„Brauchen wir eigentlich einen Datenschutzbeauftragten?“ Diese Frage stellen uns Geschäftsführer meist dann, wenn ein Kunde, ein Auditor oder ein Schreiben der Aufsichtsbehörde danach fragt. Die gute Nachricht: Ob ein Datenschutzbeauftragter Pflicht ist, lässt sich in den meisten Fällen schnell beantworten. Die weniger gute: Die Grenze liegt niedriger, als viele denken. Wir beantworten die häufigsten Fragen nach dem aktuellen Stand des Bundesdatenschutzgesetzes (BDSG) und geben einen Ausblick auf die Datenschutz-Grundverordnung.
Ab wann ist ein Datenschutzbeauftragter Pflicht?
Maßgeblich ist derzeit § 4f BDSG. Ein nicht-öffentliches Unternehmen muss einen Beauftragten für den Datenschutz bestellen, wenn
- in der Regel mehr als neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, also zehn oder mehr, oder
- mindestens 20 Personen personenbezogene Daten auf andere Weise verarbeiten, etwa in Papierakten, oder
- das Unternehmen Verarbeitungen durchführt, die einer Vorabkontrolle unterliegen, oder personenbezogene Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet. Dann gilt die Pflicht unabhängig von der Personenzahl.
„Automatisierte Verarbeitung“ klingt technisch, meint aber schlicht: Arbeit am Computer mit Daten von Menschen. Wer E-Mails mit Kunden schreibt, eine Kundendatenbank pflegt, Rechnungen erstellt oder Bewerbungen sichtet, gehört dazu. In einem typischen Büro ist das fast jeder.
Wer zählt bei den zehn Personen mit?
Gezählt werden Köpfe, nicht Vollzeitstellen. Dazu gehören in der Regel:
- Vollzeit- und Teilzeitkräfte, auch Minijobber
- Auszubildende und Praktikanten, wenn sie regelmäßig mit solchen Daten arbeiten
- je nach Konstellation auch freie Mitarbeiter und Leiharbeitnehmer
„Ständig“ heißt nicht „den ganzen Tag“, sondern auf Dauer angelegt. Wer regelmäßig Kundendaten im System bearbeitet, ist ständig damit beschäftigt, auch wenn es nur ein Teil seiner Aufgaben ist. Kurzfristige Aushilfen, die einmalig mitarbeiten, zählen dagegen eher nicht.
Die wichtigsten Fragen im Überblick
| Frage | Antwort nach aktuellem BDSG |
|---|---|
| Bis wann muss bestellt werden? | spätestens einen Monat nach Aufnahme der Tätigkeit bzw. nach Erreichen der Schwelle |
| In welcher Form? | schriftlich |
| Wer darf es werden? | eine Person mit Fachkunde und Zuverlässigkeit, intern oder extern |
| Wer eher nicht? | Geschäftsführer, IT-Leiter, Personalleiter, da Interessenkonflikt |
| Welche Folgen bei Verstoß? | Ordnungswidrigkeit, Bußgeld bis 50.000 Euro möglich |
Intern oder extern?
Beides ist erlaubt, beides hat Vor- und Nachteile.
Interner Datenschutzbeauftragter
Ein eigener Mitarbeiter kennt die Abläufe und ist schnell ansprechbar. Er muss aber ausreichend Zeit für die Aufgabe bekommen und regelmäßig fortgebildet werden. Wichtig zu wissen: Ein interner Datenschutzbeauftragter genießt einen besonderen Kündigungsschutz, der auch nach dem Ende der Funktion noch eine Zeit lang nachwirkt. Das sollte man vor der Bestellung bedenken.
Externer Datenschutzbeauftragter
Ein externer Dienstleister bringt Erfahrung aus vielen Unternehmen mit, ist nicht in interne Interessenkonflikte verstrickt und kostet keine eigene Fortbildung. Dafür muss er sich in Ihre Abläufe erst einarbeiten. Für kleine und mittlere Unternehmen ist die externe Lösung oft wirtschaftlicher, weil der Aufwand planbar ist.
Was macht ein Datenschutzbeauftragter eigentlich?
Er ist kein Verhinderer, sondern Berater und Kontrolleur in einem. Zu seinen typischen Aufgaben gehören:
- Verfahren und Abläufe mit personenbezogenen Daten erfassen
- neue Software und Dienstleister vorab auf Datenschutz prüfen
- Mitarbeiter schulen und für das Thema sensibilisieren
- Verträge zur Auftragsdatenverarbeitung prüfen
- Ansprechpartner für Betroffene und für die Aufsichtsbehörde sein
Wichtig: Die Verantwortung für den Datenschutz bleibt bei der Geschäftsführung. Der Datenschutzbeauftragte wirkt darauf hin, dass Regeln eingehalten werden, er haftet nicht anstelle des Unternehmens.
Und wenn wir unter der Schwelle liegen?
Dann entfällt nur die Pflicht zur Bestellung, nicht die Pflicht zum Datenschutz. Auch ein Betrieb mit fünf Mitarbeitern muss Kundendaten schützen, Auskunft geben können und Dienstleister vertraglich verpflichten. In kleinen Unternehmen ist dann die Geschäftsführung selbst zuständig. Viele holen sich trotzdem punktuell Unterstützung, etwa für die Datenschutzerklärung der Website oder eine kurze Mitarbeiterschulung.
Was ändert sich mit der DSGVO?
Die Datenschutz-Grundverordnung ist im Mai 2016 in Kraft getreten und gilt ab dem 25. Mai 2018. Sie sieht einen Datenschutzbeauftragten vor allem dann vor, wenn die Kerntätigkeit eines Unternehmens in umfangreicher Überwachung von Personen oder in der umfangreichen Verarbeitung besonders sensibler Daten besteht. Gleichzeitig erlaubt sie den Mitgliedstaaten, weitergehende Regeln zu treffen.
Wie der deutsche Gesetzgeber diese Möglichkeit nutzt, ist derzeit noch nicht abschließend entschieden; ein Anpassungsgesetz wird gerade erarbeitet. Es spricht einiges dafür, dass die bewährte deutsche Schwelle in ähnlicher Form erhalten bleibt. Wer heute einen Datenschutzbeauftragten braucht, sollte also nicht auf 2018 warten, sondern die Zeit nutzen, um sich gemeinsam mit ihm auf die neuen Pflichten vorzubereiten.
Kurz-Check: Brauchen Sie einen Datenschutzbeauftragten?
- Arbeiten bei Ihnen zehn oder mehr Personen regelmäßig am Computer mit Kunden-, Mitarbeiter- oder Lieferantendaten?
- Arbeiten 20 oder mehr Personen mit Papierakten, die Personendaten enthalten?
- Verarbeiten Sie Gesundheitsdaten, betreiben Sie Videoüberwachung oder Adresshandel?
Wenn Sie eine dieser Fragen mit Ja beantworten, ist die Bestellung sehr wahrscheinlich Pflicht. Im Zweifel lohnt sich eine kurze Prüfung im Einzelfall.
Wir helfen Ihnen gerne
Sie möchten wissen, ob Sie einen Datenschutzbeauftragten brauchen, oder suchen einen externen Ansprechpartner, der Ihr Unternehmen auch durch die Umstellung auf die DSGVO begleitet? Das Datenschutz-Team der Mittelstandsoptimierer berät Sie gerne. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
