Source: https://rechtstipp24.de/2017/10/19/datenschutzbeauftragte-nach-dsgvo-und-bdsg/
Timestamp: 2018-04-26 13:05:03+00:00

Document:
Datenschutzbeauftragte nach DSGVO und BDSG 2018 – RechtsTipp24
rechtstipp24 19. Oktober 2017 13. Februar 2018 Allgemein
Unternehmen und Behörden können unter bestimmten Voraussetzungen verpflichtet sein, einen betrieblichen oder behördlichen Datenschutzbeauftragten zu bestellen bzw. zu benennen. Regelungen hierzu finden sich in der Datenschutz-Grundverordnung (DSGVO) sowie im Bundesdatenschutzgesetz (BDSG). Ab dem 25. Mai 2018 wird die DSGVO in der gesamten Europäischen Union unmittelbar Geltung erlangen und die Datenschutzrichtlinie 95/46/EG von 1995 ersetzen. Mit der Geltung der DSGVO ab dem 25. Mai 2018 wird auch das neue BDSG (BDSG-neu) auf nationaler Ebene in Kraft treten und das alte BDSG (BDSG-alt) ersetzen.
Die Pflicht zur Benennung eines behördlichen oder betrieblichen Datenschutzbeauftragten ist in der DSGVO in Artikel 37 Absatz 1 geregelt. Artikel 37 Abs. 1 DSGVO schreibt in drei Fallgruppen die Benennung eines Datenschutzbeauftragten vor:
Öffentliche Stellen und Behörden, die personenbezogene Daten verarbeiten, müssen generell einen internen Datenschutzbeauftragten benennen. Ausgenommen sind Gerichte, die im Rahmen ihrer rechtsprechenden Tätigkeit personenbezogene Daten verarbeiten, Art. 37 Abs. 1, a) DSGVO.
Nicht-öffentliche Stellen müssen einen Datenschutzbeauftragten benennen, wenn deren Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, Art. 37 Abs. 1, b) DSGVO.
Für nicht-öffentliche Stellen, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten gem. Art. 9 oder von personenbezogen Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10 besteht, gibt es ebenfalls die Pflicht zur Benennung eines Datenschutzbeauftragten, Art. 37 Abs. 1, c) DSGVO. Bei diesen Daten handelt es sich um personenbezogene Daten, die besonders schutzwürdig sind.
Mit Kerntätigkeit in der zweiten und dritten Fallgruppe des Art. 37 Abs. 1 DSGVO ist die Hauptaktivität des Unternehmens gemeint. Bloße Nebentätigkeiten sollen nicht hierunter fallen.
Nach Art. 37 Abs. 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten benennen, sofern dieser von jeder Niederlassung aus leicht erreicht werden kann.
Die Stellung und die Aufgaben des Datenschutzbeauftragten sind in Art. 38 und Art. 39 DSGVO geregelt.
Art. 37 Abs. 4 DSGVO enthält zwei Öffnungsklauseln: Zum einen steht es den Verantwortlichen und Datenverarbeitern frei, einen Datenschutzbeauftragten zu benennen, also ohne dass sie dazu nach Art. 37 Abs. 1 DSGVO verpflichtet sind. Zum anderen können die Mitgliedstaaten auf nationaler Ebene für weitere Fälle die Benennung eines Datenschutzbeauftragten vorschreiben. Von dieser Möglichkeit hat der deutsche Gesetzgeber in § 38 BDSG-neu Gebrauch gemacht.
§ 38 BDSG-neu (Datenschutzbeauftragte nichtöffentlicher Stellen) regelt, dass neben der Pflicht zur Benennung eines Datenschutzbeauftragten gem. Art. 37 Abs. 1 DSGVO auf nationaler Ebene die Pflicht zur Benennung eines Datenschutzbeauftragten besteht, wenn der Verantwortliche in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Diese Regelung findet sich bereits in § 4 BDSG-alt. Unabhängig von der Anzahl der mit der automatisierten Datenverarbeitung Beschäftigten besteht die Pflicht zur Benennung eines Datenschutzbeauftragten gem. § 38 Abs. 1 Satz 2 BDSG-neu, wenn der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen von Daten vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder wenn personenbezogen Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- und Meinungsforschung verarbeitet werden. § 38 Abs. 2 BDSG-neu verweist auf § 6 Abs. 4, 5 Satz 2 und Absatz 6, somit unter anderem auf die Vorgaben zur Abberufung und Kündigung des Datenschutzbeauftragten. Der Verweis auf § 6 Abs. 4 BDSG- neu (Abberufung und Kündigung) gilt jedoch nur, wenn eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht und nicht wenn die Benennung des Datenschutzbeauftragten freiwillig erfolgt ist.
Sowohl die DSGVO als auch das BDSG-neu verwenden den Begriff „Benennung“. Das BDSG-alt hingegen verwendete den Begriff der „Bestellung“ des Datenschutzbeauftragten, welcher zumindest von der Begrifflichkeit her formaler verstanden werden kann. In welcher Form die Benennung des Datenschutzbeauftragten erfolgen soll, ist nicht geregelt. Aufgrund der Bedeutung und der erheblichen Folgen sollte die Benennung des Datenschutzbeauftragten stets schriftlich erfolgen.
§ 38 BDSG- neu: Datenschutzbeauftragte nichtöffentlicher Stellen
Gesetz vom 30.06.2017, Art. 1 Bundesdatenschutzgesetz (BDSG), BGBl. I, S. 2097; Inkrafttreten: 25.05.2018
Vorheriger Normenkontrolle nicht statthaft für Feststellung, dass Grundstück hätte einbezogen werden müssen (OVG M-V, Urt. v. 09.08.2017 – 3 K 6/14)
Weiter Verlegung des Mülltonnen-Platzes vor Fenster der Wohnung rechtfertigt keine Minderung der Miete (AG Brandenburg, Urt. v. 13.10.2017 – 31 C 156/16)

References: Art. 37
 Art. 37
 Art. 9
 Art. 10
 Art. 37
 Art. 37
 Art. 37
 Art. 38
 Art. 39

Art. 37
 Art. 37
 § 38

§ 38
 Art. 37
 § 4
 § 38
 Art. 35
 § 38
 § 6
 § 6

§ 38
 Art. 1