ZAP 21/2018, Praxisfalle Datenschutz: Erste Erfahrungen ... / aa) Benennung und Meldung eines Datenschutzbeauftragten

Bei der Frage, ob eine Kanzlei einen Datenschutzbeauftragten (DSB) benötigt, muss eine zweistufige Prüfung erfolgen, denn sowohl die DSGVO als auch das BDSG weisen entsprechende Regelungen auf. Danach gilt: Gibt es zehn oder mehr Beschäftigte in der Kanzlei (darunter fallen Festangestellte, Teilzeitkräfte, Auszubildende, Vertretungen, freie Mitarbeiter usw.), besteht in aller Regel die Pflicht zur Benennung eines DSB. Kanzleien mit weniger als zehn Beschäftigten müssen nur dann einen DSB benennen, wenn sie Datenverarbeitungsvorgänge durchführen, die z.B. mit Hilfe von Legal-Tech-Tools automatisiert ablaufen oder mit denen besondere Kategorien von Daten i.S.d. Art. 9, 10 DSGVO (besonders sensible Daten, wie z.B. Gesundheitsdaten, oder Daten über strafrechtliche Verurteilungen bzw. Straftaten) in umfangreicher Weise verarbeitet werden. Insbesondere wären hier die Bereiche Strafverteidigung oder auch Arbeits-, Sozial-, bzw. Medizinrecht zu nennen. Allerdings muss die Kerntätigkeit der Kanzlei in der Verarbeitung von derart sensiblen Daten bestehen, so dass allein der Umstand, dass eine Kanzlei zahlreiche Angestellte und entsprechend viele sensible Daten in deren Personalakten hat, noch nicht zwingend zur DSB-Pflicht führt. Die Auslegung des Begriffs "Kerntätigkeit" ist eines der noch offenen Problemfelder, die es seit Einführung der DSGVO zu lösen gilt – leider lassen Rechtsprechung und Literatur bislang eine einhellige, überzeugende Auffassung vermissen.

Wird ein DSB benannt, entfaltet sich insofern eine Außenwirkung, als dass dieser auch der zuständigen Datenschutz-Aufsichtsbehörde gemeldet werden muss. Weil diese ein Verzeichnis über alle DSB führt, kann sie durch Abgleich der ihr vorliegenden Daten über existierende Kanzleien und deren Mitarbeiteranzahl bzw. Tätigkeitsschwerpunkte vergleichsweise einfach prüfen, ob die DSB-Pflicht erfüllt wurde oder nicht.