ZAP 9/2022, Die digitale Kanzlei: Datenschutz-Bestandsau ... / III. Datenschutzbeauftragter (DSB)

Die Antwort auf die Frage, ob in einer Kanzlei zwingend ein Datenschutzbeauftragter (DSB) benannt werden muss, erfordert eine Zwei-Stufen-Prüfung.

In der ersten Stufe ist die Benennung eines DSB verpflichtend:

• gem. Art. 37 Abs. 1 lit. a) DSGVO für Behörden (Ausnahme: Gerichte),
• gem. Art. 37 Abs. 1 lit. b) DSGVO bei Ausübung einer Kerntätigkeit, die in der Durchführung von Verarbeitungsvorgängen besteht, welche eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen oder
• gem. Art. 37 Abs. 1 lit. c) DSGVO bei Ausübung einer Kerntätigkeit, die in der umfangreichen Verarbeitung besonderer Kategorien von Daten gem. Art. 9 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10 DSGVO besteht.

Abgesehen von der letztgenannten Variante kommt eine DSB-Pflicht nach DSGVO für Anwaltskanzleien regelmäßig nicht in Betracht. Je nach Umfang und Schwerpunkt der anwaltlichen Tätigkeit kann eineâEUR™DSB-Pflicht allerdings beispielsweise für eine Strafverteidiger-Sozietät gem. Art. 37 Abs. 1 litâEUR™c.) DSGVO bestehen. Nach überwiegender Ansicht soll eine DSB-Pflicht gem. DSGVO mit Blick auf die "normale" anwaltliche Tätigkeit jedoch regelmäßig ausscheiden.

In der zweiten Stufe kommt § 38 BDSG in Betracht. Diese Norm bestimmt, dass ein DSB zu benennen ist, soweit der Verantwortliche:

• personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet;
• Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO unterliegen, oder
• i.d.R. mind. 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.

Die erstgenannte Variante scheidet hier erkennbar aus. Hinsichtlich der Frage, ob Datenverarbeitungen stattfinden, die einer DSFA unterliegen, ist auf Art. 35 i.V.m. ErwGr. 91 S. 4 DSGVO zu verweisen. Danach soll jedenfalls regelmäßig bei Einzelanwälten keine DSFA- und damit auch keine DSB-Pflicht bestehen. Sozietäten ab zwei Anwälten können grds. der DSFA-/DSB-Pflicht unterfallen; dies hängt jedoch von den konkreten Tätigkeiten ab und dürfte bei "handelsüblicher" Anwaltstätigkeit nicht zur Anwendung kommen. Werden in einer Kanzlei jedoch mind. 20 Personen beschäftigt, muss zwingend ein DSB benannt werden, unabhängig von den Tätigkeiten oder Rechtsgebieten. Hierbei zählen grds. alle "Köpfe", d.h. sowohl Partner als auch angestellte Anwälte, Fachangestellte, Teilzeitkräfte, Referendare usw.

Aber Achtung: Auch dann, wenn für manche Anwälte bzw. Kanzleien keine gesetzliche DSB-Pflicht besteht, müssen die restlichen Datenschutz-Vorgaben gleichwohl eingehalten werden. Ohne DSB fehlt dann aber natürlich das notwendige Fachwissen. Mithin kann auch die freiwillige Benennung eines DSB oder die Hinzuziehung eines externen Fachmanns ratsam sein.