Wer benötigt einen Datenschutzbeauftragten?
Die Pflicht zur Bestellung eines Datenschutzbeauftragten ist eng mit bestimmten Verarbeitungstätigkeiten und Arten personenbezogener Daten verknüpft. So unterliegen im privatwirtschaftlichen Bereich insbesondere Unternehmen des Sozial- und Gesundheitswesens und der Sicherheitswirtschaft der Verpflichtung zur Bestellung eines Datenschutzbeauftragten. Im öffentlichen Bereich sind alle Behörden und öffentlichen Stellen mit Ausnahme der Gerichte im Rahmen ihrer justiziellen Tätigkeit von dieser Pflicht betroffen.
Art 37 DSGVO regelt die Voraussetzungen, wann ein Datenschutzbeauftragter verpflichtend zu bestellen ist, folgendermaßen:
- Verarbeitung von Daten durch Behörden oder öffentliche Stellen, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln,
- Durchführung von Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht, wenn es sich dabei um die Kerntätigkeit des Verantwortlichen handelt,
- Durchführung von Verarbeitungsvorgängen, die in einer umfangreichen Verarbeitung besonderer Kategorien (früher sensible Daten, z.B. Gesundheitsdaten) oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten besteht, wenn es sich dabei um die Kerntätigkeit des Verantwortlichen handelt.
Um eine Kerntätigkeit handelt es sich dann, wenn die Datenverarbeitung Haupttätigkeit des Unternehmens ist. Wann eine umfangreiche Verarbeitung vorliegt, ist gesetzlich nicht abschließend geregelt. Die Entscheidungspraxis der Datenschutzbehörde und Leitlinien des Europäischen Datenschutzausschusses geben jedoch entscheidende Hinweise auf die gängige Rechtspraxis.
Jetzt prüfen: Benötigt Ihr Unternehmen einen Datenschutzbeauftragten?
Eine Unternehmensgruppe (Konzern) kann einen gemeinsamen Datenschutzbeauftragten bestellen. Es muss sich dabei nicht um eine interne Person handeln, der Datenschutzbeauftragte kann auch extern bestellt werden.
Selbst wenn keine Verpflichtung zur Bestellung eines Datenschutzbeauftragten besteht, kann es durchaus sinnvoll sein, freiwillig einen internen oder externen Datenschutzbeauftragten zu benennen bzw. eine Person mit der Wahrnehmung der datenschutzrechtlichen Aufgaben zu betrauen. Die Strafen nach DSGVO gehen bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes. Gehen Sie kein Risiko ein.