Die Bestellung eines Datenschutzbeauftragten (DSB) ist in Deutschland für viele Unternehmen verpflichtend. Die Pflicht ergibt sich aus § 38 BDSG (ab 20 MA mit regelmäßiger Datenverarbeitung) und Art. 37 DSGVO (bei Kerntätigkeit Datenverarbeitung).
Personen mit regelmäßigem Zugang zu personenbezogenen Daten
Kerntätigkeit in der Datenverarbeitung?
JA
DSB-Pflicht
DSB-Pflicht besteht
MA mit Datenverarbeitung
25 Personen
§ 38 BDSG (≥ 20 MA)
Erfüllt
Art. 37 DSGVO (Kerntätigkeit)
Nicht erfüllt
Besondere Kategorien
Nein
Empfehlung
DSB bestellen (intern/extern)
Kosten externer DSB
200–800 €/Monat
Achtung Handlungsbedarf: Sie sind zur Bestellung eines Datenschutzbeauftragten verpflichtet. Ein fehlender DSB kann Bußgelder bis 10 Mio. € nach sich ziehen. CERTISCAN unterstützt Ihren DSB mit Audit-Trail und Verarbeitungsverzeichnis.
01Datenschutzbeauftragter – ab wann ist er Pflicht?
Beispiel: Ein FM-Unternehmen mit 25 Mitarbeitern, die regelmäßig Personalstammdaten, Zeiterfassung und Kundendaten verarbeiten, ist zur Bestellung eines DSB verpflichtet (§ 38 BDSG). Der DSB kann intern oder extern bestellt werden.
Die drei Pflicht-Grundlagen
§ 38 BDSG: Ab 20 Personen, die ständig mit automatisierter Datenverarbeitung beschäftigt sind
Besondere Kategorien: Verarbeitung von Gesundheitsdaten, Religion, Gewerkschaft etc.
Warum CERTISCAN?
CERTISCAN führt einen lückenlosen WORM-Audit-Trail (SHA-256-Hash-Kette) über sicherheitsrelevante Vorgänge, verschlüsselt Personalakten- und Hinweisgeberdaten mit AES-256-GCM und wird in Deutschland gehostet (Hetzner). Ein Verarbeitungsverzeichnis nach Art. 30 DSGVO erstellt CERTISCAN nicht – das führt Ihr Datenschutzbeauftragter selbst. Preis auf Anfrage.
Im Vergleich
Funktion
CERTISCAN
Excel
Ohne Software
Verarbeitungsverzeichnis
Automatisch
Manuell
Papier
Audit-Trail
WORM (SHA-256)
Keiner
Keiner
AVV-Verwaltung
DSFA-Unterstützung
Datenschutz-Anfragen
Tracking + Fristen
Manuell
Manuell
Hosting Deutschland
Hetzner DE
Lokal
Lokal
Verschlüsselung
AES-256
Nein
Nein
Kosten
Auf Anfrage
0 €
0 €
Gut zu wissen
Alles über den Datenschutzbeauftragten
Gesetzliche Grundlagen
§ 38 Abs. 1 BDSG: DSB-Pflicht ab 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind
Art. 37 Abs. 1 DSGVO: Pflicht bei Kerntätigkeit in umfangreicher Überwachung oder Verarbeitung besonderer Kategorien
§ 38 Abs. 1 Satz 2 BDSG: Pflicht bei Datenschutz-Folgenabschätzung (DSFA) oder gewerbsmäßiger Datenübermittlung
Wer zählt bei den 20 Personen?
Ja: Alle Personen mit regelmäßigem Zugang zu personenbezogenen Daten
Ab 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Zählen: Vollzeit, Teilzeit, Minijobber, Azubis, Leiharbeiter mit Datenzugang.
Gilt die 20-Personen-Grenze auch für kleine Unternehmen?
Ja, aber unabhängig von der Unternehmensgröße gilt die DSB-Pflicht auch bei Verarbeitung besonderer Datenkategorien (Gesundheitsdaten, Biometrie) oder bei Kerntätigkeit in der Datenverarbeitung.
Was sind "besondere Datenkategorien"?
Art. 9 DSGVO schützt: Gesundheitsdaten, biometrische Daten, Religion, ethnische Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit und Sexualleben. Im FM relevant: Krankmeldungen und ggf. Fingerabdruck-Zeiterfassung.
Kann der DSB intern oder extern sein?
Beides ist möglich. Interne DSB haben besonderen Kündigungsschutz und müssen fortgebildet werden. Externe DSB sind für KMU oft kostengünstiger (200–800 €/Monat) und bringen sofort Expertise mit.
Was kostet ein fehlender DSB?
Ein fehlender DSB ist ein DSGVO-Verstoß. Bußgelder: 5.000–100.000 € in der Praxis. Theoretisch bis 10 Mio. € oder 2% des Jahresumsatzes. Dazu kommen Reputationsschäden bei Bekanntwerden.
Was muss der DSB tun?
Hauptaufgaben: Beratung des Unternehmens, Überwachung der DSGVO-Einhaltung, Beratung bei DSFA, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für betroffene Personen.
Braucht ein FM-Unternehmen einen DSB?
Fast immer ja. FM-Unternehmen verarbeiten Zeiterfassungsdaten, Personalstammdaten, teils GPS-Daten und Gesundheitsdaten (Krankmeldungen). Ab 20 MA mit Datenzugang ist der DSB Pflicht.
Was liefert CERTISCAN dem DSB – und was nicht?
Es liefert einen lückenlosen WORM-Audit-Trail über sicherheitsrelevante Vorgänge, AES-256-GCM-Verschlüsselung für Personalakten- und Hinweisgeberdaten sowie Hosting in Deutschland (Hetzner). Ein Verarbeitungsverzeichnis nach Art. 30 DSGVO erstellt CERTISCAN nicht – das führt Ihr DSB selbst.
Muss der DSB bei der Behörde gemeldet werden?
Ja, die Kontaktdaten des DSB müssen der zuständigen Aufsichtsbehörde mitgeteilt und veröffentlicht werden (Art. 37 Abs. 7 DSGVO). Die Meldung erfolgt online über das Portal der Landesbehörde.
Zählen Reinigungskräfte bei der 20-Personen-Grenze?
Nur wenn sie Zugang zu personenbezogenen Daten haben. Reine Reinigungskräfte ohne Datenzugang zählen nicht. Sobald sie aber z.B. die CERTISCAN-App für digitale Checklisten nutzen und dabei Personendaten sehen, zählen sie.