Anforderungen an den Datenschutzbeauftragten nach Ländern (2026)

Ein Datenschutzbeauftragter (DSB, englisch Data Protection Officer, DPO) ist eine benannte Compliance-Fachkraft, die in Dutzenden Rechtsordnungen weltweit gesetzlich vorgeschrieben ist. Nach der EU-Datenschutz-Grundverordnung (DSGVO) legen die Artikel 37 bis 39 die grundlegenden Regeln fest, die die meisten nationalen Rahmenwerke seither übernommen oder angepasst haben. Dieser Leitfaden erklärt, wer einen Datenschutzbeauftragten bestellen muss, was die Rolle erfordert und wie sich die Pflicht in den wichtigsten globalen Regelwerken mit Stand 10. September 2026 unterscheidet.

Informationen zuletzt überprüft am 10. September 2026. Dieser Artikel wurde noch nicht von einem zugelassenen Rechtsanwalt geprüft.

Umfang der Rechtsordnungen: Dieser Artikel behandelt die Anforderungen an Datenschutzbeauftragte und vergleichbare Funktionen nach der EU-DSGVO, einschließlich der nationalen Abweichungen in Deutschland, Frankreich, Rumänien, Polen und Spanien, nach der UK-DSGVO sowie nach ausgewählten nationalen Datenschutzgesetzen in Brasilien, Kanada (PIPEDA und Quebec Law 25), China, Indien, Südkorea, Singapur, Malaysia, Thailand, Südafrika, den VAE (Bundes-PDPL, DIFC, ADGM), Indonesien und Vietnam. Die Vergleichstabelle erfasst außerdem Japan und Australien, die beide keine Pflicht zur Benennung eines Datenschutzbeauftragten vorsehen. Die Gesetze werden mit Stand vom 10. September 2026 zitiert.

Was ist ein Datenschutzbeauftragter?

Ein Datenschutzbeauftragter ist eine Person, die von einer Organisation als interne Instanz für die Einhaltung des Datenschutzes benannt wird. Art. 39 DSGVO definiert die Kernaufgaben des Datenschutzbeauftragten: die Unterrichtung und Beratung des Verantwortlichen und des Auftragsverarbeiters (und ihrer Beschäftigten) hinsichtlich ihrer datenschutzrechtlichen Pflichten; die Überwachung der Einhaltung der DSGVO und der eigenen Strategien des Verantwortlichen; die Beratung im Zusammenhang mit Datenschutz-Folgenabschätzungen (DSFA); die Zusammenarbeit mit der Aufsichtsbehörde; und die Tätigkeit als Anlaufstelle für betroffene Personen und für die Aufsichtsbehörde.

Das Konzept gewann weltweit an Bedeutung, nachdem die DSGVO am 25. Mai 2018 in Kraft getreten war. Aufsichtsbehörden in Südamerika, Asien und Afrika haben seither DPO-äquivalente Anforderungen in ihre nationalen Datenschutzgesetze aufgenommen, wobei sich die konkreten Auslöser, Qualifikationen und Berichtswege je nach Rechtsordnung erheblich unterscheiden.

Nicht jede Organisation benötigt einen Datenschutzbeauftragten. Die Pflicht hängt typischerweise von der Art der verarbeiteten Daten, dem Umfang der Verarbeitungstätigkeiten und der Frage ab, ob es sich um eine öffentliche Stelle handelt. Für multinationale Organisationen können sich überschneidende Pflichten gleichzeitig nach zwei oder mehr Regelwerken ergeben.

Die DSGVO-Regeln zum Datenschutzbeauftragten: Artikel 37, 38 und 39

Die DSGVO schafft den grundlegenden Rahmen für Datenschutzbeauftragte, den die meisten anderen Rechtsordnungen als Referenz herangezogen haben. Die Artikel 37 bis 39 der Verordnung (EU) 2016/679 regeln die Bestellungsvoraussetzungen, Qualifikationen, operativen Anforderungen und Aufgaben.

Die drei verpflichtenden Bestellungsvoraussetzungen (Artikel 37)

Nach Art. 37 Abs. 1 DSGVO muss ein Verantwortlicher oder Auftragsverarbeiter einen Datenschutzbeauftragten benennen, wenn eine der folgenden drei Bedingungen erfüllt ist:

Voraussetzung 1: Öffentliche Stelle. Die Verarbeitung wird von einer Behörde oder öffentlichen Stelle durchgeführt, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln. Dies erfasst Regierungsstellen, Kommunen, öffentliche Universitäten, staatseigene Unternehmen und vergleichbare Einrichtungen in der gesamten EU und im EWR.

Voraussetzung 2: Umfangreiche regelmäßige und systematische Überwachung. Die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters besteht in Verarbeitungsvorgängen, die eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erfordern. Die WP29-Leitlinien (WP243rev.01, vom EDSA gebilligt) nennen als Beispiele die Standortverfolgung über mobile Anwendungen und die systematische Videoüberwachung öffentlicher Räume. Die DSGVO definiert „umfangreich“ nicht anhand einer festen Zahl; die WP29-Leitlinien weisen Verantwortliche an, die Zahl der betroffenen Personen, das Datenvolumen, die geografische Reichweite, die Dauer und die Art der Verarbeitung zu berücksichtigen. Ein einzelnes Krankenhaus, das Gesundheitsdaten seines Patientenstamms verarbeitet, erfüllt diese Voraussetzung; ein Einzelarzt, der einzelne Patienten behandelt, nicht.

Voraussetzung 3: Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Daten. Die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten nach Art. 9 (darunter rassische oder ethnische Herkunft, Gesundheitsdaten, biometrische Daten und Daten zur sexuellen Orientierung) oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10.

Der Begriff „Kerntätigkeit“ ist entscheidend. Der EDSA stellt klar, dass er sich auf die primären Geschäftstätigkeiten bezieht, nicht auf unterstützende Nebenfunktionen. Ein Versicherer, der Gesundheitsdaten zur Risikobewertung verarbeitet, übt eine Kerntätigkeit aus; eine Anwaltskanzlei, die Gehaltsdaten ihrer Beschäftigten verarbeitet, tut dies nicht, obwohl auch die Gehaltsabrechnung personenbezogene Daten betrifft.

„Der Begriff ‚Kerntätigkeiten‘ kann als die wesentlichen Vorgänge verstanden werden, die zur Erreichung der Ziele des Verantwortlichen oder Auftragsverarbeiters erforderlich sind.“ -- WP29, Leitlinien zu Datenschutzbeauftragten (WP243rev.01), 5. April 2017

Dieselben Leitlinien ergänzen, dass ein Krankenhaus die Gesundheitsversorgung nicht sicher und wirksam erbringen könnte, ohne Gesundheitsdaten wie die Patientenakten zu verarbeiten. Die Verarbeitung dieser Daten gehört daher zu den Kerntätigkeiten jedes Krankenhauses, und Krankenhäuser müssen Datenschutzbeauftragte benennen.

Qualifikationen des Datenschutzbeauftragten (Art. 37 Abs. 5)

Art. 37 Abs. 5 DSGVO verlangt, dass der Datenschutzbeauftragte über „Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis“ verfügt. Auf EU-Ebene ist kein bestimmter akademischer Abschluss und keine bestimmte berufliche Zertifizierung vorgeschrieben. Das erforderliche Fachwissen richtet sich nach der Komplexität der Datenverarbeitungsvorgänge der Organisation. Bei einem Unternehmen, das in großem Umfang sensible Daten verarbeitet, wird ein hohes Maß an Spezialkenntnissen erwartet. Bei einer kleineren öffentlichen Stelle mit unkomplizierter Verarbeitung genügt ein angemessenes Maß an Kenntnissen.

In der Praxis gelten Zertifizierungen wie CIPP/E (Certified Information Privacy Professional/Europe) und CIPM (Certified Information Privacy Manager) der International Association of Privacy Professionals (IAPP) weithin als Nachweis des erforderlichen Fachwissens, bleiben nach EU-Recht aber freiwillig.

Stellung und Unabhängigkeit (Artikel 38)

Art. 38 enthält die operativen Anforderungen, die die Unabhängigkeit des Datenschutzbeauftragten schützen:

• Der Datenschutzbeauftragte muss ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden werden.
• Der Verantwortliche und der Auftragsverarbeiter müssen den Datenschutzbeauftragten unterstützen, indem sie die für die Erfüllung seiner Aufgaben erforderlichen Ressourcen, den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Mittel zur Verfügung stellen.
• Der Datenschutzbeauftragte muss unmittelbar der höchsten Managementebene des Verantwortlichen oder Auftragsverarbeiters berichten.
• Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben weder abberufen noch benachteiligt werden.
• Der Datenschutzbeauftragte darf andere Aufgaben wahrnehmen, doch darf es dabei nicht zu einem Interessenkonflikt kommen.

Die Anforderung der Vermeidung von Interessenkonflikten ist Gegenstand bedeutender Durchsetzungsmaßnahmen. Der EDSA bestätigt, dass Funktionen, die über die Zwecke und Mittel der Datenverarbeitung entscheiden, mit der Stellung des Datenschutzbeauftragten grundsätzlich unvereinbar sind. Dazu gehören: Chief Executive Officer, Chief Operating Officer, Chief Technology Officer, IT-Leitung, Personalleitung, Marketingleitung und in den meisten Zusammenhängen die Leitung der Rechtsabteilung (wenn die Rechtsberatung gerade zu den Verarbeitungsentscheidungen berät, die der Datenschutzbeauftragte unabhängig überwachen muss).

Mit Beschluss vom 18. Dezember 2024 verhängte die polnische Datenschutzbehörde (UODO) gegen die Toyota Bank Polska S.A. ein Bußgeld von insgesamt EUR 132.000. Davon entfielen EUR 60.000 auf die mangelnde Unabhängigkeit des Datenschutzbeauftragten: Er war in der Sicherheitsabteilung angesiedelt und berichtete an deren Leiter, der zugleich die Datenverarbeitungsvorgänge der Bank verantwortete, statt an die höchste Managementebene. Die übrigen EUR 72.000 betrafen nicht dokumentiertes Profiling zur Bonitätsbewertung und fehlende Folgenabschätzungen.

Am 20. September 2022 verhängte die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) nach Art. 38 Abs. 6 gegen die Tochtergesellschaft einer Berliner E-Commerce-Gruppe ein Bußgeld von EUR 525.000. Ihr Datenschutzbeauftragter war zugleich Geschäftsführer zweier Konzerndienstleistungsgesellschaften, die personenbezogene Daten im Auftrag genau des Unternehmens verarbeiteten, das er überwachen sollte. Die Behörde hatte 2021 eine Verwarnung ausgesprochen und das Bußgeld erst verhängt, nachdem eine weitere Prüfung ergeben hatte, dass der Konflikt fortbestand; das Bußgeld war bei seiner Bekanntgabe nicht rechtskräftig.

Aufgaben des Datenschutzbeauftragten (Artikel 39)

Art. 39 definiert fünf Kategorien verpflichtender Aufgaben:

1. Unterrichtung und Beratung des Verantwortlichen, des Auftragsverarbeiters und ihrer Beschäftigten hinsichtlich ihrer Datenschutzpflichten nach der DSGVO und anderen Datenschutzvorschriften der Union oder der Mitgliedstaaten.
2. Überwachung der Einhaltung, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der damit verbundenen Überprüfungen.
3. Beratung auf Anfrage im Zusammenhang mit Datenschutz-Folgenabschätzungen und Überwachung ihrer Durchführung gemäß Art. 35.
4. Zusammenarbeit mit der Aufsichtsbehörde.
5. Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen und gegebenenfalls deren Konsultation.

Sanktionen bei Verstößen gegen die Pflichten zum Datenschutzbeauftragten (Art. 83 Abs. 4)

Die Nichtbenennung eines erforderlichen Datenschutzbeauftragten, die Beeinträchtigung seiner Unabhängigkeit oder die Nichtveröffentlichung seiner Kontaktdaten fällt unter Art. 83 Abs. 4 Buchst. a, der Geldbußen von bis zu EUR 10 Millionen oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres zulässt, je nachdem, welcher Betrag höher ist.

Die Leitlinien des EDSA zum Datenschutzbeauftragten und die koordinierte Durchsetzungsmaßnahme 2024

Die WP29-Leitlinien zu Datenschutzbeauftragten (WP243rev.01), im Dezember 2016 angenommen und im April 2017 überarbeitet, bleiben die maßgebliche Auslegungsquelle zu den Artikeln 37 bis 39. Der EDSA billigte diese Leitlinien auf seiner ersten Plenarsitzung im Mai 2018.

Im Januar 2024 veröffentlichte der EDSA den Bericht über seine koordinierte Durchsetzungsmaßnahme 2023 (CEF 2023) zur Benennung und Stellung von Datenschutzbeauftragten. An der Untersuchung beteiligten sich 25 Datenschutzbehörden im EWR, die über 17.000 Antworten von Organisationen und Datenschutzbeauftragten aus dem privaten und dem öffentlichen Sektor auswerteten. Zu den wichtigsten Ergebnissen zählten:

• Die große Mehrheit der antwortenden Organisationen hatte einen Datenschutzbeauftragten benannt. Von 15.108 befragten Organisationen räumten zwölf Befragte aus sieben Mitgliedstaaten ein, keinen benannt zu haben, obwohl die Benennung verpflichtend war; der Bericht warnt, dass diese Zahl wahrscheinlich nicht das wahre Ausmaß der Nichteinhaltung von Art. 37 Abs. 1 widerspiegelt.
• Ressourcenlücken zeigten sich vor allem im öffentlichen Sektor. Die Ressourcen wurden in 91 % der Fälle im privaten Sektor als ausreichend beurteilt, im öffentlichen Sektor nur in 66 %, und Datenschutzbeauftragte im öffentlichen Sektor hatten seltener einen stellvertretenden Datenschutzbeauftragten (36,4 % gegenüber 56,3 %) oder ein Budget (26,6 % gegenüber 56,8 %).
• Ein Median von 90,91 % der Befragten gab an, ihr Datenschutzbeauftragter verfüge über Erfahrung oder Fachwissen im Datenschutz, doch nur ein Median von 74,97 % betrachtete Fachwissen im Datenschutzrecht als Voraussetzung für die Rolle. Die Sorge des EDSA gilt der Lücke zwischen Erfahrung und dem Fachwissen, das Art. 37 Abs. 5 tatsächlich verlangt, sowie dem Umstand, dass die meisten Datenschutzbeauftragten höchstens 24 Stunden Schulung pro Jahr erhalten.
• Ein Median von 13,82 % der Befragten gab an, dass ihr Datenschutzbeauftragter Anweisungen zur Erfüllung seiner Aufgaben erhält. Der Bericht bezeichnet das als Minderheit der Datenschutzbeauftragten, merkt aber an, dass acht Mitgliedstaaten Werte über 20 % meldeten.
• Datenschutzbeauftragte wurden nicht durchgängig konsultiert. Nur ein Median von 22,54 % der Befragten gab an, ihr Datenschutzbeauftragter sei bei Fragen zu personenbezogenen Daten stets eingebunden oder konsultiert worden.

Die eigene Zusammenfassung der Maßnahme durch den EDSA bezeichnet die Gesamtergebnisse als ermutigend: Die Mehrheit der befragten Datenschutzbeauftragten gebe an, über die erforderlichen Fähigkeiten, klar definierte Aufgaben und Weisungsfreiheit zu verfügen, wobei der EDSA hinzufügt, dass es noch zu viele Datenschutzbeauftragte gebe, die sich nicht in dieser Lage befinden. Der EDSA empfahl den Datenschutzbehörden, die Sensibilisierungsarbeit und die gezielte Durchsetzung zu verstärken. Der vollständige Bericht ist unter edpb.europa.eu verfügbar.

Abweichungen zwischen EU-Mitgliedstaaten

Während die DSGVO eine Mindestgrundlage schafft, können Mitgliedstaaten durch nationale Durchführungsgesetze zusätzliche Anforderungen aufstellen.

Deutschland. § 38 Abs. 1 des Bundesdatenschutzgesetzes (BDSG) hat zwei Alternativen. Die erste verlangt die Benennung eines Datenschutzbeauftragten durch jede Organisation, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ein Schwellenwert, der deutlich unter dem Maßstab der „umfangreichen“ Verarbeitung der DSGVO liegt.

Die zweite Alternative kennt überhaupt keine Mitarbeiterzahl. Ein Verantwortlicher oder Auftragsverarbeiter, der Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder der personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet, muss unabhängig von der Beschäftigtenzahl einen Datenschutzbeauftragten benennen. Ein deutsches Marktforschungsunternehmen mit drei Beschäftigten fällt daher in den Anwendungsbereich.

Frankreich. Die CNIL empfiehlt eine breite Benennung von Datenschutzbeauftragten, fügt aber über die DSGVO hinaus keine verpflichtenden Bestellungsauslöser hinzu. Die CNIL meldet, dass im Jahr 2025 109.249 Organisationen einen Datenschutzbeauftragten benannt hatten und 39.174 Datenschutzbeauftragte benannt waren. Das zeigt eine starke institutionelle Verbreitung, doch beide Zahlen unterscheiden sich, weil sich viele Organisationen einen Datenschutzbeauftragten teilen.

Rumänien. Die Nationale Aufsichtsbehörde (ANSPDCP) wendet den Maßstab der DSGVO selbst an, keine nationale Qualifikation. Ihre veröffentlichten Hinweise besagen, dass ein Datenschutzbeauftragter aufgrund seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis benannt wird, wobei sich das Maß des Fachwissens nach der Verarbeitung richtet. Das rumänische Recht schreibt keine Zertifizierung für einzelne Datenschutzbeauftragte vor. Das bestehende Akkreditierungssystem betrifft Zertifizierungsstellen nach Art. 43 DSGVO, die Verarbeitungsvorgänge zertifizieren, nicht Personen.

Polen. Die polnische Datenschutzbehörde (UODO) verlangt die Anzeige der Benennung eines Datenschutzbeauftragten innerhalb von 14 Tagen und führt ein öffentliches Register. Mit Beschluss vom 18. Oktober 2024 verhängte die UODO gegen die Bezirksbauaufsicht in Częstochowa (District Building Supervision Inspectorate in Czestochowa) wegen dreier Verstöße gegen Art. 37 ein Bußgeld von EUR 5.814: keine wirksame schriftliche Benennung eines Datenschutzbeauftragten, Nichtveröffentlichung der Kontaktdaten des Datenschutzbeauftragten und unterlassene Mitteilung an die Aufsichtsbehörde. Eine mündliche Anweisung, die Aufgaben des Datenschutzbeauftragten zu übernehmen, wurde nicht als wirksame Benennung angesehen.

Spanien. Art. 34 Abs. 1 der LOPDGDD führt sechzehn Kategorien von Einrichtungen auf, die in jedem Fall einen Datenschutzbeauftragten benennen müssen, unabhängig davon, was die Prüfungen nach Art. 37 Abs. 1 ergeben würden. Dazu gehören Berufsverbände, Schulen und Universitäten, Kreditinstitute, Versicherer und Rückversicherer, Wertpapierfirmen, Strom- und Gasversorger, Betreiber gemeinsamer Bonitäts- und Betrugsabwehrdateien, Werbe- und Marktforschungsunternehmen, die Personen profilieren, private Sicherheitsunternehmen sowie Gesundheitseinrichtungen, die gesetzlich zur Führung klinischer Akten verpflichtet sind. Art. 34 Abs. 3 verlangt, dass Benennungen, Bestellungen und Abberufungen der AEPD oder der zuständigen regionalen Behörde innerhalb von zehn Tagen mitgeteilt werden, und zwar sowohl bei freiwilligen als auch bei verpflichtenden Benennungen. Art. 35 behandelt die Zertifizierung als freiwilligen Nachweis des Fachwissens, nicht als Voraussetzung.

Vereinigtes Königreich (UK-DSGVO und DPA 2018)

Seit dem Brexit gelten im Vereinigten Königreich die UK-DSGVO und der Data Protection Act 2018 (DPA 2018). Die Bestellungsauslöser für Datenschutzbeauftragte entsprechen der dreiteiligen Struktur des Art. 37 der EU-DSGVO. Das Information Commissioner's Office (ICO) stellt Hinweise unter ico.org.uk bereit.

Der 2023 eingebrachte Data Protection and Digital Information Bill schlug vor, die verpflichtende Benennung eines Datenschutzbeauftragten durch ein flexibleres Modell der „senior responsible individual“ (SRI) zu ersetzen. Dieser Gesetzentwurf verfiel mit der Auflösung des Parlaments 2024. Das Parlament ersetzte ihn durch den Data (Use and Access) Act 2025, der am 19. Juni 2025 die königliche Zustimmung erhielt und das SRI-Modell nicht übernahm. Die Regelung des Art. 37 UK-DSGVO zum Datenschutzbeauftragten bleibt daher in Kraft.

Das Gesetz von 2025 brachte eine für Datenschutzbeauftragte relevante Änderung. Schedule 11, Absatz 11 fügte die Worte „and tribunals“ in Art. 37 Abs. 1 Buchst. a UK-DSGVO ein, sodass die Ausnahme vom Auslöser für öffentliche Stellen nun Gerichte und Tribunale erfasst, die in Ausübung ihrer justiziellen Tätigkeit handeln. Diese Änderung trat am 20. August 2025 in Kraft.

Die britischen Sanktionen für Verstöße im Zusammenhang mit dem Datenschutzbeauftragten gehören zur Standardstufe, nicht zur höheren. Verstöße gegen die Artikel 37 bis 39 fallen unter Art. 83 Abs. 4, und section 157(6) des Data Protection Act 2018 legt den Standardhöchstbetrag auf GBP 8,7 Millionen oder 2 % des gesamten weltweiten Jahresumsatzes fest, je nachdem, welcher Betrag höher ist. Der höhere Höchstbetrag von GBP 17,5 Millionen / 4 % nach section 157(5) gilt für andere Verstöße.

DPO-äquivalente Anforderungen in anderen Rechtsordnungen

Brasilien (LGPD) - Encarregado

Brasiliens Lei Geral de Proteção de Dados (LGPD), Gesetz 13.709/2018, in Kraft seit September 2020, verpflichtet nach Art. 41 jeden Verantwortlichen, einen Encarregado zu benennen. Anders als die DSGVO gilt Brasiliens Pflicht für alle Verantwortlichen, unabhängig von Größe oder Art der Verarbeitung. Der Encarregado nimmt Beschwerden betroffener Personen entgegen, erteilt betroffenen Personen und der ANPD Auskünfte, arbeitet mit der ANPD zusammen und leitet die internen Compliance-Bemühungen an.

Die Resolution CD/ANPD Nr. 2 vom Januar 2022 der ANPD lockerte die Pflicht für kleine Unternehmen und Kleinstunternehmen, die nach brasilianischem Recht eingestuft sind, und erlaubt eine freiwillige statt verpflichtende Benennung. Kleine Verarbeiter, die von der Benennung eines Encarregado befreit sind, müssen betroffenen Personen dennoch einen Kommunikationskanal bereitstellen.

Die Resolution CD/ANPD Nr. 18 vom 16. Juli 2024, mit ihrer Veröffentlichung in Kraft getreten, ist nunmehr die maßgebliche Regelung dazu, wie der Encarregado benannt wird und arbeitet. Die Benennung muss durch einen förmlichen Akt erfolgen: ein schriftliches, datiertes und unterzeichnetes Dokument, das die Handlungsformen und Tätigkeiten des Encarregado festlegt und der ANPD auf Verlangen vorzulegen ist. Ein förmlich benannter Vertreter muss Abwesenheiten, Verhinderungen und Vakanzen abdecken. Öffentliche Stellen müssen die Benennung im zuständigen Amtsblatt veröffentlichen und sollen bevorzugt Beamte von makellosem Ruf auswählen. Die Benennung durch Auftragsverarbeiter (operadores) ist freiwillig und gilt als Praxis guter Unternehmensführung.

Die fachlichen Qualifikationen legt der Verarbeiter fest, nicht die ANPD. Identität und Kontaktdaten des Encarregado müssen aktuell gehalten und auf der Website des Verarbeiters klar, auffällig und zugänglich veröffentlicht werden, und zwar mit dem vollständigen Namen bei einer natürlichen Person oder mit der Firma und dem vollständigen Namen der verantwortlichen natürlichen Person bei einer juristischen Person. Die Rolle kann von einer Einzelperson, intern oder extern, oder von einer juristischen Person wahrgenommen werden; eine Pflicht zur Präsenz vor Ort besteht nicht, und die Regelung stellt ausdrücklich klar, dass weder die Registrierung bei einer Stelle noch eine Zertifizierung oder eine bestimmte Berufsausbildung vorausgesetzt wird. Art. 13 stellt eine persönliche Anforderung auf: Der Encarregado muss in der Lage sein, mit den betroffenen Personen und mit der ANPD klar und präzise auf Portugiesisch zu kommunizieren.

China (PIPL) - Verantwortlicher für den Schutz personenbezogener Informationen

Chinas Personal Information Protection Law (PIPL), in Kraft seit 1. November 2021, verlangt nach Art. 52 einen Beauftragten für den Schutz personenbezogener Informationen, wenn ein Verarbeiter personenbezogene Informationen in einem Umfang verarbeitet, der „die von der staatlichen Cyberspace- und Informatisierungsbehörde festgelegte Menge“ erreicht. Art. 52 selbst enthält keine Zahl, und die Cyberspace Administration of China (CAC) hat keinen speziell für diesen Beauftragten geltenden Wert veröffentlicht. Name und Kontaktdaten der verantwortlichen Person müssen öffentlich bekannt gemacht und der Stelle gemeldet werden, die die Aufgaben zum Schutz personenbezogener Informationen wahrnimmt.

Der einzige quantifizierte Schwellenwert im verbindlichen Durchführungsinstrument betrifft eine andere Rolle. Art. 28 der Network Data Security Management Regulations (Dekret Nr. 790 des Staatsrats, in Kraft seit 1. Januar 2025) bestimmt, dass ein Verarbeiter von Netzwerkdaten, der die personenbezogenen Informationen von 10 Millionen oder mehr Personen verarbeitet, zusätzlich die Art. 30 und 32 einhalten muss; Art. 30 verlangt die Benennung eines Beauftragten für Netzwerkdatensicherheit und einer Stelle für das Sicherheitsmanagement. Diese Rolle ist der durch das Dekret 790 geschaffene Beauftragte für Netzwerkdatensicherheit, eine vom Beauftragten für den Schutz personenbezogener Informationen nach Art. 52 getrennte Bestellung.

Art. 52 stellt keine Anforderung eines Sitzes in China. Die Pflicht, in China eine eigene Einrichtung zu errichten oder einen Vertreter zu benennen, steht in Art. 53 und bindet nur Verarbeiter mit Sitz außerhalb Chinas, die unter Art. 3 Abs. 2 fallen.

Bei den Sanktionen fällt ein gewöhnlicher Verstoß unter den ersten Absatz von Art. 66: Anordnung zur Berichtigung, Verwarnung, Einziehung rechtswidriger Gewinne und, falls der Verarbeiter die Berichtigung verweigert, ein Bußgeld von bis zu CNY 1 Million, zuzüglich CNY 10.000 bis CNY 100.000 gegen die unmittelbar verantwortlichen Personen. Nur bei schwerwiegenden Umständen darf eine Behörde auf Provinzebene oder höher ein Bußgeld von bis zu CNY 50 Millionen oder bis zu 5 % des Vorjahresumsatzes verhängen. Dies sind zwei Obergrenzen, zwischen denen die Behörde wählt. Die PIPL kennt keine Formel „je nachdem, welcher Betrag höher ist“.

Indien (DPDPA 2023) - Datenschutzbeauftragter für Significant Data Fiduciaries

Indiens Digital Personal Data Protection Act, 2023 (DPDPA), erlassen am 11. August 2023, verpflichtet „Significant Data Fiduciaries“ (SDFs) nach Section 10(2)(a), einen in Indien ansässigen Datenschutzbeauftragten zu bestellen. Der SDF-Status ist kein Schwellenwert, an dem sich eine Organisation selbst messen könnte. Nach Section 10(1) entsteht er nur, wenn die Zentralregierung einen Data Fiduciary oder eine Klasse von ihnen aufgrund einer Bewertung der dort aufgeführten Faktoren als SDF notifiziert: Umfang und Sensibilität der verarbeiteten personenbezogenen Daten, Risiko für die Rechte der Data Principals, mögliche Auswirkungen auf die Souveränität und Integrität Indiens, Risiko für die Wahldemokratie, Sicherheit des Staates und öffentliche Ordnung.

Die DPDP Rules, am 13. November 2025 vom MeitY als G.S.R. 846(E) notifiziert, legen keinen SDF-Schwellenwert fest und erwähnen den Datenschutzbeauftragten an keiner Stelle. Rule 13 setzt den SDF-Status voraus und fügt eine im Abstand von zwölf Monaten durchzuführende Datenschutz-Folgenabschätzung und ein Audit, eine algorithmische Sorgfaltsprüfung und eine Lokalisierungsbeschränkung für von der Zentralregierung bestimmte Daten hinzu. Rule 13 tritt achtzehn Monate nach Veröffentlichung der Rules in Kraft.

Das Gesetz schreibt keine Hierarchiestufe vor. Section 10(2)(a) verlangt eine Einzelperson, die den SDF vertritt, in Indien ansässig ist, gegenüber dem Board of Directors oder einem ähnlichen Leitungsgremium verantwortlich ist und die Anlaufstelle für das Beschwerdeverfahren darstellt. SDFs müssen außerdem regelmäßige DSFA durchführen und einen unabhängigen Datenprüfer bestellen. Ein Verstoß gegen die Pflichten nach Section 10, einschließlich der Pflicht zum Datenschutzbeauftragten, zieht nach Nr. 4 der Schedule des Gesetzes eine Geldbuße von bis zu INR 150 crore nach sich. Nr. 1 der Schedule, die die höhere Geldbuße von INR 250 crore vorsieht, betrifft die Unterlassung angemessener Sicherheitsvorkehrungen nach Section 8(5).

Singapur (PDPA) - Allgemein verpflichtender Datenschutzbeauftragter

Singapurs Personal Data Protection Act 2012 (PDPA), verwaltet von der Personal Data Protection Commission (PDPC), verlangt von jeder dem PDPA unterliegenden Organisation, nach Section 11(3) mindestens eine Person als Datenschutzbeauftragten zu benennen. Es gibt keinen Mindestschwellenwert für die Verarbeitung. Die Pflicht erstreckt sich auf Holdinggesellschaften, ruhende Gesellschaften und Organisationen, die ihren Betrieb einstellen, solange sie weiter personenbezogene Daten verarbeiten.

Organisationen müssen zudem die geschäftlichen Kontaktdaten des Datenschutzbeauftragten melden. Diese Meldung gibt es seit Juli 2020, als sie über das BizFile+-Portal der ACRA lief. Die ACRA schloss ihren Kanal am 1. Dezember 2024, und die Registrierung erfolgt nun über das eigene Formular der PDPC, wobei die Angaben im öffentlichen DPO-Register der PDPC veröffentlicht werden. Das Gesetz schreibt keine bestimmten Qualifikationen vor, doch muss der Datenschutzbeauftragte über ausreichende Kenntnisse des PDPA verfügen, um die Organisation wirksam anzuleiten.

Malaysia (PDPA in der Fassung von 2024)

Malaysias Personal Data Protection Act 2010 (PDPA) wurde durch den Personal Data Protection (Amendment) Act 2024 wesentlich geändert, der eine neue Section 12A einfügte, die Verantwortliche und Auftragsverarbeiter verpflichtet, einen oder mehrere Datenschutzbeauftragte zu bestellen. Die Änderung trat stufenweise zwischen Januar und Juni 2025 in Kraft.

Die Guideline on the Appointment of Data Protection Officer der Aufsichtsbehörde legt numerische Schwellenwerte fest. Ein Datenschutzbeauftragter ist erforderlich, wenn die Verarbeitung personenbezogene Daten von mehr als 20.000 betroffenen Personen, sensible personenbezogene Daten einschließlich Finanzinformationen von mehr als 10.000 betroffenen Personen oder Tätigkeiten umfasst, die eine regelmäßige und systematische Überwachung personenbezogener Daten erfordern. Eine Organisation, die sensible Daten über einige hundert Personen hält, liegt unter dem Schwellenwert.

Zur Person: Der Datenschutzbeauftragte muss entweder in Malaysia ansässig sein, das heißt in einem Kalenderjahr mindestens 180 Tage physisch anwesend, oder auf jedem Weg leicht erreichbar sein und muss in beiden Fällen Bahasa Melayu und Englisch beherrschen. Der Wohnsitz ist eine von zwei Alternativen, keine zwingende Bedingung, sodass ein ausgelagerter oder nicht ansässiger Datenschutzbeauftragter zulässig ist, sofern Erreichbarkeit und Sprachkenntnisse gegeben sind. Die Sprachkenntnisse sind die Anforderung, die in jedem Fall zwingend gilt.

Die Bestellung muss registriert und die geschäftlichen Kontaktdaten des Datenschutzbeauftragten müssen innerhalb von 21 Tagen nach der Bestellung über das SPDP-Portal an den Commissioner übermittelt werden; jede Änderung ist innerhalb von 14 Tagen zu aktualisieren. Der Datenschutzbeauftragte berät zu den Pflichten nach dem PDPA, überwacht die Einhaltung, führt Folgenabschätzungen durch und dient als Anlaufstelle zum Commissioner.

Section 12A begründet keine Straftat und sieht keine eigene Sanktion vor; sie wird durch die Durchsetzungsbefugnisse des Commissioners durchgesetzt. Die Sanktionen finden sich an anderer Stelle des Gesetzes: RM1 Million oder drei Jahre Freiheitsstrafe für Verstöße gegen die Personal Data Protection Principles nach Section 5(2) und RM250.000 oder zwei Jahre für die unterlassene Meldung einer Datenschutzverletzung nach Section 12B(3).

Südkorea (PIPA) - CPO und die Änderung 2026 zur Verantwortlichkeit des CEO

Südkoreas Personal Information Protection Act (PIPA), 2023 wesentlich geändert, verpflichtet nach Art. 31 alle Verantwortlichen und Auftragsverarbeiter personenbezogener Informationen, einen Chief Privacy Officer (CPO) zu benennen. Der CPO muss in der Organisation Entscheidungsbefugnis besitzen. Öffentliche Einrichtungen müssen den CPO auf der Ebene einer leitenden Führungskraft benennen. Name, Abteilung und Kontaktdaten des CPO müssen öffentlich bekannt gemacht werden.

Am 12. Februar 2026 verabschiedete die Nationalversammlung eine weitere Änderung des PIPA, verkündet am 10. März 2026 und wirksam am 11. September 2026. Die Änderung von 2026: bestimmt den CEO oder Geschäftsvertreter zur „letztverantwortlichen Person für den Datenschutz“; verlangt für Organisationen oberhalb eines Größenschwellenwerts, dass Bestellung, Versetzung oder Abberufung des CPO durch förmlichen Beschluss des Boards erfolgen und der Personal Information Protection Commission (PIPC) mitgeteilt werden; verlangt, dass der CPO unmittelbar sowohl dem CEO als auch dem Board berichtet; und hebt die höchste Obergrenze der Abschöpfung nach Art. 64-2 Abs. 2 auf 10 % des Gesamtumsatzes an. Diese 10-%-Stufe gilt für eine vorsätzliche oder grob fahrlässige Wiederholung einer der neun in Art. 64-2 Abs. 1 aufgeführten Verstoßarten innerhalb von drei Jahren nach einer früheren Abschöpfung, für einen vorsätzlichen oder grob fahrlässigen Verstoß gegen eine dieser Arten, der 10 Millionen oder mehr betroffene Personen schädigt, und für ein Datenleck im Anschluss an die Nichtbefolgung einer Abhilfeanordnung nach Art. 64 Abs. 1. Die gewöhnliche Obergrenze für diese neun Arten bleibt bei 3 % des Gesamtumsatzes, und die unterlassene Benennung eines CPO gehört nicht dazu.

Thailand (PDPA)

Thailands Personal Data Protection Act B.E. 2562 (2019), seit 1. Juni 2022 vollständig wirksam, verlangt die Bestellung eines Datenschutzbeauftragten durch vom Komitee vorgeschriebene und bekannt gemachte Behörden, durch Organisationen, deren Tätigkeiten wegen eines vom Komitee vorgeschriebenen und bekannt gemachten großen Datenvolumens eine regelmäßige Überwachung personenbezogener Daten erfordern, und durch Organisationen, deren Kerntätigkeit die Verarbeitung sensibler personenbezogener Daten ist (Sections 41-42 PDPA). Die Notification on Appointment of Data Protection Officers der PDPC, wirksam seit 13. Dezember 2023, enthält ausführliche Umsetzungshinweise.

Eine weitere PDPC-Bekanntmachung, Nr. 2 von B.E. 2568, erlassen am 9. Oktober 2025, erweiterte die Liste der staatlichen Stellen, die einen Datenschutzbeauftragten bestellen müssen, um Behörden auf Provinz- und lokaler Ebene. Sie erweitert diese Liste, statt jede staatliche Stelle zu erfassen. Der Datenschutzbeauftragte kann Beschäftigter oder externer Auftragnehmer sein. Die Kontaktdaten des Datenschutzbeauftragten müssen der PDPC mitgeteilt werden. Im März 2026 eröffnete die PDPC eine öffentliche Konsultation zu aktualisierten PDPA-Leitlinien, wobei die Pflichten zum Datenschutzbeauftragten zu den Schwerpunktbereichen zählen.

Die Nichtbenennung eines erforderlichen Datenschutzbeauftragten zieht ein Verwaltungsbußgeld von bis zu THB 1 Million nach sich, nach section 82 für einen Verantwortlichen und nach section 85 für einen Auftragsverarbeiter. Die Sections 84 und 87 setzen die höhere Obergrenze von THB 5 Millionen für Verstöße fest, die sensible personenbezogene Daten betreffen.

Südafrika (POPIA) - Information Officer

Südafrikas Protection of Personal Information Act 4 of 2013 (POPIA), seit 1. Juli 2021 vollständig wirksam, lässt private Stellen einen Information Officer gar nicht benennen: In Verbindung mit dem Promotion of Access to Information Act ist der Information Officer einer privaten Stelle per Definition deren Leiter. Section 55(2) ist die Registrierungsregel und bestimmt, dass Beauftragte ihre Aufgaben nach dem Gesetz erst aufnehmen dürfen, nachdem der Verantwortliche sie beim Information Regulator registriert hat. Section 56 regelt etwas anderes und Optionales, die Benennung stellvertretender Information Officers in der gegebenenfalls („if any“) erforderlichen Zahl.

Die Nichtbenennung oder Nichtregistrierung eines Information Officers ist nach dem POPIA keine Straftat und zieht weder ein eigenes Bußgeld noch eine eigene Freiheitsstrafe nach sich. Der Regulator setzt durch eine Durchsetzungsanordnung (enforcement notice) durch, und erst die Nichtbefolgung dieser Anordnung wird zur Straftat. Die Höchststrafe des POPIA von 10 Jahren gilt nur für die in section 107(a) aufgeführten Straftaten, die das Behindern des Regulators, Verstöße gegen die Vertraulichkeit und die Straftaten im Zusammenhang mit Kontonummern betreffen. Der Betrag von ZAR 10 Millionen ist die Obergrenze für Verwaltungsbußgelder nach section 109(2)(c).

VAE (Bundes-PDPL, DIFC, ADGM)

Die Vereinigten Arabischen Emirate haben drei sich überschneidende, aber getrennte Datenschutzrahmen mit unterschiedlichen Anforderungen an Datenschutzbeauftragte:

Bundes-PDPL. Das Bundesgesetzesdekret Nr. 45 von 2021 der VAE (PDPL) verpflichtet Verantwortliche zur Bestellung eines Datenschutzbeauftragten, wenn die Verarbeitung die systematische umfangreiche Verarbeitung sensibler personenbezogener Daten umfasst, die Verarbeitung ein hohes Risiko für die Privatsphäre und Vertraulichkeit personenbezogener Daten birgt oder die Verarbeitung ein umfangreiches, sensibles oder systematisch automatisiertes Profiling umfasst. Nach der Bestellung müssen der Verantwortliche oder der Auftragsverarbeiter dem UAE Data Office die Kontaktdaten des Datenschutzbeauftragten mitteilen. Der Datenschutzbeauftragte kann ein interner Beschäftigter oder ein externer Dienstleister sein.

DIFC. Das Dubai International Financial Centre arbeitet nach dem DIFC Law Nr. 5 von 2020 (Data Protection Law). Die Bestellung eines Datenschutzbeauftragten ist für DIFC-Stellen sowie für jeden Verantwortlichen oder Auftragsverarbeiter verpflichtend, der systematisch oder regelmäßig Verarbeitungstätigkeiten mit hohem Risiko (High Risk Processing Activities) durchführt. Der Datenschutzbeauftragte muss in den VAE ansässig sein, es sei denn, die Person ist innerhalb der Unternehmensgruppe der Organisation beschäftigt und nimmt international eine gleichwertige Funktion wahr. Die Organisation muss die Kontaktdaten des Datenschutzbeauftragten veröffentlichen. Im September 2023 erlassene geänderte Data Protection Regulations haben den Rahmen weiter an internationale Standards angeglichen.

ADGM. Der Abu Dhabi Global Market arbeitet nach den ADGM Data Protection Regulations 2021. Ein Datenschutzbeauftragter muss für Unternehmen bestellt werden, deren Kerntätigkeiten die regelmäßige und systematische Verarbeitung personenbezogener Daten in großem Umfang oder die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfassen. Der Verantwortliche oder Auftragsverarbeiter muss den ADGM Commissioner of Data Protection innerhalb eines Monats nach der Bestellung über die Bestellung des Datenschutzbeauftragten informieren.

Indonesien (PDP-Gesetz 2022)

Indonesiens Gesetz Nr. 27 von 2022 über den Schutz personenbezogener Daten trat am 17. Oktober 2024 vollständig in Kraft. Art. 53 verlangt die Bestellung eines Datenschutzbeauftragten, wenn die Verarbeitung im Interesse öffentlicher Dienstleistungen erfolgt, die Kerntätigkeiten eine regelmäßige und systematische Überwachung personenbezogener Daten in großem Umfang erfordern oder die Kerntätigkeiten die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfassen.

Am 30. Juli 2025 entschied Indonesiens Verfassungsgericht (Entscheidung Nr. 151/PUU-XXII/2024), dass das Wort „und“ in Art. 53 Abs. 1 Buchst. b des Gesetzes Nr. 27 von 2022 verfassungswidrig und ohne bindende Kraft ist, sofern es nicht als „und/oder“ gelesen wird. Damit werden die drei Voraussetzungen von kumulativen zu alternativen: Eine Organisation muss einen Datenschutzbeauftragten bestellen, wenn sie auch nur eine davon erfüllt. Die Entscheidung bindet ab dem Moment ihrer Verkündung und wartet nicht auf Durchführungsvorschriften.

Vietnam (PDPL 2025)

Vietnams Gesetz Nr. 91/2025/QH15 über den Schutz personenbezogener Daten, erlassen am 26. Juni 2025 und wirksam seit 1. Januar 2026, verpflichtet Verantwortliche und Auftragsverarbeiter, eine interne Datenschutzabteilung oder entsprechendes Personal zu bestellen oder externe Datenschutzdienstleister zu beauftragen. Haushaltsbetriebe und Kleinstunternehmen sind von der Benennung von Datenschutzpersonal oder einer Abteilung sowie von den Pflichten zur Folgenabschätzung vollständig befreit. Kleine Unternehmen und Start-ups sind nicht dauerhaft befreit: Sie können fünf Jahre ab Inkrafttreten des Gesetzes frei wählen, ob sie diese beiden Pflichten erfüllen, sodass die Option am 1. Januar 2031 endet.

Globale DPO-Anforderungen: Vergleichstabelle

Interner versus externer Datenschutzbeauftragter

Die meisten wichtigen Datenschutzrahmen erlauben, die Rolle des Datenschutzbeauftragten mit einem externen Auftragnehmer oder einem gemeinsam genutzten Datenschutzbeauftragten zu besetzen, sofern die Standards für Unabhängigkeit und Fachwissen erfüllt sind. Art. 37 Abs. 2 DSGVO erlaubt ausdrücklich, dass eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten benennt, sofern dieser „von jeder Niederlassung aus leicht erreicht werden kann“.

Externe DPO-Dienstleistungen sind in den meisten Rechtsordnungen kommerziell verfügbar und bei kleinen und mittleren Unternehmen beliebt. Nach der DSGVO, der LGPD und Thailands PDPA muss ein externer Datenschutzbeauftragter dieselben Unabhängigkeitsanforderungen erfüllen wie ein interner: Er darf nicht zugleich zu den Verarbeitungsentscheidungen beraten, die er überwachen soll, und die Organisation bleibt für die Compliance voll verantwortlich.

Zu den Rechtsordnungen, die eine interne Bestellung verlangen, gehören: China (die verantwortliche Person muss eine interne Person mit Entscheidungsbefugnis in der Organisation sein), Südkorea (der CPO muss interne Entscheidungsbefugnis besitzen) und Indien (der Datenschutzbeauftragte des SDF muss eine Einzelperson sein, die dem Board of Directors verantwortlich ist, was in der Praxis einen losgelösten externen Dienstleister ausschließt).

Zu beachten: Die Nutzung einer Anwaltskanzlei oder eines Beraters für Datenschutzrecht als Datenschutzbeauftragter erfüllt nicht automatisch die Unabhängigkeitsanforderungen. Der EDSA hat darauf hingewiesen, dass ein Rechtsberater, der demselben Mandanten auch Empfehlungen zur Verarbeitung gibt, einen Interessenkonflikt aufweisen kann. Bei der Nutzung externer Dienstleister sollte eine klare Trennung zwischen Beratungsleistungen und den Aufsichtsfunktionen des Datenschutzbeauftragten aufrechterhalten werden.

Wie ein Datenschutzbeauftragter wirksam bestellt und positioniert wird

Auf Grundlage der WP243rev.01-Leitlinien des EDSA und der Ergebnisse des CEF-Berichts vom Januar 2024 verringern die folgenden Schritte das Compliance-Risiko:

Schritt 1: Prüfen, ob die Bestellung verpflichtend ist. Erfassen Sie alle Rechtsordnungen, in denen Ihre Organisation niedergelassen ist oder personenbezogene Daten verarbeitet. Wenden Sie die Auslöser jeder Rechtsordnung an. Dokumentieren Sie die Analyse und überprüfen Sie sie jährlich oder wenn sich der Betrieb wesentlich ändert.

Schritt 2: Eine qualifizierte Person auswählen. Das erforderliche „Fachwissen“ richtet sich nach der Komplexität der Verarbeitung der Organisation. Der Datenschutzbeauftragte eines Krankenhauses benötigt tiefere Expertise als der einer kleinen Gemeinde. Zertifizierungen (CIPP/E, CIPM, CDPSE) sind ein gängiger Nachweis von Fachwissen, nach EU-Recht aber nicht vorgeschrieben.

Schritt 3: Eine Prüfung auf Interessenkonflikte durchführen. Ermitteln Sie jede Funktion, die die Kandidatin oder der Kandidat innehat oder innehaben wird und die mit der Festlegung der Zwecke oder Mittel der Datenverarbeitung verbunden ist. Nach der Änderung des südkoreanischen PIPA von 2026 erfordern Bestellung, Versetzung oder Abberufung des CPO einen förmlichen Beschluss des Boards. Ziehen Sie ähnliche Governance-Mechanismen in anderen Rechtsordnungen als bewährte Praxis in Betracht.

Schritt 4: Angemessene Ressourcen bereitstellen. Der CEF-2023-Bericht stufte unzureichende Ressourcen als eines seiner zentralen Anliegen ein, wobei sich das Defizit auf den öffentlichen Sektor konzentriert. Der Datenschutzbeauftragte muss geschützte Arbeitszeit, ein Budget und Zugang zu den Verarbeitungsvorgängen und den relevanten Beschäftigten haben. Datenschutzbeauftragte in Teilzeit sind zulässig, müssen aber über ausreichend Zeit für die Rolle verfügen.

Schritt 5: Direkte Berichtswege einrichten. Der Datenschutzbeauftragte muss nach Art. 38 Abs. 3 DSGVO an die höchste Managementebene berichten. Section 10(2)(a) des indischen DPDP Act und die Änderung des südkoreanischen PIPA von 2026 verlangen gesetzlich eine Verantwortlichkeit auf Board-Ebene.

Schritt 6: Registrieren und mitteilen, wo es verlangt wird. In der gesamten EU und im EWR ist dies allgemein verbindlich und keine nationale Besonderheit. Art. 37 Abs. 7 DSGVO verpflichtet jeden Verantwortlichen und Auftragsverarbeiter, der einen Datenschutzbeauftragten benennt, sei es verpflichtend oder freiwillig, dessen Kontaktdaten zu veröffentlichen und seiner Aufsichtsbehörde mitzuteilen.

Nationale Fristenregeln kommen hinzu: Spanien innerhalb von zehn Tagen an die AEPD oder die zuständige regionale Behörde, Polen innerhalb von 14 Tagen an die UODO. Außerhalb des EWR bestehen Mitteilungspflichten in Singapur (PDPC), Malaysia (SPDP-Portal innerhalb von 21 Tagen, Änderungen innerhalb von 14 Tagen), Südafrika (Registrierung beim Information Regulator, bevor der Beauftragte seine Aufgaben aufnimmt), Brasilien (Identität und Kontaktdaten des Encarregado auffällig auf der Website veröffentlichen), ADGM (Commissioner, innerhalb eines Monats) und den Bundes-VAE (UAE Data Office). Veröffentlichen Sie die Kontaktdaten des Datenschutzbeauftragten in der Datenschutzerklärung und auf der Website der Organisation.

Aktuelle Entwicklungen (2024-2026)

EDSA-Bericht zur CEF 2023 (Januar 2024). Die koordinierte Durchsetzungsmaßnahme des EDSA wertete über 17.000 Antworten von Datenschutzbeauftragten und Organisationen aus 25 EWR-Behörden aus. Sie ergab, dass die große Mehrheit der Befragten einen Datenschutzbeauftragten benannt hatte, und stellte Ressourcenlücken, die sich auf den öffentlichen Sektor konzentrieren, sowie Bedenken hinsichtlich der Unabhängigkeit in einer Minderheit der Fälle fest. Den nationalen Behörden wurde empfohlen, das Bewusstsein für die Benennungspflicht zu schärfen, weitere Hinweise herauszugeben und Durchsetzungsmaßnahmen zu verfolgen.

Ausweitung der DPO-Arbeitslast durch die EU-KI-Verordnung. Die Verordnung (EU) 2024/1689 (KI-Verordnung, EU AI Act) enthält Pflichten für Hochrisiko-KI-Systeme, die am 2. Dezember 2027 für Systeme nach Anhang III und am 2. August 2028 für in regulierte Produkte eingebaute KI vollständig anwendbar werden, verschoben durch das Digital Omnibus vom Juli 2026. Viele Organisationen übertragen die Aufsicht über die KI-Compliance bestehenden Datenschutzbeauftragten, insbesondere bei Hochrisiko-KI-Systemen, die auch personenbezogene Daten verarbeiten und daher nach der DSGVO eine DSFA erfordern.

Verpflichtender Datenschutzbeauftragter in Malaysia (Juni 2025). Der Personal Data Protection (Amendment) Act 2024 trat bis Juni 2025 vollständig in Kraft, und die Leitlinie der Aufsichtsbehörde legte die Schwellenwerte fest: mehr als 20.000 betroffene Personen, sensible personenbezogene Daten von mehr als 10.000 oder regelmäßige und systematische Überwachung. Der Datenschutzbeauftragte muss in Malaysia ansässig oder leicht erreichbar sein und in beiden Fällen Bahasa Melayu und Englisch beherrschen, mit Registrierung über das SPDP-Portal innerhalb von 21 Tagen.

Indische DPDP Rules (November 2025). Das MeitY notifizierte die DPDP Rules am 13. November 2025, und die Bestimmungen zur Errichtung des Data Protection Board of India traten mit der Veröffentlichung in Kraft. Die Rules legen keinen Schwellenwert für Significant Data Fiduciaries fest und erwähnen den Datenschutzbeauftragten nicht; der SDF-Status hängt weiterhin von einer Notifizierung der Zentralregierung nach Section 10(1) des Gesetzes ab, und die zusätzlichen SDF-Pflichten nach Rule 13 beginnen achtzehn Monate nach der Veröffentlichung.

Änderung des südkoreanischen PIPA 2026 (wirksam September 2026). Verabschiedet am 12. Februar 2026, verkündet am 10. März 2026. Führt den CEO als letztverantwortliche Person ein, das Erfordernis eines Board-Beschlusses für Änderungen beim CPO, eine Obergrenze der Abschöpfung von 10 % des Gesamtumsatzes nach Art. 64-2 Abs. 2 bei vorsätzlicher oder grob fahrlässiger Wiederholung einer der neun Verstoßarten nach Art. 64-2 Abs. 1 innerhalb von drei Jahren, bei einem solchen Verstoß, der 10 Millionen oder mehr betroffene Personen schädigt, oder bei einem Datenleck im Anschluss an die Nichtbefolgung einer Abhilfeanordnung, sowie eine verpflichtende ISMS-P-Zertifizierung für große Verantwortliche ab 1. Juli 2027.

Vietnams PDPL (Januar 2026). Vietnams erstes eigenständiges Datenschutzgesetz trat in Kraft und verlangt von den meisten Organisationen Datenschutzpersonal oder -abteilungen. Haushaltsbetriebe und Kleinstunternehmen sind vollständig befreit; kleine Unternehmen und Start-ups können nur in den ersten fünf Jahren abwählen.

Entscheidung des indonesischen Verfassungsgerichts (Juli 2025). Die Entscheidung Nr. 151/PUU-XXII/2024, verkündet am 30. Juli 2025, las das „und“ in Art. 53 Abs. 1 Buchst. b des PDP-Gesetzes von 2022 als „und/oder“, sodass nun die Erfüllung auch nur einer der drei Bedingungen die Pflicht zum Datenschutzbeauftragten auslöst. Die Entscheidung bindet unmittelbar und benötigt keine Durchführungsvorschrift.

Singapur: DPO-Registrierung zur PDPC verlegt (Dezember 2024). Die Meldung der Kontaktdaten des Datenschutzbeauftragten gibt es seit Juli 2020, ursprünglich über das BizFile+-Portal der ACRA. Die ACRA schloss diesen Kanal am 1. Dezember 2024, und die Registrierung läuft nun über das eigene Formular der PDPC, wobei die Einträge im öffentlichen DPO-Register veröffentlicht werden.

Vereinigtes Königreich, Data (Use and Access) Act 2025 (Juni 2025). Das Gesetz ersetzte den DPDI Bill, lehnte die Übernahme des Modells der „senior responsible individual“ ab und änderte Art. 37 Abs. 1 Buchst. a UK-DSGVO, sodass die Ausnahme für die justizielle Tätigkeit seit dem 20. August 2025 Gerichte und Tribunale erfasst.

Wo Sie mehr erfahren

Für Organisationen, die der DSGVO unterliegen, ist die grundlegende Referenz die vom EDSA gebilligten WP29-Leitlinien zu Datenschutzbeauftragten (WP243rev.01), verfügbar unter edpb.europa.eu. Für den umfassenderen DSGVO-Compliance-Rahmen, in den sich die DPO-Pflicht einfügt, siehe die DSGVO-Compliance-Checkliste und den Hub zu den EU-Datenschutzgesetzen auf dieser Website.

Organisationen, die in mehreren Rechtsordnungen tätig sind, sollten sich vor der endgültigen Festlegung ihrer DPO-Struktur von qualifizierten Datenschutzanwälten in jeder relevanten Rechtsordnung beraten lassen.

Haftungsausschluss

Dieser Artikel enthält allgemeine rechtliche Informationen über die Anforderungen an Datenschutzbeauftragte in mehreren Rechtsordnungen mit Stand vom 10. September 2026. Es handelt sich nicht um Rechtsberatung. Die beschriebenen Gesetze und Vorschriften ändern sich häufig und wurden möglicherweise nach dem Datum der Überprüfung geändert. Leser sollten sich auf diesen Artikel nicht als Ersatz für die Beratung durch einen in den jeweils relevanten Rechtsordnungen qualifizierten und zugelassenen Rechtsanwalt verlassen. Durch das Lesen dieses Artikels entsteht kein Mandatsverhältnis.

Zitierte Rechtsquellen

1. Verordnung (EU) 2016/679 (DSGVO), Art. 37-39, 83 Abs. 4. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679
2. WP29, Leitlinien zu Datenschutzbeauftragten (WP243rev.01), 5. April 2017 (vom EDSA gebilligt). https://ec.europa.eu/newsroom/article29/items/612048
3. EDSA, CEF-2023-Bericht zur Benennung und Stellung von Datenschutzbeauftragten, 16. Januar 2024. https://www.edpb.europa.eu/our-work-tools/our-documents/other/coordinated-enforcement-action-designation-and-position-data_en
4. Bundesdatenschutzgesetz (BDSG) 2018, § 38. https://www.gesetze-im-internet.de/bdsg_2018/__38.html
5. ICO (UK), Guide to Accountability and Governance: Data Protection Officers. https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/guide-to-accountability-and-governance/accountability-and-governance/data-protection-officers/
6. Brasilien LGPD, Gesetz 13.709/2018, Art. 41. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
7. ANPD Resolution CD/ANPD Nr. 2, 27. Januar 2022, und Resolution CD/ANPD Nr. 18, 16. Juli 2024 (Regelung zur Tätigkeit des Encarregado). https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd
8. China PIPL, in Kraft seit 1. November 2021, Art. 52, 53 und 66 (Veröffentlichung der Cyberspace Administration of China). https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm
9. Indien DPDP Act 2023, s. 10 und Schedule. https://www.meity.gov.in/static/uploads/2024/06/2bf1f0e9f04e6fb4f8fef35e82c42aa5.pdf
10. Indien DPDP Rules 2025 (G.S.R. 846(E)), notifiziert am 13. November 2025, Rules 1(4) und 13. https://www.meity.gov.in/static/uploads/2025/11/53450e6e5dc0bfa85ebd78686cadad39.pdf
11. Singapur PDPA 2012 (rev. 2021), s. 11(3). https://www.pdpc.gov.sg/Overview-of-PDPA/The-Legislation/Personal-Data-Protection-Act
12. Malaysia Personal Data Protection (Amendment) Act 2024. https://www.pdp.gov.my/ppdpv1/en/akta/personal-data-protection-amendment-act-2024/
13. Südkorea, Personal Information Protection Act, Art. 31, 64-2 und 75 (Law No. 21445, verkündet am 10. März 2026, in Kraft seit 11. September 2026), Korea Law Information Center. https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8%EB%B2%95
14. Südkorea PIPA-Änderung (verkündet am 10. März 2026, wirksam am 11. September 2026), Politikbriefing der koreanischen Regierung. https://www.korea.kr/news/policyNewsView.do?newsId=148960564
15. Thailand PDPA B.E. 2562 (2019), ss. 41-42, 82 und 85 (englischer MDES-Text); PDPC-Bekanntmachung zur Bestellung von Datenschutzbeauftragten (wirksam seit 13. Dezember 2023). https://www.mdes.go.th/uploads/tinymce/source/%E0%B8%AA%E0%B8%84%E0%B8%AA/Personal%20Data%20Protection%20Act%202019.pdf
16. Südafrika POPIA, Act 4 von 2013, ss. 55, 56, 107 und 109. https://www.gov.za/sites/default/files/gcis_document/201409/3706726-11act4of2013protectionofpersonalinforcorrect.pdf
17. VAE Bundesgesetzesdekret Nr. 45 von 2021 (PDPL), Art. 10. https://uaelegislation.gov.ae/en/legislations/1972
18. DIFC Data Protection Law Nr. 5 von 2020. https://www.difc.ae/business/laws-regulations/legal-database/data-protection-law-difc-law-no-5-2020/
19. ADGM Data Protection Regulations 2021. https://www.adgm.com/operating-in-adgm/office-of-data-protection/guidance
20. Indonesien Gesetz Nr. 27 von 2022 über den Schutz personenbezogener Daten, Art. 53, 57 und 67-70. https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022
21. Vietnam Gesetz Nr. 91/2025/QH15 zum Schutz personenbezogener Daten (in Kraft seit 1. Januar 2026). https://vanban.chinhphu.vn/?pageid=27160&docid=214590&classid=1&typegroupid=3
22. Polnische UODO, Beschluss vom 18. Dezember 2024, Toyota Bank Polska S.A., insgesamt EUR 132.000, davon EUR 60.000 wegen mangelnder Unabhängigkeit des Datenschutzbeauftragten. https://www.edpb.europa.eu/news/national-news/2025/polish-sa-administrative-fine-132-000-eu-improper-positioning-dpo-and_en
23. Polnische UODO, Beschluss vom 18. Oktober 2024, Bezirksbauaufsicht Częstochowa (District Building Supervision Inspectorate in Czestochowa), EUR 5.814 wegen unterlassener Benennung eines Datenschutzbeauftragten. https://www.edpb.europa.eu/news/national-news/2025/polish-sa-administrative-fine-5-814-eu-failure-designate-data-protection_en
24. BlnBDI (Berlin), Pressemitteilung vom 20. September 2022, Bußgeld von EUR 525.000 wegen Interessenkonflikts des Datenschutzbeauftragten (Art. 38 Abs. 6 DSGVO). https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/pressemitteilungen/2022/20220920-BlnBDI-PM-Bussgeld-DSB.pdf
25. Vereinigtes Königreich, Data (Use and Access) Act 2025 (c. 18), Sch. 11 Abs. 11; Data Protection Act 2018, s. 157. https://www.legislation.gov.uk/ukpga/2025/18/contents
26. Malaysia JPDP, Guideline on the Appointment of Data Protection Officer, Abs. 4.2, 6.10, 7.1 und 7.4. https://www.pdp.gov.my/ppdpv1/wp-content/uploads/2025/02/GARIS-PANDUAN-PERLINDUNGAN-DATA-PERIBADI_PELANTIKAN-PEGAWAI-PERLINDUNGAN-DATA.pdf
27. Malaysia Personal Data Protection (Amendment) Act 2024 (Act A1727), ss. 4 und 6 (neue ss. 12A und 12B). https://www.pdp.gov.my/ppdpv1/wp-content/uploads/2024/11/Act-A1727.pdf
28. China, Network Data Security Management Regulations (Dekret Nr. 790 des Staatsrats), Art. 28 und 30, in Kraft seit 1. Januar 2025. https://www.gov.cn/zhengce/content/202409/content_6977766.htm
29. Spanien, Ley Orgánica 3/2018 (LOPDGDD), Art. 34 und 35. https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673
30. Kanada, PIPEDA, Schedule 1, Principle 4.1 und cl. 4.1.2. https://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html
31. Indonesien, Entscheidung des Verfassungsgerichts Nr. 151/PUU-XXII/2024, verkündet am 30. Juli 2025. https://s.mkri.id/public/content/persidangan/putusan/putusan_mkri_12970_1753859809.pdf
32. Thailand PDPC, Bekanntmachung zu Verantwortlichen und Auftragsverarbeitern, die staatliche Stellen sind und einen Datenschutzbeauftragten haben müssen (Nr. 2), B.E. 2568, 9. Oktober 2025. https://www.mdes.go.th/law/detail/10069
33. Singapur PDPA 2012, s. 48J, wie im PDPC Guide on Active Enforcement angewandt (überarbeitet am 1. Oktober 2022). https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/other-guides/active-enforcement/guide-on-active-enforcement_oct2022.pdf
34. ACRA, „DPO registration on BizFile+ unavailable from 1 December 2024“. https://www.acra.gov.sg/news-events/news-announcements/834/
35. CNIL, Zahlen zur Benennung von Datenschutzbeauftragten (109.249 Organisationen, 39.174 Datenschutzbeauftragte, 2025). https://www.cnil.fr/fr/missions/mission-2-accompagner-la-conformite-conseiller
36. Vietnam Government policy portal, Zusammenfassung des Gesetzes Nr. 91/2025/QH15 einschließlich der fünfjährigen Option für kleine Unternehmen und Start-ups. https://xaydungchinhsach.chinhphu.vn/quoc-hoi-da-thong-qua-luat-bao-ve-du-lieu-ca-nhan-119250626153701582.htm
37. Japan, Act on the Protection of Personal Information, Art. 178, 179 und 184 (Japanese Law Translation, Justizministerium). https://www.japaneselawtranslation.go.jp/en/laws/view/4241/en
38. Australien, Privacy Act 1988, s. 13G (zivilrechtliche Sanktion für schwere Beeinträchtigung der Privatsphäre). https://www.legislation.gov.au/C2004A03712/latest/text

Zuletzt aktualisiert: 10. September 2026. Die zitierten Gesetze spiegeln ihre am 10. September 2026 geltende Fassung wider.

Häufig gestellte Fragen

Welche drei Auslöser machen nach der DSGVO die Bestellung eines Datenschutzbeauftragten verpflichtend?

Art. 37 Abs. 1 DSGVO verlangt die Bestellung eines Datenschutzbeauftragten für: (1) Behörden oder öffentliche Stellen (außer Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln); (2) Verantwortliche oder Auftragsverarbeiter, deren Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erfordert; und (3) Verantwortliche oder Auftragsverarbeiter, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten (Art. 9) oder von Daten über strafrechtliche Verurteilungen (Art. 10) besteht. Die Erfüllung eines einzigen Auslösers macht die Bestellung verpflichtend.

Braucht jedes Unternehmen einen Datenschutzbeauftragten?

Nein, nicht allgemein. Nach der DSGVO müssen nur Organisationen, die mindestens einen der drei Auslöser des Art. 37 erfüllen, einen Datenschutzbeauftragten bestellen. Singapurs PDPA gilt dagegen für jede Organisation, die personenbezogene Daten verarbeitet, unabhängig von der Größe. Südkoreas PIPA verlangt die Benennung eines CPO durch alle Verantwortlichen und Auftragsverarbeiter personenbezogener Informationen. Südafrikas POPIA verlangt von allen Verantwortlichen die Registrierung eines Information Officers. Brasiliens LGPD verlangt von allen Verantwortlichen die Benennung eines Encarregado, vorbehaltlich der Befreiungen für kleine Unternehmen.

Welche Qualifikationen braucht ein Datenschutzbeauftragter nach der DSGVO?

Art. 37 Abs. 5 verlangt „Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis“. Ein bestimmter Abschluss oder eine bestimmte Zertifizierung ist nicht vorgeschrieben. Das erforderliche Niveau richtet sich nach der Komplexität der Verarbeitung. Die Zertifizierungen CIPP/E und CIPM der IAPP gelten weithin als Indikatoren für das erforderliche Fachwissen, bleiben aber freiwillig. Kein EU-Mitgliedstaat verlangt eine bestimmte DPO-Zertifizierung: Art. 35 der spanischen LOPDGDD behandelt die Zertifizierung als freiwilligen Nachweis des Fachwissens, und Rumäniens ANSPDCP wendet den Maßstab der DSGVO an, ohne eine Qualifikation vorzuschreiben.

Kann ein Datenschutzbeauftragter wegen der Erfüllung seiner Aufgaben abberufen werden?

Nein. Art. 38 Abs. 3 DSGVO bestimmt, dass der Datenschutzbeauftragte wegen der Erfüllung seiner Aufgaben weder abberufen noch benachteiligt werden darf. Dieser Schutz stellt sicher, dass der Datenschutzbeauftragte Compliance-Bedenken ohne Vergeltungsmaßnahmen vorbringen kann. Ähnliche Bestimmungen zum Beschäftigungsschutz finden sich in Brasiliens LGPD und Thailands PDPA. Ein Datenschutzbeauftragter kann aus Gründen abberufen werden, die mit seinen DPO-Aufgaben nichts zu tun haben, sofern diese Gründe nachweislich unabhängig von der Compliance-Arbeit sind.

Kann ein Datenschutzbeauftragter mehrere Konzerngesellschaften betreuen?

Ja. Nach Art. 37 Abs. 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten benennen, sofern dieser „von jeder Niederlassung aus leicht erreicht werden kann“. Multinationale Konzerne nutzen dies häufig für ihre EU-Aktivitäten. Indiens DPDPA verlangt jedoch eine in Indien ansässige Person, die dem Board des SDF verantwortlich ist, sodass ein in Europa ansässiger Konzern-Datenschutzbeauftragter sie nicht erfüllen kann, und Art. 53 von Chinas PIPL verlangt von einem Verarbeiter mit Sitz außerhalb Chinas, in China eine Einrichtung zu errichten oder dort einen Vertreter zu benennen. Südkorea verlangt einen CPO mit interner Entscheidungsbefugnis, was den Einsatz von Datenschutzbeauftragten auf Konzernebene oder externen Datenschutzbeauftragten einschränkt.

Welche Sanktion droht nach der DSGVO bei Nichtbestellung eines erforderlichen Datenschutzbeauftragten?

Nach Art. 83 Abs. 4 Buchst. a kann die Nichtbenennung eines Datenschutzbeauftragten, wenn sie erforderlich ist, zu Geldbußen von bis zu EUR 10 Millionen oder 2 % des gesamten weltweit erzielten Jahresumsatzes führen. Im Vereinigten Königreich beträgt der entsprechende Standardhöchstbetrag GBP 8,7 Millionen oder 2 %. Die polnische UODO verhängte im Oktober 2024 gegen eine öffentliche Stelle ein Bußgeld von EUR 5.814 wegen der Nichtbenennung eines Datenschutzbeauftragten und im Dezember 2024 gegen die Toyota Bank Polska ein Bußgeld von EUR 132.000, davon EUR 60.000 wegen der Unabhängigkeit des Datenschutzbeauftragten. Anderswo: Chinas PIPL - gewöhnlich bis zu CNY 1 Million, mit einer Obergrenze von CNY 50 Millionen oder 5 % des Umsatzes nur bei schwerwiegenden Umständen; Südkoreas PIPA - ein Verwaltungsbußgeld von bis zu KRW 30 Millionen für die unterlassene Benennung eines CPO, sobald die Änderung von 2026 am 11. September 2026 in Kraft tritt, und davor bis zu KRW 10 Millionen; die mit dieser Änderung eingeführten 10 % des Gesamtumsatzes sind eine gesonderte Abschöpfung nach Art. 64-2 Abs. 2 bei vorsätzlicher oder grob fahrlässiger Wiederholung einer der neun Verstoßarten nach Art. 64-2 Abs. 1 innerhalb von drei Jahren, bei einem solchen Verstoß, der 10 Millionen oder mehr betroffene Personen schädigt, oder bei einem Datenleck im Anschluss an die Nichtbefolgung einer Abhilfeanordnung, keine Sanktion für die Benennungspflicht.

Haftet ein Datenschutzbeauftragter persönlich für Datenschutzverstöße der Organisation?

Nein. Die DSGVO und die meisten anderen Rahmenwerke legen die rechtliche Verantwortung auf den Verantwortlichen oder Auftragsverarbeiter, nicht auf den Datenschutzbeauftragten. Der Datenschutzbeauftragte berät, überwacht und arbeitet zusammen, genehmigt aber nicht persönlich Verarbeitungsentscheidungen. Der Verantwortliche bleibt dafür verantwortlich, dass dem Rat des Datenschutzbeauftragten gefolgt wird. Die Haftung eines Datenschutzbeauftragten für die Verletzung der Vertraulichkeit oder für persönliche Interessenkonflikte ist eine gesonderte Frage, die sich nach nationalem Arbeits- und Vertragsrecht richtet.

Welche Funktionen begründen einen Interessenkonflikt, der die Tätigkeit als Datenschutzbeauftragter ausschließt?

Die WP243rev.01-Leitlinien des EDSA bezeichnen jede Funktion, die über die Zwecke und Mittel der Datenverarbeitung entscheidet, als unvereinbar mit der Stellung des Datenschutzbeauftragten. Dazu zählen typischerweise: CEO, COO, CTO, IT-Leitung, Personalleitung, Marketingleitung und Leitung der Rechtsabteilung. Im September 2022 verhängte die Berliner Datenschutzbehörde gegen die Tochtergesellschaft einer Berliner E-Commerce-Gruppe ein Bußgeld von EUR 525.000 nach Art. 38 Abs. 6, weil ihr Datenschutzbeauftragter zugleich Geschäftsführer zweier Konzerngesellschaften war, die in ihrem Auftrag Daten verarbeiteten. Im Dezember 2024 verhängte die polnische UODO gegen die Toyota Bank Polska ein Bußgeld von EUR 60.000, innerhalb einer Gesamtsumme von EUR 132.000, weil ihr Datenschutzbeauftragter an einen Abteilungsleiter berichtete, der auch die Datenverarbeitungsvorgänge leitete.

Kann ein externer Berater oder eine Anwaltskanzlei als Datenschutzbeauftragter tätig sein?

Ja, nach der DSGVO, Brasiliens LGPD und Thailands PDPA kann die Funktion des Datenschutzbeauftragten an einen externen Dienstleister ausgelagert werden, sofern dieser dieselben Anforderungen an Unabhängigkeit und Fachwissen erfüllt wie ein interner Datenschutzbeauftragter. Malaysia erlaubt die Auslagerung, wenn der Datenschutzbeauftragte entweder 180 Tage ansässig oder leicht erreichbar ist und Bahasa Melayu und Englisch beherrscht. Chinas PIPL und Südkoreas PIPA erwarten eine interne Person mit organisatorischer Entscheidungsbefugnis. Eine Anwaltskanzlei, die denselben Mandanten auch zu Verarbeitungsentscheidungen berät, sollte eine strikte Trennung der Aufgabenbereiche wahren, um Konflikte zu vermeiden.

Was verlangt Malaysias PDPA-Änderung von 2024 für Datenschutzbeauftragte?

Der Personal Data Protection (Amendment) Act 2024, seit Juni 2025 in Kraft, fügte Section 12A ein. Die Leitlinie der Aufsichtsbehörde verlangt einen Datenschutzbeauftragten, wenn die Verarbeitung personenbezogene Daten von mehr als 20.000 betroffenen Personen, sensible personenbezogene Daten einschließlich Finanzinformationen von mehr als 10.000 betroffenen Personen oder Tätigkeiten umfasst, die eine regelmäßige und systematische Überwachung erfordern. Der Datenschutzbeauftragte muss entweder in einem Kalenderjahr mindestens 180 Tage in Malaysia ansässig oder auf jedem Weg leicht erreichbar sein und muss in beiden Fällen Bahasa Melayu und Englisch beherrschen. Die Bestellung muss innerhalb von 21 Tagen über das SPDP-Portal beim Commissioner registriert und Änderungen müssen innerhalb von 14 Tagen aktualisiert werden. Ausgelagerte Datenschutzbeauftragte sind zulässig. Section 12A selbst begründet keine Straftat.

Was ändert die PIPA-Änderung Südkoreas von 2026 für Datenschutzbeauftragte?

Die Änderung, verabschiedet am 12. Februar 2026 und wirksam am 11. September 2026, bestimmt den CEO oder Geschäftsvertreter zur letztverantwortlichen Person für den Datenschutz. Bestellung, Versetzung oder Abberufung des CPO erfordern nun einen förmlichen Board-Beschluss und müssen bei qualifizierenden Organisationen der PIPC gemeldet werden. Der CPO muss unmittelbar sowohl dem CEO als auch dem Board berichten. Die Obergrenze der Abschöpfung nach Art. 64-2 steigt von 3 % auf 10 % des Gesamtumsatzes bei vorsätzlicher oder grob fahrlässiger Wiederholung einer der neun Verstoßarten nach Art. 64-2 Abs. 1 innerhalb von drei Jahren nach einer früheren Abschöpfung, bei einem solchen Verstoß, der 10 Millionen oder mehr betroffene Personen schädigt, oder bei einem Datenleck im Anschluss an die Nichtbefolgung einer Abhilfeanordnung. Die unterlassene Benennung eines CPO gehört nicht zu diesen Verstoßarten.