Beauftragter für Datenschutz

Ab wann müssen die Datenschutzbeauftragten ernannt werden?

Sowohl nach der DS-GVO als auch nach innerstaatlichem Recht kann für Privatpersonen eine Verpflichtung zur Bestellung eines Beauftragten für den Datenschutz (DSB) entstehen. Gemäß Artikel 37 Abs. 1 Bst. b, c DS GVO müssen in jedem Falle Privatpersonen einen DSB bezeichnen, wenn ihre Haupttätigkeit eine umfassende oder gezielte Überwachung von Menschen umfasst oder wenn die Haupttätigkeit des Zentrums in der Verarbeitung besonders sensibler personenbezogener Informationen liegt.

9, 10 DS-GVO: z. B. Angaben über die Rasse und Ethnie, über die politischen Ansichten, die religiösen oder philosophischen Ansichten oder die Gewerkschaftsmitgliedschaft sowie über die Bearbeitung genetischer, biometrischer oder gesundheitlicher Angaben, über das Geschlecht oder die sexuelle Ausrichtung). EU-Mitgliedsstaaten haben die Option, die Verpflichtung zur Bestellung eines DSB in ihren innerstaatlichen Umsetzungsgesetzen auf andere Organe auszuweiten (Art. 37 Abs. 4 S. 1 DS-GVO).

Mit diesem Regelungsumfang hat der Gesetzgeber die Verpflichtung zur Bezeichnung von Unternehmens-DSBs an den in Deutschland herrschenden "Status quo" angepasst (vgl. 4f BDSG-alt bzw. § 38 BDSG-neu). Dementsprechend ist auch in den nachfolgenden FÃ?llen ein DSB zu bestellen: Es erfolgt eine Bearbeitung, die einer DatenschutzfolgenabschÃ?tzung nach Artikel 35 DS GVO unterliegt oder persönliche Angaben werden zum Zwecke der Ã?bermittlung, anonymen Ã?bermittlung oder zu Zwecken der Markt- oder Meinungsforschung auf kommerzieller Basis verarbeitend ausgefÃ?hrt; ein DSB ist dann ungeachtet der in die Bearbeitung involvierten Personengruppe zu bestellen.

Die Ermittlung der Personenanzahl umfasst alle diejenigen Menschen, die auf die automatische Verarbeitung der personenbezogenen Informationen zurückgreifen. Es ist nicht ausschlaggebend, wie oft oder in welcher Intensität auf die Informationen zurückgegriffen wird. Die maschinelle Verarbeitung personenbezogener Informationen im Rahmen der regulären Aufgabenerfüllung der Betroffenen ist nicht nur eine zeitlich befristete Aktivität (z.B. Urlaubsvertretung).

Dies betrifft auch die Vorstandsmitglieder und die Freiwilligen. Nähere Angaben zur Verpflichtung zur Bestellung von Beauftragten für den Datenschutz (auch zur Terminologie der Kernaktivität und umfassenden Bearbeitung) enthält das Kurzdokument Nr. 12 der zuständigen Behörde des Landes und des Landes (Datenschutzkonferenz - DSK).