Datenschutz.

Die behördlichen, betrieblichen und kirchlichen Datenschutzbeauftragten der BfbA sind vom TÜV Rheinland zertifiziert und stehen Unternehmen, KMUs, Behörden und kirchlichen Einrichtungen regional in Berlin und Brandenburg zur Seite. Gemäß den Vorgaben des Bundesdatenschutzgesetzes (BDSG) und der Datenschutz-Grundverordnung (DSGVO) bieten wir umfassende Unterstützung und Beratung in allen datenschutzrelevanten Fragen.

Unsere Dienstleistungen umfassen:

Mit unserer umfassenden Unterstützung stellen wir sicher, dass Ihr Unternehmen alle datenschutzrechtlichen Anforderungen erfüllt und Ihre Datenverarbeitung sicher und rechtskonform organisiert ist. Unsere zertifizierten Datenschutzexperten bieten praxisnahe und zielgerichtete Lösungen, die den individuellen Bedürfnissen Ihres Unternehmens entsprechen.

Die Benennung eines Datenschutzbeauftragten (DSB) ist für viele Unternehmen und Organisationen in der EU gemäß der Datenschutz-Grundverordnung (DSGVO) gesetzlich vorgeschrieben. Die DSGVO soll den Schutz personenbezogener Daten gewährleisten und legt fest, unter welchen Bedingungen Unternehmen einen Datenschutzbeauftragten benennen müssen. Der folgende Abschnitt beleuchtet, welche Unternehmen dazu verpflichtet sind, ab welcher Beschäftigtenzahl diese Pflicht greift und welche Konsequenzen bei einer Nichtbenennung drohen.

Welche Unternehmen sind zur Benennung eines Datenschutzbeauftragten verpflichtet?

Unternehmen und Organisationen sind gemäß der DSGVO sowie den nationalen Datenschutzgesetzen unter bestimmten Voraussetzungen verpflichtet, einen DSB zu benennen. Diese Verpflichtung besteht darin, die Einhaltung des Datenschutzes sicherzustellen und den Schutz personenbezogener Daten im Unternehmen zu gewährleisten. Dabei spielt die Art und der Umfang der Datenverarbeitung eine entscheidende Rolle, während die Unternehmensgröße selbst nicht zwingend ausschlaggebend ist. Ein Datenschutzbeauftragter ist insbesondere dann erforderlich, wenn eine oder mehrere der folgenden Bedingungen erfüllt sind:

Regelmäßige und systematische Überwachung betroffener Personen. Unternehmen, die als Kerntätigkeit eine kontinuierliche und systematische Überwachung der betroffenen Personen vornehmen, sind zur Benennung eines Datenschutzbeauftragten verpflichtet. Solche Überwachungsmaßnahmen umfassen das Tracking von Nutzern auf Websites, die Videoüberwachung von öffentlichen oder betrieblichen Räumen oder das Monitoring des Nutzerverhaltens.

Verarbeitung besonderer Kategorien personenbezogener Daten. Die Verarbeitung sensibler oder besonders schützenswerter personenbezogener Daten stellt ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen dar. Nach Artikel 9 DSGVO umfassen diese „besonderen Kategorien“ unter anderem Daten zu Gesundheit, ethnischer Herkunft, religiöser oder politischer Überzeugung sowie biometrische Daten.

Geschäftsmäßige Verarbeitung personenbezogener Daten ab einer bestimmten Beschäftigtenzahl. In Unternehmen, die personenbezogene Daten geschäftsmäßig verarbeiten, ist ebenfalls die Benennung eines Datenschutzbeauftragten erforderlich, wenn die Verarbeitung von 20 oder mehr Beschäftigten dauerhaft vorgenommen wird. Dazu zählen Angestellte, die regelmäßig mit Daten arbeiten, z. B. in den Bereichen Personal, Kundenbetreuung oder Marketing.

Branchen mit erhöhten Datenschutzanforderungen. Branchen wie Gesundheitswesen, Finanzdienstleistungen oder IT sind häufig besonders verpflichtet, einen Datenschutzbeauftragten zu benennen. Auch Unternehmen, die Dienstleistungen für andere Organisationen erbringen und dabei Zugang zu personenbezogenen Daten haben – wie Lohnbuchhaltung, Gehaltsabrechnung oder IT-Dienstleister –, sind häufig zur Benennung eines Datenschutzbeauftragten verpflichtet.

Ab welcher Beschäftigtenzahl besteht die Pflicht zum Datenschutzbeauftragten?

Die DSGVO legt keine genaue Beschäftigtenzahl fest, ab der ein Datenschutzbeauftragter erforderlich ist, sondern macht diese Pflicht von der Art der Datenverarbeitung abhängig. Das Bundesdatenschutzgesetz (BDSG-neu) ergänzt jedoch diese Regelung und sieht die Benennung eines Datenschutzbeauftragten vor, wenn in der Regel mindestens 20 Beschäftigte ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Dabei ist es wichtig zu wissen, dass nicht nur Vollzeit-Mitarbeitende zählen, sondern auch Teilzeitkräfte, Auszubildende oder andere Angestellte, die regelmäßig Zugriff auf personenbezogene Daten haben. Unternehmen sollten regelmäßig prüfen, wie viele Beschäftigte mit der Datenverarbeitung beschäftigt sind, da ein Anstieg auf 20 und mehr Personen zur Pflicht der Benennung führt. Wenn diese Schwelle erreicht ist, müssen Unternehmen proaktiv einen Datenschutzbeauftragten benennen – entweder intern oder extern.

Wann und warum brauchen Unternehmen mehrere Datenschutzbeauftragte?

Die Vorgabe zur Benennung eines einzelnen DSB hat ihre Grundlage in der institutionellen Rolle und den Aufgaben, die damit verbunden sind: Der DSB soll als unabhängige Instanz agieren und so eine zentrale Ansprechperson für Datenschutzthemen bieten. Trotz dieser Regelung spricht jedoch nichts dagegen, zusätzliche Unterstützung zu organisieren, falls die Aufgaben für einen einzelnen DSB zu umfangreich werden – dann ist es sinnvoll, weitere Beschäftigte mit Fachkenntnissen im Datenschutz zu benennen, die den DSB bei seinen Aufgaben unterstützen. Für öffentliche Stellen ist die Benennung mehrerer DSBs nicht zulässig – hier bleibt die Verantwortung auf eine zentrale Position beschränkt. Unternehmen dagegen können jederzeit auch einen stellvertretenden DSB ernennen, auch wenn dies gesetzlich nicht vorgeschrieben ist.

Ab welchem Zeitpunkt ist ein Datenschutzbeauftragter erforderlich?

Bis zum 26. November 2019 war ein Datenschutzbeauftragter ab einer Schwelle von zehn Beschäftigten erforderlich. Diese Regelung basiert auf dem alten Bundesdatenschutzgesetz (BDSG) vor Einführung der DSGVO. Um kleine und mittlere Unternehmen sowie Selbstständige von bürokratischen Lasten zu entlasten, wurde diese Schwelle vom Bundestag angehoben. Seitdem gilt: Unternehmen müssen einen Datenschutzbeauftragten benennen, sobald mindestens 20 Beschäftigte ständig mit der automatisierten Verarbeitung personenbezogener Daten betraut sind. Dabei ist zu beachten, dass auch Praktikanten, Teilzeitkräfte und Freelancer in diese Zahl mit eingerechnet werden.

Was droht bei Nichtbenennung des Datenschutzbeauftragten?

Die DSGVO sieht bei Nichteinhaltung erhebliche Konsequenzen vor. Werden die Anforderungen an die Benennung eines Datenschutzbeauftragten nicht erfüllt, können sowohl Bußgelder als auch zusätzliche rechtliche Konsequenzen die Folge sein. Insbesondere bei Datenschutzverstößen kann das Fehlen eines Datenschutzbeauftragten als Verstoß gegen die DSGVO ausgelegt werden. Die Höhe des Bußgelds ist abhängig von mehreren Faktoren, z. B. dem Umsatz des Unternehmens, der Schwere des Verstoßes und der Kooperation des Unternehmens mit den Datenschutzbehörden. Die DSGVO sieht für Verstöße gegen die Bestimmungen zur Benennung eines Datenschutzbeauftragten Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweit erzielten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Zusätzlich können Imageschäden und ein Vertrauensverlust bei Kundinnen und Kunden das Unternehmen erheblich belasten.

Fazit: Frühzeitig handeln und rechtliche Anforderungen umsetzen

Unternehmen sollten regelmäßig überprüfen, ob sie einen Datenschutzbeauftragten benötigen, um den gesetzlichen Anforderungen der DSGVO und des BDSG-neu gerecht zu werden. Bei Unsicherheiten empfiehlt sich eine Beratung, um mögliche Verstöße und die damit verbundenen Konsequenzen zu vermeiden. Ein Datenschutzbeauftragter stellt nicht nur die gesetzliche Konformität sicher, sondern trägt auch zum langfristigen Vertrauen und zur Sicherheit in der Datenverarbeitung im Unternehmen bei.