Der Datenschutzbeauftragte im Unternehmen

Wer braucht einen Datenschutzbeauftragten*?

Ein Datenschutzbeauftragter ist gem. Art. 37 der Datenschutz-Grundverordnung (kurz DSGVO) zu benennen, wenn

• die Verarbeitung der personenbezogenen Daten durch eine Behörde oder öffentliche Stelle durchgeführt wird,
• die Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von Betroffenen erforderlich machen oder
• die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von personenbezogenen Daten strafrechtlicher Verurteilungen und Straftaten besteht.

Die DSGVO sieht vor, dass die Mitgliedsstaaten der EU weitere Fälle für die Benennung eines Datenschutzbeauftragen vorsehen können. Von dieser Möglichkeit hat der deutsche Gesetzgeber in § 38 BDSG Gebrauch gemacht. Danach ist ein Datenschutzbeauftragter im Unternehmen zu benennen, ..

• soweit in der Regel mehr als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder
• für Verarbeitungen, die einer Datenschutzfolgenabschätzung unterliegen, also besonders gefahrgeneigt sind.

Datenschutzbeauftragte und ihre Mindestpflichten

Nach Artikel 39 Absatz 1 der DSGVO hat ein Datenschutzbeauftragter im Unternehmen folgende Mindestpflichten:

• Verantwortliche und Beschäftigte unterrichten und beraten,
• die Einhaltung des Datenschutzes überwachen,
• bei einer Datenschutz-Folgeabschätzung (Analyse des Risikos für einen Prozess, der personenbezogene Daten verarbeitet) beraten und die Durchführung überwachen,
• mit Aufsichtsbehörden zusammenarbeiten und
• Anlaufstelle für die Aufsichtsbehörde sein.

*Es sind gleichermaßen Personen aller Geschlechter gemeint; für eine gute Lesbarkeit wird im Folgenden nur die männliche Form verwendet.