Wegfall der Bestellpflicht

Ein Unternehmen schrumpft, digitalisiert einen Bereich oder lagert die Buchhaltung aus – und plötzlich sind es weniger als zwanzig Personen, die ständig automatisiert mit personenbezogenen Daten arbeiten. Die Frage nach dem Wegfall der Bestellpflicht ist damit gestellt. Die Antwort ist selten so einfach, wie sie im ersten Moment aussieht.

Die Schwelle und was sie tatsächlich zählt

§ 38 BDSG verlangt die Benennung, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Drei Begriffe entscheiden, und alle drei werden regelmäßig falsch verstanden:

„Personen”, nicht Vollzeitstellen. Teilzeitkräfte, Aushilfen, Werkstudenten und Leiharbeitnehmer zählen voll. Auch Geschäftsführer und Ehrenamtliche zählen mit, soweit sie entsprechend tätig sind.

„Ständig”, nicht überwiegend. Es genügt, dass die Tätigkeit regelmäßig zu den Aufgaben gehört. Wer täglich E-Mails an Kunden schreibt oder Bestellungen erfasst, verarbeitet ständig – auch wenn das nur einen kleinen Teil der Arbeitszeit ausmacht.

„In der Regel”, nicht am Stichtag. Maßgeblich ist der übliche Zustand über einen längeren Zeitraum, nicht die Zahl an einem einzelnen Tag. Saisonale Schwankungen führen nicht zum Wegfall.

Wer die Schwelle prüft, kommt deshalb fast immer auf eine höhere Zahl als erwartet. Die Schritte im Einzelnen stehen in der Checkliste.

Die anderen Gründe bleiben

Selbst wenn die Zahl unterschritten ist, kann die Pflicht aus Art. 37 DSGVO fortbestehen. Sie knüpft nicht an eine Beschäftigtenzahl an, sondern an die Art der Verarbeitung:

Umfangreiche, regelmäßige und systematische Überwachung von Personen als Kerntätigkeit – etwa bei Tracking-Dienstleistern, Sicherheitsunternehmen oder Betreibern von Videoüberwachung.
Umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 oder von Daten über Straftaten – der Regelfall bei Arztpraxen, Pflegediensten und Personaldienstleistern.
Öffentliche Stellen ohnehin.

Hinzu kommt § 38 BDSG selbst: Wer Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung unterliegen, oder wer personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet, muss unabhängig von der Zahl benennen.

Ein Betrieb mit zwölf Beschäftigten kann also sehr wohl benennungspflichtig sein.

Was auf keinen Fall entfällt

Hier liegt das häufigste Missverständnis. Die Benennungspflicht ist eine Pflicht unter vielen – und die einzige, die von der Zahl abhängt. Unverändert bestehen bleiben:

das Verzeichnis von Verarbeitungstätigkeiten
die technischen und organisatorischen Maßnahmen
die Informationspflichten
die Bearbeitung von Betroffenenanfragen in der Monatsfrist
die Meldung von Datenpannen binnen 72 Stunden
Auftragsverarbeitungsverträge und die Prüfung der Dienstleister
die Rechenschaftspflicht insgesamt

Ohne Datenschutzbeauftragten muss diese Arbeit trotzdem jemand tun – nur ohne die Person, die bisher daran erinnert hat. Erfahrungsgemäß ist das der Punkt, an dem Dokumentation still veraltet.

Wenn Sie abberufen wollen

Beim internen Beauftragten ist die Abberufung nur unter engen Voraussetzungen möglich; der Wegfall der Pflicht ist allerdings ein anerkannter Grund. Zu beachten bleibt der nachwirkende Kündigungsschutz für das Arbeitsverhältnis. Einzelheiten unter Kündigung des Datenschutzbeauftragten.

Beim externen Beauftragten richtet sich alles nach dem Vertrag.

In beiden Fällen gehört dazu: die Meldung an die Aufsichtsbehörde über den Wegfall, die Anpassung der veröffentlichten Kontaktdaten und die vollständige Übergabe der Unterlagen – siehe Datenschutzbeauftragten wechseln.

Die freiwillige Benennung

Viele Unternehmen behalten die Rolle, obwohl sie nicht müssen. Die Gründe sind praktisch: Kunden fragen in Lieferantenfragebögen danach, die Dokumentation bleibt gepflegt, und im Vorfallsfall gibt es jemanden, der weiß, was zu tun ist.

Zwei Punkte sollten Sie dabei kennen. Erstens: Wer freiwillig benennt, unterliegt nach überwiegender Auffassung denselben Regeln – Weisungsfreiheit, Benachteiligungsverbot, Ressourcen. Zweitens: Ob der besondere Kündigungsschutz auch bei freiwilliger Benennung greift, ist umstritten. Halten Sie deshalb ausdrücklich fest, dass die Benennung freiwillig erfolgt.

Für kleinere Häuser ist die externe Lösung hier häufig die wirtschaftlichere: Kosten ab 137 € im Monat, ohne Bindung interner Kapazität.

Kontakt

Sie glauben, unter die Schwelle gefallen zu sein? Lassen Sie die Zählung prüfen, bevor Sie abberufen.