§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / G. Datenschutzbeauftragter

Rz. 132

Datenschutzbeauftragte in Unternehmen und Behörden sind ein Mittel der Selbstkontrolle. Die DSGVO hält am, bereits in der Datenschutzrichtlinie vorgesehenen, Konzept eines beim Verantwortlichen zu etablierenden Datenschutzbeauftragten fest. Nachdem dieser in der Datenschutzrichtlinie zwar verschiedentlich Erwähnung gefunden hat,^[167] die Etablierung dieser Funktion aber im Übrigen der alleinigen Regelungsbefugnis der Mitgliedstaaten überlassen war, normiert die DSGVO nunmehr in den Artikeln 37 bis 39 konkrete Anforderungen an die Bestellung, die Stellung innerhalb der Organisation eines Verantwortlichen oder Auftragsverarbeiters sowie die Aufgaben des Datenschutzbeauftragen.

[167] Vgl. Erwägungsgründe 49 und 54 sowie Art. 18 Abs. 2 und 20 Abs. 2 der Richtlinie 95/46/EG.

I. Verpflichtung zur Bestellung eines Datenschutzbeauftragten

1. Regelung innerhalb der DSGVO, Art. 37 Abs. 1

Rz. 133

Die DSGVO selbst trifft Bestimmungen über die Verpflichtung zur Bestellung eines Datenschutzbeauftragten in Art. 37 Abs. 1 DSGVO. Hiernach ist die Benennung eines Datenschutzbeauftragten in drei bestimmten Fällen vorgeschrieben.

a) Verarbeitung durch Behörden und öffentliche Stellen

Rz. 134

In Fällen, in denen die Verarbeitung durch eine Behörde oder öffentliche Stelle — mit Ausnahmen von Gerichten oder unabhängigen Justizbehörden, die im Rahmen ihrer justiziellen Tätigkeit handeln – erfolgt, ist diese in jedem Fall zur Bestellung eines Datenschutzbeauftragten verpflichtet (Art. 37 Abs. 1 lit. a) DSGVO). Gleiches gilt für Auftragsverarbeiter, die im Auftrag einer Behörde oder einer öffentlichen Stelle Verarbeitungen personenbezogener Daten durchführen. Ebenso sind solche Verantwortlichen zur Bestellung verpflichtet, denen, etwa als Beliehene, Aufgaben der öffentlichen Gewalt übertragen wurden.^[168]

Rz. 135

Gem. Art. 37 Abs. 3 DSGVO kann für mehrere Behörden oder Stellen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe ein gemeinsamer Datenschutzbeauftragter benannt werden. Anders als für die "nicht-öffentlichen" Verantwortlichen, die innerhalb einer Unternehmensgruppe berechtigt sind, einen Konzerndatenschutzbeauftragten einheitlich zu bestimmen, vorgesehen,^[169] verzichtet Art. 37 Abs. 3 DSGVO auf weitere Anforderungen an einen gemeinsamen Datenschutzbeauftragten von Behörden und öffentlichen Stellen. Insbesondere muss dieser offenbar nicht von jeder beteiligen Behörde und/oder öffentlichen Stelle aus leicht erreichbar sein.

[168] Art. 29-Datenschutzgruppe, Leitlinien in Bezug auf Datenschutzbeauftragte ("DSB"), WP 243 vom 13.12.2016, S. 7.

[169] Art. 37 Abs. 2 DSGVO.

b) Die Kerntätigkeit besteht aus Datenverarbeitungsvorgängen, die eine regelmäßige und systematische Überwachung von betroffenen Personen in großem Umfang erfordern

Rz. 136

Nach Art. 37 Abs. 1 lit. b) DSGVO sollen auch nicht öffentliche Verantwortliche und Auftragsverarbeiter zur Bestellung eines Datenschutzbeauftragten verpflichtet sein, soweit ihre Kerntätigkeit in der Durchführung umfangreicher,^[170] regelmäßiger und systematischer Überwachungen von betroffenen Personen besteht.

Rz. 137

Der Begriff der Kerntätigkeit eines Verantwortlichen bezieht sich auf die "Haupttätigkeiten" und nicht auf die Verarbeitung personenbezogener Daten als Nebentätigkeit.^[171] Als "Kerntätigkeit" lassen sich die wichtigsten Arbeitsabläufe eines Verantwortlichen oder Auftragsverarbeiters bezeichnen, die zur Erreichung der (wirtschaftlichen) Ziele erforderlich sind. Die Art. 29-Datenschutzgruppe sieht z.B. die Kerntätigkeit eines Krankenhauses darin, medizinische Versorgung zu leisten. Da ein Krankenhaus diese Kerntätigkeit nicht ohne die Verarbeitung gesundheitsbezogener Daten vollziehen könne, muss auch die mit der Haupttätigkeit des Krankenhauses verbundene Verarbeitung solcher Daten als Kerntätigkeit eines jeden Krankenhauses anzusehen sein, weshalb die Benennung eines Datenschutzbeauftragten nach Art. 37 Abs. 1 lit. b) DSGVO verpflichtend ist.^[172] Ebenso soll auch ein privates Sicherheitsunternehmen, das private Einkaufszentren und öffentliche Plätze überwacht, verpflichtet sein, einen Datenschutzbeauftragten zu benennen.^[173]

Rz. 138

Eine Verarbeitungstätigkeit gilt nach Erwägungsgrund 24 der DSGVO der Beobachtung des Verhaltens von betroffenen Personen jedenfalls dann, wenn Internetaktivitäten nachvollzogen werden, einschließlich der möglichen nachfolgenden Verwendung von Techniken zur Verarbeitung personenbezogener Daten, durch die von einer natürlichen Person ein Profil erstellt wird, das die Grundlage für sie betreffende Entscheidungen bildet oder anhand dessen ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert oder vorausgesagt werden sollen. Gleichwohl beschränkt sich der Begriff der Überwachung nicht auf die Online-Umgebung. Deshalb ist die Online-Verfolgung nur als ein Beispiel für die Überwachung des Verhaltens von betroffenen Personen anzusehen.^[174] Die Art. 29-Datenschutzgruppe will Regelmäßigkeit als gegeben ansehen, wenn sich die Verarbeitung als fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums vorkommend oder immer wieder oder wiederholt zu bestimmten Zeitpunkten auftretend oder ständig oder regelmäßig stattfindend darstellt.^[175] Eine systematische Verarbeitung soll vorliegen, wenn sie sich als "systematisch vorko...