Wann braucht ein Unternehmen einen Datenschutzbeauftragten?
Ob ein Datenschutzbeauftragter zu benennen ist, hängt nicht nur von der Unternehmensgröße ab. Entscheidend sind vor allem Art, Umfang und Zweck der Datenverarbeitung.
Der häufigste Einstieg: die 20-Personen-Regel
In Deutschland ist § 38 BDSG wichtig. Danach kann eine Benennungspflicht entstehen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das betrifft nicht nur IT. Auch HR, Vertrieb, Buchhaltung, Support oder Verwaltung können mitzählen.
Auch unterhalb von 20 Personen kann eine Pflicht bestehen
Die DSGVO schaut zusätzlich darauf, ob Datenverarbeitung zur Kerntätigkeit gehört, ob Personen umfangreich regelmäßig und systematisch überwacht werden oder ob besondere Kategorien personenbezogener Daten in großem Umfang verarbeitet werden. Dann kann ein Datenschutzbeauftragter auch ohne 20-Personen-Schwelle nötig sein.
Interne oder externe Lösung?
Eine interne Lösung kann sinnvoll sein, wenn Fachkunde, Zeit und Unabhängigkeit vorhanden sind. Ein externer Datenschutzbeauftragter entlastet interne Ressourcen und bringt regelmäßig Erfahrung aus verschiedenen Unternehmenssituationen mit.
Was sollte dokumentiert werden?
Auch wenn die Entscheidung gegen eine Benennung fällt, sollte die Prüfung nachvollziehbar dokumentiert werden. Das schafft Klarheit und hilft, spätere Rückfragen strukturiert zu beantworten.
Datenschutzfunktion prüfen?
Ich unterstütze Unternehmen bei der Prüfung, Benennung und laufenden Betreuung als externer Datenschutzbeauftragter.
Mehr zur DSB-Pflicht Externer Datenschutzbeauftragter