Wann braucht Ihr Unternehmen einen Datenschutzbeauftragten?

Kurz beantwortet: Sie brauchen einen Datenschutzbeauftragten, wenn Ihre Kerntätigkeit in umfangreicher Überwachung oder der Verarbeitung besonderer Datenkategorien besteht (Art. 37 DSGVO), oder, die deutsche Besonderheit, sobald mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten (§ 38 BDSG). In einem Software-Unternehmen ist diese Schwelle meist schnell erreicht.

Wann verlangt die europäische Grundregel einen DSB?

„Brauchen wir eigentlich einen Datenschutzbeauftragten?“ Diese Frage stellt sich fast jedes wachsende Software-Unternehmen. Die Antwort hängt nicht vom Bauchgefühl ab, sondern von klaren gesetzlichen Schwellen, und in Deutschland gilt eine Besonderheit, die viele übersehen: Die Pflicht greift oft früher als nach der DSGVO allein.

Nach Art. 37 Abs. 1 DSGVO müssen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten benennen, wenn ihre Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht (lit. b) oder in der umfangreichen Verarbeitung besonderer Datenkategorien wie Gesundheits- oder biometrischen Daten (lit. c). Für Behörden gilt die Pflicht ohnehin (lit. a). Diese Kriterien sind unternehmensgrößenunabhängig, es kommt auf die Art der Tätigkeit an, nicht auf die Mitarbeiterzahl.

Wann greift die deutsche Zusatzschwelle nach § 38 BDSG?

Hier setzt die deutsche Besonderheit an. § 38 Abs. 1 Satz 1 BDSG verpflichtet nichtöffentliche Stellen ergänzend zur Benennung, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. In einem Software-Unternehmen, in dem nahezu alle am Rechner mit Kunden-, Nutzer- oder Personaldaten arbeiten, ist diese Schwelle schnell erreicht. Unabhängig von der Personenzahl besteht die Pflicht nach § 38 Abs. 1 Satz 2 BDSG zudem, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.

Interner oder externer Datenschutzbeauftragter?

Nach Art. 37 Abs. 6 DSGVO kann der Datenschutzbeauftragte ein Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen, also extern. Für viele kleinere und mittlere Software-Unternehmen ist der externe DSB die bessere Wahl: Er bringt Fachwissen mit, unterliegt keinem Interessenkonflikt mit einer operativen Rolle und ist nicht mit dem besonderen Kündigungsschutz interner Datenschutzbeauftragter verbunden. Ein interner Mitarbeiter darf die Rolle übernehmen, aber nicht dort, wo er sich selbst kontrollieren müsste, etwa in der IT-Leitung oder Geschäftsführung.

Was müssen Sie als Anbieter konkret tun?

• Schwellen prüfen: zählen Sie, wie viele Personen ständig automatisiert Daten verarbeiten, und bewerten Sie Ihre Kerntätigkeit;
• Benennung und Meldung: ist die Pflicht ausgelöst, benennen Sie den DSB, veröffentlichen die Kontaktdaten und melden sie der Aufsichtsbehörde (Art. 37 Abs. 7 DSGVO);
• Qualifikation sicherstellen: der DSB muss über das nötige Fachwissen verfügen (Art. 37 Abs. 5 DSGVO);
• Konfliktfreiheit wahren: die Rolle darf nicht bei jemandem liegen, der über Zwecke und Mittel der Verarbeitung selbst entscheidet.

Auch wer nicht verpflichtet ist, kann freiwillig einen DSB benennen, dann gelten allerdings dieselben gesetzlichen Anforderungen. Welche Verarbeitungstätigkeiten eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO überhaupt auslösen, hängt eng mit Ihrem Verarbeitungsverzeichnis nach Art. 30 DSGVO zusammen.

Häufige Fragen

Ab wie vielen Beschäftigten braucht ein Software-Unternehmen einen Datenschutzbeauftragten?

Nach § 38 Abs. 1 Satz 1 BDSG besteht die Benennungspflicht für nichtöffentliche Stellen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Da in einem Software-Unternehmen nahezu alle am Rechner mit Kunden-, Nutzer- oder Personaldaten arbeiten, ist diese Schwelle regelmäßig schnell erreicht.

Worin unterscheiden sich Art. 37 DSGVO und § 38 BDSG?

Art. 37 DSGVO knüpft die Pflicht an die Kerntätigkeit an, also an eine umfangreiche Überwachung von Personen oder die umfangreiche Verarbeitung besonderer Datenkategorien, und zwar unabhängig von der Mitarbeiterzahl. § 38 BDSG ergänzt diese europäische Grundregel um eine deutsche Zusatzschwelle, die allein an die Zahl der ständig automatisiert verarbeitenden Personen anknüpft und die Pflicht deshalb oft früher auslöst.

Sollte der Datenschutzbeauftragte intern oder extern sein?

Nach Art. 37 Abs. 6 DSGVO kann der Datenschutzbeauftragte ein Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags extern erfüllen. Für viele kleinere und mittlere Software-Unternehmen ist die externe Lösung vorteilhaft, weil sie Fachwissen mitbringt, keinen Interessenkonflikt mit einer operativen Rolle auslöst und nicht mit dem besonderen Kündigungsschutz interner Datenschutzbeauftragter verbunden ist.

Gelten die Anforderungen auch bei freiwilliger Benennung?

Ja. Wer einen Datenschutzbeauftragten benennt, ohne dazu verpflichtet zu sein, unterliegt denselben gesetzlichen Anforderungen an Fachwissen, Konfliktfreiheit und Meldung wie eine verpflichtete Stelle.

Sie wollen wissen, ob Sie einen Datenschutzbeauftragten brauchen? In einem 30-minütigen Erstgespräch prüfen wir Ihre Schwellen und die passende Lösung. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen