Datenschutzbeauftragter? Erst ab 20 Personen nötig!
Mit der DSGVO kam 2018 bei vielen Vereinen zunächst Unruhe auf. Denn § 38 BDSG besagte, dass ein Unternehmen immer dann einen Datenschutzbeauftragten benötigt, sofern sich mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Diese Regelung galt auch für Vereine. Die Problematik wurde erkannt und mit einer entsprechend gesetzlichen Anpassung reagiert, sodass ein Datenschutzbeauftragter nach aktuellem Stand erst am 20 Personen nötig ist. Die Änderung wurde explizit mit der Entlastung der gemeinnützigen Institutionen begründet.
„Ständig beschäftigt“ oder „nicht ständig beschäftigt“ – das ist hier die Frage
Um für seinen Verein ausmachen zu können, ob ein Datenschutzbeauftragter bestellt werden muss oder nicht, muss erfasst werden, wie viele Personen tatsächlich ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – denn genau davon hängt die Schwelle der 20 Personen ab. Deshalb wird unterschieden:
- „ständig beschäftigt“: Personen, die permanent mit der Mitgliederverwaltung beschäftigt sind, auch der Zugang zu E-Mail-Systemen zählt bereits dazu, ebenso wie Vor- und Nacharbeiten, die im Zusammenhang mit den Personendaten stehen.
- „nicht ständig beschäftigt“: Personen, die beispielsweise nur teilweise mit den Mitgliederdaten, wie Name und Adresse, umgehen, diese aber weder verarbeiten noch verwalten und auch keinen Zugang zu Datenverarbeitungssystemen mit personenbezogenen Daten haben.
Anhand dieser Definition der beiden Beschäftigungs-Stati wird klar, dass Personen schnell in den Status einer ständigen Beschäftigung fallen. Somit müssen sie mitgezählt werden, wenn es um die Ermittlung der mit der Datenverarbeitung beschäftigten Personen im Verein geht.
Wann greift die Bestellpflicht zum Datenschutzbeauftragten?
Möchte man prüfen, ob die Bestellpflicht zum Datenschutzbeauftragten im eigenen Verein bereits greift, sollte man nicht nur die Angestellten innerhalb des Vereins berücksichtigen. Denn auch alle Mitglieder und ehrenamtlichen Helfer zählen bei der Schwelle der 20 Personen mit. Bei der Bestellpflicht geht es folglich nicht um die Art der Beschäftigung oder ein Angestelltenverhältnis und auch nicht um die Stundenanzahl, die aufgewendet wird, sondern um die Menge der Datenverarbeitung. Und eben diese „Menge an Datenverarbeitung“ wird in Personen gemessen, um den Prozess zu vereinfachen.
Datenschutzbeauftragter erst ab 20 Personen nötig – aber Achtung!
Schnell erweckt die Lockerung hinsichtlich des Datenschutzbeauftragten den Eindruck einer allgemeinen Lockerung im Datenschutz, den sich viele Vereine wünschen würden – doch dem ist nicht so und genau das macht die gesetzliche Anpassung zu Fluch und Segen zugleich. Denn auch wenn ein Verein aufgrund der Personenanzahl keinen Datenschutzbeauftragten benötigt, muss er dennoch datenschutzrechtlichen Vorgaben der DSGVO und des BDSGs erfüllen. Dass ein Datenschutzbeauftragter erst ab 20 Personen nötig ist, befreit einen Verein nicht vor der Umsetzung der DSGVO!
Und wo liegt nun die Herausforderung für Vereine? Mussten diese zuvor bereits ab 10 Personen einen Datenschutzbeauftragten hinzuziehen bzw. ernennen, so hatten sie stets einen Fachmann an ihrer Seite, der mit allen rechtlichen Belangen vertraut war und die Umsetzung aller Richtlinien überwachte. Wird nun bis zu einer Anzahl von 20 Personen, die personenbezogene Daten verarbeiten, kein Datenschutzbeauftragter bestellt, so steigt das Fehlerrisiko und damit auch das Haftungsrisiko. Denn die zahlreichen Regelungen der DSGVO werden schnell zur Herausforderung im Vereinsalltag. Dabei können Datenschutzverstöße und -verletzungen mit hohen Strafzahlungen bis in Millionenhöhe einhergehen.
Doch haben wir gute Nachrichten für Sie: Denn mit unserem Vereinsschutzbrief sichern Sie nicht nur sich und Ihren Verein mit einem umfassenden Versicherungsschutz ab, sondern profitieren auch von einer Rechtsberatung. Unsere Experten helfen Ihnen so auch in allen Fragen rund um die DSGVO und den Datenschutzbeauftragten weiter.
Wichtig: Dass ein Datenschutzbeauftragter erst ab 20 Personen nötig ist, heißt natürlich nicht, dass Sie nicht dennoch einen Experten hinzuziehen können!
