Wann braucht ein Unternehmen einen Datenschutzbeauftragten?
Kurz beantwortet
In Deutschland muss ein Datenschutzbeauftragter benannt werden, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl besteht die Pflicht, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder besondere Datenkategorien wie Gesundheitsdaten umfangreich verarbeitet werden.
Die 20-Personen-Schwelle im Detail
Die Pflicht ergibt sich aus § 38 BDSG in Verbindung mit Art. 37 DSGVO. Entscheidend sind drei Begriffe, die in der Praxis regelmäßig falsch verstanden werden.
„In der Regel" meint den Dauerzustand, nicht die Momentaufnahme. Wer über das Jahr gesehen 22 Personen beschäftigt und kurzfristig auf 18 fällt, bleibt in der Pflicht.
„Personen" meint Köpfe, nicht Vollzeitstellen. Vier Teilzeitkräfte zählen als vier Personen, nicht als zwei Stellen. Auch Auszubildende, Werkstudenten, Aushilfen und Leiharbeitnehmer zählen mit.
„Ständig beschäftigt" meint regelmäßig wiederkehrend, nicht ausschließlich. Wer als Vertriebsmitarbeiter täglich das CRM öffnet, ist ständig beschäftigt, auch wenn Datenverarbeitung nur einen kleinen Teil seiner Arbeitszeit ausmacht.
Wer zählt mit?
| Personengruppe | Zählt mit? |
|---|---|
| Vollzeitkräfte mit CRM-, ERP- oder E-Mail-Zugang | Ja |
| Teilzeitkräfte | Ja, als volle Person |
| Auszubildende und Werkstudenten | Ja, bei regelmäßiger Tätigkeit |
| Leiharbeitnehmer im eigenen Betrieb | Ja |
| Geschäftsführung | Ja, wenn sie selbst Daten verarbeitet |
| Externe Dienstleister mit eigenem Vertrag | Nein, dort gilt eigene Verantwortung |
| Mitarbeitende ohne jeden Systemzugang | Nein |
In der Praxis liegt die Zahl fast immer höher als zunächst gedacht. Sobald Beschäftigte ein dienstliches E-Mail-Postfach nutzen, verarbeiten sie personenbezogene Daten automatisiert.
Pflicht auch unterhalb von 20 Personen
Die Schwelle ist nicht die einzige Auslöserin. Unabhängig von der Beschäftigtenzahl gilt die Benennungspflicht in diesen Fällen:
- Es ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich, etwa bei systematischer Überwachung oder umfangreicher Profilbildung.
- Es werden besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO umfangreich verarbeitet: Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit, religiöse oder politische Überzeugungen.
- Die Kerntätigkeit besteht in umfangreicher regelmäßiger Beobachtung von Personen.
- Es werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet, etwa bei Auskunfteien oder Adresshändlern.
Eine Arztpraxis mit fünf Beschäftigten kann damit benennungspflichtig sein, ein Handwerksbetrieb mit 18 Beschäftigten dagegen nicht.
Was passiert ohne Benennung?
Die fehlende Benennung ist selbst bußgeldbewehrt. Der Rahmen liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, maßgeblich ist der höhere Wert. In der Praxis werden solche Bußgelder selten isoliert verhängt, sondern typischerweise dann, wenn eine Aufsichtsbehörde ohnehin prüft: nach einer Beschwerde, einer Datenpanne oder einer Branchenprüfung.
Das größere Risiko ist mittelbar. Ohne benannte Zuständigkeit fehlen im Regelfall auch Verarbeitungsverzeichnis, Löschkonzept und Dokumentation der technischen Maßnahmen. Wer dann geprüft wird, kann seine Rechtmäßigkeit nicht nachweisen und die Beweislast liegt beim Unternehmen.
Intern oder extern benennen?
| Kriterium | Intern | Extern |
|---|---|---|
| Interessenkonflikt | Kritisch: Geschäftsführung, IT-, Personal- und Marketingleitung scheiden aus | Ausgeschlossen |
| Kündigungsschutz | Besonderer Abberufungsschutz entsteht | Entfällt |
| Fortbildungskosten | Laufend, vom Unternehmen zu tragen | Im Honorar enthalten |
| Fachkunde | Muss erst aufgebaut werden | Von Beginn an vorhanden |
| Vertretung im Urlaubs-/Krankheitsfall | Muss geregelt werden | Beim Dienstleister |
| Erfahrung aus anderen Unternehmen | Nein | Ja |
Für kleine und mittlere Unternehmen ist die externe Benennung meist die günstigere und rechtssicherere Variante. Der Hauptgrund ist der Interessenkonflikt: Wer über Zwecke und Mittel der Datenverarbeitung mitentscheidet, darf die Rolle nicht ausüben, was in kleinen Organisationen fast alle geeigneten Personen ausschließt.
Prüfschritte für Ihr Unternehmen
- Zählen Sie alle Personen, die regelmäßig mit personenbezogenen Daten arbeiten, inklusive E-Mail-Nutzung.
- Prüfen Sie, ob besondere Datenkategorien verarbeitet werden, insbesondere Gesundheitsdaten.
- Prüfen Sie, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
- Wenn eine der Bedingungen zutrifft: benennen und der Aufsichtsbehörde melden.
- Wenn keine zutrifft: freiwillige Benennung erwägen, sie reduziert das Haftungsrisiko der Geschäftsführung erheblich.
Häufige Missverständnisse
„Wir sind zu klein." Die Größe allein entscheidet nicht. Die Art der Daten kann die Pflicht auch bei fünf Beschäftigten auslösen.
„Wir speichern keine Kundendaten." Beschäftigtendaten sind ebenfalls personenbezogene Daten. Jedes Unternehmen mit Angestellten verarbeitet sie.
„Unsere IT macht das mit." Die IT-Leitung ist wegen des Interessenkonflikts gerade nicht geeignet. Sie entscheidet über die Mittel der Verarbeitung und müsste sich selbst kontrollieren.
„Wir haben doch eine Datenschutzerklärung." Die Datenschutzerklärung ist eine Informationspflicht gegenüber Betroffenen. Sie ersetzt weder die Benennung noch das Verarbeitungsverzeichnis.
Unterstützung dabei
Sie möchten das nicht selbst aufarbeiten? Sylc.ai übernimmt das als Dienstleistung.
Externer Datenschutzbeauftragter →