Öffentliche und nicht-öffentliche Stellen (natürliche und juristische Personen, Personengesellschaften und nicht rechtsfähige Vereine) müssen unter Umständen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten bestellen und der zuständigen Stelle mitteilen.

Sie können sowohl eine natürliche Person im Unternehmen als auch eine natürliche Person von außerhalb bestellen (externe Datenschutzbeauftragte).

Die Datenschutbeauftragte oder der Datenschutzbeauftragte muss

• für die Einhaltung des Bundesdatenschutzgesetzes und anderer Vorschriften über den Datenschutz sorgen,
• die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme überwachen,
• die bei der Verarbeitung personenbezogener Daten tätigen Personen schulen (z.B. schriftlich, durch Schulungsveranstaltungen oder bei Dienstbesprechungen),
• die automatisierten Verarbeitungen, die besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, vorab kontrollieren (Vorabkontrolle),
• Allen auf Antrag die Angaben über Verfahren automatisierter Verarbeitungen in geeigneter Weise zur Verfügung stellen und
• Beschwerden von Betroffenen nachgehen. Das können z.B. Mitarbeitende des Unternehmens oder Kundschaft sein, die meinen, durch die Verarbeitung ihrer Daten in ihren Rechten verletzt zu werden.

Datenschutzbeauftragte sind der Unternehmensleitung unmittelbar unterstellt. Sie sind auf dem Gebiet des Datenschutzes weisungsfrei. Sie dürfen wegen der Erfüllung ihrer Aufgaben nicht benachteiligt werden.

Achtung: Wenn Sie die Bestellung vorsätzlich oder fahrlässig nicht oder nicht rechtzeitig vornehmen, müssen Sie mit einer Geldbuße von bis zu 50.000 Euro rechnen. In Einzelfällen sind auch höhere Beträge möglich.

Voraussetzungen

Sie müssen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten bestellen, wenn Sie in Ihrem Unternehmen

• personenbezogene Daten für andere als persönliche oder familiäre Tätigkeiten automatisiert erheben, verarbeiten oder nutzen und
• bei der automatisierten Datenverarbeitung ständig mindestens zehn Personen beziehungsweise bei einer Verarbeitung auf andere Weise mindestens 20 Personen beschäftigen.

Unabhängig von der Anzahl der mit der Datenverarbeitung beschäftigten Personen müssen Sie in folgenden Fällen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten bestellen:

• Sie verarbeiten in Ihrem Unternehmen automatisiert personenbezogene Daten, die besondere Risiken für die Rechte und die Freiheiten der Betroffenen aufweisen. Derartige Verarbeitungen muss die Datenschutzbeauftragte oder der Datenschutzbeauftragte in einer Vorabkontrolle vor Beginn der Verarbeitung überprüfen.
• Sie erheben, verarbeiten oder nutzen personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung. Das ist beispielsweise bei Auskunfteien oder Markt- und Meinungsforschungsinstituten der Fall.

Als Datenschutzbeauftragte dürfen Sie nur Personen bestellen, die bestimmte Voraussetzungen erfüllen:

• erforderliche Fachkunde:
  • allgemeines Grundwissen über das Datenschutzrecht sowie über Verfahren und Techniken der automatisierten Datenverarbeitung
  • Kenntnisse über betriebswirtschaftliche Zusammenhänge
  • Vertrautheit mit der Organisation und den Funktionen des Betriebes und
  • guter Überblick über alle Fachaufgaben, zu deren Erfüllung personenbezogene Daten verarbeitet werden
• erforderliche Zuverlässigkeit:
  • sorgfältige und gründliche Arbeitsweise
  • Belastbarkeit
  • Lernfähigkeit
  • Loyalität und Gewissenhaftigkeit
• kein Widerspruch der Aufgaben mit etwaigen anderen hauptamtlichen Aufgaben der Person:
  Ungeeignet sind z.B. Mitarbeitende in Positionen, die zu Interessenkonflikten mit den Aufgaben von Datenschutzbeauftragten führen können (z.B. Inhaber, Mitglieder der Geschäftsführung, Verantwortliche für die Datenverarbeitung).

Tipp: Um die Fachkunde sicherzustellen, gibt es verschiedene Aus- und Fortbildungsmöglichkeiten für Datenschutzbeauftragte.

Zuständigkeit

der Landesbeauftragte für den Datenschutz und die Informationsfreiheit

Ablauf

Sie müssen den Datenschutzbeauftragten schriftlich bestellen.

Anschließend müssen Sie die Bestellung dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit schriftlich oder online mitteilen.

Fristen

innerhalb eines Monats nach Aufnahme der Tätigkeit des Unternehmens

Erforderliche Unterlagen

keine

Rechtsgrundlage

• § 4f Bundesdatenschutzgesetz (BDSG) (Beauftragter für den Datenschutz)
• § 4g Bundesdatenschutzgesetz (BDSG) (Aufgaben des Beauftragten für den Datenschutz)
• § 43 Bundesdatenschutzgesetz (BDSG) (Bußgeldvorschriften)
• Europäische Datenschutzgrundverordnung (DSGVO)

Vertiefende Informationen

Informationen zur EU-Datenschutz-Grundverordnung:

• "Was muss Ihr Unternehmen tun?" Infografik der Europäischen Kommission
• "Sechs Schritte für die DGVO" der Handwerkskammer Stuttgart
• Checkliste zur Datenschutz-Grundverordnung der IHK Stuttgart
• Online-Test zur Selbsteinschätzung "Auf dem Weg zur EU-DGVO"
• Häufig gestellte Fragen zur neuen Datenschutzgrundverordnung
• Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern

Weitere Informationen: 

• Zweiteiliger Praxisratgeber "Datenschutz-Beauftragte"
• Musterformular für die Bestellung des Datenschutzbeauftragten der Industrie- und Handelskammer Stuttgart.

Freigabevermerk

Dieser Text entstand in enger Zusammenarbeit mit den fachlich zuständigen Stellen. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit hat dessen ausführliche Fassung am 05.09.2019 freigegeben.