Bestellpflicht: Wer muss einen Datenschutzbeauftragten benennen?
Ob Sie benennen müssen, entscheidet sich an zwei Stellen: an der Zahl der Personen, die ständig mit automatisierter Verarbeitung befasst sind, und an der Art Ihrer Kerntätigkeit. Wir prüfen beides für Sie.
Die Frage, ob eine Datenschutzbeauftragte zu benennen ist, ist für die meisten Organisationen gar nicht die entscheidende. Denn auch unterhalb der Schwelle gelten sämtliche Pflichten unverändert: Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge, Meldung von Datenpannen, Beantwortung von Betroffenenanfragen. Das erfordert Sachkenntnis und in den meisten Fällen Beratung, Schulung und Kontrolle. Wir klären zuerst Ihre Pflicht und dann den sinnvollen Umfang. Auf Wunsch lassen wir uns auch dann benennen, wenn keine Pflicht besteht.
Pflicht nach § 38 BDSG ab in der Regel 20 Personen mit automatisierter Verarbeitung
Pflicht nach Art. 37 DSGVO für Behörden und öffentliche Stellen
Pflicht bei Kerntätigkeit mit besonderen Datenkategorien, etwa Gesundheitsdaten
Pflicht bei umfangreicher regelmäßiger und systematischer Überwachung
Kirchliche Träger: gleiche 20-Personen-Schwelle nach novelliertem KDG
Ohne Pflicht: freiwillige Benennung zum vergünstigten Satz von 79 €/Monat
Die 20-Personen-Regel im Detail
Gezählt wird nach Köpfen, nicht nach Vollzeitstellen: Auch Teilzeitkräfte, Aushilfen, Auszubildende und freie Mitarbeitende zählen mit, wenn sie ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. „Ständig" meint dabei nicht ununterbrochen, sondern nicht nur gelegentlich. Wer regelmäßig mit einem CRM, einer Praxissoftware oder einer Personalanwendung arbeitet, zählt in aller Regel dazu. Weil die Einschätzung im Einzelfall auf die tatsächlichen Abläufe ankommt, prüfen wir sie anhand Ihrer Verarbeitungen und nicht anhand des Organigramms.
Keine Pflicht? Dann freiwillig, zum vergünstigten Satz
Fällt die Prüfung negativ aus, ändert das an Ihrer Arbeitslast wenig: Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge, die 72-Stunden-Meldefrist bei Datenpannen und die Beantwortung von Betroffenenanfragen gelten unabhängig von jeder Benennungspflicht. Deshalb lassen wir uns auch freiwillig benennen, bei identischem Leistungsumfang für 79 € monatlich zzgl. MwSt. (94,01 € inkl.) statt 89 €. Für die freiwillig benannte Person gelten dieselben Rechte und Pflichten wie bei einer Pflichtbenennung; die Aufsichtsbehörden begrüßen diesen Schritt ausdrücklich. Sobald Sie die Schwelle überschreiten, wechseln wir ohne Neuaufsatz ins Grundpaket.
Interner oder externer Datenschutzbeauftragter?
Die interne Benennung ist nicht ohne Risiko für die Organisation. Die benannte Person muss Fachkenntnisse nachweisen, sie ist in dieser Funktion weisungsfrei und darf keinen Interessenkonflikten unterliegen. Leitende Positionen und die Geschäftsleitung scheiden damit aus. Zudem genießt sie einen besonderen Schutz vor Abberufung und Kündigung, der noch ein Jahr nach dem Ende der Bestellung fortwirkt. Die externe Benennung ist aus diesen Gründen häufig die kostengünstigere und sicherere Alternative: Sie ist vertraglich sauber beendbar, bringt geprüfte Fachkunde mit und schafft die nötige Distanz zum operativen Geschäft.