Am 20.09.2019 wird der Bundesrat eine Änderung des § 38 BDSG verabschieden. Aller Voraussicht nach wird durch die Gesetzesänderung, die Pflicht einen Datenschutzbeauftragten zu bestellen, für viele kleine Unternehmen wegfallen. Ob Sie dennoch einen Beauftragten bestellen müssen und ob Sie Ihrem jetzt kündigen können erfahren Sie bei uns.
Was ändert sich genau?
Der § 38 BDSG regelt die Pflicht zur Bestellung eines Datenschutzbeauftragten für nicht öffentliche Stellen. Demnach bestand die Pflicht zur Bestellung seit dem 28.05.2018 für Unternehmen, die ständig mehr als 10 Mitarbeiter mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Dieser Grenzwert soll nun von zehn auf 20 Mitarbeiter angehoben werden. Dies wird mit der wirtschaftlichen und betrieblichen Entlastung kleiner Unternehmen gerechtfertigt, sowie der Höhe potentieller Bußgelder.
Wann muss ich einen Datenschutzbeauftragten bestellen?
Zunächst darf nach der Gesetzesänderung angenommen werden, dass eine Pflicht jedenfalls dann besteht, wenn Ihr Unternehmen mehr als 20 Mitarbeiter ständig mit der Verarbeitung personenbezogener Daten betraut. Das Kriterium „ständig“ war in der Vergangenheit häufig Anhaltspunkt für Diskussionen und der Grund,w weshalb viele Unternehmer sich nicht in der Pflicht sahen. Doch bereits der Mitarbeiter im Verkauf, der lediglich die EC- oder Kreditkarte der Kunden im Rahmen des Zahlungsvorganges an sich nimmt verarbeitet ständig personenbezogene Daten. Insbesondere dann, wenn Kunden- oder personalisierte Bonuskarten genutzt werden. Mitarbeiter, die lediglich ans Telefon gehen und mit Kunden kommunizieren, verarbeiten ebenfalls ständig personenbezogene Daten.
Auch ist die Regelung des § 38 BDSG vollkommen hinfällig, wenn es die Kernaufgabe Ihres Unternehmens ist, personenbezogene Daten zu verarbeiten. Dies ist auch der Fall, wenn Sie besonders empfindliche personenbezogene Daten verarbeiten (Religionszugehörigkeit, Gesundheitsdaten etc.). Sich als Unternehmen pauschal auf den Standpunkt zu stellen, man müsste keinen Datenschutzbeauftragten zu bestellen, weil man weniger als 20 Mitarbeiter beschäftigt oder weil diese nicht den ganzen Tag personenbezogene Daten verarbeiten ist absolut fahrlässig.
Gilt die DS-GVO bei weniger als 20 Mitarbeitern?
Ja. Die Pflicht zur Bestellung eines Datenschutzbeauftragten ist vollkommen losgelöst von der Pflicht zur Einhaltung der datenschutzrechtlichen Vorgaben.
Wir haben einen Datenschutzbeauftragten bestellt aber weniger als 20 Mitarbeiter?
Wenn Sie einen internen oder externen Datenschutzbeauftragten bestellt haben, obwohl Sie nach der neusten Änderung des § 38 BDSG nicht dazu verpflichten sind, sind Sie verständlicherweise verärgert. Beide Lösungen kosten Ihr Unternehmen viel Geld. Der Datenschutzbeauftragte genießt jedoch besonderen Kündigungsschutz. Die interne Lösung dürfte in den meisten Fällen wieder die alte Position im Unternehmen bekleiden und ist deshalb keine große Belastung. Die externe Lösung jedoch kostet Sie nunmehr unnötig viel Geld.
Zunächst möchten wir darauf hinweisen, dass ein Datenschutzbeauftragter auch Sinn macht, wenn Sie nicht zur Bestellung verpflichtet sind. Wenn Sie sich nunmehr von Ihrem Datenschutzbeauftragten lösen wollen, so empfehlen wir zumindest intern die Mitarbeiter zu schulen und zu sensibilisieren.
Sonderkündigungsrecht wegen Gesetzesänderung?
Ein Sonderkündigungsrecht steht Ihnen wegen der Gesetzesänderung nicht zu. Unserer Ansicht nach, dürfte jedoch die Vertragsgrundlage, die zur Beauftragung einer externen Lösung geführt hat, weggefallen sein oder sich stark verändert haben. Die Möglichkeit sich vom Vertrag zu lösen kann also nicht ausgeschlossen werden und muss für jeden Einzelfall geprüft werden.
Dieser Blogbeitrag ersetzt keine Rechtsberatung und spiegelt lediglich die Auffassung des Verfassers wieder.