Kurzdefinition: Der Datenschutzbeauftragte — kurz DSB — ist die Datenschutzfunktion, die nach Art. 37 DSGVO in bestimmten Fällen zu benennen ist. Dieser Eintrag erklärt vor allem, wann die Benennungspflicht nach Art. 37 Abs. 1 DSGVO greift. [N-DSGVO-37]
Der Normwortlaut
Art. 37 Abs. 1 DSGVO lautet: „Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, … ie im Rahmen ihrer justiziellen Tätigkeit handeln, b) die Kerntätigkeit … in der Durchführung von Verarbeitungsvorgängen besteht, welche … eine umfangreiche regelmäßige und systematische Überwachung … erforderlich machen, oder c) die Kerntätigkeit … in der umfangreichen Verarbeitung besonderer Kategorien … besteht.“ [N-DSGVO-37]
Wann ist ein Datenschutzbeauftragter Pflicht?
In drei Fällen nach Art. 37 Abs. 1 DSGVO: bei Behörden und öffentlichen Stellen (außer Gerichten in justizieller Tätigkeit); wenn die Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung betroffener Personen besteht; und wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen besteht. Entscheidend ist der Begriff Kerntätigkeit — nicht jede Nebentätigkeit löst die Pflicht aus. [N-DSGVO-37]
Gibt es darüber hinaus weitere Fälle?
Ja, weitere Benennungspflichten können sich aus Unionsrecht oder nationalem Recht ergeben. Dieser Glossareintrag erklärt den Art.-37-Abs.-1-Kern; nationale Zusatzschwellen und Sonderregeln müssen für den konkreten Betrieb gesondert geprüft werden. [N-DSGVO-37]
Kann jeder Mitarbeiter Datenschutzbeauftragter werden?
Nicht jede Person ist geeignet. Die genaue Qualifikation, Stellung und mögliche Interessenkonflikte des Datenschutzbeauftragten sind gesondert nach den einschlägigen Vorschriften zu prüfen. Für diesen Glossareintrag ist entscheidend: Art. 37 Abs. 1 DSGVO beantwortet zunächst, wann überhaupt eine Benennungspflicht entsteht. [N-DSGVO-37]
Welche drei Fälle nennt Art. 37 Abs. 1 DSGVO?
Drei. Ein Datenschutzbeauftragter ist auf jeden Fall zu benennen, wenn die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen besteht oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien liegt. [N-DSGVO-37]
Müssen die Kontaktdaten des Datenschutzbeauftragten mitgeteilt werden?
Ja. Die Kontaktdaten des Datenschutzbeauftragten sind der zuständigen Aufsichtsbehörde mitzuteilen; zudem sind sie zu veröffentlichen. Die Benennung ist damit keine rein interne Angelegenheit. [N-DSGVO-37]
Häufige Fehlannahmen
- „Ab einer festen Mitarbeiterzahl ist der DSB immer Pflicht.“ Nicht nach der DSGVO. Art. 37 Abs. 1 DSGVO knüpft an die Art der Kerntätigkeit an, nicht an eine Beschäftigtenzahl — nationale Zusatztatbestände können hinzukommen. [N-DSGVO-37]
- „Jede Verarbeitung besonderer Kategorien löst die Pflicht aus.“ Nein. Erforderlich ist die umfangreiche Verarbeitung als Kerntätigkeit. [N-DSGVO-37]
- „In Deutschland gibt es keine zahlenmäßige Schwelle.“ Doch. Nach dem nationalen Bundesdatenschutzgesetz ist ergänzend ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
- „Die Benennung ist eine rein interne Angelegenheit.“ Nein. Die Kontaktdaten des Datenschutzbeauftragten sind der zuständigen Aufsichtsbehörde mitzuteilen. [N-DSGVO-37]
- „Die Rollenfrage ist egal.“ Nein. Eignung, Stellung und mögliche Interessenkonflikte des Datenschutzbeauftragten müssen gesondert geprüft werden; Art. 37 Abs. 1 beantwortet zunächst die Benennungspflicht. [N-DSGVO-37]
Was die Geschäftsleitung tun sollte
- Kerntätigkeit prüfen. Besteht sie in Überwachung oder umfangreicher Verarbeitung besonderer Kategorien?
- Nationales Recht mitlesen. Zusätzliche Benennungspflichten können sich außerhalb des Art.-37-Abs.-1-Kerns ergeben.
- Eignung prüfen. Qualifikation, Stellung und Aufgaben des DSB gesondert anhand der einschlägigen Vorschriften prüfen.
- Rollenkonflikte vermeiden. Leitungs- und Kontrollrollen nicht ungeprüft zusammenlegen.
Für die Geschäftsleitung
Ob ein Datenschutzbeauftragter nach Art. 37 Abs. 1 DSGVO Pflicht ist, entscheidet die Kerntätigkeit, nicht eine feste Beschäftigtenzahl. Wer betroffene Personen umfangreich überwacht oder umfangreich besondere Kategorien verarbeitet, muss einen benennen; nationale Sonderregeln können weitere Fälle hinzufügen. Die Benennung ist erst der erste Schritt; Qualifikation, Stellung, Aufgaben und mögliche Rollenkonflikte sind gesondert sauber zu prüfen.
Quellen
- [N-DSGVO-37] Art. 37 DSGVO (Benennung eines Datenschutzbeauftragten), Schwerpunkt Abs. 1; weitere Benennungs- und Eignungsfragen bleiben gesondert zu prüfen. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
