Gemäß §38 BDSG:
„…soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen…“

Dies bedeutet sobald im Unternehmen mehr als 19 Personen mit automatisierter Verarbeitung von personenbezogenen Daten beschäftigt sind, wie z.B. in einem CRM oder Warenwirtschaftssystem,  wird ein Datenschutzbeauftragter benötigt.

Darüber hinaus kann ein Datenschutzbeauftragter auch im Falle der Verarbeitung von „besonderen Kategorien“ personenbezogener Daten notwendig werden, unabhängig von der Anzahl der Mitarbeiter.

Beispiele für besondere Kategorien:
- politische Meinung,
- religiöse Überzeugungen,
- Gewerkschaftszugehörigkeit,
- Gesundheitsdaten

- usw.

Gemäß DSGVO, Art 4.1:
„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen…“

Dies bedeutet alle Daten die Rückschlüsse auf einen Betroffenen zulassen, gelten als personenbezogene Daten.

Beispiele für Einzelangaben mit Personenbezug:
- Name
- Kontaktdaten (z.B. Anschrift)
- IP-Adressen
- Telefonnummer
- Autokennzeichen
- Geburtsort
- körperliche Merkmale (z.B. Größe, Haarfarbe)
- Verbindungen und Beziehungen (z.B. Hinweis auf den Arbeitgeber, Vereinsmitgliedschaft)
- Gesundheitsdaten (z.B. Hinweis auf körperliche Behinderung)
- Biometrische Daten (z.B. Fingerabdruck)
- weitere Daten (z.B. gekaufte Produkte)

Die DSGVO definiert in Art. 4.1 als „betroffene Person“ jede natürliche Person. Die bedeutet, jede natürliche Person, deren zuordenbare Daten in irgendeiner Form durch eine Organisation verarbeitet werden, wird damit zu einer betroffenen Person bzw. einem Betroffenen.

Beispiele:
- Ansprechpartner bei Lieferanten, Kunden, Banken, Ämter usw.
- Mitarbeiter
- Newsletter-Abonnenten
- Webseitenbesucher
- Teilnehmer von Veranstaltungen

- usw

Gemäß Art. 30 DSGVO:
"Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen…."

Das bedeutet in diesem Verzeichnis müssen im Sinne der DSGVO sämtliche Verarbeitungen personenbezogener Daten im Verantwortungsbereich des Unternehmens, inklusive nach außen verlagerter Verarbeitungen, aufgeführt werden. Es wird grundsätzlich benötigt, unabhängig ob ein Datenschutzbeauftrager bestellt ist oder nicht.

Folgende Daten müssen im Verarbeitungsverzeichnis enthalten sein:
- Namen und die Kontaktdaten des Verantwortlichen
- Zwecke der Verarbeitungen
- Rechtsgrundlage der Verarbeitung
- Beschreibung der Kategorien betroffener Personen
- Beschreibung der Kategorien personenbezogener Daten
- Kategorien von Empfängern, einschließlich Empfänger in Drittländern
- gegebenenfalls Übermittlungen von personenbezogenen Daten an Drittland
- vorgesehenen Fristen für die Löschung
- Beschreibung der technischen und organisatorischen Maßnahmen (TOM)

Das Verbareitungsverzeichnis dient der Übersicht und Transparenz der Verarbeitungen. Darüber hinaus ist das Verarbeitungsverzeichnis ein Hilfsmittel für die Tätigkeit des Datenschutzbeauftragten, sowie für die zuständige Aufsichtsbehörde zur Erfüllung ihrer Aufgaben.

Gemäß Art. 32 DSGVO:
"...treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten…"

Hier werden die Schutzmaßnahmen aufgeführt, mit denen das Unternehmen ein geeignetes Datenschutzniveau gemäß den Anforderungen der DSGVO und des BDSG aufrecht erhält.

Beispiele:
- Zutrittskontrolle (Schließanlage im Gebäude, Serverraum, usw.)
- Zugangskotrolle (sichere Passwörter, Nutzerrollenmanagement, usw.)
- Zugriffskontrolle (Protokolierung der Zugriffe und Änderungen, usw.)
- Benutzerverwaltung (in Software, elektronischen Zutrittssystemen, usw.)
- usw.

Zunächst sollte unterschieden werden, ob ein Cookie technisch notwendig ist und keine Wiedererkennung / Zuordnung von Daten zu einem Nutzers erlaubt, oder ob die im Cookie gespeicherten Daten einem Nutzer zugeordnet werden können (damit personenbezogene Daten).

Im ersten Fall ist keine Aktion notwendig. Im 2ten Fall, sobald personenbezogene Daten gespeichert werden, muss der Nutzer (Betroffener) aktiv der Verarbeitung der Daten zustimmen.

Hiermit wird also eine Opt-In-Lösung notwendig und der Nutzer muss aktiv der Datenverarbeitung mittels Cookie zustimmen. Eine Opt-Out-Lösung ist hier nicht ausreichend.

Hinweis: Vermutlich wird mit der kommenden e-privacy Verordnung der Umgang mit Cookies noch strenger geregelt. Diese Verordnung tritt wahrscheinlich 2020/21 in Kraft.

Im Bezug auf Datenschutz bedeutet Tracking das sammeln und speichern von Daten die ein Nutzer durch seine Interaktionen erzeugt.

Beispiele:
- Verlauf besuchter Webseiten wird gespeichert um interessenbasierte Werbung beim Nutzer zu platzieren
- Identifizierung wie ein Nutzer auf eine Webseite gekommen ist
- Maustracking auf einem Computer erlaubt die genaue Rekonstruktion welche Aktionen durch den Nutzer     vorgenommen wurden
- Geo-Tracking über GPS in Handy oder Navigationssystem im Auto

Tracking findet im Internet häufig über das setzen von Cookies statt. Hier unterscheidet man zwischen:

-  First-Party Cookies
   Der Webseitenbetreiber setzt Cookies um Nutzerdaten zu speichern.

- Third-Party Cookies
   Diese erlauben Dritten das „Netzverhalten“ eines Nutzers zu analysieren, z.B. um zielgerichtet Werbung
   anzeigen zu lassen