Kriterien zur Bestellpflicht Datenschutzbeauftragter

Fast jeder kennt sie: Die “magische” 10-Perso­nen­-Grenze, ab der ein Unternehmen verpflichtet ist, einen Datenschutzbeauftragten zu bestellen. Gemeint sind (§ 4f Abs. 1) 10 Personen, die “ständig mit der automatisierten Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt sind”.

Dabei wird nicht etwa in Stellen (Fulltime Equivalents, FTE) gerechnet, sondern einfach durchgezählt: Jeder, der unter die o. g. Definition fällt, gilt als eine Person, unabhängig davon, ob es sich vielleicht nur um eine Halbtagskraft oder sogar nur um eine studentische Aushilfe handelt, die nur an 2 halben Tagen pro Woche arbeitet. Gerade in Unternehmen, in denen stark mit solchen Aushilfskräften gearbeitet wird, ist die Grenze von 10 Personen schnell erreicht.

Für Unternehmen, bei denen die o. g. Grenze nicht zur Anwendung kommt, weil sie keine oder nur wenig IT einsetzen ist eine zweite Grenze von 20 Personen definiert. Diese gilt, wenn personenbezogene Daten “auf andere Weise” verarbeitet werden, also beispielsweise in Papierakten.

Zusätzlich zu dieser Grenze existieren im Gesetz allerdings noch weitere Kriterien, die unabhängig von der Anzahl der Personen eine Bestellpflicht auslösen können. Zum Beispiel, wenn besondere Arten personenbezogener Daten (§ 3 Abs. 9) verarbeitet werden oder andere Verarbeitungen durchgeführt werden, die einer Vorabkontrolle unterliegen. Ebenso führt die geschäftsmäßige Übermittlung – auch anonymisiert – oder die Verarbeitung im Rahmen von Markt- und Meinungsforschung zur Bestellpflicht.

Die Beurteilung – speziell der Pflicht zur Vorabkontrolle – ist nicht immer trivial und die Aufsichtsbehörden der Länder vertreten da durchaus auch unterschiedliche Standpunkte.

Sprechen sie mich an: Gerne berate ich Sie bei der Prüfung, ob Ihr Unternehmen verpflichtet ist, einen Datenschutzbeauftragten zu bestellen.