Pflicht zur Bestellung § 4f Abs. 1 BDSG Bereits bei der Formulierung des ersten Bundesdatenschutzgesetzes im Jahre 1978 wurde der betrieblichen Selbstkontrolle durch einen - allerdings gesetzlich vorgeschriebenen - Beauftragten für den Datenschutz vor einer reinen Fremdkontrolle der Vorrang gegeben. Eine außerbetriebliche Kontrolle der Einhaltung der Datenschutzbestimmungen in den nicht-öffentlichen Stellen wird durch eine staatliche Aufsichtsbehörde ausgeübt, die jeweils auf Länderebene eingerichtet ist (§ 38 BDSG).
Der Externer Datenschutzbeauftragte kann sich in Zweifelsfällen an die zuständige Behörde wenden, um sich dort ggf. Anregungen und Rat zu holen.
Bei förmlichen Anfragen kann es schnell zur offiziellen Prüfung durch die Aufsichtsbehörde kommen. Es empfiehlt sich also ein konstruktiver Gedankenaustausch.
Die Anzahl der Mitarbeiter als Vorraussetzung für die Verpflichtung zur Bestellung
Die Verpflichtung zur Bestellung bei nicht-öffentlichen Stellen, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, richtet sich nach der Anzahl der hierfür tätigen Arbeitnehmer (ab Zehn). Und zwar unabhängig davon, ob es sich um Voll- oder Teilzeitbeschäftigte handelt. Wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden, gilt die Verpflichtung ab mindestens 20 Personen, die hiermit beschäftigt sind.
Personenbezogene Daten sind nicht nur Personaldaten
"Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener)." (§ 3 Abs. 1 BDSG) Es handelt sich also bei personenbezogenen Daten nicht nur um Personaldaten und Daten von Mitarbeitern, sondern dies können auch Daten von Kunden, Lieferanten, Patienten, Mandanten, Besuchern etc. sein. Bei der Anzahl der Mitarbeiter sind also nicht nur die in der Personalabteilung tätigen gemeint, sondern hierzu zählen auch Einkauf, Verkauf, Marketing, Besucherbetreuung, alle Sekretariate usw.
Andere Ursachen für die Pflicht zur Bestellung eines DSB
Unabhängig von der Anzahl der Arbeitnehmer ist ein Beauftragter für den Datenschutz zu bestellen bei bestimmten Arten der Verarbeitungstätigkeit, z.B. bei der geschäftsmäßigen Übermittlung von personenbezogenen Daten, wie es bei Auskunfteien, Adressmaklern sowie Markt- und Meinungsforschungsinstituten der Fall ist.
Zum besonderen Schutz der Betroffenen gilt dies auch für Stellen, die sensible Daten verarbeiten und damit der Vorabkontrolle unterliegen. § 3 Abs. 9 BDSG zählt hierzu Daten über rassische und ethnische Herkunft, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben auf.
Form der Bestellung § 4f Abs. 1 Satz 1+2 BDSG "Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet."
