Seit dem 25. Mai 2018 gilt die neue Datenschutz-Grundverordnung (DSGVO) und es gibt erstmals eine europaweit geltende Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten. Diese ist bindend, sofern ein Unternehmen einer Tätigkeit nachgeht, die aus datenschutzrechtlicher Sicht einer besonderen Kontrolle bedarf (z.B. Verarbeitung von besonderen Daten wie z.B. Gesundheitsdaten) oder in einem Unternehmen mehr als zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Das Zweite Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) und die Änderung im Bundesdatenschutzgesetz (BDSG) haben dazu geführt, dass seit 2020 neue Vorgaben gelten, ab wann ein Datenschutzbeauftragter (DSB) zu benennen ist. Statt wie bisher zehn Personen müssen sich in der Regel nun mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Die Verpflichtung, einen Datenschutzbeauftragten zu benennen, gilt nicht für den Fall, in denen der Gesetzgeber nur ein geringes Risiko für die Persönlichkeitsrechte einer betroffenen Person beimisst. Dies ist der Fall, wenn Verarbeitungen nur gelegentlich stattfinden, keine besonderen Kategorien personenbezogener Daten betroffen sind und voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten Betroffener führen. All diese Bedingungen müssen kumulativ gegeben sein; deshalb ist es selten, dass ein grundsätzlich in den Anwendungsbereich der DSGVO fallendes Unternehmen von dieser Ausnahme profitieren wird.

Sollte ein Unternehmen seiner Verpflichtung einen Datenschutzbeauftragten zu benennen, nicht nachkommen, können Bußgelder in Höhe von bis zu 10.000.000 Euro bzw. 2 % des weltweiten Unternehmens-Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Ein Verstoß gegen eine entsprechende Verpflichtung ist leicht zu erkennen, da der Datenschutzbeauftragte offiziell benannt und gegenüber der Datenschutzaufsichtsbehörde gemeldet werde muss. Des Weiteren muss er in der Datenschutzerklärung als Ansprechpartner für das Thema Datenschutz genannt werden.

Durch die Betreuung mehrerer Mandanten hat der externe Datenschutzbeauftragte oftmals mehr Praxiserfahrung als sein interner Kollege und kann somit effektiver arbeiten. Die internen Mitarbeiter können sich somit auf ihre Kernkompetenzen konzentrieren und der Arbeitgeber umgeht den Kündigungsschutz eines betrieblichen Datenschutzbeauftragten. Des Weiteren entfallen die regelmäßigen Fort- und Weiterbildungskosten für Ihr Unternehmen. Im Falle von Krankheit, Urlaub oder Fortbildung steht eine Vertretung ohne Mehrkosten für die Mandanten zur Verfügung. Probleme (auch bei der Prüfung durch Aufsichtsbehörden) wegen mangelnder Fachkunde oder Zuverlässigkeit (Interessenskonflikte) werden vermieden. Die Kosten können durch projektbezogene Aktivitäten und bedarfsgerechte Nutzung einfach gesteuert und kalkuliert werden.