Bestellpflicht Datenschutzbeauftragter
Auch: DSB-Bestellpflicht · Pflicht zur Bestellung eines Datenschutzbeauftragten
Ein Maklerbüro muss einen Datenschutzbeauftragten bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder bestimmte besonders risikoreiche Verarbeitungen stattfinden.
Ausführliche Erklärung
Nach deutschem Recht (§ 38 Abs. 1 BDSG, ergänzend zu Art. 37 DSGVO) müssen nichtöffentliche Stellen – also auch Maklerbüros – einen Datenschutzbeauftragten (DSB) bestellen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Bereits Mitarbeiter, die regelmäßig mit dem CRM-System, E-Mail oder digitalen Exposés arbeiten, zählen dazu.
Unabhängig von dieser Schwelle besteht eine Bestellpflicht außerdem, wenn:
- eine Verarbeitung durchgeführt wird, die einer Datenschutz-Folgenabschätzung unterliegt (Art. 35 DSGVO), z. B. bei umfangreicher systematischer Überwachung oder Verarbeitung besonderer Kategorien personenbezogener Daten in großem Umfang,
- die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien (z. B. Gesundheitsdaten) oder strafrechtlich relevanter Daten besteht.
Für die meisten kleinen und mittleren Maklerbüros mit wenigen Mitarbeitern greift die Pflicht daher oft nicht automatisch – sie sollten aber regelmäßig prüfen, ob die 20-Personen-Schwelle durch Wachstum überschritten wird. Auch ohne gesetzliche Pflicht ist die freiwillige Bestellung eines DSB sinnvoll, wenn viele sensible Daten verarbeitet werden (Bonitätsauskünfte, Ausweiskopien, Einkommensnachweise), da dies Haftungsrisiken reduziert und Vertrauen bei Kunden schafft.
Aufgaben des Datenschutzbeauftragten:
- Unterrichtung und Beratung des Maklers und der Mitarbeiter zu Datenschutzpflichten.
- Überwachung der Einhaltung der DSGVO und interner Datenschutzvorgaben.
- Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für Betroffenenanfragen.
- Beratung bei Datenschutz-Folgenabschätzungen.
Der DSB kann intern (eigener Mitarbeiter mit entsprechender Qualifikation und ohne Interessenkonflikt) oder extern (Dienstleister) bestellt werden. Er muss der Aufsichtsbehörde gemeldet werden, und seine Kontaktdaten müssen in der Datenschutzerklärung veröffentlicht werden. Eine unterlassene Bestellung trotz Pflicht ist bußgeldbewehrt.
Beispiel aus der Praxis
Ein größeres Maklerunternehmen mit 25 Mitarbeitern, die täglich mit dem CRM-System und digitalen Kundendaten arbeiten, ist verpflichtet, einen Datenschutzbeauftragten zu bestellen. Ein kleines Zwei-Personen-Büro ist dazu formal nicht verpflichtet, kann aber freiwillig einen externen DSB beauftragen, um die eigene DSGVO-Compliance abzusichern.
Rechtsgrundlage
- § 38 Abs. 1 BDSG – Schwellenwert von 20 Personen für die betriebliche Bestellpflicht in Deutschland.
- Art. 37 DSGVO – EU-weite Grundregeln zur Bestellpflicht, insbesondere bei umfangreicher Verarbeitung besonderer Datenkategorien.
- Art. 38, 39 DSGVO – Stellung und Aufgaben des Datenschutzbeauftragten.