bin ich verpflichtet, einen Datenschutzbeauftragten für mein Unternehmen zu bestellen

Für die meisten KMU und Freiberufler besteht keine Verpflichtung

Ein Datenschutzbeauftragter, abgekürzt DSB, ist für das gewöhnliche KMU und die meisten Freiberufler in der Regel keine Verpflichtung. Die DSGVO nennt eine Reihe spezifischer Situationen, in denen ein DSB erforderlich ist, und außerhalb dieser Fälle steht es einer Organisation frei, selbst einen zu bestellen, ohne dass das Gesetz dies zwingend vorschreibt. In der Praxis ist ein erforderlicher DSB vor allem bei Behörden und bei Unternehmen tätig, deren Kerngeschäft in der umfangreichen, systematischen Überwachung von Menschen oder in der großflächigen Verarbeitung besonderer Kategorien personenbezogener Daten besteht, etwa Gesundheitsdaten.

Ein Online-Shop, ein Beratungsbüro, ein Bauunternehmer oder ein Freiberufler mit einer Buchhaltungssoftware und ein paar SaaS-Tools fällt in den meisten Fällen nicht in diese Kategorien. Das bedeutet nicht, dass es nichts zu tun gibt: auch ohne DSB besteht die Verpflichtung, nachweisen zu können, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck, beispielsweise in das Verarbeitungsregister, und diese Verpflichtung gilt genauso für ein Einzelunternehmen. Wer unsicher ist, ob die eigenen Tätigkeiten tatsächlich in die Kategorie "umfangreich" oder "systematisch" fallen, findet dort mehr Anhaltspunkte bei der Frage wann eine DPIA erforderlich ist, weil dieselbe Risikobewertung häufig zusammen mit der DSB-Frage auftritt.

Grundlage hierfür: Artikel 2 und 30 DSGVO

Die DSGVO bestimmt in Artikel 2 den sachlichen Anwendungsbereich der Verordnung, und Artikel 30 regelt das Verarbeitungsverzeichnis mit den darin geltenden Ausnahmen — die DSB-Verpflichtung selbst steht an anderer Stelle der Verordnung, doch der Umfang und die Art der Verarbeitung, die dabei eine Rolle spielen, schließen an dieselben Kriterien an wie beim Verarbeitungsverzeichnis und der DPIA-Pflicht. Ein Teil dieser Bewertung ist faktisch: wie viele Menschen werden überwacht, wie systematisch, und um welche Art von Daten handelt es sich. Die Autoriteit Persoonsgegevens veröffentlicht hierzu weitere Orientierung für die niederländische Praxis, während die Frage, ob ein DSB erforderlich ist, in der gesamten EU auf derselben Verordnung beruht — allerdings kann die nationale Aufsichtsbehörde, in den Niederlanden die Autoriteit Persoonsgegevens und in anderen Mitgliedstaaten die Aufsichtsbehörde dieses Landes, eigene Informationen oder zusätzliche Registrierungsanforderungen rund um die Bestellung eines DSB handhaben.