Die Pflicht zur Bestellung eines Datenschutzbeauftragten trifft nach DSGVO vorrangig Behörden und öffentliche Stellen. Aber auch Unternehmen deren Kerntätigkeit in der besonders umfangreichen Verarbeitung personenbezogener Daten oder der Verarbeitung von besonderen Kategorien von Daten (gemäß Artikel 9 und 10, DSGVO) liegt, müssen laut DSGVO einen Datenschutzbeauftragten bestellen. (siehe Artikel 37 DSGVO)
Eine Öffnungsklausel in der DSGVO bietet jedem Mitgliedsstaat die Möglichkeit für sich engere Voraussetzungen für die Bestellung eines betrieblichen Datenschutzbeauftragten zu schaffen. So hat Deutschland im neuen Bundesdatenschutzgesetz u.a. die Bestellpflicht für betriebliche Datenschutzbeauftragte strenger als in der DSGVO geregelt.
So ist die Benennung eines Datenschutzbeauftragten nach Art 38 BDSG für alle Unternehmen in Deutschland Pflicht, soweit sich in der Regel mindestens 20 Mitarbeiter (Entscheidung des Bundesrates am 20. September 2019)ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Zusammenfassend kann man als privates Unternehmen anhand von drei Kriterien gut zu prüfen, ob die Bestellung eines Datenschutzbeauftragten erforderlich ist. Insofern mindestens eine der drei Kriterien zutrifft, ergibt sich eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten. Die Kriterien sind:
- Die Anzahl der Mitarbeiter, die regelmäßig und wiederkehrend mit personenbezogenen Daten arbeitet, beträgt mindestens 20. (Mitarbeiter sind auch Hilfskräfte, Praktikanten, Leiharbeiter oder freie Mitarbeiter)
- Es findet eine Verarbeitung einer besonderen Kategorie personenbezogener Daten statt. (Dazu zählen Rasse, ethnische Herkunft, politische Meinung, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben oder Strafverhalten – siehe Artikel 9 und 10 DSGVO)
- Personenbezogene Daten werden geschäftsmäßig übermittelt, erhoben, verarbeitet oder genutzt (d.h. die Kerntätigkeit des Unternehmens besteht in diesen Verarbeitungsvorgängen).
Die vorsätzliche oder fahrlässige Versäumnis einen betrieblichen Datenschutzbeauftragten zu bestellen, stellt eine bußgeldbewehrte Ordnungswidrigkeit dar.
Auch wenn das Unternehmen nach gesetzlichen Vorgaben nicht der Pflicht zur Benennung eines Datenschutzbeauftragten unterliegt, so müssen die Verordnungen des Datenschutzrechtes dennoch in vollem Umfang eingehalten werden. Dies stellt vor allem kleinere Unternehmen vor Herausforderungen, da schlicht das Datenschutz-Fachwissen fehlt. In solchen Fällen macht es durchaus Sinn, freiwillig einen Datenschutzbeauftragten zu bestellen.