Source: https://schulz-beratung.de/wer-muss-einen-datenschutzbeauftragten-bestellen/
Timestamp: 2019-05-25 22:23:17+00:00

Document:
Wer muss einen Datenschutzbeauftragten bestellen? S&P Services
Du bist hier: Startseite » Wer muss einen Datenschutzbeauftragten bestellen?
Wer muss einen Datenschutzbeauftragten bestellen? Im Informationsblog Bestellung eines Datenschutzbeauftragten erhalten Sie aktuelle Informationen zu:
Erwägungsgrund 97 zur Bestellung eines Datenschutzbeauftragten
§ 26 Abs. 8 BDSG – Begriff Beschäftigte: Die Anzahl der Köpfe ist für die Bestellung eines Datenschutzbeauftragten entscheidend.
Bestellung eines Datenschutzbeauftragten ist zwingend, sofern die Verarbeitungen einer Datenschutz-Folgeabschätzung nach Art 35 DSGVO unterliegen.
Die Bestellung eines Datenschutzbeauftragten regelt Artikel 37 DSGVO. Zwingend zu benennen ist ein Datenschutzbeauftragter durch nicht-öffentliche Stellen nach Art. 37 Abs. 1 DS-GVO dann, wenn die Kerntätigkeit des Verantwortlichen in der Durchführung von Verarbeitungsvorgängen besteht.
Artikel 37 DSGVO: Wer muss einen Datenschutzbeauftragten bestellen?
Artikel 37 DSGVO regelt die Bestellung eines Datenschutzbeauftragten. Hierzu heißt es:
(1)Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn
b)die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
(2)Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten ernennen, sofern von jeder Niederlassung aus der Datenschutzbeauftragte leicht erreicht werden kann.
(3)Falls es sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde oder öffentliche Stelle handelt, kann für mehrere solcher Behörden oder Stellen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe ein gemeinsamer Datenschutzbeauftragter benannt werden.
(4)In anderen als den in Absatz 1 genannten Fällen können der Verantwortliche oder der Auftragsverarbeiter oder Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, einen Datenschutzbeauftragten benennen; falls dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, müssen sie einen solchen benennen. Der Datenschutzbeauftragte kann für derartige Verbände und andere Vereinigungen, die Verantwortliche oder Auftragsverarbeiter vertreten, handeln.
In Artikel 37, Absatz 5 bis 7 DSGVO werden zur Bestellung des Datenschutzbeauftragten folgende Regelungen getroffen:
(5)Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben.
(6)Der Datenschutzbeauftragte kann Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.
(7)Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt diese Daten der Aufsichtsbehörde mit.
Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters – besondere Kategorie von Daten iSv Art. 9 DSGVO
Die Bestellung eines Datenschutzbeauftragten hat dann zwingend zu erfolgen, wenn die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung besonderer Kategorien von Daten i. S. v. Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen i. S. v. Art. 10 DSGVO besteht (Art. 37 Abs. 1 Nr. 3 DSGVO).
Unter Kerntätigkeit ist nach Erwägungsgrund 97 jeweils die Haupttätigkeit und nicht die Verarbeitung personenbezogener Daten als bloße Nebentätigkeit zu verstehen.
Erwägungsgrund 97 – Wer muss einen Datenschutzbeauftragten bestellen?
In Fällen, in denen die Verarbeitung durch eine Behörde — mit Ausnahmen von Gerichten oder unabhängigen Justizbehörden, die im Rahmen ihrer justiziellen Tätigkeit handeln –, im privaten Sektor durch einen Verantwortlichen erfolgt, dessen Kerntätigkeit in Verarbeitungsvorgängen besteht, die eine regelmäßige und systematische Überwachung der betroffenen Personen in großem Umfang erfordern, oder wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten besteht, sollte der Verantwortliche oder der Auftragsverarbeiter bei der Überwachung der internen Einhaltung der Bestimmungen dieser Verordnung von einer weiteren Person, die über Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzverfahren verfügt, unterstützt werden.
Im privaten Sektor bezieht sich die Kerntätigkeit eines Verantwortlichen auf seine Haupttätigkeiten und nicht auf die Verarbeitung personenbezogener Daten als Nebentätigkeit.
Das erforderliche Niveau des Fachwissens sollte sich insbesondere nach den durchgeführten Datenverarbeitungsvorgängen und dem erforderlichen Schutz für die von dem Verantwortlichen oder dem Auftragsverarbeiter verarbeiteten personenbezogenen Daten richten.
Liegt bei der Verarbeitung von Beschäftigtendaten auch eine Verarbeitung besonderer Kategorien von Daten i. S. v. Art. 9 DSGVO?
Die Fachkommentare führen hierzu aus, dass insbesondere die Verarbeitung von Beschäftigtendaten durch den Arbeitgeber hiervon nicht erfasst ist. Der Anwendungsbereich der Benennungspflicht eines Datenschutzbeauftragten, basierend auf den Regelungen des Art. 37 Abs. 1 Nr. 2, Nr. 3 DSGVO dürfte deshalb gering bleiben.
Gem. § 38 Abs. 1 S. 1 BDSG n. F. ist ein Datenschutzbeauftragter demnach durch nicht-öffentliche Stellen zu benennen, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
§ 38 Datenschutzbeauftragte nichtöffentlicher Stellen – Wer muss einen Datenschutzbeauftragten bestellen?
Für die Bestellung eines Datenschutzbeauftragten nichtöffentlicher Stellen sind die Regelungen des §38 DSGVO zu beachten. Es gelten folgende Regelungen:
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Kopfzahl der Ermittlung der Beschäftigtenzahl ist entscheidend
Bei der Bestellung eines Datenschutzbeauftragten ist weiterhin auch die „Kopfzahl“ entscheidend. Auch geringfügig Beschäftigte, Auszubildende, Praktikanten, Teilzeitkräfte und freie Mitarbeiter werden jeweils als eine Person gezählt. Eine Definition, wer als Beschäftigter iSd des Datenschutzes gilt, gibt § 26 Abs. 8 BDSG vor.
Wer zählt zu den Beschäftigten nach § 26 Abs. 8 BDSG?
Wer muss einen Datenschutzbeauftragten bestellen? Hierzu ist auch der genau zu prüfen, wer unter den Begriff Beschäftigte fällt. §26 Abs. 8 BDSG definiert den Begriff Beschäftigte wie folgt:
Benennungspflicht gilt zwingend, sofern Verarbeitungen einer Datenschutz-Folgeabschätzung unterliegen
Unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen regelt § 38 Abs. 1 S. 2 BDSG n. F. eine unabhängige Benennungspflicht. Für die Bestellung eines Datenschutzbeauftragten gilt dabei folgendes:
Wenn der Verantwortliche Verarbeitungen vornimmt,
die einer Datenschutz-Folgeabschätzung nach Art. 35 DSGVO unterliegen oder
sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung,
der anonymisierten Übermittlung oder
für Zwecke der Markt- oder Meinungsforschung verarbeiten,
so ist ein Datenschutzbeauftragter zu benennen.
Besuchen Sie auch unseren Informationsblog „Wer muss einen Datenschutzbeauftragten bestellen?“
Mit Seminare Datenschutz erhalten Sie einen Überblick zu den wichtigsten Aufgaben und Pflichten des Datenschutzbeauftragten nach dem DSGVO und zu „Wer muss einen Datenschutzbeauftragten bestellen?“. Besuchen Sie auch unseren Informationsblog Datenschutzkonforme Führung der Personalakte.
Aktuelle Seminartermine finden Sie direkt bei S&P Seminare.
Markiert in: Wer muss einen Datenschutzbeauftragten bestellen?
schulzp 27. April 2019 27. April 2019 Allgemein, Seminare Aktuell, Unternehmensberatung Online
← Business Schulung Assistenz & Sekretariat Update
Risk Assessment Datenschutz →
One thought on “Wer muss einen Datenschutzbeauftragten bestellen?”
Pingback:Auslagerung des Datenschutzbeauftragten - Jetzt online anfragen

References: § 26
 Art. 37
 Art. 9
 Art. 9
 Art. 10
 Art. 9
 Art. 37
 § 38

§ 38
 §38
 § 26
 § 26
 §26
 § 38
 Art. 35