Bundesregierung plant Gesetzesänderung: Pflicht zur Benennung eines DSB künftig erst ab 50 Mitarbeitern?
Geht es nach der Bundesregierung, soll der Schwellenwert für die verpflichtende Benennung eines Datenschutzbeauftragten bald von derzeit 20 auf 50 Mitarbeiter steigen. Dies geht jedenfalls aus einem Positionspapier der Bundesregierung vom 05.07.2024 Wachstumsinitiative – neue wirtschaftliche Dynamik für Deutschland hervor.
Eine solche Gesetzesänderung hätte dann beispielsweise zur Folge, dass Unternehmen keinen Datenschutzbeauftragten mehr benennen müssten, soweit sie in der Regel nicht mindestens 50 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen oder eine andere gesetzliche Voraussetzung eine zwingende Benennung erfordert.
Vorsicht: Mitarbeiterschwelle nicht einziges Kriterium zur obligatorischen Benennung eines DSB
Was auf den ersten Blick als Erleichterung erscheinen mag, ist bei näherer Betrachtung durchaus mit Vorsicht zu genießen.
Wenig bekannt: Der derzeitige § 38 Bundesdatenschutzgesetz sieht neben der Mitarbeiterschwelle noch andere Fälle vor, bei der ein Datenschutzbeauftragter unabhängig von der Mitarbeiteranzahl zwingend bestellt werden muss.
Praktisch relevant ist hier vor allem der Fall, dass Unternehmen Verarbeitungen vornehmen, welche nach Artikel 35 DSGVO vorab einer Datenschutz-Folgenabschätzung („DSFA“) bedürfen.
Dies dürfte in der Praxis, insbesondere bei der Verarbeitung sensibler Daten, wie beispielsweise Gesundheitsdaten, sehr häufig der Fall sein.
In diesem Zusammenhang ist neben der durchzuführenden Einzefallprüfung auf die sogenannte „Blacklist“ der Datenschutzkonferenz (DSK) zu verweisen, welche in Artikel 35 Absatz 4 DSGVO explizit geregelt ist.
Bei den in der Blacklist genannten Verarbeitungen müssen Unternehmen immer zwingend eine DSFA durchführen und damit nach derzeitigen Recht zwingend einen Datenschutzbeauftragten bennen.
Ob die künftige Gesetzesänderung auch diesen Fall und die anderen Fälle des § 38 BDSG berücksichtigt, kann derzeit noch nicht abgesehen werden.
Fazit
Die Änderung der Mitarbeiterschwelle mag aus der Sicht der Politik eine sinnvolle da populäre Maßnahme darstellen.
Ob dies auch für Unternehmen gilt, ist aus meiner Sicht fraglich. Unternehmen sollten künftig zum einem in jedem Fall prüfen, ob nicht andere Voraussetzungen greifen, welche ebenfalls die zwingende Bestellung eines DSB zur Folge haben.
In jedem Fall stellt sich aber ohnehin die Frage, ob Unternehmen auf die Expertise ihres DSB verzichten wollen.
Unabhängig von der Pflicht zur Benennung eines DSB gelten die übrigen Anforderungen der DSGVO selbstverständlich vollumfänglich weiter.
Die Aufgaben müssen also ohne DSB künftig anderweitig erledigt werden, wenn man die gesetzlichen Anforderungen erfüllen möchte. Ob die Gesetzesänderung Unternehmen daher letztlich hinsichtlich des bürokratischen Aufwands entlastet oder ob es sich bei einer etwaigen Gesetzesänderung nur um einen mutmaßlich populären politischen Schachzug handelt, bleibt abzuwarten.
