dsb-bestellungspflicht-pruefung

name	dsb-bestellungspflicht-pruefung
title	DSB-Bestellungspflicht und -Anforderungen
description	Bestellungspflicht für Datenschutzbeauftragten prüfen. Art. 37 DSGVO § 38 BDSG Bestellungspflicht. Prüfraster: Schwellenwerte Art. 37 Abs. 1 Betriebsgroe Verarbeitungsart Pflichtbestellung freiwillige Bestellung. Output: Bestellungsprüfmemo Empfehlung. Abgrenzung: nicht für Aufgaben des DSB (Art. 39 DSGVO).
author	Klotzkette
author_url	https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/datenschutzrecht/skills/dsb-bestellungspflicht-pruefung
license	Apache-2.0
version	0.1.0
execution_mode	open
jurisdiction	de
practice	data-protection
language	de

DSB-Bestellungspflicht und -Anforderungen

Zweck

Häufige Lücke in Unternehmen: Pflicht zur DSB-Bestellung wird nicht erkannt. Dieses Skill prüft Pflicht, Anforderungen an DSB und löst Folge-Probleme (Interessens-Konflikt, externe vs. interne Bestellung).

Eingaben

• Unternehmens-Typ (öffentlich privat)
• Beschäftigten-Zahl
• Verarbeitungs-Tätigkeiten (Übersicht aus VVT)
• Bestand DSB ja/nein
• Bei Bestand: Person und Rolle (intern extern)

Schritt 1 — Pflicht-Tatbestände Art. 37 DSGVO

Lit. a) Öffentliche Stelle / Behörde

• Pflicht unabhängig von Größe
• Außer Gerichte in Justizfunktion

Lit. b) Kerntätigkeit umfangreiche regelmäßige systematische Überwachung

• Kerntätigkeit das Geschäft selbst (nicht nur Mittel zur Geschäftsführung)
• Umfangreich Skalierung
• Regelmäßig systematisch Dauerhaft strukturiert
• Überwachung Beobachtung Verhalten Profilbildung

Beispiele

• Online-Verhaltens-Tracking Werbe-Netzwerke
• Vermarkter mit Profiling
• Telematik-Versicherer
• Standort-Verfolgung
• CCTV im großen Stil

Lit. c) Kerntätigkeit umfangreiche Verarbeitung besondere Kategorien

• Art. 9 DSGVO Daten (Gesundheit Religion Sexual-Orientierung etc.)
• Strafrechtliche Daten Art. 10
• Umfangreich

Beispiele

• Krankenhäuser
• Religions-Gemeinschaften
• Personalvermittler mit Diversity-Daten
• Strafvollzug-Dienstleister
• Genetik-/Genom-Labore

Schritt 2 — § 38 BDSG Deutsche Erweiterung

Schwellenwert

• In der Regel mindestens 20 Personen
• Ständig mit automatisierter Verarbeitung beschäftigt
• Bei Pflicht zur DSFA (Art. 35) auch bei weniger Personen
• Bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung anonymen Übermittlung Markt- oder Meinungsforschung

"Personen" im Sinne § 38 BDSG

• Mitgezählt werden eigene Beschäftigte des Verantwortlichen (Voll- und Teilzeit, Aushilfen, Auszubildende, Werkstudenten, freie Mitarbeiter mit Datenzugriff)
• Auftragsverarbeiter-Personal zählt NICHT mit — dieses gehört zum Auftragsverarbeiter, der selbst die DSB-Pflicht prüft