Datenschutzbeauftragter

Artikel 37 DSGVO schreibt die Benennung eines Datenschutzbeauftragten für alle Unternehmen vor, die Datenverarbeitungsvorgänge durchführen. Nach Artikel 38 Abs. 1 Satz 1 BDSG gilt dies für alle Unternehmen, die mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Dabei handelt es sich nach Artikel 4 Nr. 1 DSGVO um alle Informationen, die sich auf identifizierte oder auch nur identifizierbare natürliche Personen beziehen. Dazu genügt die Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen.

Unter die 20 Personen-Grenze fallen nicht nur Vollzeit-, sondern auch Teilzeitkräfte, Leiharbeitnehmer sowie Aushilfen, Student*innen und Auszubildende. Es genügt bereits die Nutzung eines E-Mail-Programms, um mit der Datenverarbeitung beschäftigt zu sein.

Der/Die Datenschutzbeauftragte muss Verfahren und Techniken der ADV kennen und zudem über Kenntnisse der rechtlichen und betriebswirtschaftlichen Zusammenhänge verfügen. Diese Qualifikation ist nachzuweisen und muss bereits bei der Benennung vorliegen. Die erforderliche Sachkunde richtet sich nicht nach einer bestimmten Ausbildung, sondern nach der Art und dem Umfang der Tätigkeit. Entscheidend sind hierfür die Größe des Unternehmens, die Menge an Datenverarbeitungsvorgängen, die eingesetzten IT-Verfahren und die Sensibilität der verarbeiteten Daten. Der Datenschutzbeauftragte darf sich auf fachkundige Kollegen*innen stützen, muss sich aber regelmäßig fortbilden und die notwendige Zuverlässigkeit mitbringen.

LAG Rostock, Urteil vom 25.02.2020, 5 Sa 108/19

Gleichzeitig sind Interessenkonflikte zu vermeiden. Der/Die Datenschutzbeauftragte darf in der Regel nicht gleichzeitig die Leitung der IT-, Marketing- oder Personalabteilung, Vertriebsleitung oder als Geschäftsführer*in tätig sein, da er sie sich sonst selbst kontrollieren müsste. Interessenkonflikte sind aber in jedem Fall zu vermeiden. Dies bedeutet, dass auch ein Rechtsanwalt, der für dasselbe Unternehmen tätig ist, in der Regel nicht auch die Tätigkeit des Datenschutzbeauftragten für dieses ausüben kann.