Source: https://www.ijosblog.de/wann-muss-in-der-kinder-und-jugendhilfe-ein-datenschutzbeauftragter-benannt-werden/
Timestamp: 2020-01-26 04:47:17+00:00

Document:
Wann muss in der Kinder- und Jugendhilfe ein Datenschutzbeauftragter benannt werden? - IJOS BLOG
Fragen zur Verpflichtung des Verantwortlichen, einen Datenschutzbeauftragen zu benennen, sind bei uns ein Dauerbrenner. Und neuen Zündstoff hat diese Frage mit der Mitte 2019 ​beschlossenen Gesetzesänderung des § 38 BDSG erhalten.
Doch der Reihe nach: Art. 37 ff. DSGVO schreibt die Regeln zur Benennung eines Datenschutzbeauftragten als unmittelbar geltendes EU-Recht allen Mitgliedstaaten vor. Der deutsche Gesetzgeber hat diese Regelungen durch den § 38 BDSG konkretisiert. Dort heißt es bislang in Abs. 1 Satz 1:
“Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 (das ist die DSGVO) benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.”
Derzeit macht die oben in Bezug genommene, beschlossene Gesetzesänderung ihre Runde durch die Presse. Zur Entlastung von klein- und mittelständischen Unternehmen soll zukünftig anstelle der Zehn-Personen-Grenze die Untergrenze erst bei 20 Köpfen gezogen werden, erst dann soll der Verantwortliche verpflichtet sein, einen Datenschutzbeauftragten zu benennen.
Wir sehen die Entwicklung, und insbesondere die Berichterstattung in der Presse, aus nachfolgenden Überlegungen kritisch:
Allein die Tatsache, dass möglicherweise die Verpflichtung zur Benennung eines Datenschutzbeauftragten entfällt, ändert nichts an der Verpflichtung des Verantwortlichen, geltende Datenschutzstandards einzuhalten. Hierzu gehört neben der Entwicklung eines Datenschutzkonzepts auch das Vorhalten von Verarbeitungsverzeichnissen, der Abschluss von Auftragsbearbeitungsvereinbarungen, das Bearbeiten von Auskunftsersuchen von Betroffenen etc. PP.
In weiten Teilen dürfte die Verpflichtung zur Benennung des Datenschutzbeauftragten im Bereich der Sozialwirtschaft aber gar nicht entfallen. In § 38 Abs. 1 Satz zwei BDSG heißt es: “Nehmen der Verantwortliche […] Verarbeitungen vor, die einer Datenschutzfolgenabschätzung nach Art. 35 der Verordnung (EU) 2016/679 unterliegen, […], haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.” Gemäß Art. 35 Abs. 3b DSGVO ist eine Datenschutzfolgenabschätzung dann durchzuführen, wenn eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGV stattfindet. Zu den besonderen Kategorien personenbezogener Daten gehören unter anderem Gesundheitsdaten. Nach unserer Erfahrung werden in jeder Einrichtung der Kinder- und Jugendhilfe personenbezogene Gesundheitsdaten in erheblichem Maße verarbeitet. Dies wiederum führt dazu, dass eine Datenschutzfolgenabschätzung im Sinne des Art. 35 DSGV durchzuführen ist, was wiederum dazu führt, dass unabhängig von der Kopfzahl auch gemäß § 38 Abs. 1 Satz zwei BDSG ein Datenschutzbeauftragter zu benennen ist.
Sollten Sie Ihren Datenschutzbeauftragten bereits in das Entgelt einkalkuliert haben, so sind sie natürlich auch aus entgeltrechtlichen Gründen verpflichtet, diesen entsprechend vorzuhalten.
Aus den vorstehenden Erwägungen wird deutlich, dass die Frage nach dem „ob“ eines Datenschutzbeauftragten eben doch gar nicht so einfach zu beantworten ist, wie die Presse derzeit suggeriert. Sollten Sie hierzu Rückfragen haben, sprechen Sie uns gerne an!
IJOS Newsletter zum Themenbereich Datenschutz jetzt abonnieren:
Datenschutz JugendrechtDatenschutzDatenschutzgrundverordnungkinder und jugendhilfe datenschutzverordnungSozialdatenschutz

References: § 38
 Art. 37
 § 38
 § 38
 Art. 35
 Art. 35
 Art. 9
 Art. 35
 § 38