Verpflichtende Benennung Datenschutzbeauftragter abseits der DS-GVO
Die GDD stellt einen Überblick zur Verfügung, welche Mitgliedstaaten in ihrem nationalen Umsetzungsgesetz eine verpflichtende Benennung Datenschutzbeauftragter abseits der Grundverordnung vorgesehen haben.
BELGIEN
Art. 21 Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel: Jede nicht-öffentliche Stelle, die eine Verarbeitung personenbezogener Daten zugunsten einer Bundesbehörde durchführt bzw. an diese von einer Bundesbehörde personenbezogene Daten übertragen wurden, muss einen Datenschutzbeauftragten bennen, falls die Verarbeitung der Daten wahrscheinlich zu einem hohen Risiko für Betroffene gem. Art. 35 DS-GVO führt.
DEUTSCHLAND
§ 38 Abs. 1 BDSG: In Fortführung von § 4f BDSG a.F. ist der Datenschutzbeauftragte bei nicht-öffentlichen Stellen verpflichtend zu benennen, wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Anzahl der mit der automatisierten Verarbeitung betrauten Personen ist die Benennung eines DSB auch dann zwingend erforderlich, wenn
- Verarbeitungen vorgenommen werden, die einer Datenschutzfolgenabschätzung gemäß Art. 35 DS-GVO unterliegen, oder
- personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung oder der anonymen Übermittlung, oder
- für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
SPANIEN
Art. 34 Ley Orgánica 3/2018: Verantwortliche oder Auftragsverarbeiter müssen in jedem Fall einen Datenschutzbeauftragten, wenn es sich um folgende Organisationen handelt:
- Kammern und Körperschaften einschließlich ihrer Generalräte
- Bildungseinrichtungen, die Bildung im Sinne aller in den Bildungsgesetzen angebotenen Niveaus anbieten, einschließlich der privaten und öffentlichen Universitäten
- Organisationen, die Netze betreiben und elektronische Kommunikationsdienste im Sinne der anwendbaren Gesetze anbieten, falls sie gelegentlich und systematisch personenbezogene Daten in großem Umfang verarbeiten
- Anbieter sozialer Netzwerke, falls sie in großem Umfang Profile der Nutzer anfertigen
- Finanzinstitute gem. Art. 1 des Gesetzes 10/2014 vom 26. Juni
- Kreditinstitute
- Versicherungsunternehmen und Rückversicherungsunternehmen
- Investmentdienste, die durch die Börsengesetze reguliert werden
- Energieversorger und Vermarkter von elektrischer Energie sowie Versorger und Vermarkter von Gas
- Organisationen, die gemeinsame Dateien zur Bewertung einer Kreditfähigkeit oder dem Betrugsmanagement bzw. der Prävention verantworten, einschließlich der Verantwortlichen für Dateien, die durch die Gesetze zur Verhütung und Bekämpfung der Geldwäsche und der Finanzierung des Terrorismus reguliert werden
- Organisationen, die Werbekampagnen durchführen oder Handelsforschung betreiben, einschließlich der Marktanalyse und Marktforschung, falls sie Verarbeitungen auf Basis von Vorlieben der Betroffenen durchführen oder Profile derselbigen erstellen
- Gesundheitseinrichtungen, die gesetzlich zur Aufbewahrung von Patientendaten verpflichtet sind. Ausgenommen hiervon sind Gesundheitsberufe, die ihre Tätigkeit als Einzelperson ausüben, selbst wenn sie zur Abewahrung der Patientendaten verpflichtet sind
- Organisationen, die mit der Veröffentlichung von Unternehmensberichten befasst sind, vorausgesetzt die Berichte beziehen sich auf eine natürliche Person
- (Glücks-)Spielanbieter, die ihre Aktivität über elektronische, telematische oder interaktive Kanäle entwickeln und durch die Gesetze für (Glücks-)Spieleanbieter reguliert werden
- Private Sicherheitsunternehmen
- Sportverbände, wenn sie Daten von Minderjährigen verarbeiten
ZYPERN
Teil IV 14. Gesetz 125(I)/2018: Die zypriotische Aufsichtsbehörde hat die gesetzliche Befugnis, eine Liste von Verarbeitugnstätigkeiten zu veröffentlichen, die eine Benennungspflicht gem. Art. 37 Abs. 1 DS-GVO auslösen soll. Eine entsprechende Veröffentlichung ist bisher nicht erfolgt.
Bild von Pete Linforth auf Pixabay
Das könnte Sie auch interessieren
-
Folge 38: EuGH erleichtert Massenklagen – Die Voraussetzungen des immateriellen Schadensersatzes nach Art. 82 DS-GVO
Verfahren wegen des Ersatzes immaterieller Schäden nach Art. 82 DSGVO werden ständig mehr. Typische Anlässe sind Datenpannen, sonstige Datenschutzverstöße durch Unternehmen wie eine Werbemail ohne Einwilligung oder ein nicht rechtzeitig erfüllter Auskunftsanspruch. Deutsche Gerichte legen Art. 82 DSGVO bislang unterschiedlich weit und uneinheitlich aus. Der EuGH hat sich am 4. Mai 2023 in der Rs.
Mehr erfahren -
IT-Grundschutz in der Microsoft-Cloud
Microsoft hat in Zusammenarbeit mit der HiSolutions AG drei kostenlose IT-Grundschutz-Handbücher entwickelt, die auf der aktuellen Edition des IT-Grundschutz-Kompendiums des Bundesamts für Sicherheit in der Informationstechnik (BSI) basieren. Die Handbücher sollen Microsoft-Kunden helfen, die Nutzung von Cloud-Diensten wie Microsoft Azure, Microsoft 365 oder Dynamics 365 unter Berücksichtigung des IT-Grundschutzes sicher und erfolgreich zu gestalten. Dabei
Mehr erfahren -
EuGH urteilt zum Begriff “Recht auf Kopie”
Einige von der Datenschutzwelt mit Spannung erwartete Urteile des Europäischen Gerichtshofes wurden am 04. Mai 2023 veröffentlicht. 2. Urteil des Gerichtshofs in der Rechtssache C-487/21 | Österreichische Datenschutzbehörde und CRIF Der Hintergrund des zweiten mit Spannung erwartete Urteils des EuGH war ein Vorabentscheidungsersuchen nach Art. 267 AEUV, welches vom Bundesverwaltungsgericht (Österreich) eingereicht wurde. Das Bundesverwaltungsgericht in
Mehr erfahren
