„Wir sind zu klein, um betroffen zu sein.“ Das ist der Satz, den man beim Thema Datenschutzbeauftragter am häufigsten hört. Er ist fast immer falsch, nicht weil das Unternehmen unbedingt einen benennen müsste, sondern weil die Größe nie das richtige Kriterium ist.
Die DSGVO legt keine Schwelle bei Mitarbeitern, Kunden oder Umsatz fest. Sie achtet nur auf eines: was Sie mit personenbezogenen Daten tun. Drei Situationen machen die Benennung zur Pflicht.
Fall 1: Sie sind eine öffentliche Stelle
Behörden und öffentliche Stellen müssen einen Datenschutzbeauftragten benennen, unabhängig von der Menge der verarbeiteten Daten. Das ist der Fall, der sich am leichtesten erkennen lässt: Das Kriterium hängt weder von der Personalstärke noch von der Tätigkeit ab.
Fall 2: Sie beobachten Menschen in großem Umfang
Besteht der Kern Ihrer Tätigkeit darin, Personen regelmäßig und systematisch in großem Umfang zu beobachten, wird der Datenschutzbeauftragte zur Pflicht. Konkret sind das: Online-Tracking, Verhaltensprofiling, Geolokalisierung, gezielte Werbung, Scoring, Betrugsprävention, vernetzte Geräte.
„Großer Umfang“ lässt sich nicht an einer magischen Zahl messen. Gemeinsam bewertet werden die Zahl der betroffenen Personen, Menge und Vielfalt der Daten, die Dauer der Verarbeitung und ihre geografische Reichweite.
Eine scheinbar unterstützende Tätigkeit wird zur Kerntätigkeit, sobald sie genau die Dienstleistung ist, die Sie verkaufen.
Fall 3: Sie verarbeiten sensible Daten in großem Umfang
Gesundheitsdaten, biometrische Daten, Meinungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung, Straftaten und Verurteilungen: Wenn Sie diese Kategorien in großem Umfang verarbeiten und das im Zentrum Ihrer Tätigkeit steht, ist die Benennung zwingend. Das erwartete Maß an Fachkenntnis und Sicherheit steigt damit eine Stufe.
Außerhalb dieser Fälle: freiwillig, aber selten folgenlos
Trifft keiner der drei Fälle zu, sind Sie nicht verpflichtet. Viele Unternehmen benennen dennoch freiwillig einen Datenschutzbeauftragten, weil ihre Verarbeitungen zahlreich, komplex oder sensibel sind. Ein wenig bekannter Punkt: Ein freiwilliger Datenschutzbeauftragter unterliegt demselben Regime wie ein verpflichtender, mit Unabhängigkeit, Ressourcen, ohne Interessenkonflikte und mit den gesetzlichen Aufgaben. Einen Datenschutzbeauftragten benennt man nicht „fürs Image“.
Die eigentliche Pflicht: sich Gedanken gemacht zu haben
Auch wenn die Antwort „Nein“ lautet, erwartet die DSGVO von Ihnen, dass Sie das belegen können. Die gute Praxis passt auf eine Seite: eine datierte Notiz, die Ihre Tätigkeiten, Ihre Datenkategorien, Ihre Überwachungsmechanismen und Ihre Mengen beschreibt und mit dem Ergebnis zur Pflicht oder zu ihrem Fehlen schließt.
Diese Notiz wird nach jeder Änderung der Größenordnung neu geprüft: bei einer Übernahme, einem neuen digitalen Produkt, einer KI-Plattform, einer Zentralisierung von Daten oder einer internationalen Expansion. Sie ist es, die am Tag einer Kontrolle beweist, dass Sie die Frage nicht ignoriert haben.
Eine einzige Frage vor allem anderen
Stellen Sie sich vor allem anderen eine einzige Frage: Steht die Beobachtung von Personen oder die Verarbeitung sensibler Daten im Zentrum meiner Tätigkeit, und zwar in großem Umfang? Wenn ja, ist die Benennung keine Option. Wenn nein, halten Sie es schwarz auf weiß fest, datieren Sie die Notiz und legen Sie sie zu Ihren Compliance-Nachweisen.
Die richtige Frage lautet nicht „Bin ich groß genug?“, sondern „Was mache ich eigentlich mit den Daten, die ich erhebe?“
