Wann du auch mit fünf Leuten einen Datenschutzbeauftragten brauchst
Die Zwanzig ist der bekannteste Weg in die Benennungspflicht, aber nicht der einzige. § 38 BDSG nennt Fälle, in denen die Beschäftigtenzahl keine Rolle spielt. Wer sie erfüllt, braucht einen Datenschutzbeauftragten auch als Dreipersonenbetrieb.
Wenn eine Folgenabschätzung nötig ist
Sobald du Verarbeitungen durchführst, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, greift die Pflicht unabhängig von der Kopfzahl. Eine Folgenabschätzung wird fällig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen bringt. Die Aufsichtsbehörden veröffentlichen Listen mit Beispielen, und dort tauchen Dinge auf, die kleine Betriebe durchaus betreiben. Umfangreiche Videoüberwachung öffentlich zugänglicher Bereiche ist so ein Fall.
Wenn du Daten geschäftsmäßig weitergibst
Der zweite Fall betrifft Betriebe, die personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeiten, auch in anonymisierter Form, oder für Zwecke der Markt- und Meinungsforschung. Wer Adressen handelt, Leads weiterverkauft oder Befragungen im Auftrag durchführt, ist damit gemeint. Die Zahl der Beschäftigten interessiert hier nicht.
Das trifft mehr Leute, als man denkt. Ein Zweipersonenbetrieb, der Interessenten für Photovoltaik einsammelt und an Installateure weiterverkauft, verarbeitet Daten geschäftsmäßig zum Zweck der Übermittlung.
Die europäische Ebene daneben
Unabhängig vom deutschen Recht verlangt Artikel 37 DSGVO einen Datenschutzbeauftragten, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Datenkategorien, also etwa Gesundheitsdaten. Diese Fälle bleiben bestehen, auch wenn die deutsche Zwanzig irgendwann gestrichen wird.
Das Wort Kerntätigkeit ist dabei wichtig. Eine Physiotherapiepraxis verarbeitet Gesundheitsdaten als Kern ihrer Arbeit. Ein Handwerksbetrieb, der Krankmeldungen seiner Leute ablegt, tut das nebenbei und fällt nicht schon deswegen darunter.
Was du prüfen solltest, bevor du jemanden beauftragst
Bevor du einen externen Dienstleister buchst, lohnt der Blick in deine eigene Verarbeitung. Viele kleine Betriebe brauchen keinen Datenschutzbeauftragten, sondern ein Verzeichnis ihrer Verarbeitungstätigkeiten nach Artikel 30 DSGVO, saubere Verträge mit ihren Dienstleistern und eine Vorstellung davon, wo ihre Daten liegen. Diese Pflichten gelten ab der ersten Person und werden bei Prüfungen häufiger abgefragt als die Frage nach dem Beauftragten.
Zurück zur 20-Personen-Schwelle
Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen wieder und ersetzt keine Prüfung deines Einzelfalls. Ob eine Datenschutz-Folgenabschätzung nötig ist, hängt von deiner konkreten Verarbeitung ab. Maßgeblich sind der Gesetzestext und die Auskunft deiner Aufsichtsbehörde. Bei Unsicherheit wende dich an einen Rechtsanwalt.