Ein Datenschutzbeauftragter ist keine Frage des guten Willens, sondern eine Pflicht, die an Schwellen hängt. Wer sie überschreitet und niemanden benennt, hat einen Verstoß, der sich leicht feststellen lässt: Die Aufsichtsbehörde muss dafür nur nachsehen, ob eine Meldung vorliegt. Deshalb lohnt es sich, die Auslöser zu kennen, statt zu schätzen.
Die Wege in die Pflicht
Der bekannteste Auslöser ist die Kopfzahl. Das Bundesdatenschutzgesetz knüpft an die Anzahl der Personen an, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle ist in den vergangenen Jahren mehrfach geändert worden, deshalb nenne ich hier keinen Wert. Den aktuell geltenden bestätigt dir deine Rechtsberatung oder die Aufsichtsbehörde deines Bundeslandes.
Unabhängig von der Kopfzahl greift die Pflicht, wenn die Kerntätigkeit deines Betriebs in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder wenn du umfangreich besondere Kategorien von Daten verarbeitest, etwa Gesundheitsdaten. Ein dritter Weg wird häufig übersehen: Wenn für eine deiner Verarbeitungen eine Datenschutz-Folgenabschätzung vorgeschrieben ist, kann daraus ebenfalls die Bestellpflicht folgen.
Wer als beschäftigte Person zählt
Hier entstehen die meisten Fehleinschätzungen. Gezählt werden nicht die Vollzeitstellen, sondern die Köpfe. Teilzeitkräfte, Aushilfen und Minijobber zählen genauso mit wie du selbst. Auch freie Mitarbeitende können mitzählen, wenn sie ständig mit deinen Systemen arbeiten.
Und automatisierte Verarbeitung ist deutlich mehr als eine Kundendatenbank. Wer an der Kasse Bons mit Kundendaten erzeugt, wer Dienstpläne pflegt, wer geschäftliche E-Mails schreibt oder Termine in einem Kalender verwaltet, verarbeitet personenbezogene Daten automatisiert. In einem Betrieb, in dem alle Zugang zum Kassensystem haben, ist die Zahl schnell erreicht.
Intern oder extern bestellen
Beides ist zulässig. Der interne Weg ist billiger, hat aber zwei Haken. Erstens die Fachkunde: Sie muss zum Risiko der Verarbeitung passen und ist laufend zu erhalten, was Schulungszeit kostet. Zweitens der Interessenkonflikt: Wer über Zwecke und Mittel der Verarbeitung mitentscheidet, darf sich nicht selbst kontrollieren. Damit scheiden die Inhaberin, die Geschäftsführung, die Leitung von IT, Personal und Vertrieb aus. In einem kleinen Betrieb bleibt oft niemand übrig, der die Rolle zulässig ausfüllen kann.
Dazu kommt ein Punkt, der selten mitbedacht wird: Ein intern bestellter Datenschutzbeauftragter genießt einen besonderen Schutz vor Abberufung und Kündigung, der über das Ende der Bestellung hinaus nachwirkt. Wer die Aufgabe an eine Aushilfe hängt, um sie loszuwerden, schafft sich ein arbeitsrechtliches Thema. Der externe Weg vermeidet beides und bringt Erfahrung aus anderen Betrieben mit.
Melden und veröffentlichen
Zur Bestellung gehören zwei Schritte, die gern vergessen werden. Die Kontaktdaten des Datenschutzbeauftragten sind zu veröffentlichen, üblicherweise in der Datenschutzerklärung deiner Website, und sie sind der zuständigen Aufsichtsbehörde zu melden. Meldung heißt nicht Genehmigung, es ist eine reine Mitteilung. Die Behörden halten dafür Onlineformulare bereit.
Veröffentlichen heißt außerdem: erreichbar sein. Eine Adresse, hinter der niemand antwortet, ist schlechter als keine, denn betroffene Personen dürfen sich direkt an diese Stelle wenden.
Was gilt, wenn keine Pflicht besteht
Der wichtigste Satz zum Schluss: Ohne Bestellpflicht ändert sich an deinen Datenschutzpflichten nichts. Das Verzeichnis von Verarbeitungstätigkeiten, die Informationspflichten gegenüber Kundschaft und Beschäftigten, die technischen und organisatorischen Maßnahmen, die Verträge mit Auftragsverarbeitern und die Meldung von Datenpannen bleiben bestehen. Der Datenschutzbeauftragte erledigt diese Aufgaben ohnehin nicht für dich, er überwacht und berät. Verantwortlich bleibt der Betrieb.
Du darfst auch freiwillig bestellen. Wer benannt ist, hat dann dieselben Aufgaben und dieselbe unabhängige Stellung wie bei einer Pflichtbestellung. Ob auch der besondere Kündigungsschutz für eine freiwillige Bestellung gilt, ist umstritten und gehört vor der Benennung geklärt. Freiwillig heißt also nicht unverbindlich.
Wo die Beratung anfängt
Ob dein Betrieb eine Schwelle überschreitet, hängt an Zahlen, die sich ändern, und an einer Bewertung deiner konkreten Verarbeitungen. Beides gehört zu deiner Rechtsberatung oder zu einer spezialisierten Datenschutzberatung. Dieser Beitrag zeigt dir, welche Fragen du stellen musst, er beantwortet sie nicht für deinen Fall.
