Datenschutzbeauftragter und Schadensersatz

Weitere für die Praxis relevante Bestimmungen: Nach § 38 BDSG ist ein Datenschutzbeauftragter zu bestellen, wenn in der Regel mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – die Bestellung selbst ist aber nicht Gegenstand der Mitbestimmung, sofern sie nicht ausnahmsweise eine personelle Einzelmaßnahme im Sinne des § 99 BetrVG darstellt. Nach Art. 82 DSGVO kann ein Betroffener Schadensersatz auch für einen immateriellen Schaden verlangen, wenn seine Daten falsch oder unrechtmäßig verarbeitet wurden und ihm dadurch ein Schaden entstanden ist; die Beweislast liegt dabei klar beim Verantwortlichen, der nachweisen muss, korrekt gehandelt zu haben. Die Bußgeldvorschriften nach Art. 83 DSGVO wurden gegenüber dem alten BDSG drastisch verschärft: Es können Geldbußen von bis zu vier Prozent des weltweiten Jahresumsatzes verhängt werden, was Unternehmen durch die Androhung wirklich schmerzhafter Sanktionen spürbar zur Einhaltung des Datenschutzes anhält.