Datenschutzbeauftragter: Wann ist er Pflicht? Die 20-Personen-Regel

Kaum eine Frage erreicht uns aus kleinen und mittleren Unternehmen so häufig wie diese: „Brauchen wir eigentlich einen Datenschutzbeauftragten?“ Zum Jahreswechsel hat sich die Antwort für viele Betriebe geändert. Mit dem Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz EU wurde die Schwelle in § 38 Abs. 1 BDSG angehoben: Seit dem 26. November 2019 ist ein Datenschutzbeauftragter nach deutschem Recht erst dann zwingend zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zuvor lag die Grenze bei zehn Personen.

Was auf den ersten Blick nach einer großen Entlastung klingt, hat jedoch einige Haken. Wir zeigen, wie Sie die Pflicht für Ihr Unternehmen richtig prüfen.

Zwei Rechtsgrundlagen: DSGVO und BDSG

Die Benennungspflicht ergibt sich aus zwei Quellen. Art. 37 DSGVO verlangt einen Datenschutzbeauftragten unabhängig von der Mitarbeiterzahl, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten, etwa Gesundheitsdaten. Zusätzlich hat der deutsche Gesetzgeber in § 38 BDSG eigene Tatbestände geschaffen. Neben der 20-Personen-Grenze gilt dort: Wer Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wer personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet, muss unabhängig von der Personenzahl einen Datenschutzbeauftragten benennen.

Wer zählt zu den 20 Personen?

Entscheidend ist nicht die Zahl der Arbeitsverträge, sondern wie viele Personen „ständig“ mit der automatisierten Verarbeitung personenbezogener Daten betraut sind. Dazu gehören in der Praxis nahezu alle Beschäftigten, die regelmäßig am Computer mit Kunden-, Lieferanten- oder Beschäftigtendaten arbeiten, also Vertrieb, Buchhaltung, Personalabteilung, Kundenservice und Geschäftsführung. Teilzeitkräfte, Auszubildende und freie Mitarbeiter zählen grundsätzlich als volle Köpfe mit, wenn sie diese Tätigkeit regelmäßig ausüben. Wer lediglich gelegentlich einen Lieferschein scannt, wird dagegen eher nicht erfasst.

Unser Tipp: Erstellen Sie eine einfache Liste aller Personen mit Zugriff auf IT-Systeme, in denen personenbezogene Daten gespeichert sind, und dokumentieren Sie die Prüfung. So können Sie gegenüber einer Aufsichtsbehörde später nachvollziehbar darlegen, warum Sie die Pflicht verneint haben.

Keine Pflicht heißt nicht: keine Pflichten

Der wohl größte Irrtum: Wer unter der Schwelle bleibt, muss sich nicht um Datenschutz kümmern. Das ist falsch. Sämtliche Pflichten der DSGVO gelten unabhängig davon, ob ein Datenschutzbeauftragter benannt ist. Dazu zählen insbesondere

• die Informationspflichten nach Art. 13 und 14 DSGVO (Datenschutzhinweise),
• das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO,
• technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
• Verträge zur Auftragsverarbeitung mit Dienstleistern nach Art. 28 DSGVO,
• die Bearbeitung von Betroffenenanfragen, etwa Auskunftsersuchen nach Art. 15 DSGVO,
• die Meldung von Datenschutzverletzungen nach Art. 33 DSGVO.

Die Verantwortung trägt in kleinen Unternehmen dann unmittelbar die Geschäftsleitung. Gerade deshalb kann es sinnvoll sein, freiwillig einen internen oder externen Datenschutzbeauftragten zu benennen oder sich zumindest regelmäßig beraten zu lassen. Wie wichtig die Unabhängigkeit dieser Funktion ist, zeigt auch die Diskussion um die Unabhängigkeit der Datenschutzaufsicht, über die wir bereits früher berichtet haben.

Intern oder extern?

Besteht eine Pflicht, haben Unternehmen die Wahl. Ein interner Datenschutzbeauftragter kennt die Abläufe, braucht aber die erforderliche Fachkunde, ausreichend Zeit und darf nicht in einen Interessenkonflikt geraten. Geschäftsführer, IT-Leiter oder Personalleiter scheiden deshalb regelmäßig aus. Zudem genießt ein interner Datenschutzbeauftragter nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG einen besonderen Kündigungsschutz. Ein externer Datenschutzbeauftragter bringt Erfahrung aus vielen Unternehmen mit und lässt sich vertraglich flexibler einbinden. Welche Lösung passt, hängt von Größe, Branche und Datenvolumen ab.

Was ist nach der Benennung zu tun?

Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht, etwa in der Datenschutzerklärung der Website, und der zuständigen Aufsichtsbehörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO). Außerdem ist der Datenschutzbeauftragte frühzeitig in alle Fragen einzubinden, die den Schutz personenbezogener Daten betreffen, und mit den nötigen Ressourcen auszustatten. Die inhaltlichen Pflichten der DSGVO bleiben davon unberührt; sie gelten mit und ohne Datenschutzbeauftragten.

Ob Ihr Betrieb einen Datenschutzbeauftragten benennen muss, prüfen wir gern gemeinsam mit Ihnen. Schreiben Sie uns über das Kontaktformular oder vereinbaren Sie direkt einen Online-Termin.