Die Frage, ob ein Unternehmen einen Datenschutzbeauftragten braucht, ist meist schnell beantwortet. Nach § 38 BDSG gilt die Pflicht in der Regel, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl gilt sie, wenn Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern oder Daten geschäftsmäßig zum Zweck der Übermittlung oder für die Markt- und Meinungsforschung verarbeitet werden. Weniger klar ist vielen, was danach kommt. Eine Person auszuwählen reicht nicht. Die DSGVO verlangt eine förmliche Benennung, die nach außen sichtbar ist.
Schritt 1: Die richtige Person auswählen
Art. 37 Abs. 5 DSGVO verlangt berufliche Qualifikation und Fachwissen im Datenschutzrecht und in der Datenschutzpraxis. Ebenso wichtig ist Art. 38 Abs. 6: Der Datenschutzbeauftragte darf keine Aufgaben haben, die zu einem Interessenkonflikt führen. Wer selbst über Zwecke und Mittel einer Verarbeitung entscheidet, kann sich nicht unabhängig kontrollieren. Geschäftsführer, IT-Leiter oder Personalleiter scheiden deshalb in aller Regel aus.
Nach Art. 37 Abs. 6 DSGVO können Sie einen eigenen Beschäftigten benennen oder die Aufgabe per Dienstleistungsvertrag an einen externen Datenschutzbeauftragten vergeben. Gerade kleinere Unternehmen ohne passenden Kandidaten im Haus wählen den externen Weg, weil er den Interessenkonflikt von vornherein vermeidet.
Schritt 2: Schriftlich benennen
Die DSGVO schreibt keine bestimmte Form vor. Zur Nachweisbarkeit (Art. 5 Abs. 2 DSGVO) sollten Sie die Benennung trotzdem schriftlich festhalten: wer benannt wird, ab welchem Datum, für welche Gesellschaft und mit welchen Aufgaben nach Art. 39 DSGVO. Bei internen Datenschutzbeauftragten gehört auch dazu, wie viel Arbeitszeit für die Aufgabe zur Verfügung steht. Art. 38 Abs. 2 verpflichtet Sie, die nötigen Ressourcen bereitzustellen.
Schritt 3: Veröffentlichen und der Aufsichtsbehörde melden
Diesen Schritt vergessen Unternehmen am häufigsten. Art. 37 Abs. 7 DSGVO verlangt zweierlei:
- Die Kontaktdaten veröffentlichen, in der Praxis in der Datenschutzerklärung der Website. Eine funktionierende Kontaktadresse genügt, der Name muss dort nicht stehen.
- Die Kontaktdaten der zuständigen Aufsichtsbehörde mitteilen. Die Landesdatenschutzbehörden bieten dafür in der Regel ein Online-Formular an.
Auch alle Hinweise nach Art. 13 und 14 DSGVO, etwa in Bewerberinformationen oder Kundenformularen, müssen die Kontaktdaten enthalten.
Schritt 4: Wirklich einbinden
Ein benannter Datenschutzbeauftragter, den niemand fragt, erfüllt die Pflicht nur auf dem Papier. Nach Art. 38 Abs. 1 DSGVO ist er frühzeitig in alle Datenschutzfragen einzubinden, also bevor ein neues Tool eingeführt oder ein Dienstleister beauftragt wird, nicht erst danach. Er ist weisungsfrei und berichtet unmittelbar der höchsten Managementebene.
Was ein Fehler kosten kann
Verstöße gegen Art. 37 bis 39 DSGVO können nach Art. 83 Abs. 4 mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Teurer ist im Alltag allerdings oft etwas anderes: Ein fehlender oder nur formal benannter Datenschutzbeauftragter fällt meist erst auf, wenn eine Datenpanne, eine Betroffenenbeschwerde oder eine Anfrage der Aufsicht kommt. Dann fehlt die Dokumentation, die der Datenschutzbeauftragte hätte aufbauen sollen.
Externen Datenschutzbeauftragten benennen
Wenn Sie keinen geeigneten Kandidaten im Haus haben, können Sie einen externen Datenschutzbeauftragten direkt online bestellen. Wir unterstützen Sie bei der schriftlichen Benennung, der Meldung an die Aufsichtsbehörde und den Kontaktdaten in Ihrer Datenschutzerklärung. Ob die Pflicht für Ihr Unternehmen überhaupt besteht, klärt die Übersicht zur Datenschutzbeauftragter-Pflicht.