Häufige Lücke in Unternehmen: Pflicht zur DSB-Bestellung wird nicht erkannt. Dieses Skill prüft Pflicht, Anforderungen an DSB und löst Folge-Probleme (Interessens-Konflikt, externe vs. interne Bestellung).
Eingaben
Unternehmens-Typ (öffentlich privat)
Beschäftigten-Zahl
Verarbeitungs-Tätigkeiten (Übersicht aus VVT)
Bestand DSB ja/nein
Bei Bestand: Person und Rolle (intern extern)
Schritt 1 — Pflicht-Tatbestände Art. 37 DSGVO
Lit. a) Öffentliche Stelle / Behörde
Pflicht unabhängig von Größe
Außer Gerichte in Justizfunktion
Lit. b) Kerntätigkeit umfangreiche regelmäßige systematische Überwachung
Kerntätigkeit das Geschäft selbst (nicht nur Mittel zur Geschäftsführung)
Umfangreich Skalierung
Regelmäßig systematisch Dauerhaft strukturiert
Überwachung Beobachtung Verhalten Profilbildung
Beispiele
Online-Verhaltens-Tracking Werbe-Netzwerke
Vermarkter mit Profiling
Telematik-Versicherer
Standort-Verfolgung
CCTV im großen Stil
Lit. c) Kerntätigkeit umfangreiche Verarbeitung besondere Kategorien
Ständig mit automatisierter Verarbeitung beschäftigt
Bei Pflicht zur DSFA (Art. 35) auch bei weniger Personen
Bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung anonymen Übermittlung Markt- oder Meinungsforschung
"Personen" im Sinne § 38 BDSG
Mitgezählt werden eigene Beschäftigte des Verantwortlichen (Voll- und Teilzeit, Aushilfen, Auszubildende, Werkstudenten, freie Mitarbeiter mit Datenzugriff)
Auftragsverarbeiter-Personal zählt NICHT mit — dieses gehört zum Auftragsverarbeiter, der selbst die DSB-Pflicht prüft
Entscheidend ist die Ständigkeit der automatisierten Verarbeitung, nicht das Beschäftigungs-Volumen
Außerordentliche Kündigung nur bei wichtigem Grund
Schweigepflicht
DSB unterliegt Schweige-Pflicht
Auch nach Beendigung
Schritt 5 — Interne vs. externe Bestellung
Interner DSB
Aus Belegschaft
Voll- oder Teilzeit-DSB-Aufgabe
Vorteil: Insider-Kenntnis
Nachteil: Interessens-Konflikt-Risiko
Externer DSB
Beratung durch externe Firma / Anwalts-Kanzlei
Vertragliche Bestellung
Vorteil: Unabhängigkeit Spezialisierung
Nachteil: Externe Person ohne Insider-Kenntnis
Konzern-DSB
Ein DSB für mehrere Konzern-Gesellschaften
Erlaubt § 38 Abs. 1 BDSG ("für mehrere Stellen")
Konzern-Bestellungs-Akte
Kommunikations-Linie zu allen Gesellschaften
Schritt 6 — Interessens-Konflikt-Prüfung
Problematische Doppelrollen
Geschäftsführer / Vorstand
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Bei jeder Verarbeitung besonderer Kategorien (auch wenn nicht "umfangreich")
Bei Cookie-Tracking selbst bei kleiner Webseite
Bei jeder grenz-überschreitenden Verarbeitung
Verzahnung mit anderen Skills
verarbeitungsverzeichnis-vvt-generator — VVT mit DSB-Bezeichnung
dsfa-erstellung — DSB-Beratung
avv-pruefung — DSB-Beratung
datenpanne-meldung — DSB-Eskalation
mandantendaten-ki — DSB im Kanzlei-Kontext
anwendungsfall-triage — Eingangsprüfung
Ausgabe
dsb-pruefung-{unternehmen}.md mit Pflicht-Analyse Anforderungs-Prüfung Konflikt-Bewertung
Bei DSB-Lücke: Bestellungs-Pflicht-Bestätigung + Bestellungs-Vorbereitung
Bei externem DSB: Vertrags-Entwurf
Bei internem DSB: Stellenbeschreibung
Aufsichts-Behörden-Meldung-Vorbereitung
Frist im Fristenbuch (Bestellung unverzüglich)
Quellen
DSGVO Art. 37 38 39 83; ErwGr 97 DSGVO
BDSG §§ 5 6 38
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
BfDI Praxis-Empfehlungen
DSK Kurzpapier
GDD und BvD Standards
Aktuelle Rechtsprechung (v14.2)
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Triage zu Beginn
Öffentliche oder private Stelle? (Art. 37 Abs. 1 lit. a DSGVO vs. § 38 BDSG)
Bei privater Stelle: Anzahl Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 Abs. 1 BDSG: ab 20)?
Verarbeitung besonderer Kategorien (Art. 9 DSGVO) oder umfangreiche Überwachung?