Verpflichtung zur Benennung eines Datenschutzbeauftragten gemäß § 38 BDSG

Unternehmen sind gemäß § 38 BDSG verpflichtet, einen Datenschutzbeauftragten zu benennen, wenn regelmäßig mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Automatisierte Verarbeitung bedeutet, dass Daten mit Hilfe von Datenverarbeitungsanlagen wie Computern oder Tablets verarbeitet werden.

Zusätzlich zur Mitarbeiterzahl gibt es weitere Gründe, einen Datenschutzbeauftragten zu benennen:

• Datenschutz-Folgenabschätzung: Wenn Verarbeitungen vorgenommen werden, die eine Datenschutz-Folgenabschätzung erfordern.
• Markt- oder Meinungsforschung: Wenn personenbezogene Daten geschäftsmäßig für diese Zwecke verarbeitet werden.
• Sensible Daten: Wenn die Kerntätigkeit des Unternehmens die umfangreiche Verarbeitung besonderer Kategorien von Daten oder personenbezogener Daten über Verurteilungen und Straftaten umfasst.

Sind Sie unsicher, ob Ihr Unternehmen einen Datenschutzbeauftragten benötigt? Kontaktieren Sie uns gerne für eine individuelle Beratung.

Obwohl die DSGVO keine schriftliche Benennung von Datenschutzbeauftragten mehr vorschreibt, ist es aus Beweisgründen und zur Rechtsklarheit empfehlenswert, diese schriftlich festzuhalten. Zudem sollte der Verantwortliche im Vertrag die Aufgaben der Datenschutzbeauftragten explizit festlegen, um Klarheit über deren Zuständigkeiten zu schaffen.

Sobald die Voraussetzungen erfüllt sind, muss die Benennung unverzüglich erfolgen. Das Unternehmen veröffentlicht anschließend die Kontaktdaten des Datenschutzbeauftragten und informiert die zuständige Aufsichtsbehörde. Damit ist die Bestellung des internen oder externen Datenschutzbeauftragten abgeschlossen.

Für die Einhaltung der DSGVO ist datenschutzrechtlich das Unternehmen verantwortlich, da es über die Zwecke und Mittel der Datenverarbeitung entscheidet. Diese Verantwortung liegt immer beim Unternehmen und nie beim Datenschutzbeauftragten.

Gemäß Art. 39 DSGVO hat der interne oder externe Datenschutzbeauftragte die Aufgabe, das Unternehmen und dessen Beschäftigte über ihre datenschutzrechtlichen Pflichten zu unterrichten und zu beraten. Dabei soll der Datenschutzbeauftragte nicht nur die einschlägigen Vorschriften wiedergeben, sondern das Unternehmen aktiv bei der Lösung konkreter Probleme unterstützen, die bei der Umsetzung von Datenschutzmaßnahmen auftreten können.

Die Haftung des Datenschutzbeauftragten variiert je nach Art der Fahrlässigkeit:

• Vorsatz oder grobe Fahrlässigkeit: Der Datenschutzbeauftragte haftet in vollem Umfang.
• Normale Fahrlässigkeit: Die Haftung wird zwischen Arbeitgeber und Arbeitnehmer anteilig aufgeteilt.
• Leichte Fahrlässigkeit: Der interne Datenschutzbeauftragte haftet in der Regel nicht.

Beim externen Datenschutzbeauftragten ist die Lage anders. Er haftet vollumfänglich, wenn er seinen vertraglichen Beratungspflichten nicht nachkommt, etwa durch Falschberatung. Aus diesem Grund ist die Bestellung eines externen Datenschutzbeauftragten für Unternehmen oft vorteilhaft.

Eine bedeutende Neuerung im Datenschutzrecht unter der DSGVO ist die Pflicht zur Zusammenarbeit und Kooperation mit der Aufsichtsbehörde. Im Gegensatz zur alten Rechtslage sind interne und externe Datenschutzbeauftragte nun berechtigt, direkt mit der Aufsichtsbehörde zu kommunizieren. Dies ist auch für die Aufsichtsbehörde relevant, da sie sich in der Vergangenheit in erster Linie an die Unternehmensleitung wenden musste.

Der interne oder externe Datenschutzbeauftragte wird diese Kommunikation in enger Abstimmung mit der Geschäftsführung pflegen, um eine reibungslose Zusammenarbeit mit den Aufsichtsbehörden sicherzustellen.