Wir übernehmen für Sie den Datenschutz und Sie fokussieren sich auf Ihr Geschäft.

Bestellungspflicht liegt bei der Ereichung des Schwellenwert von zehn mit der Datenverarbeitung beschäftigten Personen. Nach  der Gesetzesbegründung sollen alle Personen – unabhängig von ihrem arbeitsrechtlichen Status – erfasst werden. Mitzuzählen sind somit etwa Angestellte, Arbeiter, freie Mitarbeiter, Heimarbeitskräfte, Leiharbeitnehmer, Auszubildende und Praktikanten. Mitglieder der Geschäftsleitung sind hingegen ebenso wenig mitzuzählen wie Personen, die von externen Datenverarbeitungsdienstleistern beschäftigt sind. Auch wenn der zahlenmäßige Schwellenwert nicht erreicht wird, ist ein Datenschutzbeauftragter zu bestellen, wenn wegen des besonderen Risikogrades der Datenverarbeitung eine Datenschutz-Folgenabschätzung durchzuführen ist. Darüber hinaus beim geschäftsmäßigen Datenverkehr und bei der Markt- und Meinungsforschung.

Ein Verstoß gegen die DSGVO kann ein Unternehmen bis zu 4 Prozent des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro kosten. Der EDSA (Europäische Datenschutzausschuss) hat am 12.5.2022 Leitlinien für die Berechnung von Bußgeldern nach der DSGVO verabschiedet. Diese ermöglichen den Behörden ein einheitlicheres Vorgehen. Für Unternehmen bieten sie eine gewisse Vorhersehbarkeit.
Die Aufsichtsbehörden werden Geldbußen künftig auf der Grundlage der Leitlinien 04/2022 berechnen und verhängen. Sie verfügen jedoch weiterhin über ein hohes Maß an Flexibilität, um die Umstände des Einzelfalls zu berücksichtigen.
Das Berechnungsmodell ist stark umsatzorientiert, wenn es um die Bestimmung des angepassten Ausgangspunkts geht. Unternehmen mit geringen Umsätzen können tendenziell mit geringeren Bußgeldern rechnen. Unternehmen mit hohen Umsätzen müssen künftig mit entsprechend höheren Bußgeldern rechnen.

Der Geschäftsführer eines Unternehmens haftet in der Regel nicht als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Seine Haftung ist in erster Linie auf das Innenverhältnis zur Gesellschaft beschränkt und greift bei einer eigenen Verletzung der datenschutzrechtlichen Sorgfaltspflichten. Das Oberlandesgericht Dresden hat jedoch in einem Urteil vom November 2021 einen GmbH-Geschäftsführer sogar unmittelbar als Verantwortlichen im Sinne der DSGVO in die Haftung genommen. Sollten sich weitere Gerichte der Auffassung des OLG anschließen, hätte dies weitreichende Folgen für die Praxis. Geschäftsführer müssten dann damit rechnen, wegen Datenschutzverstößen persönlich in Anspruch genommen zu werden.

Das Gesetz verpflichtet den Datenschutzbeauftragten, die oberste Unternehmens- oder Behördenleitung über relevante datenschutzrelevante Vorgänge zu informieren. Die mit dieser Informationspflicht verbundene Beratungspflicht verlangt, dass der Datenschutzbeauftragte Maßnahmen zur Einhaltung des europäischen und nationalen Datenschutzrechts vorschlägt. Diese Beratungspflicht besteht selbstverständlich auch im Hinblick auf die Neuerungen durch die Datenschutz-Grundverordnung.
Darüber hinaus werden die Aufgaben um die Kontrollfunktion des Datenschutzbeauftragten ergänzt. Dabei handelt es sich im Prinzip um eine typische Compliance-Aufgabe, denn Gegenstand der Kontrolle ist nicht nur die Einhaltung der einschlägigen Datenschutzgesetze, sondern auch die Einhaltung der „Datenschutzstrategie“ bzw. Regeln und Richtlinien, die sich das Unternehmen oder die Behörde selbst gegeben hat.