Datenschutzbeauftragter oder Ansprechpartner Datenschutz – was ist der Unterschied?
Datenschutzbeauftragter oder Ansprechpartner Datenschutz?
Nicht jeder Ansprechpartner für Datenschutz ist ein Datenschutzbeauftragter. Erfahren Sie, wann eine Benennung erforderlich ist und warum die Unterscheidung wichtig ist.
Datenschutzbeauftragter oder Ansprechpartner Datenschutz: Was ist der Unterschied?
In vielen Unternehmen kümmert sich eine bestimmte Person um Datenschutzfragen. Häufig wird sie intern als „Datenschutzbeauftragter“ bezeichnet, obwohl keine formale Benennung erfolgt ist. Umgekehrt wird manchmal lediglich ein „Ansprechpartner Datenschutz“ angegeben, obwohl gesetzlich ein Datenschutzbeauftragter erforderlich wäre.
Beides sollte vermieden werden.
Was ist ein Datenschutzbeauftragter?
Ein Datenschutzbeauftragter ist eine gesetzlich besonders ausgestaltete Funktion. Seine Aufgaben und Stellung ergeben sich insbesondere aus der DSGVO. Er soll unter anderem informieren und beraten, die Einhaltung datenschutzrechtlicher Vorgaben überwachen und als Anlaufstelle für die Aufsichtsbehörde dienen.
Ein Datenschutzbeauftragter muss fachkundig sein und seine Aufgaben unabhängig wahrnehmen können. Er ist frühzeitig in datenschutzrelevante Fragen einzubeziehen. Die DSGVO enthält hierfür konkrete Vorgaben.
Wann muss ein Unternehmen einen Datenschutzbeauftragten benennen?
Die Prüfung erfolgt in zwei Stufen.
Vorgaben der DSGVO
Artikel 37 DSGVO verlangt die Benennung eines Datenschutzbeauftragten insbesondere dann, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordert oder umfangreich besondere Kategorien personenbezogener Daten verarbeitet werden.
Ergänzende Vorgaben des BDSG
Für nichtöffentliche Stellen enthält § 38 BDSG zusätzliche Vorgaben. Eine Benennung ist insbesondere erforderlich, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Personenzahl können weitere Konstellationen eine Benennungspflicht auslösen, etwa bestimmte besonders risikoreiche Verarbeitungen.
Die Prüfung sollte daher nicht auf die verkürzte Frage reduziert werden: „Hat das Unternehmen mehr als 20 Beschäftigte?“ Maßgeblich ist die konkrete Datenverarbeitung.
Was ist ein Ansprechpartner Datenschutz?
Ein Ansprechpartner Datenschutz ist zunächst lediglich eine organisatorisch zuständige Person. Das Unternehmen kann intern festlegen, wer Anfragen koordiniert, Unterlagen sammelt oder Datenschutzprozesse begleitet.
Eine solche Person kann sinnvoll sein, auch wenn keine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten besteht.
Sie ersetzt jedoch keinen erforderlichen Datenschutzbeauftragten.
Warum ist die richtige Bezeichnung wichtig?
Die Bezeichnung „Datenschutzbeauftragter“ sollte nicht beiläufig verwendet werden. Sie kann den Eindruck erwecken, dass eine formale Benennung mit den entsprechenden Aufgaben, Rechten und Pflichten erfolgt ist.
Umgekehrt darf ein Unternehmen eine bestehende Benennungspflicht nicht dadurch umgehen, dass es lediglich einen allgemeinen Ansprechpartner benennt.
Auch Datenschutzhinweise müssen den tatsächlichen Status korrekt wiedergeben. Ist ein Datenschutzbeauftragter benannt, sind dessen Kontaktdaten grundsätzlich in den entsprechenden Datenschutzhinweisen anzugeben.
Typische Prüfungsfragen
- Wie viele Personen verarbeiten regelmäßig automatisiert personenbezogene Daten?
- Werden sensible Daten in größerem Umfang verarbeitet?
- Gehört eine systematische Überwachung zum Kerngeschäft?
- Sind besonders risikoreiche Verarbeitungsvorgänge geplant?
- Wurde bereits wirksam ein interner oder externer Datenschutzbeauftragter benannt?
- Sind dessen Kontaktdaten veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt worden?
- Wird intern nur ein organisatorischer Ansprechpartner benötigt?
Fazit
Ein Ansprechpartner Datenschutz kann organisatorisch sinnvoll sein. Ein Datenschutzbeauftragter ist dagegen eine rechtlich definierte Funktion. Unternehmen sollten eindeutig klären, welcher Status vorliegt und ihre Dokumente entsprechend gestalten.
Sie möchten prüfen, ob Ihr Unternehmen einen Datenschutzbeauftragten benötigt?
DeinRechtsanwalt.com unterstützt Sie bei der rechtlichen Einordnung und bei der sauberen Dokumentation Ihrer Datenschutzorganisation.
Über den Autor
Rechtsanwalt Christoph Kehr berät Unternehmen praxisnah und digital. Zu seinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.
Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.