Wann ist ein Datenschutzbeauftragter erforderlich?
Für private Unternehmen in Deutschland ergibt sich die Pflicht zur Benennung eines Datenschutzbeauftragten aus der DSGVO und ergänzend aus § 38 BDSG. In der Praxis ist nicht nur die Mitarbeiterzahl entscheidend. Auch Art und Umfang der Verarbeitung können unabhängig von der Unternehmensgröße eine Benennung erforderlich machen.
Nach § 38 BDSG ist grundsätzlich ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Weitere Fälle – unabhängig von der Zahl der Beschäftigten
Eine Pflicht kann insbesondere bestehen, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen umfasst oder wenn besondere Kategorien personenbezogener Daten umfangreich verarbeitet werden. Das BDSG nennt außerdem bestimmte Fälle, in denen eine Datenschutz-Folgenabschätzung erforderlich ist oder personenbezogene Daten geschäftsmäßig für bestimmte Zwecke verarbeitet werden.
Was übernimmt ein externer Datenschutzbeauftragter?
Beratung
Unterstützung der Geschäftsleitung und Fachbereiche bei datenschutzrechtlichen Fragen und neuen Vorhaben.
Kontrolle
Überprüfung der Einhaltung datenschutzrechtlicher Vorgaben und der vereinbarten internen Maßnahmen.
Dokumentation
Unterstützung bei Verzeichnissen, Richtlinien, Datenschutz-Folgenabschätzungen und weiteren Nachweisen.
Ansprechpartner
Kontakt für Betroffene und Aufsichtsbehörden sowie Begleitung bei Datenschutzvorfällen und Auskunftsanfragen.
Praxis statt Papier
Datenschutz sollte Abläufe nicht unnötig erschweren. Ziel ist eine Umsetzung, die rechtliche Anforderungen erfüllt und zugleich im täglichen Betrieb funktioniert. Dazu gehört auch die enge Abstimmung mit IT, Personal, Geschäftsleitung und bestehenden Dienstleistern.
Häufige Fragen zu Datenschutzberatung und externe Datenschutzbetreuung
Wann benötigt ein Unternehmen einen Datenschutzbeauftragten?
In Deutschland ist nach § 38 BDSG grundsätzlich ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zusätzlich können die Voraussetzungen des Art. 37 DSGVO unabhängig von dieser Personenzahl eine Benennung erforderlich machen.
Kann ein Unternehmen einen externen Datenschutzbeauftragten bestellen?
Ja. Art. 37 Abs. 6 DSGVO sieht ausdrücklich vor, dass der Datenschutzbeauftragte Beschäftigter des Verantwortlichen oder Auftragsverarbeiters sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen kann.
Welche Aufgaben hat ein Datenschutzbeauftragter?
Zu den gesetzlichen Aufgaben gehören insbesondere die Unterrichtung und Beratung, die Überwachung der Einhaltung datenschutzrechtlicher Vorgaben, die Beratung zur Datenschutz-Folgenabschätzung sowie die Zusammenarbeit mit der Aufsichtsbehörde.
Zuletzt fachlich geprüft: