Datenschutzbeauftragter: Ab wann ist die Bestellung Pflicht?

Lesedauer: 6 Minuten

Kurzantwort für Entscheider

Ein Datenschutzbeauftragter ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Mitarbeiterzahl muss ein Datenschutzbeauftragter bestellt werden, wenn Ihr Unternehmen Verarbeitungen durchführt, für die eine Datenschutz-Folgenabschätzung nötig ist, oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien (z. B. Gesundheitsdaten) oder in der systematischen Überwachung von Personen liegt (Art. 37 DSGVO). Öffentliche Stellen müssen immer einen Datenschutzbeauftragten benennen.

Die Bestellung kann intern oder extern erfolgen. Ein externer Datenschutzbeauftragter ist sinnvoll, wenn keine geeignete interne Person ohne Interessenkonflikt zur Verfügung steht oder Sie den Datenschutz auslagern möchten.

In diesem Beitrag erfahren Sie, ab wann die Pflicht gilt, wer als Datenschutzbeauftragter bestellt werden darf, wie die Bestellung abläuft und wann sich ein externer Datenschutzbeauftragter lohnt.

Ab wann braucht man einen Datenschutzbeauftragten?

Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich aus Art. 37 DSGVO in Verbindung mit § 38 BDSG.

Eine Benennung ist insbesondere erforderlich, wenn:

• Mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (z. B. regelmäßige Arbeit am PC)
• Verarbeitungen durchgeführt werden, für die eine Datenschutz-Folgenabschätzung erforderlich ist (§ 38 Abs. 1 Satz 2 BDSG)
• personenbezogene Daten geschäftsmäßig zum Zweck der (auch anonymisierten) Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden (§ 38 Abs. 1 Satz 2 BDSG)
• die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten liegt (z. B. Gesundheitsdaten, biometrische Daten)
• die Kerntätigkeit eine umfangreiche, regelmäßige und systematische Überwachung von Personen erfordert (z. B. Videoüberwachung, Tracking)
• es sich um eine öffentliche Stelle handelt

Mit Ausnahme der 20-Personen-Regel gelten diese Fälle unabhängig von der Mitarbeiterzahl.

Wer zählt mit? Teilzeitkräfte, Auszubildende, Leiharbeiter und Geschäftsführung

Ab wie vielen Mitarbeitern braucht man einen Datenschutzbeauftragten? Maßgeblich ist nicht die Gesamtzahl der Beschäftigten, sondern die Zahl der Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gemeint ist zum Beispiel die regelmäßige Arbeit am PC mit Kunden-, Bewerber- oder Mitarbeiterdaten. Die Grenze liegt bei mindestens 20 Personen.

Dabei zählen nicht nur Vollzeitkräfte. Auch Teilzeitbeschäftigte, Auszubildende, Praktikanten, Leiharbeitnehmer sowie Inhaber, Geschäftsführer und Vorstandsmitglieder werden mitgerechnet, wenn sie mit der Datenverarbeitung beschäftigt sind. Nicht mitzählen Beschäftigte, die keinen Umgang mit personenbezogenen Daten haben, etwa Mitarbeiter in der Produktion ohne Computerzugang.

Unternehmen und Organisationen, die keinen Datenschutzbeauftragten bestellen müssen, sollten dennoch sicherstellen, dass der Datenschutz in ihrer Organisation gewährleistet ist. Denn eine Befreiung von der Bestellpflicht führt nicht dazu, dass sämtliche Anforderungen der DSGVO nicht eingehalten werden müssen. Insoweit sollte auch bei Nichterfüllung der Kriterien darüber nachgedacht werden, einen DSB zu bestellen. Über die Kosten für einen Datenschutzbeauftragten erfahren Sie hier mehr.

Was ist die Bestellung eines Datenschutzbeauftragten?

Eine Bestellung des Datenschutzbeauftragten erfolgt nicht telefonisch oder per Online-Formular, wie viele andere Bestellungen in unserer Gesellschaft. Viele Unternehmen können den Begriff Bestellung eines Datenschutzbeauftragten zunächst nicht zuordnen und stellen deshalb Vermutungen an. Dabei ist die Bestellung im Datenschutz ganz einfach: Die Bestellung kann mit einer Ernennung verglichen werden. Mit der Bestellung geht einher, dass der DSB seine Funktion öffentlich ausübt und dadurch zum Träger von Rechten und Pflichten im Unternehmen wird. Nur wenn der Datenschutzbeauftragte nach den Vorgaben der DSGVO bestellt wird, ist das Unternehmen hinsichtlich der Bestellung ausreichend abgesichert. Zur Einhaltung der Formalitäten wird eine von der Geschäftsleitung unterzeichnete Bestellungsurkunde aufgesetzt. Aus der Bestellurkunde muss genau hervorgehen, welche Person die Tätigkeit des betrieblichen Datenschutzbeauftragten übernimmt und somit in Zukunft den betrieblichen Datenschutz verantwortet.

Muster Bestellung Datenschutzbeauftragter

Sofern Sie keinen externen Datenschutzbeauftragten bestellen, benötigen Sie eine gültige Bestellung des Datenschutzbeauftragten innerhalb Ihres Unternehmens. Wenn Sie einen externen Datenschutzbeauftragten bestellen, dann ist die Bestellung ein Gegenstand des Dienstleistungsvertrages zwischen Ihrem Unternehmen und dem externen Datenschutzbeauftragten. Folgende Formulierung können Sie für die Bestellung eines Datenschutzbeauftragten verwenden:

„Bestellung zum Datenschutzbeauftragten

Hiermit bestellen wir Max Mustermann gemäß Art. 37 DSGVO und § 38 BDSG mit Wirkung zum [Datum] als Datenschutzbeauftragten für
die Beispiel AG. Zu Ihren Aufgaben gehören gemäß Art. 39 DSGVO u.a. die Unterrichtung und Beratung in Sachen des Datenschutzes, die Kontrolle der Einhaltung der geltenden Datenschutzbestimmungen sowie die Zusammenarbeit mit der Aufsichtsbehörde. In Ihrer Funktion als externer Datenschutzbeauftragter sind Sie weisungsfrei.“

Für die Bestellung ist keine bestimmte Form gesetzlich vorgeschrieben. Aus Nachweisgründen empfehlen Aufsichtsbehörden jedoch eine schriftliche Bestellung, in der auch die Aufgaben festgehalten werden. Bei einem internen Datenschutzbeauftragten kann sie als Ergänzung zum Arbeitsvertrag erfolgen.

Datenschutzbeauftragter Voraussetzungen: Wer kann zum Datenschutzbeauftragten bestellt werden?

Damit eine Person als Datenschutzbeauftragter bestellt werden kann, müssen gewisse Voraussetzungen erfüllt werden, sodass die Bestellung des Datenschutzbeauftragten auch wirksam ist. Grundsätzlich kann ein Datenschutzbeauftragter mittels interner Mitarbeiter oder externer Mitarbeiter (im Rahmen eines Dienstleistungsvertrages) bestellt werden. Wichtig zu beachten ist dabei, dass eine berufliche sowie fachliche Qualifikation vorliegen muss, sodass die ordnungsgemäße Wahrnehmung der normierten Aufgaben aus dem Art. 39 DSGVO gewährleistet wird.
Oftmals entstehen bei einer Bestellung des Datenschutzbeauftragten mittels interner Ressourcen Interessenkonflikte, da Mitarbeiter mit Leitungsfunktionen oder solchen Funktionen, welche als gegensätzlich zum Datenschutz verstanden werden, die Rolle als Datenschutzbeauftragter ausüben sollen. Sollte ein Interessenkonflikt vorliegen, so ist die Bestellung des Datenschutzbeauftragten unwirksam. Die Berliner Datenschutzbehörde verhängte 2022 ein Bußgeld von 525.000 € gegen die Tochtergesellschaft eines E-Commerce-Konzerns, weil der betriebliche Datenschutzbeauftragte zugleich Geschäftsführer von Dienstleistungsgesellschaften war. Mehr dazu hier: Bußgeldbescheide über 525.000 €.

Datenschutzbeauftragten bestellen: Schritt für Schritt

Die Bestellung eines Datenschutzbeauftragten folgt festen Schritten. Hier der Überblick, danach die Details zu jedem Schritt.

1. Pflicht prüfen: Prüfen Sie zuerst, ob für Ihr Unternehmen eine Pflicht besteht (siehe oben: „Ab wann braucht man einen Datenschutzbeauftragten?“).
2. Intern oder extern entscheiden: Der Datenschutzbeauftragte kann ein Beschäftigter sein oder die Aufgaben als externer Dienstleister übernehmen (Art. 37 Abs. 6 DSGVO). Wie sich beide Varianten unterscheiden, zeigt unser Vergleich: externer oder interner DSB.
3. Geeignete Person auswählen: Der Datenschutzbeauftragte braucht Fachwissen im Datenschutzrecht und in der Praxis (Art. 37 Abs. 5 DSGVO) und muss die Aufgaben nach Art. 39 DSGVO erfüllen können. Er darf keinem Interessenkonflikt unterliegen (Art. 38 Abs. 6 DSGVO), ist weisungsfrei und berichtet direkt an die oberste Leitung (Art. 38 Abs. 3 DSGVO). Link ggf. auf „Interessenkonflikt beim Anwalt als DSB“.
4. Bestellung dokumentieren: Beim internen DSB erstellen Sie eine Bestellungsurkunde, beim externen DSB regelt der Dienstleistungsvertrag die Bestellung. Eine bestimmte Form ist nicht vorgeschrieben, aus Nachweisgründen empfehlen Aufsichtsbehörden aber eine schriftliche Bestellung mit den festgelegten Aufgaben. Ein Muster finden Sie oben im Abschnitt „Muster Bestellung Datenschutzbeauftragter“.
5. Kontaktdaten veröffentlichen: Veröffentlichen Sie die Kontaktdaten des Datenschutzbeauftragten, zum Beispiel in der Datenschutzerklärung (Art. 37 Abs. 7 DSGVO). Teilen Sie die Kontaktdaten des Datenschutzbeauftragten der zuständigen Aufsichtsbehörde mit (Art. 37 Abs. 7 DSGVO). Wie das funktioniert, lesen Sie in unserem Beitrag Meldung des Datenschutzbeauftragten an die Aufsichtsbehörde.

Was passiert, wenn kein Datenschutzbeauftragter bestellt wird?

Unternehmen, die trotz bestehender Pflicht keinen Datenschutzbeauftragten benennen, riskieren:

• Bußgelder nach DSGVO
• Beanstandungen durch Aufsichtsbehörden
• rechtliche Unsicherheiten bei Datenschutzvorfällen
• Reputationsschäden

Die ordnungsgemäße Bestellung eines Datenschutzbeauftragten ist daher ein zentraler Bestandteil der Datenschutz-Compliance.

Fazit: Wann benötigt man einen Datenschutzbeauftragten?

Ein externer Datenschutzbeauftragter wird benötigt, wenn eine gesetzliche Benennungspflicht besteht und kein interner Datenschutzbeauftragter bestellt wird, oder wenn Unternehmen Datenschutz fachlich und organisatorisch auslagern möchten.

Ob eine Pflicht besteht, hängt insbesondere von der Mitarbeiterzahl, der Art der Datenverarbeitung und der Kerntätigkeit des Unternehmens ab. Unabhängig von der Pflicht kann ein externer Datenschutzbeauftragter eine sinnvolle Lösung sein, um Datenschutz professionell und rechtssicher umzusetzen.

Hinweis: Unabhängig davon, ob ein interner oder externer Datenschutzbeauftragter bestellt wird, benötigen Unternehmen eine strukturierte Dokumentation ihrer Datenschutzprozesse. Datenschutz-Management-Systeme unterstützen dabei, Pflichten nachvollziehbar und effizient zu erfüllen.

FAQ

Datenschutzbeauftragter: Ab wieviel Mitarbeitern ist er Pflicht?

Ab 20 Personen, die in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Maßgeblich ist nicht die Gesamtzahl der Beschäftigten.

Wann brauche ich einen Datenschutzbeauftragten, wenn ich weniger als 20 Mitarbeiter habe?

Auch dann, wenn eine Datenschutz-Folgenabschätzung nötig ist, Sie Daten geschäftsmäßig übermitteln oder Markt- und Meinungsforschung betreiben (§ 38 Abs. 1 Satz 2 BDSG) oder Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien oder der systematischen Überwachung von Personen liegt (Art. 37 DSGVO).

Wer zählt bei der Mitarbeiterzahl mit?

Auch Teilzeitbeschäftigte, Auszubildende, Praktikanten, Leiharbeitnehmer sowie Inhaber und Geschäftsführer, sofern sie mit der Datenverarbeitung beschäftigt sind. Beschäftigte ohne Umgang mit personenbezogenen Daten zählen nicht mit.

Muss ein Datenschutzbeauftragter extern sein?

Nein. Der Datenschutzbeauftragte kann ein Beschäftigter sein oder die Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6 DSGVO). Ein externer DSB ist sinnvoll, wenn intern keine geeignete Person ohne Interessenkonflikt zur Verfügung steht.

Wie wird ein Datenschutzbeauftragter bestellt und muss die Bestellung gemeldet werden?

Beim internen DSB erfolgt die Bestellung durch eine Bestellungsurkunde, beim externen DSB durch den Dienstleistungsvertrag. Eine Form ist nicht vorgeschrieben, schriftlich wird aber empfohlen. Die Kontaktdaten müssen veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO).

Wer darf nicht Datenschutzbeauftragter werden?

Personen, bei denen ein Interessenkonflikt entstehen kann, in der Regel Führungskräfte, Abteilungsleiter oder Betriebsratsmitglieder.

Was passiert, wenn ich keinen Datenschutzbeauftragten bestelle?

Es drohen Bußgelder nach DSGVO, Beanstandungen durch die Aufsichtsbehörde, rechtliche Unsicherheit bei Datenschutzvorfällen und Reputationsschäden.