Datenschutzbeauftragter: Ab wann ist er Pflicht?

Die 20-Personen-Regel

Gezählt werden alle Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – also auch Teilzeitkräfte, Auszubildende und freie Mitarbeitende, wenn sie regelmäßig mit solchen Daten arbeiten.

Pflicht unabhängig von der Größe

• Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern (§ 38 Abs. 1 Satz 2 BDSG)
• Geschäftsmäßige Verarbeitung zum Zweck der Übermittlung oder der Markt- und Meinungsforschung
• Umfangreiche Verarbeitung besonderer Kategorien von Daten als Kerntätigkeit, etwa Gesundheitsdaten (Art. 37 DSGVO)
• Umfangreiche regelmäßige und systematische Überwachung als Kerntätigkeit
• Öffentliche Stellen

Und wenn keine Pflicht besteht?

Die Pflichten der DSGVO gelten trotzdem – die Geschäftsführung trägt sie dann selbst. Ein externer Datenschutzbeauftragter kann auch freiwillig benannt werden.