Der Bereich beantwortet drei Fragen: Brauchen wir einen Datenschutzbeauftragten? Wer ist es, und ist er gemeldet? Und welche Angaben über uns als Verantwortlichen gehören in Verarbeitungsverzeichnis, Datenschutzhinweise und Meldungen? Dazu kommt die Prüfung, ob ein Vertreter in der Union nötig ist.

Auf einen Blick

Enthalten ab: Enterprise
Wo in der App: DSGVO → Steuern → Datenschutzbeauftragter
Ergebnis: Ergebnis der Pflichtprüfung, DSB-Profil, Stammdaten des Verantwortlichen, Status des EU-Vertreters
Rechtsbezug: Art. 27, 37–39 DSGVO; § 38 BDSG
API: /api/v1/dpo

Pflichtprüfung: Ist ein DSB vorgeschrieben?

Trifft ein Kriterium zu, lautet das Ergebnis „erforderlich“. Sind alle mit Nein beantwortet und weniger als 20 Personen beschäftigt, lautet es „nicht erforderlich“; sonst „unklar“.

Kriterium	Grundlage
Behörde oder öffentliche Stelle	Art. 37 Abs. 1 lit. a DSGVO
Kerntätigkeit: umfangreiche regelmäßige und systematische Überwachung	Art. 37 Abs. 1 lit. b DSGVO
Kerntätigkeit: umfangreiche Verarbeitung besonderer Kategorien (Art. 9) oder von Straftatendaten (Art. 10)	Art. 37 Abs. 1 lit. c DSGVO
In der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt (auch Teilzeitkräfte, Auszubildende, freie Mitarbeiter)	§ 38 Abs. 1 S. 1 BDSG
Verarbeitung, die einer Datenschutz-Folgenabschätzung unterliegt, unabhängig von der Zahl der Beschäftigten	§ 38 Abs. 1 S. 2 BDSG
Geschäftsmäßige Verarbeitung zur Übermittlung, anonymisierten Übermittlung oder für Markt- oder Meinungsforschung, unabhängig von der Zahl der Beschäftigten	§ 38 Abs. 1 S. 2 BDSG

DSFA-Pflicht wird aus den Registern gelesen

Ob eine DSFA-pflichtige Verarbeitung vorliegt, ermittelt die App nicht nur aus Ihrer Antwort, sondern auch aus DSFA-Einträgen und VVT-Einträgen mit dem Screening-Ergebnis „DSFA erforderlich“. Das Ergebnis ist eine fachliche Einschätzung zur Unterstützung der Entscheidung, keine Rechtsberatung.

Das DSB-Profil

Name und Kontaktdaten: der Kontakt, der auch in die Datenschutzhinweise gehört.
Intern oder extern, bei externer Benennung mit dem Dienstleister; Konzern-DSB mit Hinweis zur Erreichbarkeit (Art. 37 Abs. 2).
Datum der Benennung, Datum der Meldung an die Aufsichtsbehörde und Veröffentlichung der Kontaktdaten (Art. 37 Abs. 7).
Nachweis der Fachkunde (Art. 37 Abs. 5) und Prüfung auf Interessenkonflikte mit Datum und Notiz (Art. 38 Abs. 6).
Aufgaben nach Art. 39 und Zuständigkeiten je Aufgabe.

Verantwortlicher: Stammdaten

Rechtlicher Name, strukturierte Anschrift, Kontakt, optional Handelsregistereintrag, Konzernmutter und zuständige Aufsichtsbehörde (Auswahl der Landesbehörden nach § 40 BDSG und des BfDI). Diese Angaben nutzt die App für das Verarbeitungsverzeichnis (Art. 30 Abs. 1 lit. a), die Datenschutzhinweise (Art. 13 Abs. 1 lit. a) und Meldungen an die Behörde.

Vertreter in der Union (Art. 27 DSGVO)

Nur für Verantwortliche oder Auftragsverarbeiter ohne Niederlassung in der Union, deren Verarbeitung unter Art. 3 Abs. 2 DSGVO fällt. Die App fragt ab:

Gibt es eine Niederlassung in der Union? Dann ist kein Vertreter nötig.
Greift eine Ausnahme nach Art. 27 Abs. 2: gelegentliche Verarbeitung ohne voraussichtliches Risiko (lit. a) oder Behörde (lit. b)?
Wenn nötig: Name, Anschrift in der Union und Mitgliedstaat, in dem sich betroffene Personen befinden (Art. 27 Abs. 3).
Das Ergebnis (nicht erforderlich, benannt, erforderlich aber nicht benannt, Prüfung offen) erscheint im Verarbeitungsverzeichnis und in der DSGVO-Checkliste.