Selbsttest 1 von 2 · kostenlos
Brauche ich einen
Datenschutzbeauftragten?
Fünf Fragen entlang § 38 BDSG und Art. 37 DSGVO. Am Ende steht kein „kommt darauf an", sondern ein Ergebnis mit der Rechtsgrundlage, die es trägt.
Die Frage ist einfach. Die Antwort ist es nicht.
„Ab 20 Mitarbeitern braucht man einen" — so steht es in fast jedem Ratgeber, und so steht es nirgends im Gesetz. Deshalb gehen jedes Jahr Betriebe davon aus, dass es sie nicht betrifft, obwohl es das tut. Und andere zahlen für etwas, das sie gar nicht bräuchten.
Ob die 20-Personen-Schwelle bei Ihnen überhaupt greift
Die meisten zählen falsch — nämlich alle Mitarbeitenden. Gezählt wird aber nur, wer regelmäßig am Rechner mit personenbezogenen Daten arbeitet. Ein Betrieb mit 40 Beschäftigten kann darunter liegen, einer mit 22 darüber.
Ob eine Ausnahme greift, von der Sie noch nie gehört haben
Die Pflicht gilt unabhängig von jeder Personenzahl, sobald eine Verarbeitung eine Datenschutz-Folgenabschätzung erfordert (§ 38 Abs. 1 Satz 2 BDSG). Die Ortung von Firmenfahrzeugen genügt dafür bereits. Das übersieht fast jeder.
Ob Ihr Kerngeschäft Sie ohnehin verpflichtet
Praxis, Pflegedienst, Labor, Sicherheitsdienst: Wer sensible Daten oder Überwachung als Kerntätigkeit hat, ist nach Art. 37 DSGVO immer benennungspflichtig — auch mit drei Mitarbeitenden.
Was gilt, wenn Sie NICHT pflichtig sind
Auch dann bleiben Verarbeitungsverzeichnis, Auskunftsfähigkeit, Löschkonzept und Verträge mit Dienstleistern bestehen. Nur den Beauftragten brauchen Sie nicht. Der Test sagt Ihnen auch das — und zwar deutlich.
Was passiert, wenn niemand benannt ist
Die Benennung selbst ist eine Formalie — eine Unterschrift, wenige Tage. Sie zu unterlassen ist es nicht. Und anders als viele denken, beginnt ein Verfahren selten mit einer Prüfung: Es beginnt mit einer Beschwerde.
10 Mio. €
oder 2 % vom Jahresumsatz
Kein Datenschutzbeauftragter benannt
Wer benennungspflichtig ist und niemanden benennt, verstößt gegen Art. 37 DSGVO. Solche Verstöße fallen in den Rahmen von Art. 83 Abs. 4 DSGVO: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
Art. 83 Abs. 4 DSGVO
20 Mio. €
oder 4 % vom Jahresumsatz
Daten ohne wirksame Einwilligung verarbeitet
Tracking ohne echtes Opt-in, fehlende Betroffenenrechte, keine Rechtsgrundlage: Diese Verstöße wiegen schwerer und liegen im Rahmen von Art. 83 Abs. 5 DSGVO — bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.
Art. 83 Abs. 5 DSGVO
72 Stunden
ab Kenntnis der Panne
Eine Datenpanne zu spät gemeldet
Nach Art. 33 DSGVO muss eine meldepflichtige Verletzung binnen 72 Stunden bei der Aufsichtsbehörde sein. Die Frist läuft ab dem Moment, in dem Sie davon erfahren — nicht ab dem Moment, in dem Sie wissen, was genau passiert ist.
Art. 33 Abs. 1 DSGVO
Und das ist kein Theoriegebäude. Der Bundesdatenschutzbeauftragte hat gegen die 1&1 Telecom GmbH ein Bußgeld von 9,55 Millionen Euro verhängt — weil an der Telefon-Hotline Name und Geburtsdatum genügten, um an weitreichende Kundendaten zu kommen. Kein exotischer Angriff, sondern ein zu schwaches Verfahren im Alltag.
Den Fall nachlesen →Die genannten Beträge sind gesetzliche Obergrenzen, keine Regelbußgelder — was im Einzelfall verhängt wird, richtet sich nach Art. 83 Abs. 2 DSGVO (Schwere, Dauer, Vorsatz, Mitwirkung). Der Punkt ist nicht die Höchstsumme. Der Punkt ist, dass die meisten Verfahren gar nicht mit einer Prüfung beginnen, sondern mit einer Beschwerde — von einem Bewerber, einem gekündigten Mitarbeiter oder einem Wettbewerber.
Fünf Fragen — und Sie wissen, woran Sie sind.
Kein Feld für Ihre E-Mail-Adresse, keine Anmeldung, kein Tracking. Wenn eine Frage nicht sicher zu beantworten ist, sagen Sie das — der Test rechnet das ehrlich mit.
Frage 1 von 5
0%Arbeiten bei Ihnen in der Regel mindestens 20 Personen ständig am Rechner mit personenbezogenen Daten?
Gezählt wird nach Köpfen, nicht nach Vollzeitstellen. Teilzeitkräfte, Auszubildende, Aushilfen und die Geschäftsführung zählen mit, sobald sie regelmäßig Kunden-, Lieferanten- oder Personaldaten am Rechner verarbeiten. Wer ausschließlich in der Produktion oder auf der Baustelle arbeitet, zählt nicht mit. Ein Tablet oder Handy ist dabei ein Rechner: Wer Aufträge mit Kundenname und Adresse darauf abhakt, zählt mit.
Neun Betriebsfälle im Einzelnen: Wer zählt mit — und wer nicht?Und wenn Sie pflichtig sind?
Dann ist die zweite Frage, wer es macht. Eine Person aus dem eigenen Haus darf sich nicht selbst kontrollieren — wer IT, Personal oder Geschäftsführung verantwortet, scheidet wegen des Interessenkonflikts aus. Und ein interner Beauftragter trägt einen besonderen Kündigungsschutz.
Für kleinere Betriebe ist die externe Lösung deshalb meistens die einfachere. Was das bei Ihnen bedeutet, steht auf der Seite zum laufenden Mandat.
Der zweite Test
Die Benennungspflicht ist das eine. Ihre Website ist das andere — dort holen sich Abmahnungen ihre Anlässe, und zwar unabhängig davon, wie viele Personen bei Ihnen arbeiten.
- Cookies ohne echte Einwilligung
- Schriftarten vom fremden Server
- Formulare ohne Hinweis
- Fehlende Verträge mit Dienstleistern