§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / 2. Weitergehende Verpflichtungen in §§ 5–7 und 38 BDSG-Neu

Rz. 142

Unter Wahrnehmung der in Art 37 Abs. Abs. 4 S. 1 Hs. 2 DSGVO und Art. 38 Abs. 5 DSGVO normierten Öffnungsklauseln hat sich der deutsche Gesetzgeber entschieden, weitergehende Verpflichtungen zur Bestellung von Datenschutzbeauftragten in §§ 5 bis 7 BDSG-Neu (für öffentliche Stellen) und § 38 BDSG-Neu (für nicht-öffentliche Stellen) zu normieren. Während sich die auf die öffentlichen Stellen bezogenen Vorgaben im Wesentlichen auf eine Wiederholung der Bestimmungen in Art. 37 Abs. 1 lit. a) beschränken, sucht der Gesetzgeber mit § 38 BDSG-Neu nach einer weitgehenden Beibehaltung der bislang in § 4f BDSG enthaltenen Bestimmungen. Das BDSG enthält in § 4f detaillierte Regelungen, ob und ab wann ein Datenschutzbeauftragter in einem Unternehmen oder einer öffentlichen Einrichtung zu bestellen ist. So hat gemäß § 4f Abs. 1 Satz 1 BDSG jede öffentliche oder auch nicht-öffentliche Stelle, die personenbezogene Daten automatisiert verarbeitet, schriftlich einen Datenschutzbeauftragten zu bestellen. Wird in einer Stelle von mehr als 20 Personen nicht-automatisiert mit Daten umgegangen, ist die Bestellung eines Datenschutzbeauftragten ebenfalls unausweichlich, § 4f Abs. 1 Satz 3 BDSG.

Rz. 143

§ 38 BDSG-Neu hält an diesen Vorgaben weitgehend fest, verzichtet jedoch auf die Beibehaltung der 20-Personen-Grenze für nicht automatisierte Verarbeitungen. Ergänzend zu Artikel 37 Absatz 1 lit. b) und c) DSGVO sind in Deutschland ansässige Verantwortliche und Auftragsverarbeiter, die in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, auf zukünftig zur Bestellung eines betrieblichen Datenschutzbeauftragten verpflichtet. Die Pflicht gilt, sobald mind. 10 Personen regelmäßig mit der automatisierten Verarbeitung beschäftigt sind. Hierunter fallen nicht nur Vollzeitkräfte, sondern auch freie Mitarbeiter, Auszubildende, Leiharbeiter, Praktikanten und Volontäre. Nur kurzeitige Beschäftigte sind nicht zu berücksichtigen (bspw. Urlaubsvertretungen).

Rz. 144

Weiterhin sind auch diejenigen Verantwortlichen, unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen zur Bestellung eines Datenschutzbeauftragten verpflichtet. Dies gilt auch für die Verantwortlichen und Auftragsverarbeiter, die personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.