Datenschutzbeauftragter nach DSGVO und BDSG / 1.1.1 Nach Art. 37 DSGVO

Gemäß der DSGVO besteht für nichtöffentliche Unternehmen in folgenden Fällen eine Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten:

• Die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters besteht in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihres Wesens, ihres Umfangs und/oder ihrer Zwecke eine regelmäßige und systematische Beobachtung von betroffenen Personen in großem Umfang erforderlich machen (Art. 37 Abs. 1 lit. b DSGVO).

• Die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO (Art. 37 Abs. 1 lit. c DSGVO).

Die Bestellpflicht entsteht unter je zwei Voraussetzungen:

• Die eine Bestellpflicht auslösende Verarbeitung personenbezogener Daten muss zunächst zur Kerntätigkeit des Unternehmens oder auch des Auftragsverarbeiters gehören. Die Kerntätigkeit ist als jene Tätigkeit zu verstehen, die der Verwirklichung der Unternehmensziele, also regelmäßig dem Unternehmensgegenstand dient.

• Darüber hinaus muss die Datenverarbeitung bestimmte inhaltliche Voraussetzungen erfüllen. Dies ist zum einen die systematische Beobachtung im Sinne von Art. 37 Abs. 1 lit. b DSGVO und zum anderen die umfangreiche Verarbeitung von besonderen Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) im Sinne von Art. 37 Abs. 1 lit. c DSGVO.

  Als "systematische Beobachtung" in diesem Sinne ist eine regelmäßige und strukturierte Auswertung personenbezogener Daten, insbesondere die Bildung von Profilen, zu verstehen. Diese Form der Datenverarbeitung sollte für Unternehmen der Wohnungswirtschaft eher untypisch sein. Die Regelung betrifft vielmehr Wirtschaftsauskunfteien oder auch Versicherungsgesellschaften.

Wohnungsunternehmen

Wohnungsunternehmen werden ebenfalls kaum unter die Bestellpflicht nach Art. 37 Abs. 1 lit. c DSGVO fallen. Zwar können Wohnungsunternehmen vereinzelt besondere Kategorien personenbezogener Daten verarbeiten (z. B bei der Vermietung von Wohnungen, die Personen mit körperlichen Einschränkungen vorbehalten sind). Dies geschieht jedoch in der Regel nicht in einem umfangreichen Ausmaß. Die Bestellpflicht nach Art. 37 Abs. 1 lit. c DSGVO greift vor allem für Unternehmen aus dem Gesundheitssektor wie beispielsweise Krankenhäuser.

Für Wohnungsunternehmen wird sich die Pflicht zur Bestellung eines Datenschutzbeauftragten regelmäßig nicht direkt aus der DSGVO ergeben. Es gilt jedoch auch, die Regelungen des Bundesdatenschutzgesetzes zu beachten.