Art 37 DSGVO, §§ 6 Abs. 4, 38 BDSG

Unternehmen der privaten Wirtschaft sind, ebenso wie öffentlich-rechtliche Wettbewerbsunternehmen, in der Regel zur Bestellung eines betrieblichen Datenschutzbeauftragten verpflichtet, sobald sie regelmäßig mehr als zwanzig Personen mit der elektronischen Verarbeitung personenbezogener Daten beschäftigen, § 38 BDSG. Der arbeitsrechtliche Status ist hierbei ebenso unbeachtlich, wie der Umfang der Tätigkeit. Nicht erfasst sind aber kurzzeitige Vertretungen, z. B. bei Urlaub, Krankheit oder Arbeitsspitzen.

Betreibt ein Unternehmen eine Datenschutzfolgenabschätzung oder übermittelt es geschäftsmäßig, wenn auch nur in anonymisierter Form, oder für die Zwecke der Markt– oder Meinungsforschung personenbezogene Daten, gilt die Bestellpflicht des Datenschutzbeauftragten unabhängig der oben genannten Grenzwerte, § 38 BDSG.

Lascher ist die DSGVO mit den Anforderungen an die Bestellpflicht. Eine Bestellpflicht nach der DSGVO kommt gem. Art. 37 DSGVO zustande, wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.

Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten ernennen, sofern der Datenschutzbeauftragte von jeder Niederlassung aus leicht erreicht werden kann, gem. Art. 37 Abs. 2 DSGVO.

Besteht die oben genannte Pflicht, muss dieser innerhalb eines Monats nach Geschäftsaufnahme, bzw. Überschreiten des Grenzwertes nachgekommen werden. Der betriebliche Datenschutzbeauftragte kann intern oder extern bestellt werden.