Datenschutz

Datenschutzbeauftragter

I. Wann muss ein Datenschutzbeauftragter bestellt werden?

Ein Datenschutzbeauftragter muss ab der Anzahl von zwanzig Mitarbeitern, die im Unter-nehmen ständig und automatisiert personenbezogene Daten verarbeiten, bestellt werden. 
Zu den Mitarbeitern zählen hierbei Voll- und Teilzeitkräfte, Leiharbeitnehmer, Auszubildende, freie Mitarbeiter und Praktikanten sowie Beschäftigte im Home-Office oder in Tele-Arbeit.
Beachte: Wichtig ist dabei ist, dass die Mitarbeiter regelmäßig und „automatisiert“ Daten verarbeiten, also zum Beispiel Kundenbetreuer, Callcenter-Mitarbeiter oder Personalabteilung, und zwar per PC, Tablet, Smartphone. Nicht gemeint sind Personen, die keinen oder nur selten mit personenbezogenen Daten umgehen, wie Lager-Arbeiter, Reinigungskräfte oder LKW-Fahrer.
Sinken die Mitarbeiter kurzzeitig auf eine Anzahl unterhalb der Grenze von zwanzig Mitarbeitern führt dies nicht zum Wegfall der Bestellpflicht. Entscheidend ist der durchschnittliche Personalbestand innerhalb eines Geschäftsjahres.
Auch bei weniger Mitarbeitern ist ein Datenschutzbeauftragter zu benennen, wenn die Haupttätigkeit des Unternehmens darin besteht, regelmäßig und systematisch personenbezogene Daten zu beobachten, zum Beispiel: datengesteuerte Marketingaktivitäten wie verhaltensbasierte Werbung, Scoring zu Zwecken der Kreditvergabe oder Versicherungsprämien, Standortverfolgung, künstliche Intelligenz, Daten in Alltagsgegenständen (zum Beispiel smarte Haushaltsgeräte und Autos). 
Zudem ist unabhängig von der Mitarbeiterzahl ein Datenschutzbeauftragter zu bestellen, wenn besonders sensible Daten verarbeitet werden, wie Gesundheitsdaten, ist stets ein Datenschutzbeauftragter zu bestellen
Im Übrigen kann das Unternehmen jederzeit freiwillig einen Datenschutzbeauftragten bestellen. 
Beachte: Dann auch wenn ein Unternehmen keinen Datenschutzbeauftragen benötigt, muss der Datenschutz im Unternehmen trotzdem eingehalten werden.  

II. Wer kann Datenschutzbeauftragter sein?

Die Position des Datenschutzbeauftragten kann innerhalb des Betriebs durch einen eigenen Mitarbeiter besetzt werden, wenn dieser persönlich und fachlich geeignet ist. 
Die Alternative ist eine externe Person, zum Beispiel ein Rechtsanwalt, als Datenschutzbeauftragter zu bestellen. 
Für eine Unternehmensgruppe kann ein gemeinsamer Datenschutzbeauftragter benannt werden. Dieser muss jedoch von jeder Niederlassung aus leicht erreichbar sein.
Eine Person, die in einen Interessenkonflikt geraten könnte oder sich am Ende selbst kontrolliert, darf nicht zum Datenschutzbeauftragten bestellt werden. Darunter fallen insbesondere Mitglieder der Unternehmensleitung, IT- und Personalleiter sowie IT- Administratoren.

III. Anforderungen an Bestellung, Stellung und Aufgaben

Fachliche Voraussetzungen

Der Datenschutzbeauftragte muss aufgrund der beruflichen Qualifikation und des Fachwissens benannt werden. Zu den Fachkundevoraussetzungen gehört ein Verständnis der daten-schutzrechtlichen Vorschriften, sowie  grundsätzliche Kenntnisse der Informations- und Telekommunikationstechnologie und der Datensicherheit. Diese Mindestkenntnisse müssen bereits zum Zeitpunkt der Bestellung vorliegen.

Form

Eine Form und bestimmte Dauer für die Bestellung besteht nicht; die Bestellung sollte aus Nachweisgründen in Textform erfolgen. 
Hier finden Sie ein Muster für eine Bestellung. (DOCX-Datei · 13 KB)

Veröffentlichung der Kontaktdaten

Die Kontaktdaten des Datenschutzbeauftragten sind zu veröffentlichen (zum Beispiel in der Datenschutzerklärung auf der Unternehmenshomepage) und sind der jeweiligen Landesdatenschutzbehörde zu melden. Hierfür gibt es ein elektronisches Formular bei den Aufsichtsbehörden.

Stellung

Der Datenschutzbeauftragte ist weisungsunabhängig bzgl. seiner Aufgabenerfüllung. Er darf wegen der Erfüllung seiner Aufgaben weder abberufen noch benachteiligt werden.
Der Datenschutzbeauftragte ist frühzeitig in alle datenschutzrechtlichen Fragen einzubinden. Zur Aufgabenerfüllung ist ihm das notwendige Zeitbudget sowie die nötige Unterstützung (Fortbildung, finanzielle, materielle und personelle Ausstattung) zu gewähren.
Dem Datenschutzbeauftragten ist Zugang zu allen personenbezogenen Daten und damit zusammenhängenden Verarbeitungsvorgängen zu geben.
Der Datenschutzbeauftragte ist zur Wahrung der Geheimhaltung und Vertraulichkeit bei der Erfüllung seiner Aufgaben verpflichtet. Dies gilt insbesondere in Bezug auf die Identität von betroffenen Personen, die sich an den Datenschutzbeauftragten gewandt haben.
Dem Datenschutzbeauftragten steht ein besonderer Kündigungsschutz zu. Das Arbeitsverhältnis darf während der Tätigkeit als Datenschutzbeauftragter und nach Beendigung für ein Jahr nicht gekündigt werden, es sei denn die Kündigung erfolgt aus wichtigem Grund.

Aufgaben

Der Datenschutzbeauftragte hat folgende Aufgaben zu erfüllen:
  • Beratung bei datenschutzrechtlichen Fragen.
  • Überwachung und Einhaltung der datenschutzrechtlichen Vorschriften (DSGVO, BDSG sowie weitere Rechtsvorschriften) sowie der unternehmenseigenen Datenschutzbestimmungen und Schulung von Mitarbeitern.
  • Kommunikation mit der Datenschutzaufsichtsbehörde.
  • Ansprechpartner für betroffene Personen und Mitarbeiter zu allen mit der Verarbeitung ihrer Daten und mit der Wahrnehmung ihrer Rechte zusammenhängenden Vorgänge.
  • Über diese Aufgaben hinaus nimmt er eine beratende und unterstützende Funktion ein.
Insbesondere sind hier zu nennen:
  • Unterstützung des Verantwortlichen bei der Etablierung von Prozessen beziehungsweise Dokumentationen zur Erfüllung datenschutzrechtlicher Pflichten, Unterstützung bei der Meldepflicht- und Benachrichtigungspflicht bei Datenschutzverletzungen sowie Erfüllung der Betroffenenrechte (Recht aus Auskunft, Berichtigung, Einschränkung der Datenverarbeitung, und Löschen von Daten).
  • Unterstützung bei der Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten. 
Bei der Erfüllung seiner Aufgaben entscheidet der Datenschutzbeauftragte selbst, welche Verarbeitungsvorgänge er aufgrund des damit jeweilig verbundenen Risikos vorrangig prüft.

IV. Haftung

Nach den Leitlinien der sogenannten Artikel-29-Datenschutzgruppe (unabhängiges Beratungsgremium der Europäischen Kommission in Fragen des Datenschutzes) vom April 2017 trägt der Datenschutzbeauftragte im Falle der Nichteinhaltung der DSGVO keine persönliche Verantwortung. Es ist Sache des Verantwortlichen sicherzustellen und nachzuweisen, dass die datenschutzrechtlichen Anforderungen eingehalten werden. 
Wird es versäumt den Datenschutzbeauftragten zu bestellen, kann dies mit einem Bußgeld belegt werden (entsprechend der DSGVO mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes).
Hinweis: Diese Informationen sollen nur erste Hinweise in übersichtlicher Form geben und erheben daher keinen Anspruch auf Vollständigkeit. Obwohl sie mit größtmöglicher Sorgfalt erstellt wurden, kann eine Haftung für die inhaltliche Richtigkeit nicht übernommen werden. 
Stand: November 2023