Source: https://www.datenschutzkanzlei.de/6-punkte-zum-datenschutzbeauftragten/
Timestamp: 2019-11-21 19:55:24+00:00

Document:
6 Punkte, die Sie jetzt zum Datenschutzbeauftragten wissen müssen | Datenschutzkanzlei 6 Punkte, die Sie jetzt zum Datenschutzbeauftragten wissen müssen | Datenschutzkanzlei
von Datenschutzkanzlei | 11. Nov 2019 | Blog
Seit Einführung der Datenschutz-Grundverordnung stöhnen Unternehmen und Vereine über die Last der einzuhaltenden Regelungen. Im Fokus der Diskussionen um Sinn und Unsinn der neuen Datenschutzgesetze steht immer wieder die Pflicht, einen Datenschutzbeauftragten zu benennen. Der deutsche Gesetzgeber hat nun eine Änderung beschlossen, wodurch die Benennungspflicht eines betrieblichen Datenschutzbeauftragten, die auf der Grundlage des § 38 Abs. 1 Satz 1 BDSG erfolgt, erst ab 20 Beschäftigten erforderlich wird.
Dieser Beitrag beleuchtet die aktuelle Rechtsentwicklung zur Benennungspflicht eines betrieblichen Datenschutzbeauftragten, erläutert die Rolle und Aufgaben von Datenschutzbeauftragten und zeigt auf, was bei der Rückabwicklung einer DSB-Benennung beachtet werden muss.
Was ändert sich bei der Pflicht, einen Datenschutzbeauftragten zu benennen?
Hat man ohne Datenschutzbeauftragten weniger zu tun?
Was ist bei der Rückabwicklung einer DSB-Benennung zu beachten
Der Bundestag hat am 27.6.2019 (streng genommen war es morgens um 3 Uhr am 28.6.2019…) mit dem zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz EU (DSAnpUG) eine Änderung des § 38 Abs. 1 Satz 1 BDSG beschlossen, wonach ein Datenschutzbeauftragter nun erst benannt werden muss, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt werden. Seit 2009 lag die Schwelle bei 10 Beschäftigten. Der Bundesrat hat dem 2. DSAnpUG am 20.09.2019 zugestimmt. Die Änderungen werden nach der Verkündung im Bundesgesetzblatt in Kraft treten.
Von dieser Änderung sind wir als Datenschutzbeauftragte unmittelbar betroffen, weil zu unseren Mandanten freilich auch kleinere Organisationen zählen. Einzelne haben so „normale“ und überschaubare Datenverarbeitungen, dass die Befreiung von der Benennungspflicht letztlich zu begrüßen ist (wenngleich es uns schmerzt, zahlende Kunden zu verlieren). Andere verwalten große Datenpools mit teils sensiblen Daten, nutzen modernste Technologien oder haben unzählige Verarbeitungen weltweit ausgelagert. Hier ist macht es durchaus Sinn, mit dem DSB einen fachkundigen Berater „in Rufweite“ zu haben.
Wie wir gleich sehen werden, hängt die Benennungspflicht aber nicht allein an § 38 Abs. 1 Satz 1 BDSG.
Die Pflicht zur Benennung eines Datenschutzbeauftragten kann sich aus § 38 Abs. 1 BDSG sowie aus Art. 37 Abs. 1 DSGVO ergeben. Nur wenn sich aus keiner Norm eine Benennungspflicht ergibt, darf auf die Benennung verzichtet werden.
Gemäß § 38 Abs. 1 Satz 1 BDSG muss ein Datenschutzbeauftragter benannt werden, wenn in der Regel mindestens 20 Personen (das gilt ab Sommer 2019. Das genaue Datum wird ergänzt, sobald es uns bekannt ist) ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind. Mit „ständig“ meint der Gesetzgeber „regelmäßig“.
Unabhängig von der Anzahl der Beschäftigten bestimmt § 38 Abs. 1 Satz 2 BDSG eine Benennungspflicht, wenn der Verantwortliche oder der Auftragsverarbeiter
Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Ob das der Fall ist, lässt sich u.a. anhand dieser Positivliste der deutschen Aufsichtsbehörden beurteilen.
ihre Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen. Die Datenverarbeitung stellt in diesen Fällen also nicht nur eine unterstützende Randfunktion dar (wie etwa bei der Gehaltsabrechnung), sondern ist wesentliche Voraussetzung für die Haupttätigkeit.
ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO besteht. Inwieweit eine „umfangreiche Verarbeitung“ vorliegt, richtet sich vor allem nach der Anzahl der betroffenen Personen, dem Umfang und der Verschiedenartigkeit sowie der geographischen Erstreckung der erhobenen Daten.
Für Start-ups und kleine Unternehmen mit weniger als 20 Beschäftigten gilt also: Wenn die Tätigkeit Ihres Unternehmens in eine der Kategorien des § 38 Abs. 1 Satz 2 BDSG oder des Art. 37 Abs. 1 DSGVO fällt, benötigen Sie auch dann einen Datenschutzbeauftragten, wenn Sie unter dem Schwellenwert des § 38 Abs. 1 Satz 1 BDSG liegen.
Eine freiwillige Ernennung ist möglich. Allerdings gilt in diesem Fall gemäß § 38 Abs. 2 BDSG nicht der erweiterte Kündigungsschutz.
Unterlässt der Verantwortliche oder der Auftragsverarbeiter die Benennung eines fachkundigen Datenschutzbeauftragten, so drohen gemäß Art. 83 Abs. 4 lit. a) DSGVO Geldbußen von bis zu 10.000.000 EUR oder bis zu 2% des gesamten weltweit erzielten Vorjahresumsatzes des Unternehmens.
Der Datenschutzbeauftragte wirkt auf die Einhaltung der Datenschutzgesetze hin und ist häufig der erste Ansprechpartner im Unternehmen, wenn es um Fragen zur Verarbeitung personenbezogener Daten geht.
Das Datenschutzrecht muss vom Verantwortlichen beachtet werden – egal ob mit oder ohne Datenschutzbeauftragte.
Die Beratungsleistung des Datenschutzbeauftragten muss ggf. anderweitig kompensiert werden, was für die betroffenen Unternehmen den Aufbau von interner Kompetenz oder die Einbindung externer Datenschutzexperten zur Folge hat. Frei nach Udo Lindenberg: „Einer muss den Job ja machen“.
Für deutsche Unternehmen hat die DSGVO zwar wenig echte Neuerungen gebracht, aber durch die massive Erhöhung des Bußgeldrahmens werden die Pflichten nicht mehr leichtfertig ignoriert. Zudem hat die DSGVO zu einer deutlich gestiegenen Datenschutzsensibilität der Verbraucher geführt, die Ihre Rechte als betroffene Personen kennen und vermehrt Auskunfts-, Lösch- und Widerspruchsrechte geltend machen. Wer als Auftragsverarbeiter personenbezogene Daten für andere Unternehmen verarbeitet, kann ebenfalls ein Lied über die gestiegenen Anforderungen seiner Auftraggeber singen. Es gibt also einiges zu tun!
Auch in den Fällen, in denen keine gesetzliche Pflicht zur Benennung besteht, kann die freiwillige Benennung eines externen Datenschutzbeauftragten sinnvoll oder wegen vertraglicher Verpflichtungen mit Auftraggebern sogar erforderlich sein.
Was ist bei der Rückabwicklung einer DSB-Benennung zu beachten?
Wer bislang einen Datenschutzbeauftragten benennen musste, nun unter der 20-Personen-Schwelle liegt und auf den Datenschutzbeauftragten an Bord verzichten möchte, muss folgende Maßnahmen treffen:
Die Benennung des Datenschutzbeauftragten nach § 38 Abs. 1 Satz 1 BDSG muss widerrufen werden. Bei internen Datenschutzbeauftragten ist der besondere Kündigungsschutz zu beachten (§ 38 Abs. 2 BDSG i.V.m. § 6 Abs. 4 BDSG). Bei externen Datenschutzbeauftragten müssen ggf. Kündigungsfristen des Dienstleistungsvertrages berücksichtigt werden.
Die Kontaktdaten des Datenschutzbeauftragten müssen von der Website-Datenschutzerklärung und sonstigen Datenschutzhinweisen gemäß Art. 13 und 14 DSGVO entfernt werden. Es darf nicht der Anschein erweckt werde, dass man noch einen DSB benannt habe.
Die Änderung ist bei der zuständigen Aufsichtsbehörde anzuzeigen, analog zur Meldung des Datenschutzbeauftragten nach Art. 37 Abs. 7 DSGVO.
Sofern das Unternehmen auch Auftragsverarbeiter ist, also personenbezogene Daten im Auftrag anderer Verantwortlicher verarbeitet, müssen alle Kunden/Auftraggeber darüber informiert werden, dass der Datenschutzbeauftragte ersatzlos abberufen wurde. Die meisten AV-Verträge enthalten nämlich Klauseln mit Anzeigepflichten für den Fall, dass sich die Person des Datenschutzbeauftragten ändert. Eine Abberufung des Datenschutzbeauftragten muss den Vertragspartnern daher mitgeteilt werden.
Vorab sollte geprüft werden, ob die Benennung eines Datenschutzbeauftragten im AV-Vertrag verpflichtend vereinbart wurde. Hat man sich als Auftragsverarbeiter vertraglich zur Benennung eines Datenschutzbeauftragten verpflichtet, hat die Gesetzesänderung möglicherweise keine Auswirkungen auf Sie!
Hinweis: Dieser Beitrag wurde am 30.06.2019 veröffentlicht und zuletzt am 11.11.2019 überarbeitet.
Sebastian Herting berät als Rechtsanwalt und externer Datenschutzbeauftragter zusammen mit dem Team der Datenschutzkanzlei Unternehmen bei der Umsetzung der DSGVO.

References: § 38
 § 38
 § 38
 § 38
 Art. 37
 § 38
 § 38
 Art. 35
 Art. 9
 Art. 10
 § 38
 Art. 37
 § 38
 § 38
 Art. 83
 § 38
 § 6
 Art. 13
 Art. 37