Verpflichtende Benennung Datenschutzbeauftragter abseits der DS-GVO

DSB in Europa

Die GDD stellt einen Überblick zur Verfügung, welche Mitgliedstaaten in ihrem nationalen Umsetzungsgesetz eine verpflichtende Benennung Datenschutzbeauftragter abseits der Grundverordnung vorgesehen haben.

 

BELGIEN

Art. 21 Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel: Jede nicht-öffentliche Stelle, die eine Verarbeitung personenbezogener Daten zugunsten einer Bundesbehörde durchführt bzw. an diese von einer Bundesbehörde personenbezogene Daten übertragen wurden, muss einen Datenschutzbeauftragten bennen, falls die Verarbeitung der Daten wahrscheinlich zu einem hohen Risiko für Betroffene gem. Art. 35 DS-GVO führt.

Link zum Gesetz (EN)

 

DEUTSCHLAND

§ 38 Abs. 1 BDSG: In Fortführung von § 4f BDSG a.F. ist der Datenschutzbeauftragte bei nicht-öffentlichen Stellen verpflichtend zu benennen, wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Anzahl der mit der automatisierten Verarbeitung betrauten Personen ist die Benennung eines DSB auch dann zwingend erforderlich, wenn

  • Verarbeitungen vorgenommen werden, die einer Datenschutzfolgenabschätzung gemäß Art. 35 DS-GVO unterliegen, oder
  • personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung oder der anonymen Übermittlung, oder
  • für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

 Link zum Gesetz (DE)

SPANIEN

Art. 34 Ley Orgánica 3/2018: Verantwortliche oder Auftragsverarbeiter müssen in jedem Fall einen Datenschutzbeauftragten, wenn es sich um folgende Organisationen handelt:

  • Kammern und Körperschaften einschließlich ihrer Generalräte
  • Bildungseinrichtungen, die Bildung im Sinne aller in den Bildungsgesetzen angebotenen Niveaus anbieten, einschließlich der privaten und öffentlichen Universitäten
  • Organisationen, die Netze betreiben und elektronische Kommunikationsdienste im Sinne der anwendbaren Gesetze anbieten, falls sie gelegentlich und systematisch personenbezogene Daten in großem Umfang verarbeiten
  • Anbieter sozialer Netzwerke, falls sie in großem Umfang Profile der Nutzer anfertigen
  • Finanzinstitute gem. Art. 1 des Gesetzes 10/2014 vom 26. Juni
  • Kreditinstitute
  • Versicherungsunternehmen und Rückversicherungsunternehmen
  • Investmentdienste, die durch die Börsengesetze reguliert werden
  • Energieversorger und Vermarkter von elektrischer Energie sowie Versorger und Vermarkter von Gas
  • Organisationen, die gemeinsame Dateien zur Bewertung einer Kreditfähigkeit oder dem Betrugsmanagement bzw. der Prävention verantworten, einschließlich der Verantwortlichen für Dateien, die durch die Gesetze zur Verhütung und Bekämpfung der Geldwäsche und der Finanzierung des Terrorismus reguliert werden
  • Organisationen, die Werbekampagnen durchführen oder Handelsforschung betreiben, einschließlich der Marktanalyse und Marktforschung, falls sie Verarbeitungen auf Basis von Vorlieben der Betroffenen durchführen oder Profile derselbigen erstellen
  • Gesundheitseinrichtungen, die gesetzlich zur Aufbewahrung von Patientendaten verpflichtet sind. Ausgenommen hiervon sind Gesundheitsberufe, die ihre Tätigkeit als Einzelperson ausüben, selbst wenn sie zur Abewahrung der Patientendaten verpflichtet sind
  • Organisationen, die mit der Veröffentlichung von Unternehmensberichten befasst sind, vorausgesetzt die Berichte beziehen sich auf eine natürliche Person
  • (Glücks-)Spielanbieter, die ihre Aktivität über elektronische, telematische oder interaktive Kanäle entwickeln und durch die Gesetze für (Glücks-)Spieleanbieter reguliert werden
  • Private Sicherheitsunternehmen
  • Sportverbände, wenn sie Daten von Minderjährigen verarbeiten

Link zum Gesetz (ES)

ZYPERN

Teil IV 14. Gesetz 125(I)/2018: Die zypriotische Aufsichtsbehörde hat die gesetzliche Befugnis, eine Liste von Verarbeitugnstätigkeiten zu veröffentlichen, die eine Benennungspflicht gem. Art. 37 Abs. 1 DS-GVO auslösen soll. Eine entsprechende Veröffentlichung ist bisher nicht erfolgt.

Link zum Gesetz (EN)

 

Bild von Pete Linforth auf Pixabay

Letztes Update:07.04.19

  • Fingerabdruck im Personalausweis rechtens

    EuGH: Pflicht zur Aufnahme von Fingerabdrücken im Personalausweis ist zulässig

    Der EuGH hat entschieden, dass die Verpflichtung zur Aufnahme von zwei Fingerabdrücken im Personalausweis mit dem Unionsrecht vereinbar ist, obwohl die zugrunde liegende europäische Verordnung auf einer falschen Rechtsgrundlage beruht. Ein deutscher Staatsbürger hatte sich gegen die Weigerung der Stadt Wiesbaden gewandt, ihm einen neuen Personalausweis ohne Fingerabdrücke auszustellen. Der EuGH stellte fest, dass die

    Mehr erfahren
  • Abfrage des Geburtsdatums beim Online-Shopping nicht immer zulässig

    Mit der Rechtmäßigkeit einer datenschutzrechtlichen Anordnung hat sich das OVG Niedersachsen befasst. Im Ergebnis hat das OVG einer Online-Apotheke untersagt, als verpflichtende Angabe im Bestellprozess stets das Geburtsdatum abzufragen. Die niedersächsische Datenschutzbehörde hatte die Apotheke aufgefordert, unabhängig von der Art des bestellten Medikaments das Geburtsdatum und die Anrede des Bestellers nicht mehr abzufragen. Die Apotheke

    Mehr erfahren
  • Datenschutzbeauftragte: Deutsches Modell bleibt

    Die Institution „Datenschutzbeauftragte“ ist so alt wie das deutsche Datenschutzrecht, auf Bundesebene gibt es sie seit 1977. Viele sehen es als einen großen Erfolg, dass die Datenschutz-Grundverordnung (DS-GVO) die bewährte deutsche Regelung übernommen hat und die Bestellung von Datenschutzbeauftragten seit Wirksamwerden der DS-GVO in der Europäischen Union vorsieht. Mit den Datenschutzbeauftragten stehen Unternehmen (und Behörden)

    Mehr erfahren