Am 27.06.2019 hat der Bundestag beschlossen, dass künftig erst ab 20 Mitarbeitern ein Datenschutzbeauftragter zu benennen ist. Derzeit ist ein Datenschutzbeauftragter zu benennen, falls in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt werden. Um kleinere Unternehmen und ehrenamtliche Vereine zu entlasten, ist eine entsprechende Erhöhung der Schwelle, ab wann ein Unternehmen einen Datenschutzbeauftragten zu bestellen hat, durch die Anpassung des § 38 BDSG vorgesehen.
Auf den ersten Blick führt die Änderung zu einer weitgehenden Entlastung kleinerer Betriebe. Diese Entlastung darf jedoch nicht überbewertet werden, denn die Regelungen des Art. 37 DSGVO sehen für bestimmte Geschäftsfelder oder beim Umgang mit besonders sensiblen Daten unabhängig von der Anzahl der Mitarbeiter vor, dass ein Datenschutzbeauftragter zu bestellen ist. Daher muss auch nach der Umsetzung der neuen Regelung weiterhin selbst bei weniger als 20 Mitarbeitern im Einzelfall geprüft werden, ob ein Datenschutzbeauftragter zu bestellen ist. Zudem muss beachtet werden, dass die fehlende Pflicht zur Bestellung eines Datenschutzbeauftragten nicht dazu führt, dass im Unternehmen kein Datenschutzrecht beachtet werden muss. Vielmehr bestehen die datenschutzrechtlichen Verpflichtungen des Verantwortlichen bzw. des Auftragsverarbeiters – also des jeweiligen Unternehmens – weiterhin fort.
