Verantwortlich ist das Unternehmen, nicht der einzelne Beschäftigte. Dieses Kapitel erklärt, wer der Verantwortliche ist, was ein Auftragsverarbeiter, welche Rolle der Datenschutzbeauftragte hat — und was er ausdrücklich nicht ist.
Warum das wichtig ist
Der häufigste Irrtum im Betrieb: Mit der Benennung eines Datenschutzbeauftragten sei das Thema abgegeben. Er berät und überwacht; entscheiden und einstehen muss das Unternehmen. Der zweite Irrtum betrifft Dienstleister — wer im Auftrag verarbeitet, braucht einen Vertrag, und zwar vor dem ersten Datensatz.
Was das Gesetz sagt
Art. 4 Nr. 7 DSGVO
„die natürliche oder juristische Person … die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet"
Art. 28 Abs. 3 S. 1 DSGVO
„Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments"
§ 38 Abs. 1 S. 1 BDSG
„benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen"
So macht man es richtig
Vor dem ersten Datensatz an einen Dienstleister: Liegt der Vertrag vor?
Den Datenschutzbeauftragten früh fragen, nicht am Ende eines Projekts.
Die 20-Personen-Schwelle an Personen zählen, nicht an Vollzeitstellen.
Was bei Missachtung droht
Verstöße gegen die Pflichten der Artikel 25 bis 39 — darunter Art. 28 (Auftragsverarbeitung) und Art. 37 bis 39 (Datenschutzbeauftragter) — fallen nach Art. 83 Abs. 4 lit. a DSGVO in den Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
