Wenn ein Unternehmen wächst, ändern sich oft auch die Anforderungen an den Datenschutz. Neue Mitarbeiter kommen ins Team, Geschäftsprozesse werden digitalisiert, und es werden immer mehr personenbezogene Daten verarbeitet. Spätestens dann stellt sich in vielen Firmen die Frage, ob es notwendig ist, einen Datenschutzbeauftragten zu benennen.
Viele Unternehmen orientieren sich zunächst an der bekannten Grenze des § 38 Bundesdatenschutzgesetz (BDSG). Ob ein Datenschutzbeauftragter benannt werden muss, richtet sich jedoch nicht allein nach der Anzahl der Beschäftigten. Auch Art. 37 DSGVO kann eine Pflicht zur Benennung begründen.
Nach § 38 BDSG besteht grundsätzlich eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei zählen nicht nur Vollzeitkräfte. Je nach Tätigkeit können auch Teilzeitkräfte, Auszubildende, Werkstudierende, Leiharbeitnehmende oder freie Mitarbeitende zu berücksichtigen sein.
Zusätzlich kann sich eine Benennungspflicht direkt aus Art. 37 DSGVO ergeben. Das ist zum Beispiel der Fall, wenn die Haupttätigkeit eines Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht oder wenn eine regelmäßige und systematische Überwachung von Personen in großem Umfang erfolgt.
Aktuell wird zudem politisch diskutiert, die zusätzliche nationale Benennungspflicht nach § 38 BDSG im nichtöffentlichen Bereich zu ändern oder aufzuheben. Sollte es dazu kommen, würde dies jedoch nicht bedeuten, dass Datenschutzbeauftragte generell abgeschafft werden. Die Benennungspflicht nach Art. 37 DSGVO sowie die datenschutzrechtlichen Pflichten der Unternehmen würden weiterhin bestehen.
Wachsende Unternehmen verändern oft schrittweise ihre Datenverarbeitung. Neue Softwarelösungen, digitale Personalprozesse oder zusätzliche Geschäftsbereiche führen dazu, dass der Umfang und die Komplexität der Datenverarbeitung zunehmen. Daher ist es ratsam, die Voraussetzungen für eine Benennung regelmäßig zu überprüfen.
Verlassen Sie sich nicht nur auf die Anzahl der Beschäftigten. Überprüfen Sie regelmäßig, welche personenbezogenen Daten verarbeitet werden, wie viele Personen daran beteiligt sind und ob sich Ihre Geschäftsprozesse verändert haben. Eine regelmäßige Überprüfung schafft Rechtssicherheit und hilft dabei, auf Veränderungen im Unternehmen frühzeitig zu reagieren.
