Fachanwalt für Urheber- und Medienrecht und Spezialist für Arbeitsrecht, Zertifizierter Datenschutzbeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Blog News
Die Bundesregierung plant eine grundlegende Kursänderung im Datenschutz. Künftig soll die Pflicht vieler Unternehmen zur Benennung eines betrieblichen Datenschutzbeauftragten entfallen und sich das nationale Recht nur noch an Art. 37 DSGVO orientieren.
Was als Entlastung für kleine und mittlere Unternehmen verkauft wird, hat einen Haken. Die materiellen Datenschutzpflichten bleiben vollständig bestehen, nur die Verantwortung wandert direkt auf die Geschäftsleitung. Der Berufsverband der Datenschutzbeauftragten warnt bereits vor höheren Risiken, mehr Haftung und sogar steigenden Kosten, weil externe Rechtsberatung den fehlenden Datenschutzbeauftragten ersetzen müsste.
Was genau geplant ist, welche Folgen eine Abschaffung der Benennungspflicht hätte und warum dies Unternehmen eher in die Incompliance treiben kann, als Bürokratie abzubauen, schauen wir uns im Folgenden genauer an.
Aktuell wird auf politischer Ebene darüber diskutiert, die nationale Pflicht zur Benennung eines betrieblichen Datenschutzbeauftragten erheblich zurückzufahren. Im Raum stehen zwei Varianten. Entweder entfällt die zusätzliche deutsche Benennungspflicht nach § 38 BDSG vollständig, sodass nur noch die deutlich engeren Fälle aus der DSGVO selbst einen Datenschutzbeauftragten erforderlich machen. Oder der Schwellenwert wird deutlich angehoben, etwa erst ab 50 Mitarbeitenden, damit kleinere Unternehmen formal keinen Datenschutzbeauftragten mehr bestellen müssen.
Dabei ist entscheidend, dass eine Lockerung der Benennungspflicht nichts an den materiellen Vorgaben des Datenschutzrechts ändert. Informationspflichten gegenüber Betroffenen, umfassende Dokumentationspflichten, Anforderungen an technische und organisatorische Maßnahmen, Meldepflichten bei Datenschutzverletzungen und Vorgaben zur Auftragsverarbeitung gelten unverändert weiter. Unternehmen hätten dann lediglich keinen offiziell benannten Datenschutzbeauftragten mehr, müssten den gesamten Datenschutz aber weiterhin intern oder mit externer Unterstützung organisieren.
Ein Datenschutzbeauftragter (DSB) ist die zentrale Vertrauensperson für Datenschutz in einem Unternehmen. Er stellt sicher, dass alle Prozesse mit personenbezogenen Daten im Einklang mit der DSGVO und nationalem Recht laufen, berät die Leitung und schützt damit sowohl Betroffene als auch das Unternehmen bzw. die Behörde.
Was macht ein Datenschutzbeauftragter?
Wichtig: Der DSB berät und überwacht, entscheidet aber nicht selbst über Zwecke und Mittel der Datenverarbeitung. Dafür bleibt die Leitung verantwortlich. Er muss weisungsfrei arbeiten, darf wegen seiner Tätigkeit nicht benachteiligt oder abberufen werden und unterliegt einer Verschwiegenheitspflicht.
Externer vs. interner DSB
In beiden Fällen gelten die gleichen rechtlichen Anforderungen an Fachkunde, Unabhängigkeit und Stellung im Unternehmen.
Unterschied: private und öffentliche Stellen
In privaten Unternehmen konzentriert sich der Datenschutzbeauftragte vor allem auf alle Daten, die im Geschäftsalltag anfallen. Dazu gehören Kunden- und Interessentendaten im CRM und Marketing, Tracking und Analyse auf Webseiten und in Apps, Mitarbeiter- und Bewerberdaten, Lohnabrechnung, Lieferanteninformationen sowie die eingesetzten IT-Systeme und Cloud-Dienste. Eine Benennung ist verpflichtend, wenn bestimmte Schwellen erreicht oder besonders risikoreiche Verarbeitungen durchgeführt werden, etwa wenn regelmäßig eine größere Zahl von Personen automatisiert Daten verarbeitet oder umfangreiche Überwachungsmaßnahmen, Gesundheitsdaten oder Bonitätsprüfungen im Spiel sind. In der Praxis arbeitet der betriebliche DSB eng mit Geschäftsführung, IT, HR und Vertrieb zusammen. Zudem prüft er Verträge mit Dienstleistern wie Cloud-Anbietern, Newsletter-Tools oder SaaS-Lösungen und begleitet Digitalisierungsprojekte von der Planung bis zur Umsetzung, um Datenschutz von Anfang an mitzudenken.
In öffentlichen Stellen wie Behörden, Kommunen, Schulen, Hochschulen oder anderen Körperschaften des öffentlichen Rechts ist ein Datenschutzbeauftragter praktisch immer vorgeschrieben – unabhängig von der Zahl der Mitarbeitenden. Seine Aufgabe ist es, die Verarbeitung von Bürger- und Sozialdaten wie Melderegister, Steuer- und Bußgeldakten, Sozialleistungsdaten oder Schüler- und Patientendaten in öffentlichen Einrichtungen zu überwachen und dabei neben der DSGVO auch zahlreiche Spezialgesetze wie die Sozialgesetzbücher, das Melderecht oder Polizeigesetze zu berücksichtigen. Organisatorisch berichten öffentliche Datenschutzbeauftragte in der Regel direkt an die Behördenleitung, stehen im engen Austausch mit der zuständigen Aufsichtsbehörde und haben eine strategische Rolle bei der Auslegung von Datenschutzvorgaben und der Planung von E-Government und Digitalprojekten innerhalb der Verwaltung.
Die politische Diskussion um die Abschaffung oder deutliche Lockerung der Pflicht zur Benennung eines Datenschutzbeauftragten klingt für viele Unternehmen zunächst nach Entlastung. In der Praxis bringt dieser Schritt aber Licht und Schatten mit sich.
Mögliche Vorteile einer Lockerung
Mögliche Nachteile und Risiken
Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn
Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt diese Daten der Aufsichtsbehörde mit.
Die Stellungnahme des Berufsverbands der Datenschutzbeauftragten betont deshalb, dass eine Abschaffung der Benennungspflicht keine echte Entlastung bringt, sondern die Pflichten, Risiken und Haftung vollständig in die Geschäftsführung verlagert und in der Praxis häufig zu mehr Beratungsaufwand und höheren Kosten führt.
Zugleich warnen die Fachleute davor, dass ohne qualifizierte Datenschutzbeauftragte, insbesondere im Mittelstand, das Schutzniveau sinken kann, weil in vielen Unternehmen der Datenschutzbeauftragte die einzige spezialisierte Ansprechperson für Datenschutz und Informationssicherheit ist. Dadurch steigen aus Sicht des Verbands die Risiken für Datenschutzverstöße, Schadensersatzforderungen und behördliche Maßnahmen, während die eigentlichen Belastungstreiber wie unklare Vorgaben, hohe Dokumentationspflichten und komplexe technische Anforderungen unverändert bestehen bleiben.
Fragen Sie sich, ob Ihr Unternehmen künftig noch einen Datenschutzbeauftragten benennen muss oder ob geplante Gesetzesänderungen Sie von dieser Pflicht entlasten? Sind Sie unsicher, ob Ihre aktuellen Prozesse, Verträge und Datenschutzhinweise auch ohne formell benannten Datenschutzbeauftragten den Anforderungen der DSGVO standhalten und wie Sie Haftungsrisiken für Geschäftsführung und Verantwortliche wirksam begrenzen können.
Als Kanzlei für Datenschutzrecht unterstützen wir Sie dabei, Ihre Datenschutzorganisation rechtssicher und zugleich pragmatisch aufzustellen. Wir erstellen individuelle Datenschutzerklärungen für Webseiten, Apps und Social-Media-Auftritte, prüfen und gestalten Auftragsverarbeitungsverträge, Joint-Controller-Agreements und Einwilligungstexte, begleiten Sie bei Audits und Unternehmensprüfungen und sichern internationalen Datentransfer rechtlich ab. Außerdem wehren wir Abmahnungen und behördliche Bußgeldverfahren ab, beraten zu PR-Maßnahmen wie Werbe-E-Mails, Gewinnspielen oder Fotoaktionen, prüfen die Erforderlichkeit eines Datenschutzbeauftragten oder Datenschutzvertreters und schulen Mitarbeitende zu ihren datenschutzrechtlichen Pflichten. So verbinden Sie Compliance, praktische Umsetzbarkeit und ein tragfähiges Datenschutzniveau in Ihrem Unternehmen.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie die Rechtsberatung von dem erfahrenen Team aus Fachanwälten und Spezialisten von SBS LEGAL?