Ob ein Unternehmen einen Datenschutzbeauftragten braucht, hängt davon ab, welches Recht gilt, und die Antworten in der Schweiz, der EU und Deutschland unterscheiden sich deutlich. Für Schweizer KMU mit Kunden in der EU und für Unternehmen mit Standorten in mehreren Ländern lohnt es sich, die Fragen getrennt zu beantworten. Dieser Beitrag ordnet die Regeln ein.
Die DSGVO
Nach Art. 37 DSGVO müssen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten benennen, wenn sie eine Behörde oder öffentliche Stelle sind, wenn ihre Kerntätigkeit in einer umfangreichen, regelmässigen und systematischen Überwachung von Personen besteht oder wenn ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über Straftaten liegt. Für viele gewöhnliche KMU trifft keine dieser Voraussetzungen zu; für Anbieter von Tracking-, Bewertungs- oder Gesundheitsdiensten dagegen oft.
Deutschland: die 20-Personen-Regel
Deutschland geht über die DSGVO hinaus. Nach § 38 BDSG muss ein Datenschutzbeauftragter auch benannt werden, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmässig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden. Für Unternehmen mit einer deutschen Niederlassung ist das die relevante Schwelle.
Die Schweiz: freiwillig, aber mit Vorteil
Das revidierte Schweizer DSG kennt für private Unternehmen keine Pflicht zur Bezeichnung einer Datenschutzberaterin oder eines Datenschutzberaters (Art. 10 DSG). Die freiwillige Bezeichnung hat aber einen konkreten Nutzen: Wer eine Datenschutzberatung bezeichnet hat, die fachlich unabhängig und weisungsfrei arbeitet, über die nötigen Fachkenntnisse verfügt, keine unvereinbaren Tätigkeiten ausübt und deren Kontaktdaten veröffentlicht und dem EDÖB gemeldet sind, kann bei einer Datenschutz-Folgenabschätzung mit hohem Restrisiko auf die Konsultation des EDÖB verzichten, wenn die Beratung konsultiert wurde. Bundesorgane müssen eine Datenschutzberatung bezeichnen.
Aufgaben und Stellung
Unter der DSGVO berät der Datenschutzbeauftragte das Unternehmen, überwacht die Einhaltung, berät bei Folgenabschätzungen, schult Mitarbeitende und ist Anlaufstelle für die Aufsichtsbehörde und Betroffene. Er muss frühzeitig eingebunden werden, darf keine Weisungen zur Ausübung seiner Aufgaben erhalten, berichtet an die höchste Leitungsebene und darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen — die Geschäftsführung oder die IT-Leitung scheiden deshalb in der Regel aus. Kontaktdaten sind zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Die Funktion kann intern oder extern besetzt werden. Einen Überblick gibt der Glossareintrag zum Datenschutzbeauftragten.
Nicht verwechseln: Vertreter in der EU und in der Schweiz
Eine andere Pflicht wird oft mit dem Datenschutzbeauftragten verwechselt. Unternehmen ohne Niederlassung in der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, müssen nach Art. 27 DSGVO einen Vertreter in der EU benennen, sofern die Verarbeitung nicht nur gelegentlich erfolgt und kein geringes Risiko birgt. Umgekehrt kennt das Schweizer DSG für ausländische Verantwortliche unter bestimmten Voraussetzungen die Pflicht zu einer Vertretung in der Schweiz (Art. 14 DSG). Für Schweizer SaaS-Anbieter mit EU-Kunden ist der EU-Vertreter häufig die relevantere Frage als der Datenschutzbeauftragte.
Intern oder extern?
Eine interne Lösung kennt das Unternehmen am besten, braucht aber Zeit, Fachwissen und eine Person ohne Interessenkonflikt — in kleinen Unternehmen selten gegeben. Eine externe Lösung bringt Erfahrung und Unabhängigkeit, muss sich aber in die Abläufe einarbeiten und braucht einen festen internen Ansprechpartner. In der Praxis wählen viele KMU eine externe Datenschutzberatung kombiniert mit einer internen koordinierenden Person.
Die Entscheidung in fünf Fragen
1. Gilt die DSGVO für Ihr Unternehmen, etwa wegen einer EU-Niederlassung oder Angeboten an Personen in der EU?
2. Wenn ja: Trifft eine der Voraussetzungen von Art. 37 DSGVO zu?
3. Haben Sie eine Niederlassung in Deutschland und erreichen Sie die 20-Personen-Schwelle oder eine der weiteren Voraussetzungen von § 38 BDSG?
4. Brauchen Sie als Unternehmen ohne EU-Niederlassung einen Vertreter in der EU?
5. Für Schweizer Tätigkeit: Lohnt sich eine freiwillige Datenschutzberatung, etwa wegen geplanter Bearbeitungen mit hohem Risiko?
Die Unterschiede zwischen DSG und DSGVO insgesamt beschreibt der Beitrag DSGVO vs. revDSG. Bei der Umsetzung unterstützen wir im Rahmen der Datenschutzberatung; die Entscheidungshilfe Datenschutz intern oder extern wägt die Organisationsform ab.