Das Symptom
Ein Handwerksbetrieb wächst. Erst sind es sechs, dann elf Leute, und irgendwann fällt beim Stammtisch der Satz, ab zehn Mitarbeitern brauche man einen Datenschutzbeauftragten. Der Chef beauftragt hektisch einen externen Dienstleister, unterschreibt einen Vertrag und fragt sich, was der Mensch eigentlich tun soll. Im Nachbarbetrieb läuft es umgekehrt: Dort sind es zwölf Beschäftigte, alle am Rechner, und man ist sicher, dass die Pflicht erst bei zwanzig beginnt, also gar nichts zu tun sei, auch beim Datenschutz insgesamt nicht.
Ein dritter Fall ist der heikelste: Eine kleine Agentur mit vier Leuten verdient ihr Geld damit, Adressdaten aufzubereiten und weiterzugeben. Sie zählt Köpfe, kommt auf vier und hält das Thema für erledigt.
Die „Layer 8“-Wahrheit
Die Zahl zehn steht in § 38 BDSG nicht. Der Absatz 1 nennt eine andere Schwelle und beschreibt sie genau: Zu benennen ist, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. Das ist keine Zählung der Belegschaft. Es zählt, wer dauerhaft am Rechner, an der Kasse oder im Programm mit personenbezogenen Daten arbeitet. Der Lagerhelfer ohne Bildschirm zählt nicht, die Kollegin, die täglich Aufträge mit Kundennamen in der Branchensoftware anlegt, dagegen schon.
Die zweite Hälfte des Absatzes ist der Teil, den kaum jemand kennt, und er dreht den dritten Fall um. Wer Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung unterliegen, oder wer personenbezogene Daten geschäftsmäßig zur Übermittlung, zur anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet, muss benennen, und zwar „unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen“. Die Adressagentur mit vier Leuten ist damit nicht unter der Schwelle, sondern gar nicht von ihr betroffen.
Und der zweite Fall irrt auf andere Weise. § 38 ist keine Befreiung vom Datenschutz, sondern eine Benennungspflicht, die ausdrücklich „Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c“ der Datenschutz-Grundverordnung gilt. Was die Verordnung selbst an Pflichten auferlegt, hängt nicht an der Zahl 20.
Bleibt die Frage, warum die freiwillige Benennung nicht dasselbe ist wie die verpflichtende. § 38 Absatz 2 lässt den besonderen Schutz aus § 6 Absatz 4, nach dem eine Abberufung nur in entsprechender Anwendung des § 626 BGB zulässig ist, nur gelten, wenn die Benennung verpflichtend ist. Wer also bei elf Leuten freiwillig jemanden benennt, hat damit eine andere Rechtslage geschaffen als der Betrieb, der bei zwanzig muss. Beide sollten wissen, auf welcher Seite der Linie sie stehen, und die Zählung wiederholen, wenn neue Programme oder neue Leute dazukommen.