Die Datenschutz-Grundverordnung (DSGVO) stellt Unternehmen vor die Herausforderung, personenbezogene Daten gesetzeskonform zu schützen. Doch wer ist eigentlich verpflichtet, einen Datenschutzbeauftragten zu benennen? Und was sind die rechtlichen Grundlagen?
Hier erfahren Sie die wichtigsten Details.
1. Unternehmen mit mehr als 20 Mitarbeitern
Laut § 38 Abs. 1 BDSG müssen Unternehmen mit mehr als 20 Mitarbeitern , die regelmäßig personenbezogene Daten automatisiert verarbeiten (z.B. eigene E-Mail Adresse), einen Datenschutzbeauftragten benennen.
Was bedeutet „regelmäßig automatisierte Verarbeitung“?
Darunter fällt jede wiederkehrende Nutzung von IT-Systemen, z. B. die Verarbeitung von Kundendaten, Mitarbeiterakten oder Marketingdaten.
Beispiel:
- Personalabteilungen, die digitale Personalakten führen
- Marketingabteilungen, die E-Mail-Newsletter versenden
- Vertriebsabteilungen mit Kundendatenbanken
2. Unternehmen, die sensible Daten verarbeiten
Unabhängig von der Mitarbeiterzahl schreibt die DSGVO (Art. 37 Abs. 1 Buchstabe c) vor, dass ein Datenschutzbeauftragter benannt werden muss, wenn sensible Daten verarbeitet werden. Diese werden in Art. 9 Abs. 1 DSGVO definiert und umfasst:
- Gesundheitsdaten (z. B. in Arztpraxen oder Krankenhäusern),
- finanzielle Daten (z. B. in Banken, Steuerberatern oder Buchhaltungsfirmen),eligiöse oder politische Überzeugungen (z. B. bei Organisationen oder Vereinen).
Die Verarbeitung dieser Daten erfordert aufgrund ihrer Sensibilität besonders strenge Sicherheits- und Datenschutzmaßnahmen, um das Risiko von Missbrauch oder Datenlecks zu minimieren.
3. Organisationen mit besonderem DSGVO-Bezug
In weiteren Fällen ergibt sich die Pflicht zur Bestellung eines Datenschutzbeauftragten direkt aus der DSGVO (Art. 37 Abs. 1 Buchstabe c) oder ergänzend aus nationalen Gesetzen wie dem BDSG:
- Unternehmen, die regelmäßig und systematisch Personen überwachen (z. B. durch Videoüberwachung oder Online-Tracking).
- Organisationen, bei denen eine umfangreiche Verarbeitung personenbezogener Daten erforderlich ist, wie:
Onlineshops speichern Kundendaten, Zahlungsinformationen und IP-Adressen.
Dienstleister , die personenbezogene Daten für Dritte verarbeiten.
Bildungseinrichtungen , die Daten von Schülern, Lehrern und Eltern verwalten.
VORSICHT!
Nach Art. 83 Abs. 4 DSGVO kann die Nichtbenennung eines Datenschutzbeauftragten als Verstoß gegen die DSGVO mit einem Bußgeld geahndet werden. Die möglichen Strafen betragen:
- Bis zu 10 Millionen Euro oder
- 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.
Die Nichtbenennung wird als Verstoß gegen Art. 37 Abs. 1 DSGVO gewertet, der die Pflicht zur Bestellung eines Datenschutzbeauftragten erklärt.
Zusätzlich verlangt § 38 Abs. 1 Satz 2 BDSG einen Datenschutzbeauftragten, wenn Verarbeitungen erfolgen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegt.
Schützen Sie Ihr Unternehmen und Ihre Daten optimal!
JETZT KONTAKT AUFNEHMEN
und lassen Sie sich von einem erfahrenen Datenschutzbeauftragten individuell beraten. Gemeinsam sorgen wir für Sicherheit und Vertrauen!