Datenschutzbeauftragter

Die Bestellpflicht für einen Datenschutzbeauftragten ergibt sich in Deutschland vor allem aus § 38 BDSG, der die Öffnungsklausel der DSGVO nutzt. Für ein Maklerunternehmen ist die Prüfung zweistufig:

• Regelschwelle (§ 38 Abs. 1 Satz 1 BDSG): Ein DSB ist zu bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für viele kleinere Maklerbüros mit wenigen Mitarbeitern greift diese Schwelle nicht.
• Kerntätigkeits-Ausnahme (§ 38 Abs. 1 Satz 2 BDSG, Art. 37 Abs. 1 DSGVO): Unabhängig von der Mitarbeiterzahl besteht eine Bestellpflicht, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht oder umfangreich besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) verarbeitet werden. Dies kann bei größeren, auf Wohnungsvermittlung spezialisierten Unternehmen mit umfangreichem Bonitäts-Scoring relevant werden.

Auch ohne gesetzliche Pflicht steht es jedem Maklerbüro frei, einen Datenschutzbeauftragten freiwillig zu bestellen. Anders als oft angenommen wird diese freiwillige Bestellung aber nicht wie eine Pflichtbestellung behandelt: Der besondere Kündigungsschutz nach § 6 Abs. 4 BDSG gilt gemäß § 38 Abs. 2 BDSG ausdrücklich nur, wenn die Benennung gesetzlich verpflichtend ist – für freiwillig bestellte Datenschutzbeauftragte greift lediglich das allgemeine Benachteiligungsverbot, ein freiwillig bestellter DSB kann grundsätzlich jederzeit wieder abberufen werden.

Aufgaben des DSB nach Art. 39 DSGVO:

• Unterrichtung und Beratung von Geschäftsführung und Mitarbeitern zu Datenschutzpflichten.
• Überwachung der Einhaltung der DSGVO, interner Datenschutzrichtlinien und Schulungen.
• Beratung bei Datenschutz-Folgenabschätzungen und deren Überwachung.
• Zusammenarbeit mit und Anlaufstelle für die Datenschutzaufsichtsbehörde.
• Anlaufstelle für Betroffene bei Fragen zur Verarbeitung ihrer Daten.

Wichtig für die Praxis: Der DSB muss fachlich qualifiziert sein, darf weisungsfrei agieren, genießt einen besonderen Kündigungsschutz (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG) und darf nicht in einem Interessenkonflikt stehen – ein Geschäftsführer oder die Person, die zugleich über Zwecke und Mittel der Datenverarbeitung entscheidet, darf nicht gleichzeitig DSB sein. Kleinere Maklerbüros bestellen daher häufig einen externen Datenschutzbeauftragten. Die Bestellung (intern oder extern) ist der zuständigen Aufsichtsbehörde mitzuteilen.

Ein Maklerunternehmen mit 25 Mitarbeitenden, die alle mit einem digitalen CRM-System arbeiten, überschreitet die gesetzliche Schwelle von 20 Personen und muss einen Datenschutzbeauftragten bestellen. Die Geschäftsführung entscheidet sich für einen externen Dienstleister, der das Unternehmen berät, das Verarbeitungsverzeichnis prüft und als Kontaktstelle für die Landesdatenschutzbehörde benannt wird.