Neues aus dem Datenschutz…Pflicht zur Benennung eines Datenschutzbeauftragten – Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU

Während nach der DSGVO ein Datenschutzbeauftragter unabhängig von der Zahl der Mitarbeiter nur dann bestellt werden muss, wenn die Kerntätigkeit des Verantwortlichen in der Verarbeitung personenbezogener Daten liegt, sieht das BDSG eine Pflicht zur Benennung eines betrieblichen Datenschutzbeauftragten stets ab einer Beschäftigung von 10 Mitarbeitern vor (§ 38 Absatz 1 Satz 1 BDSG) – vorausgesetzt diese sind mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt, was aber bei Computerarbeitsplätzen regelmäßig der Fall sein wird.

Diese Verschärfung gegenüber der DSGVO war schon länger in der Kritik, da sie gerade kleinere Unternehmen unnötig belaste. Auch unserer Erfahrung zeigt, dass es mitunter gar nicht so einfach ist, einen geeigneten Datenschutzbeauftragten oder eine Datenschutzbeauftragte unter den Mitarbeitern zu finden. Viele greifen angesichts der geforderten Fachkenntnisse auf den IT-Administrator zurück. Das wiederum kollidiert mit der Unabhängigkeit eines Datenschutzbeauftragten, denn wer aufgrund seiner Position im Unternehmen für die Umsetzung von Maßnahmen verantwortlich ist, kann diese nicht gleichzeitig unabhängig kontrollieren.

Mit einem sperrigen Gesetz (das betrifft nicht nur den Titel, sondern auch den Inhalt – es werden mehr als 150 Gesetze geändert) hat der Bundestag bereits im Juni die Schwelle zur Benennung eines Datenschutzbeauftragten auf 20 Mitarbeiter angehoben. Am kommenden Freitag steht das Gesetz nun auf der Tagesordnung des Bundesrats. Sollte dieser zustimmen, ist mit einer baldigen Umsetzung zu rechnen.

Doch was bedeutet das nun für die Unternehmen mit mehr als 10 aber weniger als 20 Arbeitnehmer, für die die Pflicht zur Benennung eines Datenschutzbeauftragten nach § 38 BDSG dann wegfällt? Natürlich ist niemand daran gehindert, die Position eines Datenschutzbeauftragten freiwillig vorzuhalten. Der Wegfall der gesetzlichen Verpflichtung stellt jedoch einen wichtigen Grund dar, der die Abberufung des Datenschutzbeauftragten rechtfertigt. Das sollte unmittelbar nach Inkrafttreten der Neufassung von § 38 BDSG geschehen. Dabei ist zu beachten, dass die Abberufung das Arbeitsverhältnis unberührt lässt und dass für die Dauer von einem Jahr nach der Abberufung ein nachwirkender Sonderkündigungsschutz besteht.

In jedem Fall müssen Unternehmen mit weniger als 20 Mitarbeitern auch zukünftig prüfen, ob eine Pflicht zur Bestellung nach Art. 37 DSGVO besteht. Ist dies der Fall, kommt es auf die Zahl der Mitarbeiter nicht an.