Externer Datenschutzbeauftragter: Ab wann Pflicht?

Ab zwanzig Personen, die ständig am Rechner mit Personendaten arbeiten, braucht ein Unternehmen einen Datenschutzbeauftragten. So steht es heute im Bundesdatenschutzgesetz, Paragraf achtunddreißig.

Die Frage nach dem Ob, ja. Die teuren Fehler passieren danach: beim Zählen, bei der Wahl der Person und bei der Meldung an die Behörde.

Weil der Wegfall angekündigt ist, aber nicht beschlossen. Wir klären heute, was jetzt gilt und was bliebe, wenn die Reform kommt.

Ob Sie einen Beauftragten brauchen, wen Sie dafür nicht nehmen dürfen und ob intern oder extern besser passt. Dazu drei typische Fälle aus dem Mittelstand.

Nehmen wir einen Betrieb mit sechzig Leuten, vierzig davon in der Fertigung. Die Geschäftsführung zählt nur das Büro, kommt auf achtzehn und sagt: knapp drunter.

Stimmt, die zählen nicht mit. Gezählt wird laut bayerischer Aufsichtsbehörde, wer schwerpunktmäßig mit personenbezogenen Daten am Rechner arbeitet, also mit Daten, die sich einer Person zuordnen lassen.

Teilzeitkräfte, Auszubildende, Leiharbeitnehmer und freie Mitarbeiter. Die bayerische Behörde zählt sogar den Chef selbst mit.

Ja, wenn das ein Schwerpunkt ihrer Arbeit ist. Es kommt weder auf Vollzeit an noch darauf, dass sie den ganzen Tag damit verbringt.

Personalabteilung und Finanzbuchhaltung, nennt die Behörde ausdrücklich. Arbeiten im Büro noch Azubis, Leiharbeiter und die Geschäftsführung mit, ist man bei sechzig Leuten schnell über zwanzig.

Nicht unbedingt. Muss eine Verarbeitung vor dem Start auf ihr Risiko geprüft werden, gilt die Pflicht unabhängig von der Zahl.

Das ist die Datenschutz-Folgenabschätzung, eine schriftliche Risikoanalyse vor der Einführung. Die Datenschutzkonferenz, also das Gremium der deutschen Aufsichtsbehörden, führt dafür eine Liste.

Zum Beispiel umfangreiche Bewegungsprofile von Beschäftigten per GPS, etwa um Einsätze im Außendienst zu steuern. Wer Servicetechniker so verfolgt und auswertet, kann allein dadurch einen Beauftragten brauchen.

Biometrische Zutrittskontrolle steht ebenfalls auf der Liste, wenn ein weiteres Risikomerkmal dazukommt. Ein solches Merkmal ist zum Beispiel systematische Überwachung.

Eine Unternehmensgruppe darf laut DSGVO einen gemeinsamen Beauftragten benennen. Bedingung ist, dass er von jeder Niederlassung aus leicht erreichbar ist.

Bund und Länder haben am vierten Dezember zweitausendfünfundzwanzig eine Modernisierungsagenda beschlossen. Darin kündigt der Bund an, bis Ende zweitausendsechsundzwanzig die Aufhebung des ersten Absatzes von Paragraf achtunddreißig einzubringen.

Ja, und auch der mit der Folgenabschätzung. Im Juli hat der Koalitionsausschuss nachgelegt: In kleinen und mittleren Unternehmen soll es weniger betriebliche Datenschutzbeauftragte geben.

Davon rate ich ab. Ein veröffentlichter Gesetzentwurf war bis Ende September nicht bekannt, und Stand heute ist nicht abschließend geklärt, ob und wann die Änderung kommt.

Dann bleibt nur die europäische Regel, Artikel siebenunddreißig der DSGVO. Die greift, wenn Ihr Kerngeschäft Menschen umfangreich und systematisch überwacht oder in großem Umfang besonders sensible Daten verarbeitet.

Nein, nur die Pflicht zur Person. Das Verzeichnis Ihrer Datenverarbeitungen, die Schutzmaßnahmen und die Meldung von Datenpannen möglichst binnen zweiundsiebzig Stunden bleiben, nur ohne festen Berater an Ihrer Seite.

Stand heute greift die Ausnahme nicht, sobald Sie Daten nicht nur gelegentlich verarbeiten, und die monatliche Lohnabrechnung ist nicht gelegentlich. Die EU will diese Grenze lockern, in Kraft ist das noch nicht.

Was soll er denn in dem Amt tun? Das ist die erste Frage.

Er unterrichtet und berät Sie und die Beschäftigten, überwacht, ob der Datenschutz eingehalten wird, und berät bei Folgenabschätzungen. Außerdem ist er Ansprechpartner für die Aufsichtsbehörde.

Genau das ist das Problem. Er soll Systeme überwachen, die er selbst ausgesucht und eingerichtet hat.

Nicht mit Namen. Artikel achtunddreißig der DSGVO erlaubt weitere Aufgaben, solange sie zu keinem Interessenkonflikt führen.

Der Europäische Gerichtshof hat das im Februar zweitausenddreiundzwanzig konkretisiert. Der Beauftragte darf keine Position haben, in der er festlegt, wofür und womit Daten verarbeitet werden.

Die europäischen Datenschutzbehörden nennen in ihren Leitlinien als typische Konfliktfälle Geschäftsführung, Personalleitung, Marketingleitung und IT-Leitung. Also genau die Leute, die man zuerst fragt.

Das Bundesarbeitsgericht hat im Juni zweitausenddreiundzwanzig entschieden: Betriebsratsvorsitz und Datenschutzbeauftragter sind nicht vereinbar. Der Konflikt rechtfertigt es sogar, die Bestellung zu widerrufen.

Das kann gehen. Die Person braucht aber Fachwissen im Datenschutzrecht, und Sie müssen ihr Zeit und Fortbildung zur Verfügung stellen.

Das Gesetz nennt keine Zahl. Die europäischen Leitlinien raten, den Zeitanteil festzulegen, etwa als Prozentsatz der Arbeitszeit, und dazu einen Arbeitsplan.

Dann können sie direkt zum Beauftragten gehen. Er muss ihre Identität vertraulich behandeln, auch Ihnen gegenüber.

Beim Kündigungsschutz. Ist die Benennung Pflicht, können Sie einen angestellten Beauftragten nur aus wichtigem Grund abberufen.

Nur aus einem Grund, der auch eine fristlose Kündigung tragen würde. Das gilt noch ein Jahr, nachdem er das Amt abgegeben hat.

In Paragraf sechs des Bundesdatenschutzgesetzes, auf den Paragraf achtunddreißig für Unternehmen verweist.

Paragraf achtunddreißig knüpft den besonderen Schutz ausdrücklich an eine Pflicht zur Benennung. Was bei einem Wegfall für bestehende Benennungen gilt, ist Stand heute nicht abschließend geklärt, solange kein Gesetzentwurf bekannt ist.

Die DSGVO erlaubt ausdrücklich einen Dienstleistungsvertrag. Der besondere Kündigungsschutz hängt am Arbeitsverhältnis, beim externen regeln Laufzeit und Kündigung der Vertrag.

Intern zahlen Sie Arbeitszeit, Ausbildung und laufende Fortbildung. Extern zahlen Sie eine Gebühr.

Wie viele Beratungsstunden enthalten sind und wie schnell bei einer Datenpanne jemand erreichbar ist. Denn die zweiundsiebzig Stunden laufen auch am Wochenende.

Das allein ist kein Konflikt. Die Leitlinien nennen als Beispiel für einen Konflikt, wenn er Sie in Datenschutzstreitigkeiten zugleich vor Gericht vertreten soll.

Drei Dinge: Die Behörde weiß nichts davon, niemand findet die Kontaktdaten, und der Beauftragte erfährt von neuen Projekten erst hinterher.

Ja. Nach Artikel siebenunddreißig müssen Sie die Kontaktdaten veröffentlichen und der Aufsichtsbehörde Ihres Landes mitteilen.

Die Landesbehörden bieten dafür Online-Formulare an, in Baden-Württemberg etwa mit Erstmitteilung, Änderung und Löschung. Abgefragt werden vor allem Angaben zum Unternehmen und die Kontaktdaten des Beauftragten.

Die Hamburger Datenschutzbehörde hat deswegen einundfünfzigtausend Euro Bußgeld gegen die deutsche Facebook-Gesellschaft verhängt. Ein neuer Beauftragter war nicht gemeldet worden.

Doch, durchgehend. Mildernd hat die Behörde berücksichtigt, dass es fahrlässig war und sofort behoben wurde, fällig wurde das Bußgeld trotzdem.

Verstöße gegen die Pflichten rund um den Beauftragten können bis zehn Millionen Euro kosten oder bis zwei Prozent des weltweiten Jahresumsatzes. Es gilt der höhere Betrag.

Ja, als Änderung. Dasselbe gilt für eine neue Adresse oder Telefonnummer.

Am sinnvollsten in der Datenschutzerklärung Ihrer Website. Dort suchen Kunden, Bewerber und Beschäftigte zuerst, wenn sie eine Frage zu ihren Daten haben.

Die DSGVO verlangt, dass Sie den Beauftragten frühzeitig in alle Datenschutzfragen einbinden. Führen Sie eine neue Zeiterfassung oder ein KI-Werkzeug ein, gehört er vor die Entscheidung, nicht danach.

Nein. Er berät und überwacht, die Verantwortung für die Datenverarbeitung bleibt beim Unternehmen und damit bei der Geschäftsführung.

Melden muss das Unternehmen, unverzüglich und möglichst binnen zweiundsiebzig Stunden an die Aufsichtsbehörde. Der Beauftragte hilft bei der Einschätzung und ist Ansprechpartner für die Behörde.

Unmittelbar der höchsten Managementebene, also Ihnen. Anweisungen, wie er seine Aufgabe erfüllt, darf er nicht bekommen.

Das Gesetz nennt keinen Takt. Die europäischen Leitlinien nennen einen jährlichen Tätigkeitsbericht an die Leitung als Beispiel, ich empfehle zusätzlich einen kurzen Termin pro Quartal.

Erstens: Zählen Sie neu, mit Teilzeit, Auszubildenden, Leiharbeit und freien Mitarbeitern. Und prüfen Sie, ob etwa eine GPS-Ortung eine Folgenabschätzung braucht.

Prüfen Sie, wer das Amt heute hat. Leitet die Person IT, Personal oder Marketing, besetzen Sie neu, intern ohne Leitungsfunktion oder extern per Vertrag.

Melden Sie den Beauftragten bei Ihrer Landesbehörde, veröffentlichen Sie die Kontaktdaten und holen Sie ihn bei jedem neuen System vorher dazu.

Beobachten, nicht abwarten. Stand heute gilt die Zwanzig-Personen-Regel, und die übrigen Datenschutzpflichten berührt diese Reform nicht.

Nein, im Einzelfall nicht. Einen externen Datenschutzbeauftragten mit Software für Verzeichnis, Verträge und Datenpannen finden Sie bei frag.hugo.