»Einige Entscheider meinen, die Bestellung des Datenschutzbeauftragten würde freiwillig erfolgen. Aber diese Annahme ist falsch.«

»Gemäß § 38 Abs. 1 Satz 1 BDSG n.F. ist ergänzend zu den Vorgaben der DSGVO ein Datenschutzbeauftragter zu benennen, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.«

Benennungspflicht nach DSGVO

Die Pflicht zur Benennung eines Datenschutzbeauftragten regelt die DSGVO in Art. 37 Abs. 1:

a) Personenbezogene Datenverarbeitung durch Behörde / öffentliche Stelle (Ausnahme: justizielle Tätigkeit)

b) Die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters besteht in Verarbeitungsvorgängen, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Beobachtung von betroffenen Personen erforderlich machen. Beispiele: Auskunfteien; Detekteien; Versicherungsunternehmen (Risikomanagement oder individualisierte Tarife wie „Pay as you drive“); Marketing auf Basis detaillierter Kunden- und Interessentenprofile

c) Die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten (Art. 9 DS-GVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DS-GVO).

Benennungspflicht nach BDSG

In Deutschland hat der Gesetzgeber weitergehende Pflichten zur Benennung eines Datenschutzbeauftragten im BDSG n.F. verankert.

Gemäß § 38 Abs. 1 Satz 1 BDSG n.F. ist ergänzend zu den Vorgaben der DSGVO ein Datenschutzbeauftragter zu benennen, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Gemäß § 38 Abs. 1 Satz 2 BDSG n.F. ist schwellenwertunabhängig ein Datenschutzbeauftragter zu benennen, wenn Verarbeitungen erfolgen, die einer Datenschutz-Folgenabschätzung (Art. 35 DS-GVO) unterliegen, oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

Eine Person gilt als „ständig“ beschäftigt, wenn sie die Aufgabe (die nicht ihre Hauptaufgabe zu sein braucht) regelmäßig wahrnimmt.

Welche Strafen / Bußgelder drohen bei Verstößen?

Sollte nach geltendem Datenschutzrecht (BDSG n.F. oder EU DSGVO) die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten bestehen, ist dieser Verpflichtung nachzukommen.
Ein Mitarbeiter mit entsprechender Fachkunde oder ein externer DSB hat die Einhaltung der Datenschutzvorschriften zu überwachen.
Andernfalls ist die zuständige Aufsichtsbehörde dazu berechtigt, den Verstoß mit einem hohen Bußgeld zu ahnden.