Datenschutzbeauftragter nach DSGVO und BDSG / 1.1 Bestellpflicht nach DSGVO und BDSG

1.1.1 Nach Art. 37 DSGVO

Gemäß der DSGVO besteht für nichtöffentliche Unternehmen in folgenden Fällen eine Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten:

• Die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters besteht in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihres Wesens, ihres Umfangs und/oder ihrer Zwecke eine regelmäßige und systematische Beobachtung von betroffenen Personen in großem Umfang erforderlich machen (Art. 37 Abs. 1 lit. b DSGVO).

• Die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO (Art. 37 Abs. 1 lit. c DSGVO).

Die Bestellpflicht entsteht unter je zwei Voraussetzungen:

• Die eine Bestellpflicht auslösende Verarbeitung personenbezogener Daten muss zunächst zur Kerntätigkeit des Unternehmens oder auch des Auftragsverarbeiters gehören. Die Kerntätigkeit ist als jene Tätigkeit zu verstehen, die der Verwirklichung der Unternehmensziele, also regelmäßig dem Unternehmensgegenstand dient.

• Darüber hinaus muss die Datenverarbeitung bestimmte inhaltliche Voraussetzungen erfüllen. Dies ist zum einen die systematische Beobachtung im Sinne von Art. 37 Abs. 1 lit. b DSGVO und zum anderen die umfangreiche Verarbeitung von besonderen Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) im Sinne von Art. 37 Abs. 1 lit. c DSGVO.

  Als "systematische Beobachtung" in diesem Sinne ist eine regelmäßige und strukturierte Auswertung personenbezogener Daten, insbesondere die Bildung von Profilen, zu verstehen. Diese Form der Datenverarbeitung sollte für Unternehmen der Wohnungswirtschaft eher untypisch sein. Die Regelung ...