Die Frage „Wer braucht einen Datenschutzbeauftragten?“, beschäftigt viele Unternehmen. Tatsächlich gibt es keine allgemeingültige Antwort darauf, denn sowohl der Umfang als auch der Zweck der Datenverarbeitung beeinflussen die Vorschriften. Zusätzlich sind in Deutschland weitere Vorgaben des BDSG zu erfüllen. Das macht die Thematik für Laien komplex und schwer nachvollziehbar.
Was schreibt die DSGVO vor?
Wann ein Datenschutzbeauftragter für Datenschutz am Arbeitsplatz erforderlich ist, schreiben die DSGVO und das BDSG vor. Unausweichlich ist die Bestellung in folgenden Fällen:
- Die Kerntätigkeit des Unternehmens besteht in der Datenverarbeitungsaktivität. Dabei kommt es zu einer regelmäßigen, umfassenden oder systematischen Überwachung von Datensubjekten.
- Die Hauptaufgabe einer Firma liegt in der umfangreichen Verarbeitung von sensiblen Informationen. Insbesondere personenbezogene Daten mit gesundheitlichen oder strafrechtlichen Hintergründen machen einen Datenschutzbeauftragten erforderlich.
Wichtig ist, dass es sich in beiden Fällen um ein regelmäßiges und systematisches Vorgehen handelt. Auch die umfassende Datenmenge trägt dazu bei, dass Datenschutzverstöße schnell unerwünschte Folgen mit sich bringen könnten. Deshalb unterscheidet die DSGVO beispielsweise zwischen den Bereichen Krankenversicherung und Arztpraxis. Obwohl sich beide mit medizinischen Daten befassen, verfügt der Arzt keinesfalls über eine umfassende Datenverarbeitung.
Wer muss einen Datenschutzbeauftragten benennen?
Die Frage „Wer braucht einen Datenschutzbeauftragten?“, geht Hand in Hand mit der Benennung eines solchen Experten. Diese beiden Punkte regeln ebenfalls die DSGVO und das BDSG. Allerdings bleibt es der Firma selbst überlassen, ob ein interner oder externer Datenschutzbeauftragter benannt wird.
- Jedes Unternehmen, das mindestens zehn Personen mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt, benötigt einen solchen Experten.
- Unabhängig von der Mitarbeiteranzahl braucht jede Organisation einen Datenschutzbeauftragten, die personenbezogene Informationen verarbeitet.
- Firmen, die solche Daten für die Übermittlung, die anonymisierte Übertragung oder für die Markt- und Meinungsforschung nutzen, benötigen ebenfalls einen Datenschutzbeauftragten.
- Notwendig ist ein Experte für den Datenschutz für Unternehmen, die Personen systematisch, umfangreich oder regelmäßig überwachen.
- Organisationen, die kritische Daten verwalten, sind ebenfalls dazu gezwungen, einen Datenschutzbeauftragten zu bestellen. Dazu gehören insbesondere Gesundheitsdaten, genetische Datenbestände und biometrische Informationen. Des Weiteren berücksichtigt die Gesetzesgrundlage Daten über die politische Meinung, ethnische Herkunft, das Sexualleben und religiöse Überzeugungen.
Vor allem kleinere Unternehmen fragen sich in solchen Fällen: Wer kann Datenschutzbeauftragter werden? Reicht es aus, einen Mitarbeiter aus der IT-Abteilung mit dieser Tätigkeit zu betrauen? Oder ist tatsächlich ein speziell ausgebildeter Mitarbeiter notwendig? Auf der sicheren Seite sind Unternehmen, die sich zunächst für eine Datenschutzberatung entscheiden. Hier lassen sich alle Fragen rund um den internen Bedarf klären. Grundsätzlich gilt jedoch: Ein Datenschutzbeauftragter ist ein Experte, der sich im Bereich Datenschutzrecht und Datenschutzpraxis auskennt. Die Grundlage dafür ist stets eine berufliche Qualifikation, die es erlaubt, die vorliegenden Gegebenheiten richtig zu beurteilen.
Ab wann ist ein Datenschutzbeauftragter Pflicht?
Die täglichen Aufgaben als Datenschutzbeauftragter erfüllt der Experte unter Beachtung strenger gesetzlicher Vorschriften. Da sich diese Grundlagen auf unterschiedliche Bereiche spezialisieren, ist ein Datenschutzbeauftragter in folgenden Fällen verpflichtend:
- Sobald es zur Verarbeitung von besonders sensiblen oder umfangreichen Daten
- Sollten mehr als zehn Mitarbeiter die personenbezogenen Daten verarbeiten, ist ein solcher Experte ebenfalls Pflicht.
- Öffentliche Stellen oder Behörden sind gemäß DSGVO ebenfalls zur Benennung angehalten. Gerichte sind im Rahmen ihrer justiziellen Tätigkeit davon ausgeschlossen.
- Geht es bei der eigenen Kerntätigkeit darum, besondere Arten von personenbezogenen Daten zu bearbeiten, ist die Benennung unausweichlich. Das gilt auch dann, wenn Personen regelmäßig und systematisch überwacht werden.
- Unter Umständen kann es vorkommen, dass Unternehmensgruppen einen gemeinsamen Datenschutzbeauftragten bestellen. Das ist grundsätzlich möglich, sollte jedoch vorab geprüft werden.
Wer einen Datenschutzbeauftragten braucht, ist demnach von Unternehmen zu Unternehmen individuell zu betrachten. Die Grundlage dafür sind stets die Bedingungen, die die DSGVO an die Verarbeitung von personenbezogenen Daten stellt.
Wichtig ist: „Wer braucht einen Datenschutzbeauftragten?“, ist nicht immer eine Frage der rechtlichen Auslegung. Selbst wenn laut DSGVO keine Benennung notwendig ist, kann ein solcher Experte das Unternehmen bei der täglichen Arbeit unterstützen. Es muss sich deshalb nicht immer um besonders sensible oder sehr umfangreiche Datenmengen handeln. Vielmehr unterstützt ein Datenschutzbeauftragter dabei die Datenhaltung und -verarbeitung so sicher wie möglich zu gestalten.
Bild: AdobeStock_259723371, MQ-Illustrations
