Source: https://www.rechtsanwalt-dresden.org/it-recht/dresden-datenschutzbeauftragter-fuer-unternehmen/
Timestamp: 2018-08-18 02:41:04+00:00

Document:
Dresden - Datenschutzrecht für Unternehmen | rechtsanwalt-dresden.org | Anwalt in Dresden
Sie befinden sich hier: rechtsanwalt-dresden.org » IT-Recht » Dresden-Datenschutzbeauftragter für Unternehmen
Unternehmen und Konzerne in Dresden setzen gerade mit hohem Aufwand die Datenschutzgrundverordnung um.
Viele Unternehmen lesen den Art. 30 DS-GVO und sind der Auffassung, dass sie keine Verarbeitungsverzeichnis führen müssen, da dort etwas 250 Mitarbeitern steht und darunter liegen.
Verarbeitungsverzeichnis (auch unter 250 Mitarbeitern)
Dieser Anschein trügt, denn es folgt die Einleitung ” es sei denn” in Art. 30 Abs.5 DS-GVO und die hat es in sich.
“es sei denn die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.”
Die Ausnahme gilt also nur, wenn keine besonderen personenbezogenen Daten verarbeitet werden, was aber fast bei jedem Unternehmen erfolgt, da Religionsdaten bspw. in der Lohnabrechnung, die Schwerbehinderteneigenschaft in der Personalabteilung oder die Nationalität des Bewerbers verarbeitet werden. Krankheitstage des Arbeitnehmers werden selbsverständlich auch erfasst oder es läuft eine Wiedereingliederungsphase nach einer Krankheit oder einem Unfall.
Folglich hat jedes Unternehmen, welches Angestellte hat, mit der Verarbeitung besonderer personenbezogener Daten zu tun.
Eine gelegentliche Verarbeitung von personenbezogenen Daten ist kaum noch vorstellbar, wenn täglich das Backup läuft.
Art. 30 Abs. 5 DS-GVO führt daher für die meisten Unternehmen, ab einem Mitarbeiter, zur Pflicht der Führung eines Verarbeitungsverzeichnisses.
Verträge, die sich auf Dienstleistungen beziehen und bei denen personenbezogene Daten verarbeitet werden, sind mit Auftragsverarbeitungsvereinbarungen zu versehen, Art. 28 DS-GVO. Daher lohnt sich eine Blick auf die Vertragspartner.
Hier sind Lohnabrechungsbüros (keine Steuerberater), IT-Dienstleister und Hostinganbieter zu benennen und es müssen entsprechende Auftragsverarbeitungsvereinbarungen geschlossen werden. Subunternehmen müssen ebenfalls mit einer Auftragsverarbeitungsvereinbarung versehen werden (Kette).
§ 38 Bundesdatenschutzgesetz geht bei mehr als neun Personen im Unternehmen, welche personenbezogene Daten verarbeiten von eine Bestellungspflicht für einen Datenschutzbeauftragten aus. Aber auch dies ist nur die halbe Wahrheit, da Art. 37 DS-GVO hier einige Ausnahmen unabhängig von der Anzahl der Mitarbeiter bereithält.
” Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn
die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.”
Darunter fallen bspw. Übersetzungsbüros, welche strafrechtliche Verurteilungen übersetzen, ab dem ersten Mann.
Ein weiterer Klassiker in Sachsen ist die kleine Kfz-Werkstatt, welche Abgasuntersuchungen (als Beliehener) erbringt oder der Schornsteinfeger (ebenfalls Beliehener). Die Landesregierung hat hier mit ganzer Härte den § 2 Abs. 1 Sächsisches Datenschutzgesetz derart gestaltet, dass auch die Beliehenen unabhängig von der Anzahl der Mitarbeiter die personenbezogene Daten verarbeiten sofort einen Datenschutzbeauftragten bestellen müssen.
“Nehmen nicht-öffentliche Stellen hoheitliche Aufgaben der öffentlichen Verwaltung
wahr, sind sie insoweit öffentliche Stellen im Sinne dieses Gesetzes.”

References: Art. 30
 Art. 30

Art. 30
 Art. 28

§ 38
 Art. 37
 § 2