Datenschutz

Datenschutzbeauftragter im Unternehmen

von Eva Schönmetzler | Aktualisiert am

Der Datenschutzbeauftragte unterstützt Unternehmen bei der Einhaltung der datenschutzrechtlichen Vorgaben. Doch nicht jedes Unternehmen ist zur Benennung verpflichtet. Entscheidend sind Tätigkeiten und Unternehmensgröße.

Wann muss ein Datenschutzbeauftragter bestellt werden?

Ein Datenschutzbeauftragter muss ab der Anzahl von zwanzig Mitarbeitern, die im Unternehmen ständig und automatisiert personenbezogene Daten verarbeiten, bestellt werden.
Zu den Mitarbeitern zählen Voll- und Teilzeitkräfte, Leiharbeitnehmer, Auszubildende, freie Mitarbeiter, Praktikanten sowie Beschäftigte im Home-Office oder in Tele-Arbeit.
Beachte: Wichtig ist dabei, dass Mitarbeitende regelmäßig und automatisiert personenbezogene Daten verarbeiten. Das betrifft zum Beispiel Kundenbetreuer, Callcenter-Mitarbeitende oder Beschäftigte in der Personalabteilung, die dafür Computer, Tablets oder Smartphones nutzen.
Nicht dazu zählen hingegen Personen, die gar nicht oder nur sehr selten mit personenbezogenen Daten zu tun haben, wie zum Beispiel Lagerarbeiter, Reinigungskräfte oder LKW-Fahrer.
Sinkt die Zahl der Mitarbeitenden kurzzeitig auf eine Anzahl unterhalb der Grenze von zwanzig Mitarbeitern führt dies nicht zum Wegfall der Bestellpflicht. Entscheidend ist der durchschnittliche Personalbestand innerhalb eines Geschäftsjahres.
Auch bei weniger Mitarbeitern muss ein Datenschutzbeauftragter benannt werden, wenn das Unternehmen regelmäßig und systematisch personenbezogene Daten verarbeitet. Dies gilt beispielsweise für datengestütztes Marketing, verhaltensbasierte Werbung, Scoring für Kredite oder Versicherungen, Standortverfolgung, den Einsatz von Künstlicher Intelligenz oder Daten aus vernetzten Geräten wie smarten Haushaltsgeräten und Autos.
Zudem ist unabhängig von der Mitarbeiterzahl ein Datenschutzbeauftragter zu bestellen, wenn besonders sensible Daten verarbeitet werden, wie Gesundheitsdaten.
Im Übrigen kann das Unternehmen jederzeit freiwillig einen Datenschutzbeauftragten bestellen.
Beachte: Auch wenn ein Unternehmen keinen Datenschutzbeauftragen benötigt, muss der Datenschutz im Unternehmen trotzdem eingehalten werden.

Wer kann Datenschutzbeauftragter sein?

Die Position des Datenschutzbeauftragten kann innerhalb des Betriebs durch einen eigenen Mitarbeiter besetzt werden, wenn dieser persönlich und fachlich geeignet ist.
Die Alternative ist eine externe Person, zum Beispiel einen Rechtsanwalt, als Datenschutzbeauftragten zu bestellen.
Für eine Unternehmensgruppe kann ein gemeinsamer Datenschutzbeauftragter benannt werden. Dieser muss jedoch von jeder Niederlassung aus leicht erreichbar sein.

Wer darf nicht Datenschutzbeauftragter sein?

Nicht als Datenschutzbeauftragter geeignet sind Personen, bei denen ein Interessenkonflikt besteht.
Dazu zählen insbesondere:
  • Mitglieder der Geschäftsleitung
  • IT-Leiter
  • Personalleiter
  • IT-Administratoren
Diese Personen würden sich im Zweifel selbst kontrollieren müssen.

Welche fachlichen Anforderungen gelten für Datenschutzbeauftrage?

Der Datenschutzbeauftragte muss bereits zum Zeitpunkt der Bestellung über ausreichende Fachkenntnisse verfügen.
Dazu gehören insbesondere:
  • Kenntnisse der Datenschutz- Grundverordnung (DSGVO) und des Bundesdatenschutzgesetz (BDSG)
  • Grundverständnis der Informations- und Telekommunikationstechnologie
  • Kenntnisse der Datensicherheit

Im welcher Form muss der Datenschutzbeauftragte bestellt werden?

Eine gesetzlich vorgeschriebene Form oder Mindestdauer für die Bestellung besteht nicht.
Aus Nachweisgründen wird jedoch dringend empfohlen, die Bestellung in Textform vorzunehmen.
Hier finden Sie ein Muster für eine Bestellung. (DOCX-Datei · 13 KB)

Müssen die Kontaktdaten des Datenschutzbeauftragten veröffentlicht werden?

Die Kontaktdaten des Datenschutzbeauftragten müssen:
Die Meldung erfolgt in der Regel über ein elektronisches Formular der jeweiligen Aufsichtsbehörde.

Welche Stellung hat der Datenschutzbeauftragte im Unternehmen?

Der Datenschutzbeauftragte arbeitet unabhängig und darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt oder abberufen werden.
Er ist frühzeitig in alle datenschutzrelevanten Fragen einzubeziehen und erhält die notwendigen Ressourcen, etwa Zeit, Schulungen und Zugriffsrechte. Zudem gilt ein besonderer Kündigungsschutz: Eine Kündigung ist nur aus wichtigem Grund möglich – während der Tätigkeit und bis ein Jahr danach.

Welche Aufgaben hat der Datenschutzbeauftragte?

Zu den gesetzlichen Kernaufgaben gehören insbesondere:
  • Beratung des Unternehmens in Datenschutzfragen
  • Überwachung der Einhaltung der DSGVO, des BDSG und weiterer Datenschutzvorschriften
  • Schulung von Mitarbeitenden
  • Zusammenarbeit mit der Datenschutzaufsichtsbehörde
  • Ansprechpartner für betroffene Personen und Mitarbeitende
Darüber hinaus unterstützt der Datenschutzbeauftragte unter anderem bei:
  • der Dokumentation datenschutzrechtlicher Prozesse
  • der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten
  • der Umsetzung von Melde- und Benachrichtigungspflichten bei Datenschutzverletzungen
  • der Erfüllung von Betroffenenrechten (z. B. Auskunft, Berichtigung, Löschung)

Haftet der Datenschutzbeauftragte persönlich bei Datenschutzverstößen?

Der Datenschutzbeauftragte haftet grundsätzlich nicht persönlich für Datenschutzverstöße.
Die Verantwortung und Haftung liegen beim Unternehmen bzw. Verantwortlichen.
Eine persönliche Haftung des Datenschutzbeauftragten kommt nur in Ausnahmefällen in Betracht, etwa bei vorsätzlichem oder grob fahrlässigem Fehlverhalten.

Welche Folgen drohen, wenn kein Datenschutzbeauftragter bestellt wird?

Wird ein gesetzlich erforderlicher Datenschutzbeauftragter nicht bestellt, kann dies mit einem Bußgeld geahndet werden.
Nach der DSGVO sind Bußgelder von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes möglich.

Die Informationen und Auskünfte der IHK Schwaben enthalten nur erste Hinweise und ‎erheben daher keinen Anspruch auf Vollständigkeit. Obwohl sie mit größtmöglicher ‎Sorgfalt erstellt wurden, kann eine Haftung für ihre inhaltliche Richtigkeit nicht ‎übernommen werden. Sie können eine Beratung im Einzelfall (z. B. durch einen ‎Rechtsanwalt, Steuerberater, Unternehmensberater etc.) nicht ersetzen.‎