Aufgaben und Pflichten von Datenschutzbeauftragten unter ... / Zusammenfassung

Jedes größere Unternehmen und jede Behörde muss laut Art. 37 der DSGVO einen Datenschutzbeauftragten bestellen. Nach § 38 BDSG besteht in Deutschland eine Benennungspflicht insbesondere dann, wenn in einem Unternehmen oder einer Behörde i. d. R. mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder wenn Verarbeitungen stattfinden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder geschäftsmäßig im Bereich Übermittlung, anonymisierte Übermittlung oder Markt-/Meinungsforschung erfolgen.

Unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen ist ein Datenschutzbeauftragter zu benennen, wenn Verantwortliche oder Auftragsverarbeiter Verarbeitungen durchführen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen (§ 38 Abs. 1 Satz 2 BDSG).

Eine solche Datenschutz-Folgenabschätzung ist notwendig, wenn

• personenbezogene Daten "besonderer Kategorien" wie genetische Daten oder Gesundheitsdaten (Art. 9 DSGVO) oder
• personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) verarbeitet werden.

Ein Datenschutzbeauftragter muss ebenfalls unabhängig von der Anzahl der mit der Verarbeitung beschäftigter Personen benannt werden, wenn sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.

Neben den gesetzlich zwingenden Aufgaben ist es zulässig, den Tätigkeitskreis Datenschutzbeauftragter auf freiwilliger Basis zu erweitern. Er kann dann z. B. Funktionen übernehmen, die das Gesetz eigentlich dem Verantwortlichen, d. h. der Geschäfts- oder Behördenleitung, zuweist. Das kann sinnvoll sein, um den Verantwortlichen zu entlasten u...