TL;DR
Der Datenschutzbeauftragte ist in den drei Fällen des Art. 37 Abs. 1 DSGVO Pflicht und zusätzlich in den sechzehn Fällen des Art. 34 Abs. 1 LOPDGDD. Die freiwillige Benennung nach Abs. 2 unterwirft die Stelle gleichwohl demselben Regime der DSGVO. In beiden Fällen — Pflicht und freiwillig — sind Benennungen und Abberufungen der AEPD binnen zehn Tagen mitzuteilen (Abs. 3), und das Verzeichnis der Beauftragten ist öffentlich und elektronisch zugänglich (Abs. 4).
Zwei Listen, die sich addieren, nicht zwei zur Auswahl
Art. 37 Abs. 1 DSGVO verlangt den Beauftragten in drei Situationen: Verarbeitung durch eine Behörde oder öffentliche Stelle; Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen; Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 oder von Daten nach Art. 10. Art. 34 Abs. 1 LOPDGDD verweist darauf und ergänzt «und in jedem Fall, wenn es sich um folgende Einrichtungen handelt». Die Konjunktion zählt: es sind nicht sechzehn Fälle statt der drei, sondern sechzehn zusätzlich zu den dreien. Eine Einrichtung, die in keinem Buchstaben vorkommt, kann über Art. 37 verpflichtet bleiben — und umgekehrt.
Die sechzehn Buchstaben
- a) Berufskammern und ihre Generalräte. b) Bildungseinrichtungen jeder Stufe sowie öffentliche und private Universitäten.
- c) Betreiber von Netzen und Anbieter elektronischer Kommunikationsdienste, soweit sie regelmäßig und systematisch umfangreich Daten verarbeiten. d) Anbieter von Diensten der Informationsgesellschaft, die umfangreich Nutzerprofile erstellen.
- e) Einrichtungen nach Art. 1 des Gesetzes 10/2014 (Kreditinstitute). f) Finanzkreditinstitute. g) Versicherungs- und Rückversicherungsunternehmen. h) Wertpapierfirmen.
- i) Verteiler und Vertriebe von Strom und Erdgas. j) Verantwortliche gemeinsamer Dateien zu Bonität und Kredit oder zur Betrugsprävention, einschließlich der Dateien zur Geldwäschebekämpfung.
- k) Unternehmen der Werbung und Marktansprache, soweit sie Präferenzen verarbeiten oder Profile bilden. l) Gesundheitseinrichtungen mit gesetzlicher Pflicht zur Führung von Patientenakten — mit ausdrücklicher Ausnahme für einzeln tätige Gesundheitsberufe.
- m) Einrichtungen, die Wirtschaftsauskünfte über natürliche Personen erteilen. n) Glücksspielanbieter über elektronische Kanäle. ñ) Private Sicherheitsunternehmen. o) Sportverbände, soweit sie Daten Minderjähriger verarbeiten.
Die freiwillige Benennung ist keine Geste des guten Willens
Abs. 2 bestimmt, dass nicht verpflichtete Stellen «freiwillig» einen Beauftragten benennen können, «der dem Regime der Verordnung (EU) 2016/679 und dieses Organgesetzes unterliegt». Also: Unabhängigkeit, kein Interessenkonflikt, Ressourcen, Verbot der Abberufung oder Benachteiligung wegen der Aufgabenerfüllung, Berichtslinie zur höchsten Leitungsebene. Und Abs. 3 verlangt die Mitteilung an die AEPD binnen zehn Tagen «sowohl in den Fällen der Benennungspflicht als auch bei freiwilliger Benennung». «DSB» in die E-Mail-Signatur zu schreiben und es nicht mitzuteilen, ist ein Verstoß, der in einer Minute feststeht.
Abs. 4 ist daneben zu lesen: die AEPD und die Behörden der autonomen Gemeinschaften führen ein aktuelles, elektronisch zugängliches Verzeichnis der Beauftragten. Praktische Folge: die Aussage «wir haben einen Datenschutzbeauftragten» ist für jeden überprüfbar — auch für einen Interessenten in der Lieferantenprüfung und für einen Wettbewerber, der eine Beschwerde vorbereitet. Es ist kein internes Register, sondern öffentlich.
Abs. 5 schließlich erlaubt Voll- oder Teilzeit, unter anderem nach dem Volumen der Verarbeitungen, den verarbeiteten besonderen Kategorien und den Risiken für die betroffenen Personen. Das ist kein Freibrief für das Minimum: es ist ein zu begründendes Kriterium, das man festhalten sollte, denn genau danach wird gefragt, wenn ein Beauftragter etwas nicht rechtzeitig bearbeiten konnte.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
