Datenschutzerklärung für Mitarbeiteranzahl im Unternehmen mit Verarbeitung personenbezogener Daten

Wann ist die Bestellung eines Datenschutzbeauftragten erforderlich?

Entscheidend ist nicht nur die Anzahl der betroffenen Mitarbeitenden, sondern auch die Art der verarbeiteten personenbezogenen Daten sowie wer die Rolle des Datenschutzbeauftragten im Unternehmen übernimmt:

Ab welcher Anzahl ist ein Datenschutzbeauftragter Pflicht?

Unternehmen müssen per Gesetz einen Datenschutzbeauftragten bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dazu zählen zum Beispiel Beschäftigte in der Personalabteilung, im Vertrieb, im Marketing, im Kundenservice oder in der Buchhaltung. Die Rechtsgrundlage dafür ergibt sich insbesondere aus § 38 BDSG und wird durch die allgemeinen Vorgaben des Art. 37 DSGVO ergänzt.

Wer zählt als verarbeitende Person?

Als datenverarbeitende Personen gelten nicht nur klassische Arbeitnehmer. Auch Teilzeitkräfte, Werkstudierende oder andere Beschäftigte können mitzählen, sofern sie fortlaufend mit personenbezogenen Daten arbeiten.

Für die Praxis heißt das: Wer beispielsweise täglich auf

• Kundenstammdaten,
• Arbeitnehmerdaten aus Personalakten,
• Bewerberunterlagen oder
• andere personenbezogene Daten zugreift,

ist bei der Prüfung der Mitarbeiteranzahl zu berücksichtigen.

Automatisierte Datenverarbeitung als Voraussetzung

Damit die Pflicht zur Bestellung eines Datenschutzbeauftragten greift, muss die Datenverarbeitung im Unternehmen automatisiert erfolgen, also typischerweise über digitale Systeme wie CRM-, ERP-, E-Mail- oder HR-Software. Eine nur gelegentliche oder rein analoge Verarbeitung reicht in der Regel nicht aus.

Welche Daten zählen als personenbezogen?

Zu den personenbezogenen Daten gehören unter anderem

• Namen,
• Kontaktdaten,
• Vertragsdaten,
• Bewerbungsunterlagen oder
• Informationen aus dem Arbeitsverhältnis (Beschäftigtendatenschutz).

Darüber hinaus kann die Bestellung eines Datenschutzbeauftragten auch dann erforderlich sein, wenn im Unternehmen eine Verarbeitung besonderer Kategorien personenbezogener Daten erfolgt oder umfangreiche Überwachungsmaßnahmen durchgeführt werden.

Datenschutzbeauftragte bestellen: Wie setzen Unternehmen die gesetzliche Pflicht um?

Sind die Voraussetzungen für einen Datenschutzbeauftragten erfüllt, müssen Unternehmen diese datenschutzrechtlichen Pflichten erfüllen:

Geeignete Person als Datenschutzbeauftragten benennen

Nicht jede Person im Unternehmen ist als Datenschutzbeauftragter geeignet. Besonders bei Geschäftsführern, Prokuristen oder sonstigen leitenden Angestellten kann ein Interessenkonflikt bestehen. Entscheidend ist, dass der Datenschutzbeauftragte seine Aufgaben unabhängig wahrnehmen kann und nicht gleichzeitig über Zwecke und Mittel der Datenverarbeitung entscheidet.

Zudem genießt der Datenschutzbeauftragte nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG einen besonderen Abberufungs- und Kündigungsschutz, der seine Unabhängigkeit bei der Aufgabenwahrnehmung sicherstellt.

Interner oder externer Datenschutzbeauftragter?

Unternehmen können grundsätzlich einen internen oder externen Datenschutzbeauftragten bestellen. Ein interner Datenschutzbeauftragter ist meist ein Mitarbeitender aus dem Unternehmen, der diese Funktion zusätzlich übernimmt. Dabei muss jedoch sichergestellt sein, dass keine Interessenkonflikte bestehen.

Ein externer Datenschutzbeauftragter kann insbesondere für kleinere und mittlere Unternehmen sinnvoll sein, da hier häufig die notwendige Fachkunde bereits vorhanden ist und interne Ressourcen geschont werden.

Dokumentation sicherstellen

Unternehmen sollten die Bestellung des Datenschutzbeauftragten schriftlich dokumentieren und den Aufgabenbereich klar definieren. Dazu gehören insbesondere Zuständigkeiten, Ansprechpartner sowie die interne Kommunikation der Funktion. Eine saubere Dokumentation und Speicherung der Bestellunterlagen hilft dabei, die Einhaltung gesetzlicher Pflichten nachweisen zu können und schafft zugleich klare Verantwortlichkeiten im Unternehmen.

Datenschutzbeauftragten der Aufsichtsbehörde melden

Wird ein Datenschutzbeauftragter bestellt, sind Unternehmen nach Art. 37 Abs. 7 DSGVO verpflichtet, eine Übermittlung des Namens und der Kontaktdaten an die zuständige Datenschutz-Aufsichtsbehörde vorzunehmen. Diese Meldung sollte zeitnah nach der Bestellung erfolgen.

Mitarbeitende sensibilisieren und schulen

Unternehmen sollten Mitarbeitende, die ständig mit personenbezogenen Daten arbeiten, regelmäßig zu datenschutzrechtlichen Anforderungen und internen Prozessen schulen. So können sie Fehler bei der Datenverarbeitung und organisatorische Risiken frühzeitig vermeiden.

Fazit: Mitarbeiteranzahl und Datenverarbeitung regelmäßig prüfen

Unternehmen sollten regelmäßig überprüfen, wie viele Mitarbeitende in ihrem Betrieb personenbezogene Daten verarbeiten und ob dadurch die Pflicht zur Bestellung eines Datenschutzbeauftragten entsteht. Insbesondere wachsende Unternehmen erreichen die gesetzliche Schwelle von 20 Personen oft schneller als angenommen.

Eine frühzeitige Prüfung hilft Arbeitgebern dabei, datenschutzrechtliche Pflichten rechtzeitig zu erfüllen und organisatorische Risiken zu vermeiden. Besonders wichtig ist es dabei, nicht nur die Anzahl der Mitarbeitenden, sondern auch die Art und den Umfang der Datenverarbeitung im Blick zu behalten.

Eine rechtssichere Datenschutzerklärung können Sie jetzt schnell und kostenfrei mit unserem Datenschutz-Generator erstellen.