Brauchen Sie eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten?
Der Rechner prüft eine einzige Regel: § 38 Abs. 1 Satz 1 BDSG verlangt die Benennung, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Greift sie nicht, ist das keine Entwarnung, denn die weiteren Auslöser hängen gar nicht an der Personenzahl.
Dieses Werkzeug prüft ausschließlich die Personenzahl des § 38 Abs. 1 BDSG. Es wird nichts gespeichert.
Ihr Ergebnis erscheint hier.
So geht es
- Personen zählen, nicht StellenGezählt wird, wer ständig mit automatisierter Verarbeitung zu tun hat: Teilzeitkräfte, Auszubildende und geringfügig Beschäftigte zählen mit, ständig tätige externe Kräfte können mitzählen. Wer nie mit personenbezogenen Daten in Systemen arbeitet, zählt nicht.
- Zahl eintragen und Ergebnis lesenDer Rechner sagt, ob die Regel greift, und nennt die Schwelle dazu. Darunter lautet das Ergebnis, dass diese Regel nicht greift – ausdrücklich nicht, dass Sie niemanden benennen müssen.
- Die anderen Auslöser prüfenZu benennen ist auch, wenn für Ihre Verarbeitungen eine Datenschutz-Folgenabschätzung durchzuführen ist oder die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien oder in umfangreicher, regelmäßiger und systematischer Überwachung besteht (§ 38 Abs. 1 BDSG in Verbindung mit Art. 37 DSGVO).
- Prüfung schriftlich festhaltenNotieren Sie Stichtag, Zählweise und Ergebnis und prüfen Sie bei Wachstum neu. Nachweisen müssen Sie die Einhaltung ohnehin (Art. 5 Abs. 2 DSGVO), und der Sprung über die Schwelle passiert leise.
Was in „in der Regel mindestens 20 Personen ständig“ steckt
Drei Merkmale stecken in diesem Halbsatz, und jedes einzelne wird unterschätzt. „In der Regel“ heißt: Es kommt nicht auf den Stand an einem Stichtag an; wer üblicherweise die Zahl erreicht, kann sich nicht darauf berufen, heute seien es zufällig weniger. „Ständig beschäftigt“ stellt nicht auf die Stundenzahl ab, sondern auf die regelmäßige, nicht nur gelegentliche Arbeit mit den Systemen. Und „automatisierte Verarbeitung“ meint die Arbeit mit EDV-Systemen, in denen personenbezogene Daten verarbeitet werden – in der Praxis fast jeder Büroarbeitsplatz.
Gezählt werden Personen und keine Vollzeitstellen. Deshalb ist die häufigste Fehlrechnung die Umrechnung auf Stellenanteile: Vier Halbtagskräfte sind vier Personen und nicht zwei. Der praktische Rat lautet, eher nach oben zu zählen als kreativ nach unten – die Benennung ist die kleinere Baustelle als die Diskussion darüber, warum die knappe Rechnung gerade noch aufgehen sollte.
Warum „greift nicht“ keine Entwarnung ist
Die Personenzahl ist der häufigste, aber nicht der einzige Auslöser. Ein Datenschutzbeauftragter ist auch zu benennen, wenn für Ihre Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist oder die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien oder in der umfangreichen, regelmäßigen und systematischen Überwachung besteht. Eine Arztpraxis mit acht Angestellten kann damit benennungspflichtig sein, ein Dreipersonenbetrieb mit umfangreicher Videoüberwachung ebenfalls.
Und ohne Benennungspflicht bleiben die Pflichten selbst bestehen: Anträge betroffener Personen sind unverzüglich, in jedem Fall aber innerhalb eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO), Datenpannen sind zu bewerten, zu melden und zu dokumentieren (Art. 33 und Art. 34 DSGVO), und die Einhaltung ist nachzuweisen (Art. 5 Abs. 2 DSGVO). Keine dieser Pflichten hängt an einer Personenzahl.
Intern oder extern benennen
Beides ist möglich: eine geeignete Person aus dem eigenen Haus oder ein externer Dienstleister. Die fachliche Anforderung ist dieselbe, nämlich Fachkunde im Datenschutzrecht und in der Praxis, dazu Unabhängigkeit. Intern ist die Doppelrolle der Stolperstein: Wer selbst über die Verarbeitung entscheidet, etwa in der Geschäftsführung, der IT oder der Personalabteilung, kann sich nicht wirksam selbst kontrollieren.
In beiden Fällen gilt dieselbe Grenze wie bei dieser Software: Der oder die Datenschutzbeauftragte berät und überwacht. Die Verantwortung für die Verarbeitung bleibt beim Verantwortlichen.
Häufige Fragen
Zählt eine Teilzeitkraft wie eine Vollzeitkraft?
Ja. Gezählt werden Personen und nicht Stellenanteile: Wer regelmäßig mit den Systemen arbeitet, zählt unabhängig von der Wochenstundenzahl. Das gilt auch für Auszubildende und geringfügig Beschäftigte.
Wir liegen knapp unter der Schwelle – reicht das?
Der Wortlaut sagt „in der Regel“, und damit kommt es nicht auf den Stand an einem Stichtag an. Wer üblicherweise darüber liegt, kann sich nicht auf einen Ausfall oder eine unbesetzte Stelle berufen. Halten Sie die Zählung mit Datum fest, dann ist die Frage später beantwortbar.
Muss die Person im Haus sitzen?
Nein. Benannt werden kann jemand aus dem eigenen Haus oder ein externer Dienstleister; verlangt sind in beiden Fällen Fachkunde und Unabhängigkeit. Extern umgeht den Rollenkonflikt, intern kennt die Abläufe von innen.
Prüft dieses Werkzeug auch die anderen Auslöser?
Nein, und es sagt das im Ergebnistext. Es kennt eine Regel, nämlich die Personenzahl des § 38 Abs. 1 BDSG. Ob eine Folgenabschätzung durchzuführen ist, klärt die Vorprüfung nach Art. 35 Abs. 3 DSGVO auf der eigenen Seite dazu.
Alle Funktionen inklusive. Keine Kreditkarte.
Pflichten und Nachweise im Konto führenPrüft genau eine Regel und sagt das · Rechnet ohne Anmeldung · Fundstelle: § 38 Abs. 1 BDSG
Dieses Werkzeug prüft ausschließlich die Personenzahl des § 38 Abs. 1 BDSG und ersetzt keine Prüfung der weiteren Auslöser. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.