Die Frage, ob ein Datenschutzbeauftragter benannt werden muss, wird oft an der Mitarbeiterzahl festgemacht. Das trifft nur für einen Teil der Fälle zu — und für Schweizer Unternehmen gilt eine andere Systematik als für Unternehmen in der EU.
Wann die DSGVO eine Benennung verlangt
Drei Fälle lösen die Pflicht aus. Erstens, wenn die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt.
Zweitens, wenn die Kerntätigkeit in einer umfangreichen regelmässigen und systematischen Überwachung betroffener Personen besteht.
Drittens, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien oder von Daten über Straftaten besteht.
Der Begriff Kerntätigkeit ist der Schlüssel: Gemeint ist die Verarbeitung, die für die eigentliche Geschäftstätigkeit wesentlich ist — nicht die Personalverwaltung, die jedes Unternehmen betreibt.
Die deutsche Zusatzregel
In Deutschland kommt eine nationale Regel hinzu, die an die Zahl der Personen anknüpft, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wird diese Schwelle überschritten, ist zu benennen — unabhängig von den drei Fällen oben.
Diese Regel ist der Grund, warum die Frage im deutschen Sprachraum oft als Zahlenfrage wahrgenommen wird. In anderen Mitgliedstaaten und in der Schweiz gilt sie nicht.
Die Schweizer Systematik
Das revidierte Datenschutzgesetz kennt keine allgemeine Pflicht für private Unternehmen, eine solche Funktion zu benennen. Vorgesehen ist eine Datenschutzberaterin oder ein Datenschutzberater auf freiwilliger Basis.
Diese Freiwilligkeit hat einen konkreten Vorteil: Wird eine solche Person benannt und im Rahmen einer Datenschutz-Folgenabschätzung konsultiert, kann die sonst erforderliche Konsultation der Aufsichtsbehörde entfallen.
Für Schweizer Unternehmen mit EU-Bezug ist die DSGVO-Frage aber weiterhin gesondert zu prüfen — die Schweizer Regel entbindet davon nicht.
Wer die Funktion ausüben kann
Massgeblich ist die berufliche Qualifikation und insbesondere das Fachwissen im Datenschutzrecht und in der Praxis. Ein formaler Abschluss ist nicht vorgeschrieben.
Die Funktion kann intern besetzt oder extern vergeben werden. Bei kleineren Organisationen ist die externe Lösung häufig praktikabler, weil das nötige Fachwissen intern selten dauerhaft vorgehalten wird.
Der Punkt, der intern oft übersehen wird
Es darf kein Interessenkonflikt bestehen. Die Person darf nicht über Zwecke und Mittel der Verarbeitung entscheiden — sie kann diese also nicht gleichzeitig verantworten und kontrollieren.
Damit scheiden die Geschäftsführung, die Leitung der IT und die Leitung des Personalwesens in aller Regel aus. Genau diese Rollen werden bei internen Besetzungen am häufigsten gewählt, weil sie das nötige Wissen haben.
Weiter darf die Person wegen der Erfüllung ihrer Aufgaben nicht abberufen oder benachteiligt werden und berichtet unmittelbar der höchsten Leitungsebene.
Was zu tun ist, wenn keine Pflicht besteht
Auch ohne Pflicht bleiben die datenschutzrechtlichen Anforderungen bestehen. Jemand muss sie erfüllen — Verzeichnis, Betroffenenrechte, Meldewege, Verträge mit Auftragsverarbeitern.
Sinnvoll ist deshalb, die Aufgabe ausdrücklich zuzuweisen, auch wenn keine formale Funktion benannt wird. Eine Zuständigkeit, die implizit bei allen liegt, liegt bei niemandem.
Wer freiwillig benennt, sollte wissen, dass damit die formalen Anforderungen an Stellung und Unabhängigkeit greifen. Eine freiwillige Benennung ist deshalb kein unverbindlicher Titel.