Eine gesetzliche Verpflichtung zur Bestellung eines internen oder externen Datenschutzbeauftragten liegt in den folgenden Fällen vor:

Das Unternehmen beschäftigt mindestens 20 Mitarbeiter, die personenbezogene Daten automatisiert verarbeiten. Ob es sich dabei um fest angestellte Mitarbeiter, freie Mitarbeiter oder Aushilfen handelt ist grundsätzlich irrelevant.

Die Kerntätigkeit des Unternehmens liegt in der Verarbeitung personenbezogener Daten. Beispiele für solche Unternehmen sind Auskunfteien, Adressverlage oder Marktforschungsunternehmen. Die Anzahl der Beschäftigten, die im Unternehmen personenbezogene Daten automatisiert verarbeiten, spielt dann keine Rolle, d. h. ein Datenschutzbeauftragter muss auch bei weniger als 20 Beschäftigten bestellt werden.

Das Unternehmen verarbeitet besonders sensible Arten von personenbezogenen Daten, wie beispielsweise Bonitäts- oder Gesundheitsdaten. In solch einer Situation besteht ebenfalls unabhängig von der Anzahl der Beschäftigten eine Verpflichtung zur Bestellung eines Datenschutzbeauftragten.

Von einem internen oder betrieblichen Datenschutzbeauftragten (DSB) spricht man, wenn die Aufgabe des Datenschutzbeauftragten einem im Unternehmen angestellten Mitarbeiter übertragen wird. Ein externer Datenschutzbeauftragter ist hingegen nicht im Unternehmen angestellt und wird stattdessen von einem externen Dienstleister bereitgestellt.

Beide Möglichkeiten haben ihre eigenen Vor- und Nachteile. Welche Lösung für ein Unternehmen besser ist, hängt von der jeweiligen Ausgangssituation und vom Bedarf ab.

Für Unternehmen, die sich nahezu täglich mit datenschutzrechtlichen Fragen beschäftigen müssen, kann die Bestellung eines internen Datenschutzbeauftragten die bessere und kostengünstigere Wahl sein. Wichtig ist aber, dass der interne Datenschutzbeauftragte tatsächlich über die geforderten Fähigkeiten und Kenntnisse im Datenschutz verfügen muss. Er muss also nachweislich die entsprechenden Fortbildungen besuchen und eine zur Ausübung der Aufgabe erforderliche eigene Ausstattung erhalten. Fehlt es daran oder fehlen die Nachweise, wird er gesetzlich so behandelt, als gäbe es im Unternehmen überhaupt keinen Datenschutzbeauftragten.

Sollte der Bedarf an datenschutzrechtlicher Beratung hingegen nur von Zeit zu Zeit bestehen, ist es meist sinnvoller, die externe Lösung zu wählen. Externe Anbieter verfügen über entsprechende Expertise im Datenschutz und sind in diesem Gebiet spezialisiert. Die dafür anfallenden Kosten sind in der Regel vertraglich vereinbart und daher transparent. Erhöhter Beratungsbedarf kann jedoch unter Umständen und je nach vertraglicher Vereinbarung die Kosten in die Höhe treiben.

Von der nötigen Zuverlässigkeit des Datenschutzbeauftragten abgesehen, muss dieser auch zur Wahrnehmung seiner Aufgaben in der Lage sein, datenschutzrechtlich relevante Sachverhalte unabhängig und weisungsfrei bewerten und entscheiden zu können.

Mitarbeiter in bestimmten Positionen sind daher für die Bestellung zum internen Datenschutzbeauftragten nicht geeignet, weil bei Ihnen aufgrund Ihrer sonstigen Stellung im Unternehmen eine Interessenskollision vermutet wird. Bei folgenden Personen wird davon ausgegangen, dass aufgrund einer Interessenkollision keine Bestellung zum Datenschutzbeauftragten erfolgen kann: Geschäftsleitung, z.b. Vorstand oder Geschäftsführer, Betriebsleiter, EDV- und Personalverantwortliche sowie IT-Administratoren.

Doch auch bei externen Datenschutzbeauftragten kann im Einzelfall ein solcher Interessenskonflikt vorliegen, der eine Bestellung zum Datenschutzbeauftragten ausschließt: bei Unternehmens- oder Rechtsanwälten, die das Unternehmen regelmäßig auch in anderen Rechtsangelegenheiten vertreten besteht ein Interessenskonflikt, weil Sie einerseits die Interessen des Unternehmens wahrnehmen müssen, auf deren anderen Seite aber als Datenschutzbeauftragter interessensneutral und unabhängig sein sollen.

Bei einem Datenschutzverstoß drohen verschiedene Konsequenzen.

Vom möglichen Reputationsschaden für Ihr Unternehmen abgesehen drohen außerdem auch unmittelbare finanzielle Nachteile.

Von der Datenschutzverletzung Betroffene (z.B. Kunden oder Mitarbeiter) haben grundsätzlich die Möglichkeit, Ihr Unternehmen in Haftung zu nehmen und Schadenersatzansprüche geltend zu machen.

Zudem drohen Bußgelder, die von der zuständigen Datenschutzbehörde verhängt werden können. Der Gesetzgeber hat in der DSGVO absichtlich relativ hohe Bußgelder vorgesehen, um damit die korrekte Umsetzung von Datenschutzmaßnahmen möglichst zu gewährleisten. Art. 83 DSGVO sieht ein im Einzelfall mögliches Bußgeld von bis zu 20.000.000 EURO bzw. 4 % des weltweit vom Unternehmen im Vorjahr erzielten Umsatzes (falls höher) vor.

Schließlich kann die Datenschutzbehörde auch weitreichende Anordnungen gegen Ihr Unternehmen erlassen, die bis hin zur teilweisen oder sogar vollständigen Versagung der weiteren Datenverarbeitung durch Ihr Unternehmen reichen können.

Sie geben im Bestellformular die Daten Ihres Unternehmens an und füllen die entsprechend vorgegebenen Felder aus. Anschließend können Sie wählen, ob Sie den Lexact Datenschutzmanager ohne die zusätzliche Bereitstellung eines Datenschutzbeauftragten abonnieren möchten oder ob Sie zusätzlich die Bereitstellung eines Datenschutzbeauftragten durch Lexact dazu bestellen möchten. Anschließend bestätigen Sie Kenntnisnahme und Geltung unserer Allgemeinen Geschäftsbedingen und dass Sie die Bestellung für Ihr Unternehmen vornehmen. Nach Abschluss der Bestellung erhalten Sie von uns per E-Mail an die von Ihnen angegebene E-mailadresse einen Bestätigungslink, den Sie bitte anklicken. Anschließend erhalten Sie die Zugangsdaten und schon kann es losgehen.

Nein, der Lexact Datenschutzmanager führt Sie durch die einzelnen Bereiche und Fragen, die Sie einfach nur kurz durch Anklicken beantworten. Das System generiert am Schluss des Fragenprozesses vollautomatisiert Ihre Datenschutzdokumentation.

Sie benötigen nur wenige Minuten, um den Fragenprozess und die einzelnen Bereiche des Lexact Datenschutzmanagers zu durchlaufen. Sie sollten etwa 15 – 20 Minuten Zeit dafür einplanen.