Wer muss sich im Register der Verantwortlichen eintragen? Drei Prüfungen entscheiden

Wer muss sich im Register der Verantwortlichen eintragen?

Drei Kriterien entscheiden über die Pflicht, und sie stehen alternativ zueinander: eines zu erfüllen genügt. Eine Schwelle bei der Beschäftigtenzahl, eine Schwelle bei der Bilanzsumme, und die Verarbeitung besonderer Kategorien personenbezogener Daten als Haupttätigkeit. Wer keines der drei erfüllt, hat keine Eintragungspflicht.

In der Praxis wird gerade das Wort \"alternativ\" am häufigsten missverstanden. Ein Unternehmen mit wenigen Beschäftigten kann verpflichtet sein, weil es die Bilanzschwelle überschreitet; ein Gesundheits-Start-up, das keine der beiden überschreitet, wird über das dritte Kriterium verpflichtet. Nur ein Kriterium zu prüfen und daraus \"wir sind nicht betroffen\" zu schließen, ist der häufigste und teuerste Fehler.

Wie hoch sind die Schwellen bei Beschäftigten und Bilanzsumme?

Weil sie sich ändern. Die Ausnahmeschwellen werden durch Beschlüsse der Behörde aktualisiert, und ein Großteil der Inhalte im Netz trägt noch eine Zahl von vor einigen Jahren — ein Unternehmen, das daraus \"wir sind nicht betroffen\" schließt, verletzt seine Pflicht, ohne es zu wissen.

Dauerhaft ist die Logik der Prüfungen: drei Kriterien, ein Alternativverhältnis, keine Schwelle bei besonderen Kategorien. Bestätigen Sie den geltenden Wert auf der Seite der Behörde samt Beschlussdatum und legen Sie diese Bestätigung zu Ihrer Eintragungsakte. Eine Prüfung fragt, woher Sie die Zahl kannten.

Wenn wir von der Eintragung befreit sind, sind wir vom Gesetz befreit?

Fast nichts. Das Register ist ein Verzeichnis, nicht das Gesetz selbst. Ein Unternehmen unterhalb der Schwelle ist ebenso verpflichtet, seiner Informationspflicht nachzukommen, dort Einwilligung einzuholen, wo sie erforderlich ist, technische und organisatorische Maßnahmen umzusetzen, Aufbewahrungsfristen festzulegen und nach Ablauf zu löschen sowie eine Datenschutzverletzung fristgerecht zu melden.

Das typische Muster in Unternehmen, die diesen Unterschied übersehen: Es wird nichts getan, weil keine Eintragungspflicht besteht; dann kommt es zu einer Verletzung, und die Prüfung findet weder ein Verzeichnis noch Datenschutzhinweise noch eine Dokumentation der Maßnahmen. Das Bußgeld entsteht nicht aus der fehlenden Eintragung, sondern aus deren Fehlen.

Wie erstellt man ein Verzeichnis von Verarbeitungstätigkeiten?

Jedes Feld, das das Formular verlangt — Datenkategorien, Verarbeitungszwecke, Rechtsgrundlagen, Empfängergruppen, Aufbewahrungsfristen, Drittlandsübermittlungen — stammt aus dem Verarbeitungsverzeichnis. Ein Unternehmen ohne Verzeichnis kann das Formular nur raten, und dieses Raten wird in jeder späteren Prüfung zum Beweismittel gegen es.

Der praktische Weg führt über die Systeme: Welche Software hält personenbezogene Daten, welche Felder hat sie jeweils, woher kommen die Daten und wohin gehen sie? Personal, Buchhaltung, CRM, E-Commerce, das Ticketsystem und Kameraaufzeichnungen stehen in fast jedem Unternehmen weit oben auf der Liste.

Muss sich ein ausländisches Unternehmen eintragen?

Verantwortliche ohne Niederlassung im Land unterliegen einer anderen Regelung: Sie müssen einen Vertreter benennen und sich über diesen eintragen. Eine Tochtergesellschaft einer ausländischen Gruppe wird nach ihrer eigenen Rechtspersönlichkeit beurteilt — eine Eintragung der Gruppe hebt die Pflicht der Tochter nicht auf.

Wie lange dauert die Eintragung?

Die Eintragung selbst ist eine Stunde Arbeit. Den Zeitplan bestimmt das Verzeichnis: wenige Tage in einem Unternehmen mit wenigen Systemen, Wochen in einer Organisation mit vielen. Die richtige Reihenfolge lautet Verzeichnis, Datenschutzhinweise, Aufbewahrungs- und Löschkonzept, dann Eintragung; die umgekehrte Reihenfolge beschleunigt die Eintragung und macht ihren Inhalt falsch.

Ist die Eintragung kostenlos?

Die Eintragung ist kostenlos und erfolgt direkt über das System der Behörde. Vermittler, die eine Gebühr verlangen, verkaufen die Vorarbeit und nicht die Eintragung: das Verzeichnis, die Datenschutzhinweise, das Aufbewahrungs- und Löschkonzept. Diese Arbeit kostet tatsächlich Aufwand, für die Eintragung selbst müssen Sie jedoch nichts zahlen. Arbeiten Sie mit einem Vermittler, lassen Sie sich die Preise Position für Position aufschlüsseln.

Sind Datenschutzhinweis und Einwilligung dasselbe?

Nein, und beides zu verwechseln gehört zu den teureren Fehlern. Der Hinweis ist eine Informationspflicht; er gilt für jede Verarbeitung und braucht keine Zustimmung. Die Einwilligung ist eine Rechtsgrundlage; sie wird nur gebraucht, wenn keine andere greift. Unternehmen, die für alles Einwilligungen sammeln, müssen die Verarbeitung einstellen, sobald eine Einwilligung widerrufen wird — auch dort, wo ein Vertrag oder ein berechtigtes Interesse gereicht hätte.

Müssen auch Beschäftigtendaten eingetragen werden?

Sie müssen im Verzeichnis erscheinen, ja. Personaldaten sind in fast jedem Unternehmen der umfangreichste Bestand personenbezogener Daten: Personalakten, Lohnabrechnung, Urlaubsdaten, ärztliche Bescheinigungen, Kameraaufzeichnungen. Eine ärztliche Bescheinigung aufzubewahren bringt ein Unternehmen für sich genommen nicht in den Bereich besonderer Kategorien, sie muss aber als eigene Kategorie mit festgelegter Aufbewahrungsfrist im Verzeichnis stehen.

Wer sollte die Eintragung vornehmen?

Wer sie technisch einträgt, ist zweitrangig — die Verantwortung liegt beim Verantwortlichen, also beim Unternehmen. In der Praxis führt Recht, Compliance oder IT den Prozess; entscheidend ist, dass die Menschen mitwirken, die tatsächlich wissen, was im Verzeichnis steht. Ein von einer Person aus dem Gedächtnis ausgefülltes Verzeichnis hält dem Abgleich mit den Systemen in einer Prüfung nicht stand.

“Das Register ist ein Verzeichnis, nicht das Gesetz selbst; von der Eintragung befreit zu sein heißt nicht, von den Pflichten befreit zu sein.”