Wer muss einen Datenschutzbeauftragten bestellen?

Die Frage nach der Bestellpflicht ist meist die erste, die im Datenschutz gestellt wird, und selten die wichtigste. Denn die Pflichten der DSGVO gelten unabhängig davon, ob eine Datenschutzbeauftragte zu benennen ist. Dieser Beitrag erklärt, wann die Benennung verpflichtend ist, wie gezählt wird und was Sie tun sollten, wenn Sie knapp darunter liegen.

Die 20-Personen-Regel nach § 38 BDSG

Nicht-öffentliche Stellen müssen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das ist die zentrale Schwelle des deutschen Rechts. Die DSGVO selbst kennt sie nicht, sie beruht auf der Öffnungsklausel des Art. 37 Abs. 4.

Gezählt wird nach Köpfen, nicht nach Vollzeitstellen. Teilzeitkräfte, Aushilfen, Auszubildende und regelmäßig eingesetzte freie Mitarbeitende zählen mit. Entscheidend ist nicht der Arbeitsvertrag, sondern die tatsächliche Tätigkeit.

„Ständig beschäftigt" bedeutet nicht „ununterbrochen", sondern „nicht nur gelegentlich". Wer regelmäßig mit einem CRM, einer Warenwirtschaft, einer Praxissoftware oder einer Personalanwendung arbeitet, fällt in aller Regel darunter. Wer einmal im Quartal eine Liste öffnet, eher nicht.

Die Pflichtfälle nach Art. 37 DSGVO

Unabhängig von jeder Beschäftigtenzahl besteht die Benennungspflicht in drei Konstellationen. Erstens: Die Verarbeitung erfolgt durch eine Behörde oder öffentliche Stelle. Zweitens: Die Kerntätigkeit besteht in einer umfangreichen regelmäßigen und systematischen Überwachung von betroffenen Personen. Drittens: Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen nach Art. 10.

Entscheidend ist der Begriff der Kerntätigkeit: Gemeint sind die Verarbeitungen, die zum eigentlichen Geschäftszweck gehören, nicht die reine Unterstützungstätigkeit. Die Gehaltsabrechnung für die eigenen Beschäftigten macht aus einem Handwerksbetrieb keinen Gesundheitsdatenverarbeiter. Eine Physiotherapiepraxis dagegen verarbeitet Gesundheitsdaten genau als Kerntätigkeit.

In der Praxis führt das dazu, dass viele kleine Einrichtungen im Gesundheitswesen benennungspflichtig sind, obwohl sie deutlich unter 20 Personen liegen: Gemeinschaftspraxen, Logopädinnen und Logopäden, Physiotherapie, Pflegedienste.

Was gilt für kirchliche Einrichtungen?

Für Stellen in kirchlicher Trägerschaft gilt nicht die DSGVO in Verbindung mit dem BDSG, sondern eigenes kirchliches Datenschutzrecht: bei der katholischen Kirche das Gesetz über den Kirchlichen Datenschutz (KDG), bei der evangelischen Kirche das Kirchengesetz über den Datenschutz der EKD (DSG-EKD).

Bei der Schwelle gibt es allerdings keinen Unterschied mehr: Nach dem novellierten KDG besteht die Benennungspflicht ebenfalls ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Der praktisch entscheidende Unterschied liegt woanders: im anwendbaren Recht, in den Formulierungen der Dokumentation und darin, dass eine eigene kirchliche Datenschutzaufsicht zuständig ist und nicht die staatliche Behörde.

Wenn Sie unterhalb der Schwelle liegen

Ohne Benennungspflicht entfällt genau eine Pflicht: die Benennung. Alle anderen bleiben bestehen. Sie müssen weiterhin ein Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30), geeignete technische und organisatorische Maßnahmen umsetzen und dokumentieren (Art. 32), Auftragsverarbeitungsverträge schließen (Art. 28), Datenschutzverletzungen melden (Art. 33) und Betroffenenanfragen fristgerecht beantworten (Art. 15 bis 22).

Das erfordert Sachkenntnis und in den meisten Fällen Beratung, Schulung und Kontrolle. Genau deshalb begrüßen die Landesdatenschutzbehörden die freiwillige Benennung ausdrücklich. Für die freiwillig benannte Person gelten dann dieselben Rechte und Pflichten wie bei einer Pflichtbenennung. Ein zusätzlicher praktischer Vorteil: Die Wahrnehmung der Aufgaben der Aufsichtsbehörde ist gegenüber der oder dem Datenschutzbeauftragten nach Art. 57 Abs. 3 DSGVO unentgeltlich. Sie erhalten also einen Ansprechpartner mit direktem, kostenfreiem Draht zur Behörde.

Weil die Arbeit ohnehin anfällt, haben wir dafür einen eigenen, günstigeren Satz: Die freiwillige Benennung kostet bei uns 79 Euro monatlich zzgl. MwSt. statt 89 Euro, bei identischem Leistungsumfang. Überschreiten Sie später die Schwelle, wechseln wir ohne Neuaufsatz ins Grundpaket.

Und wenn die Pflicht besteht?

Dann ist die benannte Person nicht nur zu bestellen, sondern auch zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO). In Nordrhein-Westfalen ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit. Diese Meldung wird in der Praxis häufig vergessen. Sie gehört aber untrennbar zur Benennung.

Anschließend stellt sich die Folgefrage: intern oder extern? Die Antwort hängt weniger am Budget als an Fachkunde und Interessenkonflikten. Dazu mehr im nächsten Beitrag.

Fazit

Prüfen Sie zuerst die Kerntätigkeit, dann die Personenzahl. Wenn eine der beiden Prüfungen zur Pflicht führt, benennen Sie und melden Sie die Benennung. Wenn nicht, prüfen Sie die freiwillige Benennung: Die Arbeit fällt ohnehin an, nur ohne fachkundige Begleitung.