Vor kurzem hatten wir über mögliche Änderungen der Bestellpflicht eines Datenschutzbeauftragten durch nichtöffentliche Stellen berichtet. Die Bundesratausschüsse für Inneres und Wirtschaft hatten in ihrer Empfehlung zum Regierungsentwurf des 2. EU-Datenschutz-Anpassungs- und Umsetzungsgesetzes (2. DSAnpUGEU) zusätzliche Änderungen im Bundesdatenschutzgesetz (BDSG-neu) vorgeschlagen. Nach den Wünschen der Ausschüsse hätte der Bundesrat für Änderungen bei der Bestellpflicht der betrieblichen Datenschutzbeauftragten eintreten sollen.
Zur Erinnerung
Die Ausschüsse forderten den Wegfall der deutschen Sonderregelungen in § 38 BDSG-neu. In Deutschland sind nach § 38 BDSG-neu Datenschutzbeauftragte durch nichtöffentliche Stellen zusätzlich zu den Regelungen in Art. 37 DSGVO zu benennen, wenn
- mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder
- eine Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung besteht oder
- die personenbezogenen Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
Die Empfehlungen der Ausschüsse
Die Empfehlungen waren vierstufig aufgebaut. Die Maximalforderung sah eine Bestellpflicht nur für den Fall vor, dass personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Sollte diese Forderung keine Zustimmung im Bundesrat erhalten wurden zwei Alternativen angeboten. Die erste Alternative sah vor, dass zwar die Personengrenze von 10 bestehen bliebe, aber nur, wenn die Verarbeitung gewerblichen Zwecken diene. Sprich, ein betrieblicher Datenschutzbeauftragter wäre demnach nur zu bestellen, wenn mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und die Verarbeitung gewerblichen Zwecken dient. Alternative drei sah vor, die Bestellpflicht von derzeit 10 Personen auf 50 Personen zu erhöhen.
Stellungnahme des Bundesrats
In seiner 971. Sitzung am 19.10.2018 hat sich der Bundesrat nun auf eine Stellungnahme zum Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz verständigt, die keinerlei Änderungen am § 38 BDSG-neu vorsieht. Auch der ursprüngliches Gesetzesentwurf der Bundesregierung sieht keine Änderungen in diesem Punkt vor.
Brigitte Schoepplenberg
26. Oktober 2018 @ 11:27
Wenn ein Einzelunternehmer geschäftsmäßig Probanden für Marktforschungsveranstaltungen einlädt, ansonsten aber mit der Marktforschung nichts zu tun hat, gilt dann § 38 BSDGO? Ist diese 1-Personen-Firma verpflichtet, einen Datenschutzbeauftragten zu bestellen?
Daniela Windelband
29. Oktober 2018 @ 9:16
Vielen Dank für Ihren Kommentar. Ja, auch eine 1-Personen-Firma ist verpflichtet einen Datenschutzbeauftragten zu bestellen, wenn die Verarbeitung der Daten von den Probanden zum Zwecke der Marktforschung erfolgt. Das gilt unabhängig davon, ob die Firma Verantwortlicher oder Auftragsverarbeiter ist. Die Verpflichtung trifft beide.
Bei Bedarf dürfen Sie uns gerne kontaktieren.
Mit freundlichen Grüßen
Ihre Blogredaktion