Daten­schutz­beauftragter bei sensiblen Daten: Wann ist er Pflicht?

Ab wann ist ein Datenschutzbeauftragter wegen der Verarbeitung sensibler Daten gesetzlich vorgeschrieben? Die Antwort liegt in der Verbindung dreier DSGVO-Normen: Art. 9 DSGVO (besondere Kategorien personenbezogener Daten), Art. 10 DSGVO (strafrechtliche Daten) und Art. 37 DSGVO (Benennungspflicht). Als erfahrene Berater im Datenschutz und IT-Recht begleitet SL PROJECTS & COMPLIANCE Unternehmen und Organisationen durch diese komplexen Anforderungen.

Im folgenden Beitrag erfahren Sie, welche Datenkategorien als besonders schützenswert gelten, wann die Benennungspflicht entsteht und welche praktischen Konsequenzen ein Verstoß hat.

Was sind sensible Daten nach Art. 9 DSGVO?

Die Datenschutz-Grundverordnung unterscheidet zwischen gewöhnlichen personenbezogenen Daten – etwa Name, Adresse oder E-Mail-Adresse – und solchen Datenkategorien, die ein besonders hohes Risiko für die Grundrechte und Grundfreiheiten der betroffenen Personen tragen. Diese besonderen Kategorien sind in Art. 9 DSGVO aufgeführt.

Zu den besonderen Kategorien zählen: rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten (zur eindeutigen Identifizierung einer Person), Gesundheitsdaten sowie Daten zum Sexualleben oder der sexuellen Orientierung.

Der Gesetzgeber hat diesen Katalog bewusst eng und abschließend gefasst. Es können keine weiteren Kategorien durch Auslegung hinzugefügt werden. Allerdings sind auch indirekte Daten erfasst: Informationen, die mittelbar auf eine dieser Kategorien schließen lassen, unterfallen ebenfalls dem Schutz des Art. 9 DSGVO.

Warum sind gerade diese Daten so besonders schützenswert?

Hintergrund des erhöhten Schutzstandards ist das Diskriminierungsverbot. Daten über die ethnische Herkunft, die Religion oder die sexuelle Orientierung können, wenn sie in falsche Hände geraten, unmittelbar zur Diskriminierung eingesetzt werden. Biometrische Daten ermöglichen eine eindeutige Identifizierung von Personen; eine Kompromittierung ist praktisch nicht reversibel.

Gesundheitsdaten betreffen den intimsten Bereich der menschlichen Existenz. Bereits die Information, dass eine Person einen Arzt aufgesucht hat, gilt nach herrschender Auffassung als Gesundheitsdatum. Gleiches gilt für Angaben aus Fitness-Apps, Laborergebnisse oder Diagnosen. Für Arbeitgeber ist dies besonders relevant: Auch eine schlichte Krankmeldung fällt darunter.

Genetische Daten wiederum sind dadurch besonders sensibel, dass sie nicht nur die betroffene Person beschreiben, sondern auch Rückschlüsse auf biologische Verwandte zulassen. Eine Weitergabe genetischer Daten tangiert daher stets auch den Datenschutz Dritter.

Was regelt Art. 10 DSGVO – und warum steht er neben Art. 9?

Art. 10 DSGVO bildet eine systematische Ergänzung zu Art. 9 DSGVO. Er regelt die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten sowie entsprechende Sicherungsmaßregeln. Diese Daten sind nicht Teil des Katalogs in Art. 9 DSGVO, erfahren aber durch Art. 10 DSGVO eine eigenständige Schutzebene.

Verarbeitet werden dürfen solche Daten grundsätzlich nur unter behördlicher Aufsicht oder wenn eine Rechtsgrundlage nach Unions- oder Mitgliedstaatenrecht dies ausdrücklich gestattet. Für Privatunternehmen bedeutet dies: Ohne explizite gesetzliche Grundlage ist die Verarbeitung strafrechtlicher Daten unzulässig.

Wann entsteht die Pflicht zur Benennung eines Datenschutzbeauftragten?

Nach Art. 37 DSGVO ist ein Datenschutzbeauftragter zwingend zu benennen, wenn zwei Voraussetzungen kumulativ vorliegen: Die Verarbeitung der sensiblen Daten muss die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters darstellen. Die Verarbeitung muss umfangreich erfolgen, d.h. über bloße Routineaufgaben hinausgehen.

Der Begriff „Kerntätigkeit“ ist dabei enger zu verstehen als der Gesamtbetrieb eines Unternehmens. Gemeint sind die hauptsächlichen Geschäftsbereiche, die die strategische Ausrichtung prägen – nicht Unterstützungsprozesse wie die eigene Personalverwaltung oder Buchhaltung. Eine Arztpraxis, deren Kerngeschäft die Behandlung von Patienten ist, verarbeitet Gesundheitsdaten in der Kerntätigkeit; ein Handwerksbetrieb, der lediglich Lohnsteuerdaten seiner wenigen Mitarbeitenden verwaltet, hingegen nicht.

Was ist der Unterschied zwischen internem und externem Datenschutzbeauftragten?

Das DSGVO-Regime lässt beide Modelle zu. Nach Art. 37 Abs. 6 DSGVO kann der Datenschutzbeauftragte Beschäftigter des Verantwortlichen sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags als externer DSB erbringen.

Ein interner Datenschutzbeauftragter ist fest im Unternehmen integriert, verfügt über unmittelbares Insiderwissen und ist dauerhaft verfügbar. Dafür bringt er strukturelle Interessenkonflikte mit sich – er darf keine Aufgaben ausüben, die zu einem Interessenkonflikt führen, und unterliegt einem besonderen Abberufungsschutz.

Ein externer Datenschutzbeauftragter bietet hingegen typischerweise höhere fachliche Tiefe, branchenübergreifende Erfahrung und eine echte strukturelle Unabhängigkeit. Für viele kleine und mittlere Unternehmen – sowie für Organisationen, die keinen geeigneten internen Kandidaten vorweisen können – ist die externe Lösung die praktikablere und oft kosteneffizientere Variante.

Welche Aufgaben hat der Datenschutzbeauftragte nach Art. 39 DSGVO?

Der Aufgabenkatalog des Datenschutzbeauftragten ergibt sich aus Art. 39 DSGVO und umfasst mindestens:

• Unterrichtung und Beratung des Verantwortlichen sowie der Beschäftigten über datenschutzrechtliche Pflichten
• Überwachung der Einhaltung der DSGVO, anderer EU-Datenschutzvorschriften und der internen Datenschutzvorgaben
• Sensibilisierung und Schulung der mit der Verarbeitung befassten Mitarbeiter
• Beratung bei der Datenschutz-Folgenabschätzung (DSFA)
• Zusammenarbeit mit und Anlaufstelle für die Aufsichtsbehörde

Wann dürfen sensible Daten überhaupt verarbeitet werden?

Art. 9 DSGVO statuiert ein grundsätzliches Verarbeitungsverbot. Die Verarbeitung ist nur ausnahmsweise zulässig, wenn einer der abschließend normierten Erlaubnistatbestände in Art. 9 Abs. 2 DSGVO greift. Alle Ausnahmetatbestände sind restriktiv auszulegen. Die praktisch bedeutsamsten sind:

• Ausdrückliche Einwilligung der betroffenen Person – eine konkludente oder stillschweigende Einwilligung genügt nicht
• Verarbeitung zur Erfüllung arbeits- oder sozialrechtlicher Pflichten – erfordert eine entsprechende Rechtsgrundlage im Unions- oder nationalen Recht
• Schutz lebenswichtiger Interessen der Betroffenen oder einer anderen Person – greift nur, wenn die betroffene Person nicht in der Lage ist, ihre Einwilligung zu erteilen
• Verarbeitung zu Zwecken der Gesundheitsvorsorge, Arbeitsmedizin oder der Verwaltung von Systemen der Sozialversicherung – gebunden an Geheimhaltungspflichten

Welche Folgen drohen bei Verstößen gegen die Benennungspflicht?

Ein Verstoß gegen die Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO ist bußgeldbewehrt. Nach Art. 83 DSGVO können Aufsichtsbehörden Geldbußen verhängen.

Neben dem unmittelbaren Bußgeldrisiko entstehen durch das Fehlen eines Datenschutzbeauftragten strukturelle Compliance-Defizite: Ohne DSB werden Meldepflichten bei Datenpannen, die Pflicht zur Datenschutz-Folgenabschätzung und die Überwachung der technisch-organisatorischen Maßnahmen nicht koordiniert – was weitere Verstöße und Bußgelder nach sich ziehen kann.

Was tun, wenn unklar ist, ob die Benennungspflicht besteht?

In vielen Fällen ist die Frage, ob ein Datenschutzbeauftragter benannt werden muss, keine triviale Subsumtion, sondern erfordert eine individuelle Risikoanalyse. Folgende Schritte sind empfehlenswert:

• Inventarisierung aller Verarbeitungstätigkeiten im Unternehmen und Identifikation derjenigen, die sensible Daten nach Art. 9 oder Art. 10 DSGVO betreffen
• Prüfung, ob diese Verarbeitungen die Kerntätigkeit des Unternehmens prägen oder lediglich Nebenaktivitäten darstellen
• Bewertung des „Umfangs“ (Anzahl der Betroffenen, Dauer, geographische Ausdehnung, Datenmenge)
• Berücksichtigung nationaler Anforderungen: § 38 Abs. 1 BDSG sieht für nichtöffentliche Stellen eine Benennungspflicht bereits ab 20 ständig mit der automatisierten Datenverarbeitung beschäftigten Personen vor
• Dokumentation der Prüfung im Verzeichnis der Verarbeitungstätigkeiten

Datenschutzbeauftragter bei sensiblen Daten – frühzeitig handeln

Die Verpflichtung zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO greift immer dann, wenn sensible Daten nach Art. 9 oder Art. 10 DSGVO den Kern des Geschäftsbetriebs prägen und umfangreich verarbeitet werden. Wer diese Grenze überschreitet, ohne einen DSB zu benennen, setzt sich erheblichen Bußgeldrisiken aus.

Ob ein externer Datenschutzbeauftragter die richtige Lösung ist, hängt von der Unternehmensstruktur, dem Verarbeitungsumfang und den internen Ressourcen ab. SL PROJECTS & COMPLIANCE steht Ihnen für eine unverbindliche Ersteinschätzung zur Verfügung.