Braucht ihr eine Datenschutzbeauftragte oder nicht?

Zwanzig Köpfe, keine Vollzeitäquivalente

Paragraf 38 Absatz 1 Satz 1 BDSG spricht von Personen, nicht von Stellen. Zwei Halbtagskräfte sind zwei Personen und nicht eine. Auszubildende, Aushilfen, Werkstudierende, Leiharbeitskräfte und ehrenamtlich Tätige zählen mit, sofern sie ständig mit der automatisierten Verarbeitung befasst sind, und die geschäftsführenden Personen zählen ebenfalls mit, wenn sie selbst in den Systemen arbeiten.

Der Begriff automatisierte Verarbeitung ist weiter, als er klingt. Er umfasst jede Verarbeitung mit Hilfe von Datenverarbeitungsanlagen, also auch das Schreiben einer Mail mit Personenbezug, das Pflegen einer Tabelle mit Kundennamen, die Buchung in der Finanzsoftware und die Eingabe im Kassen- oder Warenwirtschaftssystem. Nicht mitgezählt wird, wer ausschließlich mit Papier arbeitet oder wer nur ausnahmsweise einmal an ein System herangeht.

Das Wort ständig meint die Regelmäßigkeit, nicht die Ausschließlichkeit. Eine Person, die zweimal pro Woche eine Stunde im Bewerbermanagement arbeitet, ist ständig damit befasst. Eine Person, die einmal im Jahr eine Liste ausdruckt, nicht. Der Zusatz in der Regel bezieht sich auf die Beständigkeit über die Zeit: Kurzfristige Schwankungen durch Saisonkräfte kippen die Einschätzung nicht sofort, ein dauerhaftes Überschreiten schon.

Die Auslöser, die von der Kopfzahl unabhängig sind

Paragraf 38 Absatz 1 Satz 2 BDSG nennt zwei Fälle. Der erste betrifft Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen. Welche das sind, steht nicht allein in der Verordnung: Artikel 35 Absatz 4 verpflichtet die Aufsichtsbehörden, eine Liste der Verarbeitungsvorgänge zu veröffentlichen, für die eine Folgenabschätzung durchzuführen ist. In Deutschland ist das die abgestimmte Muss-Liste der Datenschutzkonferenz. Der zweite Fall betrifft die geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, also Adresshandel, Auskunfteien und Marktforschungsinstitute.

Artikel 37 Absatz 1 DSGVO steht daneben und gilt unmittelbar. Buchstabe a erfasst Behörden und öffentliche Stellen mit Ausnahme der Gerichte im Rahmen ihrer justiziellen Tätigkeit. Buchstabe b greift, wenn die Kerntätigkeit in Verarbeitungsvorgängen besteht, die eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erforderlich machen. Buchstabe c greift bei umfangreicher Verarbeitung besonderer Datenkategorien nach Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10.

Diese drei Buchstaben kennen keine Untergrenze. Ein Sicherheitsdienstleister mit zwölf Beschäftigten, dessen Geschäft in der Videoüberwachung fremder Objekte besteht, fällt unter Buchstabe b. Ein medizinisches Labor mit fünfzehn Personen fällt unter Buchstabe c. In beiden Fällen ändert die Zahl zwanzig gar nichts.

Kerntätigkeit heißt nicht nebenbei

Die Abgrenzung entscheidet in der Praxis fast jeden Zweifelsfall. Kerntätigkeit ist die Tätigkeit, ohne die es die Organisation in dieser Form nicht gäbe. Jedes Unternehmen führt Personalakten, in denen Krankmeldungen liegen, und jedes verarbeitet damit Gesundheitsdaten. Das macht die Personalverwaltung nicht zur Kerntätigkeit, sondern zur unterstützenden Tätigkeit, die jede Organisation ohnehin hat. Bei einem Pflegedienst dagegen ist die Verarbeitung von Gesundheitsdaten untrennbar mit der Leistung selbst verbunden.

Beim Merkmal umfangreich hilft Erwägungsgrund 91 mit einer ausdrücklichen Klarstellung: Die Verarbeitung personenbezogener Daten sollte nicht als umfangreich gelten, wenn sie durch einen einzelnen Arzt, sonstigen Angehörigen eines Gesundheitsberufes oder Rechtsanwalt erfolgt. Eine Einzelpraxis fällt also nicht allein deshalb unter die Benennungspflicht, weil sie mit Patientendaten arbeitet. Ein medizinisches Versorgungszentrum mit mehreren Behandelnden, angeschlossenem Labor und zentraler Abrechnung sieht anders aus.

Für die eigene Einschätzung lohnt sich ein kurzer schriftlicher Vermerk mit vier Zeilen: Zahl der betroffenen Personen, Umfang und Art der Daten, Dauer der Verarbeitung, geografische Reichweite. Dieser Vermerk ist auch dann etwas wert, wenn er zu dem Ergebnis kommt, dass keine Pflicht besteht, denn er zeigt, dass die Frage bearbeitet und nicht übersehen wurde.

Benennen ist der erste Schritt, nicht der letzte

Nach der Benennung verlangt Artikel 37 Absatz 7 zwei getrennte Handlungen. Die Kontaktdaten sind zu veröffentlichen, was in der Regel über die Datenschutzerklärung geschieht, und sie sind der zuständigen Aufsichtsbehörde mitzuteilen. Die Mitteilung läuft über ein Online-Formular der jeweiligen Landesbehörde, zuständig ist die Behörde am Sitz der Hauptniederlassung. Bei jedem Wechsel der Person ist beides erneut fällig, und genau dort entstehen die Lücken, weil der Wechsel intern als Personalvorgang und nicht als Datenschutzvorgang behandelt wird.

Zu veröffentlichen sind die Kontaktdaten, nicht zwingend der Name. Eine Funktionsadresse mit Postanschrift genügt, solange betroffene Personen die Stelle darüber tatsächlich erreichen. Der Aufsichtsbehörde gegenüber ist die Angabe des Namens dagegen üblich, weil sie die Person im Verfahren ansprechen können muss.

Innerhalb eines Konzerns erlaubt Artikel 37 Absatz 2 eine gemeinsame Benennung für mehrere Unternehmen, sofern die Person von jeder Niederlassung aus leicht erreichbar ist. Leicht erreichbar meint dabei nicht nur die Telefonnummer, sondern auch Sprache und tatsächliche Verfügbarkeit. Eine Person für elf Standorte in vier Ländern erfüllt diese Bedingung selten.

Freiwillig benennen und was daraus folgt

Viele Häuser benennen unterhalb der Schwelle freiwillig, weil sie ohnehin eine Ansprechstelle brauchen und weil Kunden in Ausschreibungen danach fragen. Das ist sinnvoll, hat aber eine Konsequenz, die vorher klar sein sollte: Mit der Benennung greifen die Artikel 37 bis 39 vollständig. Die Person darf in der Aufgabenerfüllung keine Weisungen erhalten, sie berichtet unmittelbar der höchsten Leitungsebene, sie darf wegen der Erfüllung ihrer Aufgaben nicht abberufen oder benachteiligt werden, und sie braucht die Ressourcen aus Artikel 38 Absatz 2.

Ein Unterschied bleibt. Paragraf 38 Absatz 2 BDSG erklärt Paragraf 6 Absatz 4 nur für anwendbar, wenn die Benennung verpflichtend ist. Der besondere Kündigungsschutz mitsamt der einjährigen Nachwirkung nach dem Ende der Tätigkeit gilt bei einer rein freiwilligen Benennung also nicht. Das Benachteiligungsverbot aus Artikel 38 Absatz 3 DSGVO greift dagegen in beiden Fällen. Wer diese Unterscheidung kennt, vermeidet die verbreitete Fehlannahme, eine freiwillige Benennung sei folgenlos und jederzeit rückgängig zu machen.