Datenschutzbeauftragter (DSB)
Pflicht-Funktion nach Art. 37 DSGVO + § 38 BDSG
TL;DR
Der Datenschutzbeauftragte nach Art. 37-39 DSGVO ist die zentrale Datenschutz-Funktion eines Unternehmens. Pflicht: nach § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; nach Art. 37 Abs. 1 DSGVO u. a., wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung oder die umfangreiche Verarbeitung besonderer Datenkategorien umfasst.
Was ist ein Datenschutzbeauftragter?
Aufgaben des Datenschutzbeauftragten (Art. 39 DSGVO): Unterrichtung + Beratung, Überwachung der Einhaltung, Schulung, Beratung bei DSFA, Zusammenarbeit + Anlaufstelle für Aufsicht und Betroffene. Pflicht zur Unabhängigkeit + ausreichend Ressourcen + direkte Berichterstattung an Geschäftsleitung.
Kündigungsschutz in Deutschland nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG, sofern die Benennung verpflichtend ist — Kündigung nur aus wichtigem Grund; die Abberufung ist nur in entsprechender Anwendung des § 626 BGB zulässig.
Benennungspflicht: Deutschland und Österreich
Die EU-weiten Grundfälle folgen unmittelbar aus Art. 37 Abs. 1 DSGVO: Ein Datenschutzbeauftragter ist in jedem Fall zu benennen bei Behörden bzw. öffentlichen Stellen, wenn die Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung betroffener Personen besteht oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) besteht. Die nationale Ausgestaltung unterscheidet sich jedoch:
Deutschland
Ergänzend zu Art. 37 Abs. 1 lit. b und c DSGVO benennen Verantwortliche und Auftragsverarbeiter nach § 38 Abs. 1 BDSG einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von der Personenzahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Der Kündigungsschutz ergibt sich aus § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG. Zuständige Aufsicht: die Landesdatenschutzbehörde.
Österreich
Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Benennungsschwelle vor — insbesondere gibt es keine 20-Personen-Grenze. Die Benennungspflicht folgt unmittelbar aus Art. 37 DSGVO. Ergänzend regelt § 5 DSG, dass der Datenschutzbeauftragte und die für ihn tätigen Personen zur Geheimhaltung verpflichtet sind und dass der Datenschutzbeauftragte im öffentlichen Bereich bei der Ausübung seiner Aufgaben weisungsfrei ist. Zuständige Aufsicht: die österreichische Datenschutzbehörde.
Praxisbeispiel
Praxis-Konstellationen:
- Externer Datenschutzbeauftragter für KMU: Honorar abhängig von Unternehmensgröße, Branche und Betreuungsumfang — über Vergleichsangebote klären
- Interner Datenschutzbeauftragter: Aufwand abhängig vom Zeitanteil der Funktion und von den nach Art. 38 Abs. 2 DSGVO bereitzustellenden Ressourcen, einschließlich der zur Erhaltung des Fachwissens erforderlichen
- Konzern-Datenschutzbeauftragter: gemeinsame Funktion zulässig (Art. 37 Abs. 2)