Stellen über die DSGVO hinaus — und zwar sowohl für Verantwortliche als auch für Auftragsverarbeiter. Es genügt, wenn einer der folgenden Tatbestände erfüllt ist.
Das ist in der Praxis der häufigste Grund für eine DSB-Pflicht im Mittelstand. Drei Punkte zur Zählweise:
Es zählt die Kopfzahl, nicht Vollzeitäquivalente. Teilzeitkräfte, Auszubildende, Praktikantinnen und Leiharbeitnehmer werden mitgezählt.
Es zählt die Tätigkeit, nicht das Gerät. Maßgeblich ist, ob die Person regelmäßig automatisiert personenbezogene Daten verarbeitet — nicht, ob sie an einem PC sitzt. Regelmäßige E-Mail-Kommunikation mit Kunden oder Kollegen kann genügen; die Bedienung einer Maschine ohne Personenbezug nicht.
Gezählt wird pro Verantwortlichem. Maßgeblich ist die einzelne juristische Person, nicht der Standort und nicht die Unternehmensgruppe. Eine Holding mit fünf GmbHs zu je zwölf Beschäftigten prüft fünfmal einzeln — und erreicht die Schwelle in keiner der Gesellschaften. Vorsicht ist bei gemeinsamer Verantwortlichkeit und bei konzernweiten Systemen geboten.
Eine DSFA ist nach Art. 35 DSGVO erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Einzelne Merkmale wie Profiling, innovative Technologien oder große Datenbestände führen nicht automatisch dorthin — in der Regel kommt es auf die Kombination mehrerer Risikokriterien an.
Verbindliche Orientierung geben die sogenannten Muss-Listen der Datenschutzkonferenz und der zuständigen Landesaufsichtsbehörde. Steht Ihre Verarbeitung dort, ist die DSFA zwingend — und damit auch der DSB, unabhängig von der Beschäftigtenzahl.
Dieser Tatbestand trifft vor allem Auskunfteien, Adresshändler, Marktforschungsinstitute und Unternehmen, deren Geschäftsmodell in der Weitergabe personenbezogener Daten besteht. Beachten Sie, dass § 38 BDSG die anonymisierte Übermittlung ausdrücklich mit einschließt — die Anonymisierung vor der Weitergabe befreit also nicht von der Pflicht.
Zwischenergebnis: Ein Ja genügt für die DSB-Pflicht nach BDSG. Sechsmal Nein führt zu Schritt 3.
Alle 15 arbeiten regelmäßig mit Kundendaten, CRM und E-Mail. Die Schwelle von 20 Personen ist nicht erreicht. Die Agentur betreibt zwar Kampagnen-Tracking für Kunden — das ist aber Dienstleistung im Auftrag und nicht ihre eigene Kerntätigkeit der Überwachung. Ergebnis: keine Pflicht. Zu prüfen bleibt die Rolle als Auftragsverarbeiter.
Gesundheitsdaten nach Art. 9 DSGVO werden als Kerntätigkeit verarbeitet — aber nicht umfangreich im Sinne der DSGVO, weil Patientenzahl und Reichweite begrenzt sind. Die 20-Personen-Schwelle ist ebenfalls nicht erreicht. Ergebnis: in der Regel keine Pflicht. Anders sieht es bei einem großen MVZ mit mehreren Standorten aus.
Das Produkt wertet Nutzerverhalten systematisch aus, um Scores und Empfehlungen zu erzeugen — über Zehntausende Endnutzer hinweg. Das ist regelmäßige, systematische Überwachung als Kerntätigkeit. Ergebnis: DSB-Pflicht, obwohl das Unternehmen klein ist. Die Mitarbeiterzahl spielt in diesem Fall keine Rolle.
Trifft keine der sechs Prüffragen zu, besteht keine gesetzliche Benennungspflicht. Alle übrigen Pflichten der DSGVO bleiben davon unberührt: Verzeichnis der Verarbeitungstätigkeiten, Informationspflichten, technische und organisatorische Maßnahmen, Betroffenenrechte, Löschkonzept. Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet — mit oder ohne DSB.
Viele Unternehmen benennen freiwillig einen DSB, um sich sauber aufzustellen. Was dabei häufig untergeht: Wer eine Person tatsächlich als „Datenschutzbeauftragten“ benennt, muss die Vorgaben der Art. 37 bis 39 DSGVO vollständig einhalten — Unabhängigkeit, Weisungsfreiheit, Ressourcenausstattung, direkte Berichtslinie zur Geschäftsleitung, Benachteiligungsverbot. Die freiwillige Benennung ist rechtlich keine abgeschwächte Variante.
Wer die Struktur ohne diese Bindung möchte, hat eine Alternative: eine Datenschutzkoordination. Eine benannte Ansprechperson bündelt die Datenschutzthemen intern, ohne den Titel und die Rechtsstellung des DSB zu tragen. Diese Unterscheidung empfiehlt auch der Europäische Datenschutzausschuss ausdrücklich — sie ist für viele KMU der praktikablere Weg.
Steht die Benennung fest, folgt die nächste Entscheidung. Ein interner DSB kennt die Abläufe aus erster Hand und ist jederzeit ansprechbar; dafür sind Interessenkonflikte zu prüfen, Fachkunde muss laufend fortgebildet werden und die Vertretung im Urlaubs- oder Krankheitsfall will geregelt sein. Ein externer DSB bringt Breitenerfahrung und planbare Kosten mit, muss aber wirksam in die internen Prozesse eingebunden werden.
Zwei Punkte, die häufig falsch dargestellt werden: Interessenkonflikte entstehen bei allen Funktionen, die über Zwecke und Mittel der Verarbeitung mitentscheiden — Geschäftsführung, IT-Leitung und Personalleitung sind nur die bekanntesten Beispiele. Und auch externe Dienstleister sind nicht automatisch konfliktfrei: Wer parallel die IT implementiert oder als Prozessverantwortlicher berät, kann sich selbst überwachen. Die Unabhängigkeit ist in beiden Modellen zu prüfen.
Ein Hinweis zum Kündigungsschutz: Der besondere Abberufungs- und Kündigungsschutz nach § 38 Abs. 2 i. V. m. § 6 BDSG greift nur bei verpflichtender Benennung, nicht bei freiwilliger. Er ist ein arbeitsrechtliches Planungsthema — ersetzt aber weder Fachkunde noch tatsächliche Unabhängigkeit des internen DSB.
Prüfen Sie mit einer kompakten Checkliste, ob und wie Sie einen Datenschutzbeauftragten korrekt bestellen – inklusive aller DSGVO-Pflichten und typischer Fehlerquellen, kostenlos als Download.
Die Verletzung der Art. 37 bis 39 DSGVO fällt unter Art. 83 Abs. 4 DSGVO. Der Bußgeldrahmen liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. In der Praxis reagieren Aufsichtsbehörden auf eine fehlende Benennung häufig zunächst mit Nachfragen und Anordnungen. Spätestens bei einer Betroffenenbeschwerde oder einer Datenpanne wird die Frage jedoch gestellt.
Deshalb ein praktischer Rat: Dokumentieren Sie das Ergebnis Ihrer Prüfung — mit Datum, geprüften Tatbeständen und Begründung. Eine nachvollziehbar dokumentierte Negativentscheidung ist im Ernstfall deutlich mehr wert als die mündliche Einschätzung, man sei wohl nicht betroffen.
Sie sind unsicher, ob Ihr Unternehmen einen Datenschutzbeauftragten benennen muss — oder welches Modell passt? Wir prüfen das mit Ihnen und dokumentieren das Ergebnis belastbar. Sprechen Sie uns an.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen