§ 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, (Anm. d. Red.: für die eine Datenschutzfolgenabschätzung erforderlich ist)
- oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung,
- der anonymisierten Übermittlung oder
- für Zwecke der Markt- oder Meinungsforschung,
haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
- bei der Zahl der Personen wird au Köpfe, nicht auf FTE (full-time-äquivalent / Vollzeitstellen) abgestellt, externe Mitarbeiter wie Freelancer und Leiharbeiter zählen mit dazu.
- „mit der Datenverarbeitung beschäftigt“ heißt nicht, dass diese Personen in der IT-Abteilung arbeiten, sondern, dass sie regelmäßig mit personenbezogenen Daten umgehen. Im Zweifel sind das mindestens alle Personen mit einem PC-Arbeitsplatz.
Häufig gestellte Fragen
Verstöße gegen die Pflicht zur Benennung eines Datenschutzbeauftragten können gemäß Artikel 83 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes des Unternehmens geahndet werden, je nachdem, welcher Betrag höher ist.
Eine Datenschutz-Folgenabschätzung ist ein Verfahren zur Identifizierung und Minimierung von Risiken für die Rechte und Freiheiten natürlicher Personen, die sich aus bestimmten Datenverarbeitungen ergeben können. Sie ist insbesondere erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt, beispielsweise bei der Einführung neuer Technologien oder bei umfangreicher Überwachung.
Ja, unabhängig von der Mitarbeiterzahl muss ein Datenschutzbeauftragter benannt werden, wenn das Unternehmen:
- Verarbeitungen durchführt, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, oder
- personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet.
Ein Unternehmen ist verpflichtet, einen Datenschutzbeauftragten zu benennen, wenn es in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
Navigieren Sie sicher durch den DSGVO-Dschungel!
Holen Sie sich den Umsetzungsfahrplan zur DSGVO und unseren Newsletter!