Brauche ich als kleines Unternehmen wirklich einen Datenschutzbeauftragten?
Viele kleine Unternehmen gehen davon aus, dass ein Datenschutzbeauftragter nur für größere Firmen relevant ist. Das stimmt so nicht. Entscheidend sind nicht nur Mitarbeiterzahlen, sondern auch Art, Umfang und Risiko der Datenverarbeitung. Beim Thema Datenschutzbeauftragter für ein kleines Unternehmen steht dagegen ausschließlich die gesetzliche Benennungspflicht und die sinnvolle externe Betreuung im Mittelpunkt.
Kurzantwort
Ein kleines Unternehmen braucht nicht automatisch einen Datenschutzbeauftragten. Eine Pflicht kann aber bestehen, wenn die Voraussetzungen aus Art. 37 DSGVO oder § 38 BDSG erfüllt sind.
Besonders wichtig ist in Deutschland die Schwelle des § 38 BDSG: Nichtöffentliche Stellen müssen regelmäßig einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Unabhängig davon kann eine Benennung auch wegen der Art der Verarbeitung erforderlich sein, etwa bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten oder bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern.
Einordnung
Worum geht es?
Die Frage nach dem Datenschutzbeauftragten wird in kleinen Unternehmen oft zu spät gestellt. Viele Betriebe denken erst daran, wenn ein Kunde nach Datenschutzunterlagen fragt, ein Auftragsverarbeitungsvertrag geprüft werden muss, ein Datenschutzvorfall passiert oder eine Website datenschutzrechtlich auffällt.
Die Pflicht zur Benennung hängt nicht allein davon ab, ob ein Unternehmen groß oder klein ist. Entscheidend ist, wie personenbezogene Daten verarbeitet werden. Dazu gehören zum Beispiel Beschäftigtendaten, Kundendaten, Bewerberdaten, Gesundheitsdaten, Vertragsdaten, Kontaktdaten, Zahlungsdaten oder Nutzungsdaten auf Websites.
Ein kleiner Betrieb kann datenschutzrechtlich unkompliziert sein. Er kann aber auch sehr risikoreiche Datenverarbeitungen durchführen, etwa in Arztpraxen, Pflegediensten, IT-Dienstleistungen, Sicherheitsunternehmen, Plattformen, Personalvermittlung, Beratung, Marketing oder datengetriebenen Geschäftsmodellen.
Rechtsgrundlagen
Gesetzliche Grundlage
Die zentrale europäische Vorschrift ist Art. 37 DSGVO. Danach ist ein Datenschutzbeauftragter insbesondere zu benennen, wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, wenn die Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung besteht oder wenn umfangreich besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet werden.
Für nichtöffentliche Stellen in Deutschland ergänzt § 38 BDSG die DSGVO. Danach ist ein Datenschutzbeauftragter zu benennen, soweit der Verantwortliche oder Auftragsverarbeiter in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
§ 38 BDSG enthält zusätzlich weitere Fälle: Eine Benennung ist unabhängig von der Personenzahl erforderlich, wenn Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
Wird ein Datenschutzbeauftragter benannt, sind auch Art. 38 DSGVO und Art. 39 DSGVO wichtig. Diese Vorschriften regeln Stellung, Unabhängigkeit und Aufgaben des Datenschutzbeauftragten.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Zu der konkreten Fragestellung, ob ein kleines privates Unternehmen einen Datenschutzbeauftragten benötigt, ist der BayLfD nicht die zuständige Aufsichtsbehörde. Für bayerische nichtöffentliche Stellen ist das Bayerische Landesamt für Datenschutzaufsicht zuständig.
Der BayLfD ist aber für bayerische öffentliche Stellen maßgeblich. Für Behörden und öffentliche Stellen gilt Art. 37 Abs. 1 Buchst. a DSGVO: Sie müssen grundsätzlich einen Datenschutzbeauftragten benennen. Das betrifft den öffentlichen Bereich und ist von der Frage kleiner privater Unternehmen zu trennen.
Der BayLfD stellt außerdem Informationen zur Meldung des behördlichen Datenschutzbeauftragten bereit und verweist für nichtöffentliche Stellen auf das Meldeverfahren des Bayerischen Landesamts für Datenschutzaufsicht.
Für die Praxis bedeutet das: Kommunen und öffentliche Stellen müssen die Benennung eines Datenschutzbeauftragten anders prüfen als kleine private Unternehmen. Bei Unternehmen ist insbesondere Art. 37 DSGVO in Verbindung mit § 38 BDSG maßgeblich.
Weitere Auffassungen
Weitere Auffassungen der Aufsichtsbehörden
Die Datenschutzkonferenz hat im Kurzpapier Nr. 12 dargestellt, dass sich die Benennungspflicht sowohl aus der DSGVO als auch aus nationalem Recht ergeben kann. Für Deutschland ist deshalb neben Art. 37 DSGVO insbesondere § 38 BDSG zu prüfen.
Das Bayerische Landesamt für Datenschutzaufsicht stellt ein DSB-Meldeportal bereit. Über dieses Portal können bayerische nichtöffentliche Stellen die Kontaktdaten ihres Datenschutzbeauftragten verwalten und Änderungen mitteilen.
Das BayLDA weist in seinen Materialien für kleinere Organisationen darauf hin, dass nicht automatisch jeder kleine Betrieb einen Datenschutzbeauftragten benötigt. Maßgeblich bleiben die gesetzlichen Voraussetzungen, insbesondere die Zahl der ständig mit automatisierter Datenverarbeitung beschäftigten Personen und die Art der Verarbeitung.
Kommunale Praxis
Praktische Bedeutung für Kommunen
Für Kommunen stellt sich die Frage anders als für private kleine Unternehmen. Kommunen sind öffentliche Stellen. Sie müssen grundsätzlich einen Datenschutzbeauftragten benennen. Das gilt unabhängig davon, wie viele Beschäftigte ständig personenbezogene Daten automatisiert verarbeiten.
In der kommunalen Praxis ist weniger die Frage entscheidend, ob ein Datenschutzbeauftragter benötigt wird. Entscheidend ist vielmehr, ob der Datenschutzbeauftragte organisatorisch sinnvoll eingebunden ist, frühzeitig beteiligt wird und ausreichend Informationen zu Verfahren, Dienstleistern, Fachanwendungen, Datenschutzvorfällen und Betroffenenanfragen erhält.
Gerade in kleineren Gemeinden ist wichtig, dass der Datenschutzbeauftragte nicht nur auf dem Papier benannt ist. Er muss tatsächlich erreichbar sein, seine Aufgaben unabhängig wahrnehmen können und bei datenschutzrelevanten Projekten rechtzeitig beteiligt werden.
Unternehmenspraxis
Praktische Bedeutung für Unternehmen
Bei kleinen Unternehmen ist die erste Prüffrage häufig die 20-Personen-Schwelle des § 38 BDSG. Dabei kommt es nicht auf die Gesamtzahl aller Beschäftigten an, sondern darauf, wie viele Personen in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
„Ständig“ bedeutet nicht, dass jemand ausschließlich Datenverarbeitung macht. Entscheidend ist, ob die Tätigkeit regelmäßig und dauerhaft personenbezogene Daten umfasst. Das kann etwa bei Personal, Vertrieb, Buchhaltung, Kundenservice, Verwaltung, IT, Marketing oder Praxisorganisation der Fall sein.
Auch unterhalb der Schwelle kann eine Pflicht bestehen, wenn Art. 37 DSGVO oder die weiteren Tatbestände des § 38 BDSG erfüllt sind. Besonders genau sollten Unternehmen prüfen, wenn Gesundheitsdaten, umfangreiche Kundendaten, systematische Überwachung, Scoring, Tracking, Plattformdaten, sensible Beschäftigtendaten oder risikoreiche digitale Geschäftsmodelle betroffen sind.
Auch wenn keine Pflicht zur Benennung besteht, bleiben alle sonstigen Datenschutzpflichten bestehen. Ein Unternehmen ohne Datenschutzbeauftragten braucht trotzdem eine belastbare Datenschutzorganisation, Datenschutzhinweise, Auftragsverarbeitungsverträge, ein Verzeichnis von Verarbeitungstätigkeiten, Löschregeln, technische und organisatorische Maßnahmen und einen Ablauf für Datenschutzvorfälle.
Praxisfehler
Typische Fehler
Ein häufiger Fehler ist die Annahme, dass nur Unternehmen mit sehr vielen Beschäftigten einen Datenschutzbeauftragten benötigen. Das ist zu pauschal. Die Pflicht kann auch bei kleineren Organisationen entstehen, wenn die Art der Datenverarbeitung entsprechend risikoreich ist.
Ebenso falsch ist die Annahme, dass ein externer IT-Dienstleister automatisch den Datenschutzbeauftragten ersetzt. IT-Support und Datenschutzkontrolle sind unterschiedliche Rollen. Der Datenschutzbeauftragte berät, kontrolliert und überwacht datenschutzrechtliche Anforderungen, übernimmt aber nicht einfach operative IT-Aufgaben.
Problematisch ist auch die Benennung einer ungeeigneten internen Person. Datenschutzbeauftragte müssen fachkundig und unabhängig sein. Personen mit Interessenkonflikt, etwa Geschäftsführung oder leitende Personen, die selbst über Zwecke und Mittel der Verarbeitung entscheiden, kommen regelmäßig nicht als Datenschutzbeauftragte in Betracht.
Ein weiterer Fehler ist, nur auf die Frage der Benennungspflicht zu schauen. Selbst wenn kein Datenschutzbeauftragter benannt werden muss, können Datenschutzverstöße, fehlende Dokumentation oder unklare Prozesse erhebliche Risiken verursachen.
Vorgehen
Praxistipps
Unternehmen sollten zuerst prüfen, wie viele Personen in der Regel ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Dabei sollten nicht nur Vollzeitkräfte berücksichtigt werden, sondern auch Teilzeitkräfte, Minijobber, Geschäftsführung und sonstige Personen, wenn sie regelmäßig personenbezogene Daten verarbeiten.
Danach sollte geprüft werden, ob unabhängig von der Personenzahl eine Benennungspflicht besteht. Das betrifft insbesondere risikoreiche Verarbeitungen, umfangreiche Verarbeitung sensibler Daten, Überwachung, Scoring, Tracking, Plattformmodelle oder Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern.
Wenn keine Pflicht besteht, sollte die Datenschutzorganisation trotzdem nicht liegen bleiben. Gerade kleine Unternehmen profitieren von klaren Prozessen, weil Datenschutzfragen meistens im Alltag entstehen: neue Software, neue Website, neue Dienstleister, Bewerbungen, Kundenanfragen, Beschäftigtendaten oder Datenschutzvorfälle.
Prüfpunkte
Checkliste
Handelt es sich um eine öffentliche Stelle oder ein privates Unternehmen?
Wie viele Personen beschäftigen sich regelmäßig mit automatisierter Verarbeitung personenbezogener Daten?
Sind mindestens 20 Personen im Sinne des § 38 BDSG betroffen?
Besteht die Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung?
Werden umfangreich besondere Kategorien personenbezogener Daten verarbeitet?
Werden umfangreich Daten über strafrechtliche Verurteilungen oder Straftaten verarbeitet?
Ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich?
Werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, anonymisierten Übermittlung oder Markt- und Meinungsforschung verarbeitet?
Ist eine interne Person fachlich geeignet und frei von Interessenkonflikten?
Wäre ein externer Datenschutzbeauftragter organisatorisch sinnvoller?
Wurden Kontaktdaten des Datenschutzbeauftragten veröffentlicht und der Aufsichtsbehörde mitgeteilt?
Gibt es unabhängig von der Benennungspflicht eine belastbare Datenschutzorganisation?
Häufige Fragen
FAQ
Braucht jedes kleine Unternehmen einen Datenschutzbeauftragten?
Nein. Ein kleines Unternehmen braucht nicht automatisch einen Datenschutzbeauftragten. Entscheidend sind die Voraussetzungen aus Art. 37 DSGVO und § 38 BDSG.
Gilt die Grenze von 20 Mitarbeitenden immer?
Die Grenze des § 38 BDSG betrifft Personen, die in der Regel ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Sie ist wichtig, aber nicht der einzige Fall einer Benennungspflicht.
Zählen nur Vollzeitbeschäftigte?
Nein. Entscheidend ist nicht allein die arbeitsvertragliche Stundenzahl, sondern ob eine Person regelmäßig und dauerhaft personenbezogene Daten automatisiert verarbeitet.
Kann die Geschäftsführung Datenschutzbeauftragter sein?
Regelmäßig nein. Die Geschäftsführung entscheidet typischerweise über Zwecke und Mittel der Datenverarbeitung. Das führt zu einem Interessenkonflikt mit der unabhängigen Kontrollfunktion des Datenschutzbeauftragten.
Kann ein externer Datenschutzbeauftragter benannt werden?
Ja. Art. 37 Abs. 6 DSGVO lässt zu, dass der Datenschutzbeauftragte Beschäftigter des Verantwortlichen ist oder auf Grundlage eines Dienstleistungsvertrags tätig wird.
Muss ich ohne Datenschutzbeauftragten trotzdem Datenschutz umsetzen?
Ja. Die DSGVO-Pflichten gelten unabhängig davon, ob ein Datenschutzbeauftragter benannt werden muss. Auch kleine Unternehmen brauchen saubere Prozesse, Dokumentation und technische Schutzmaßnahmen.
Ergebnis
Fazit
Ein kleines Unternehmen braucht nicht automatisch einen Datenschutzbeauftragten. Die Pflicht hängt aber nicht nur von der Unternehmensgröße ab. Entscheidend sind insbesondere Art, Umfang, Zweck und Risiko der Datenverarbeitung sowie die ergänzenden Vorgaben des § 38 BDSG.
Wer in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt, muss regelmäßig einen Datenschutzbeauftragten benennen. Auch unterhalb dieser Schwelle kann eine Pflicht bestehen, etwa bei risikoreichen oder besonders sensiblen Verarbeitungen.
Ob diese Grundsätze im konkreten Einzelfall tatsächlich erfüllt sind, hängt von den tatsächlichen Umständen und der konkreten Verarbeitung ab und sollte im Zweifel individuell geprüft werden.
Weiterlesen
Passende interne Verlinkung
Nachweise
Quellen
Benennungspflicht konkret prüfen lassen?
Ob ein Datenschutzbeauftragter benannt werden muss, hängt von der konkreten Organisation und den tatsächlichen Verarbeitungsvorgängen ab. Gerade bei kleinen Unternehmen lohnt sich eine kurze, saubere Prüfung, bevor eine falsche Entscheidung getroffen wird.
Einzelfall prüfen lassen