Müssen KMU sich bei der Datenschutzbehörde anmelden? Verzeichnis, Datenschutzbeauftragter, DSFA

Die kurze Antwort: Nein, eine allgemeine Pflicht, Ihr Unternehmen oder Ihre Datenverarbeitungen bei einer Datenschutzbehörde registrieren zu lassen, gibt es nach der Datenschutz-Grundverordnung (DSGVO) nicht. Die frühere allgemeine Meldepflicht aus der Richtlinie 95/46/EG wurde bewusst abgeschafft (Erwägungsgrund 89 DSGVO). An ihre Stelle treten Pflichten, die Sie intern erfüllen: das Verzeichnis von Verarbeitungstätigkeiten (Art. 30), das Sie der Aufsichtsbehörde nur auf Anfrage vorlegen, in bestimmten Fällen ein Datenschutzbeauftragter (Art. 37 DSGVO, in Deutschland ergänzt durch § 38 BDSG) und bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung (Art. 35). Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten beim Verzeichnis ist enger, als ihr erster Halbsatz vermuten lässt.

Warum es kein Register gibt

Nach Erwägungsgrund 89 waren Verarbeitungen unter der Richtlinie 95/46/EG „bei den Aufsichtsbehörden generell meldepflichtig“. Diese Meldepflicht war mit bürokratischem und finanziellem Aufwand verbunden und hat nicht in allen Fällen zu einem besseren Schutz geführt. Die „unterschiedslosen allgemeinen Meldepflichten“ sollten daher abgeschafft und durch Verfahren ersetzt werden, die sich auf Verarbeitungen mit wahrscheinlich hohem Risiko konzentrieren. Die Datenschutzkonferenz (DSK), das gemeinsame Gremium der deutschen Datenschutzaufsichtsbehörden, bestätigt in ihrem Kurzpapier Nr. 1, dass die früher im BDSG geregelten Meldepflichten an die Aufsichtsbehörde entfallen sind und ein für jedermann einsehbares Verzeichnis nicht vorgesehen ist.

Mit der Behörde zu tun haben Sie trotzdem in einigen Fällen:

• Haben Sie einen Datenschutzbeauftragten benannt, veröffentlichen Sie dessen Kontaktdaten und teilen sie der Aufsichtsbehörde mit (Art. 37 Abs. 7).
• Eine Verletzung des Schutzes personenbezogener Daten melden Sie unverzüglich und möglichst binnen 72 Stunden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1).
• Ergibt eine Datenschutz-Folgenabschätzung ein hohes Risiko, das Sie nicht durch Maßnahmen eindämmen, konsultieren Sie die Behörde vor der Verarbeitung (Art. 36 Abs. 1).
• Das Verzeichnis von Verarbeitungstätigkeiten stellen Sie der Behörde auf Anfrage zur Verfügung (Art. 30 Abs. 4).

Für Unternehmen in Deutschland sind grundsätzlich die Datenschutzbehörden der Länder zuständig (§ 40 Abs. 1 BDSG). Die Website der BfDI, der Bundesbehörde für Datenschutz, listet die Landesbehörden auf und weist darauf hin, dass es für einige Unternehmen Ausnahmen gibt.

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30)

Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs. 1). Es enthält:

• Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters sowie eines etwaigen Datenschutzbeauftragten,
• die Zwecke der Verarbeitung,
• eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,
• die Kategorien von Empfängern, einschließlich Empfängern in Drittländern oder internationalen Organisationen,
• gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation,
• wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien,
• wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Das Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann (Art. 30 Abs. 3). Auch Auftragsverarbeiter, also Dienstleister, die Daten in Ihrem Auftrag verarbeiten, führen ein eigenes Verzeichnis (Art. 30 Abs. 2). Die DSK stellt Muster für Verantwortliche und für Auftragsverarbeiter sowie Hinweise zum Ausfüllen bereit.

Nach Auffassung der DSK zählen auch Auftragsverarbeiter zu den Empfängern (Kurzpapier Nr. 10). Nutzen Sie also Cloud-Dienste für CRM, E-Mail oder Chat, gehören diese Anbieter in das Verzeichnis; betreibt ein Anbieter seine Server in einem Drittland, nehmen Sie auch die Übermittlung auf.

Die Ausnahme für weniger als 250 Beschäftigte

Art. 30 Abs. 5 lautet in der berichtigten deutschen Fassung (Berichtigung im Amtsblatt L 314 vom 22.11.2016):

„Die in den Absätzen 1 und 2 genannten Pflichten gelten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.“

Die drei Rückausnahmen stehen nebeneinander; nach dem Kurzpapier Nr. 1 der DSK besteht die Pflicht bereits, wenn eine davon erfüllt ist. Als Beispiel für eine Verarbeitung, die „nicht nur gelegentlich“ erfolgt, nennt die DSK die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten. Für ein KMU mit laufender Kundenbetreuung oder eigenem Personal bringt die Ausnahme deshalb meist wenig. Hinzu kommt: Anders als bei der Datenschutz-Folgenabschätzung kommt es hier nicht auf ein hohes Risiko an, sondern auf jedes Risiko; die DSK hält ein Verzeichnis deshalb vielfach für geboten.

Unabhängig von der Pflicht ist das Verzeichnis nach Auffassung der DSK ein Baustein, um die Rechenschaftspflicht nach Art. 5 Abs. 2 zu erfüllen, also nachzuweisen, dass Sie die Grundsätze der DSGVO einhalten. Es ist zugleich die beste Vorlage für Ihre Datenschutzhinweise.

Datenschutzbeauftragter: Art. 37 DSGVO und § 38 BDSG

Nach Art. 37 Abs. 1 DSGVO benennen Unternehmen einen Datenschutzbeauftragten, wenn ihre Kerntätigkeit

• in Verarbeitungsvorgängen besteht, die eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen (lit. b), oder
• in der umfangreichen Verarbeitung besonderer Kategorien von Daten nach Art. 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 besteht (lit. c).

Kerntätigkeit meint nach Erwägungsgrund 97 die Haupttätigkeiten eines Unternehmens, nicht die Verarbeitung personenbezogener Daten als Nebentätigkeit.

Für Deutschland erweitert § 38 Abs. 1 BDSG die Pflicht: Verantwortliche und Auftragsverarbeiter benennen einen Datenschutzbeauftragten, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. Unabhängig von dieser Zahl ist ein Datenschutzbeauftragter zu benennen, wenn Sie Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung nach Art. 35 unterliegen, oder wenn Sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.

Gezählt werden also nicht alle Beschäftigten, sondern die Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wer täglich mit CRM, E-Mail oder Buchhaltungssoftware arbeitet, kann dazugehören. Im Zweifel lassen Sie die Zählung rechtlich prüfen.

Der Datenschutzbeauftragte kann ein Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6). Er erhält bei der Erfüllung seiner Aufgaben keine Anweisungen und berichtet unmittelbar der höchsten Managementebene (Art. 38 Abs. 3).

Datenschutz-Folgenabschätzung (Art. 35)

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, führen Sie vorab eine Datenschutz-Folgenabschätzung (DSFA) durch (Art. 35 Abs. 1). Erforderlich ist sie nach Art. 35 Abs. 3 insbesondere bei:

• systematischer und umfassender Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient,
• umfangreicher Verarbeitung besonderer Kategorien von Daten nach Art. 9 Abs. 1 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10,
• systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche.

Die deutschen Aufsichtsbehörden haben nach Art. 35 Abs. 4 eine Liste für den nicht-öffentlichen Bereich veröffentlicht (DSK, Version 1.1). Sie ist nicht abschließend und nennt unter anderem den „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person“, mit dem typischen Einsatzfeld Kundensupport. Planen Sie etwa einen KI-Chat auf Ihrer Website, prüfen Sie diese Liste.

Die DSFA enthält mindestens eine systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken und die geplanten Abhilfemaßnahmen (Art. 35 Abs. 7). Nach Auffassung der DSK ist auch die Entscheidung, keine DSFA durchzuführen, mit den maßgeblichen Gründen schriftlich zu dokumentieren (Kurzpapier Nr. 5). Denken Sie außerdem an § 38 BDSG: Eine DSFA-pflichtige Verarbeitung löst in Deutschland zugleich die Pflicht zur Benennung eines Datenschutzbeauftragten aus.

Überblick

Sanktionen

Verstöße gegen die Pflichten aus den Artikeln 25 bis 39, zu denen Verzeichnis, Datenschutz-Folgenabschätzung und Datenschutzbeauftragter gehören, können nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen „von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs“ geahndet werden, je nachdem, welcher Betrag höher ist. Über die Höhe im Einzelfall entscheidet die Behörde anhand der Kriterien in Art. 83 Abs. 2, etwa Art, Schwere und Dauer des Verstoßes.

Checkliste für KMU

• Listen Sie Ihre Verarbeitungstätigkeiten auf (Kunden, Interessenten, Beschäftigte, Bewerber, Website, Newsletter) und prüfen Sie Art. 30 Abs. 5 nüchtern: Verarbeiten Sie Kunden- oder Beschäftigtendaten regelmäßig, führen Sie ein Verzeichnis.
• Nutzen Sie die Muster der DSK als Ausgangspunkt und ergänzen Sie Löschfristen und technische und organisatorische Maßnahmen.
• Zählen Sie die Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; sind es in der Regel mindestens 20, benennen Sie einen Datenschutzbeauftragten.
• Prüfen Sie neue Vorhaben, etwa KI-gestützten Kundensupport oder Videoüberwachung, anhand von Art. 35 und der Liste der Aufsichtsbehörden, und dokumentieren Sie das Ergebnis.
• Teilen Sie die Kontaktdaten eines benannten Datenschutzbeauftragten der zuständigen Aufsichtsbehörde mit, in der Regel der Landesbehörde.
• Legen Sie fest, wer im Unternehmen eine Datenpanne bewertet und sie möglichst binnen 72 Stunden meldet.
• Halten Sie Verzeichnis und Datenschutzhinweise auf demselben Stand.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung.