Datenschutzbeauftragter

Wann besteht eine Bestellpflicht nach der DSGVO?

Während die Richtlinie 95/46/EG die Verpflichtung zur Bestellung von Datenschutzbeauftragten lediglich als Alternative vorsah, um die Meldepflicht gegenüber der Datenschutzaufsichtsbehörde entfallen zu lassen, ergibt sich eine Bestellpflicht erstmals unmittelbar aus der DSGVO selbst. Das deutsche Erfolgsmodell der datenschutzrechtlichen Selbstkontrolle hat sich damit auch auf europäischer Ebene durchgesetzt.

Ein betrieblicher Datenschutzbeauftragter ist zu bestimmen, wenn im Unternehmen sog. Kerntätigkeiten i.S.d. Art. 37 Abs. 1 lit. b) DSGVO als Haupttätigkeiten vorzunehmen sind: Diese liegen bei Datenverarbeitungsvorgängen vor, die eine umfangreiche, „regelmäßige und systematische Überwachung der betroffenen Personen" erfordern, sowie wenn nach Art. 37 Abs. 1 lit. c) DSGVO in großem Umfang personenbezogene Daten besonderer Kategorien (wie z. B. Gesundheitsdaten oder konfessionelle Daten) oder strafrechtlich relevante Daten wie z. B. Daten über gerichtliche Verurteilungen und Straftaten verarbeitet werden.

Die für Unternehmen maßgebliche Bestellpflicht der beiden letztgenannten Fallgruppen hat jeweils zwei Voraussetzungen: Erstens muss die die Bestellpflicht auslösende personenbezogene Datenverarbeitung zur „Kerntätigkeit" des Verantwortlichen bzw. Auftragsverarbeiters gehören. Zweitens muss die Tätigkeit bestimmte inhaltliche Voraussetzungen erfüllen, nämlich das Erfordernis einer umfangreichen, regelmäßigen und systematischen Beobachtung oder die umfangreiche Verarbeitung von Daten im Sinne von Art. 37 Abs. 1 lit. c) DSGVO.

Mittels der am 13. Dezember 2016 veröffentlichten Stellungnahme der Artikel-29-Gruppe gibt es bereits Klarstellungen, was unter „Kerntätigkeit" i.S.d. Art. 37 Abs. 1 lit. b) DSGVO zu verstehen ist. Im Zusammenhang mit Erwägungsgrund 97 ist hierunter jede Tätigkeit zu verstehen, die essentiell für die Erreichung der Ziele des Unternehmens ist – als Beispiel sei hier die Verarbeitung von Gesundheitsdaten in einem Krankenhaus genannt.

Eine Bestellpflicht nach Art. 37 Abs. 1 lit. b) DSGVO besteht daher etwa für Auskunfteien, Detekteien und Versicherungsunternehmen (Risikomanagement oder individualisierte Tarife wie „Pay as you drive") sowie für Marketing auf Basis detaillierter Kunden- und Interessentenprofile.

Die Regelung des Art. 37 Abs. 1 lit. c) DSGVO dürfte insbesondere für Unternehmen gelten, deren Kerngeschäft der Handel mit personenbezogenen Daten ist („Daten als Ware"), etwa Auskunfteien oder Adresshändler. Die Artikel-29-Gruppe führt hierzu Faktoren auf, die für das Merkmal „umfangreiche Verarbeitung" maßgeblich sind: die Anzahl der Betroffenen, die Menge der betroffenen Daten und/oder die Vielzahl der verschiedenen Datensätze, die Dauer der Datenverarbeitung sowie die geographische Reichweite der Verarbeitung. Unter Berücksichtigung von Erwägungsgrund 24 fallen unter das Merkmal „umfangreiche regelmäßige und systematische Überwachung" alle Arten des Internettrackings und -profilings.

Eine Bestellpflicht nach Art. 37 Abs. 1 lit. c) DSGVO besteht deshalb etwa für Gesundheitseinrichtungen wie Krankenhäuser, mit genetischen Untersuchungen befasste Labore, Beratungsstellen wie Pro Familia, Dienstleister im biometrischen ID-Management oder Anbieter von Erotikartikeln.

Öffnungsklausel, Bestellung und Kontaktdaten

Darüber hinaus kann sich eine Bestellpflicht nach Art. 37 Abs. 4 DSGVO auch dann ergeben, wenn die dort normierte Öffnungsklausel durch den nationalen Gesetzgeber genutzt wurde, um weitergehende Verpflichtungen zur Bestellung eines Datenschutzbeauftragten vorzusehen. Die Öffnungsklausel bezieht sich nur auf die Voraussetzungen, unter denen ein Beauftragter zu bestellen ist – Aufgaben und Stellung können nicht abweichend geregelt werden. Art. 37 Abs. 4 DSGVO stellt zudem klar, dass die freiwillige Bestellung eines Datenschutzbeauftragten unbenommen bleibt.

Für Deutschland existiert eine ausdrückliche Positionierung des Bundestages (BT-Drs. 17/11325, Abschnitt II., Nr. 21), wonach das in Deutschland bestehende und bewährte System der Beauftragten für Datenschutz in Unternehmen und Verwaltung nicht gefährdet werden soll. Der deutsche Gesetzgeber hat daher die Öffnungsklausel genutzt, um eine weitergehende Regelung im BDSG zu schaffen.

Gemäß § 38 Abs. 1 BDSG ist ein betrieblicher Datenschutzbeauftragter zu bestellen, wenn im Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, sowie wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Dies ist der Fall, wenn die automatisierte Datenverarbeitung die Wahrscheinlichkeit eines hohen Risikos für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Auch wenn geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden, ist ein Datenschutzbeauftragter zu bestellen.

Die Bestellung des Datenschutzbeauftragten musste bislang schriftlich erfolgen. Der Wortlaut der Datenschutz-Grundverordnung spricht nur noch von einer „Benennung" des Datenschutzbeauftragten – eine tatsächliche schriftliche Bestellung ist nicht mehr zwingend erforderlich. Die DSGVO verlangt darüber hinaus die Mitteilung an die Aufsichtsbehörden, sofern eine Benennungspflicht besteht.

Nach Auffassung der Artikel-29-Gruppe genügt es, wenn Betroffenen und Aufsichtsbehörden die für eine Kontaktaufnahme „erforderlichen" Kontaktdaten des Datenschutzbeauftragten mitgeteilt werden, also Anschrift, Telefonnummer und E-Mail-Adresse. Empfehlenswert ist gleichwohl, der Aufsichtsbehörde und den Mitarbeitern eines Unternehmens die konkreten Kontaktdaten mitzuteilen. Auf der Webseite eines Unternehmens genügt es hingegen, wenn beispielsweise eine Hotline oder spezifische Kontaktdaten veröffentlicht werden. Nicht erforderlich ist die Angabe des Namens des Datenschutzbeauftragten.

Grundsätzlich kann ein Unternehmen wählen, ob die Position des betrieblichen Datenschutzbeauftragten intern oder extern besetzt wird. Viele Unternehmen bedienen sich der Möglichkeit, einen externen Datenschutzbeauftragten zu bestellen, um eigene interne Ressourcen zu schonen und vom spezifischen Fachwissen eines externen Datenschutzbeauftragten zu profitieren.

Diese Möglichkeit regelt die Datenschutzgrundverordnung ausdrücklich in Art. 37 Abs. 6 DSGVO. Ein Unternehmen sollte die Vor- und Nachteile eines internen bzw. externen Datenschutzbeauftragten sorgfältig abwägen. In jedem Fall sollte die Bestellpflicht geprüft werden, denn das vorsätzliche oder fahrlässige Versäumnis, einen betrieblichen Datenschutzbeauftragten zu bestellen, kann nach der DSGVO mit einem Bußgeld sanktioniert werden.