DSGVO-Datenschutzbeauftragter: Brauchen Sie einen DSB? (2026)

Die Artikel 37 bis 39 der DSGVO verlangen von bestimmten Verantwortlichen und Auftragsverarbeitern die Bestellung eines Datenschutzbeauftragten (DSB). Die Pflicht besteht verbindlich in drei Fällen: Sie sind eine Behörde oder öffentliche Stelle; Ihre Kerntätigkeit erfordert eine umfangreiche regelmäßige und systematische Überwachung von Personen; oder Ihre Kerntätigkeit umfasst die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Daten.

Wann ist ein Datenschutzbeauftragter verpflichtend? Die drei Auslöser aus Artikel 37 Absatz 1

Artikel 37 Absatz 1 der Verordnung (EU) 2016/679 nennt drei Voraussetzungen, von denen jede einzelne eine verpflichtende Bestellungspflicht für einen Datenschutzbeauftragten auslöst. Die Erfüllung eines einzigen Auslösers genügt.

Erwägungsgrund 97 bestätigt diesen Rahmen und ergänzt, dass das erforderliche Fachwissen des Datenschutzbeauftragten der Komplexität der Verarbeitungsvorgänge entsprechen sollte.

Auslöser eins: Behörde oder öffentliche Stelle (Artikel 37 Absatz 1 Buchstabe a)

Jede Behörde oder öffentliche Stelle muss einen Datenschutzbeauftragten bestellen, unabhängig vom Umfang oder der Sensibilität ihrer Verarbeitung. Der Auslöser gilt unbedingt: Es ist kein Mengenschwellenwert, keine bestimmte Datenkategorie und keine spezifische Tätigkeitsart erforderlich.

Die ausdrückliche Ausnahme betrifft Gerichte, die in ihrer justiziellen Tätigkeit handeln. Erwägungsgrund 20 erläutert, dass die richterliche Unabhängigkeit verlangt, dass Aufsichtsbehörden die Fallbearbeitung der Gerichte nicht unmittelbar überprüfen. Andere Verwaltungsfunktionen der Gerichte (Gehaltsabrechnung, Personalverwaltung, Gebäudemanagement) unterliegen weiterhin der DSGVO; diese Tätigkeiten fallen nicht unter die Ausnahme für die justizielle Tätigkeit.

Was als öffentliche Stelle gilt, richtet sich nach dem nationalen Recht des jeweiligen EU-Mitgliedstaats. Zentrale Regierungsbehörden, regionale und lokale Gebietskörperschaften, Regulierungsbehörden, staatlich finanzierte öffentliche Rundfunkanstalten, öffentlich finanzierte Universitäten und öffentliche Krankenhäuser sind die typischen Fälle. Gemischt öffentlich-private Stellen und staatseigene Unternehmen können je nach Verfassungs- und Verwaltungsrecht des jeweiligen Mitgliedstaats erfasst sein oder nicht.

Auslöser zwei: Umfangreiche regelmäßige und systematische Überwachung (Artikel 37 Absatz 1 Buchstabe b)

Auslöser zwei gilt für Verantwortliche und Auftragsverarbeiter, deren Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erfordert. Beide Elemente bedürfen einer genauen Prüfung: "regelmäßige und systematische Überwachung" und "umfangreich" sind eigenständige Voraussetzungen.

Was "regelmäßige und systematische Überwachung" bedeutet

Die ehemalige Artikel-29-Datenschutzgruppe (WP29), deren Leitlinien am 25. Mai 2018 vom Europäischen Datenschutzausschuss (EDSA) gebilligt wurden, behandelte dies in WP243rev.01. "Regelmäßig" bedeutet fortlaufend, in festen Abständen wiederkehrend oder ständig beziehungsweise periodisch stattfindend. "Systematisch" bedeutet, dass die Überwachung nach einem System erfolgt, vorab geplant oder methodisch ist oder Teil eines allgemeinen Datenerhebungsplans darstellt.

Beispiele der WP29 für eine regelmäßige und systematische Überwachung: der Betrieb eines Telekommunikationsnetzes; das Anbieten von Internetdiensten; die Erfassung von Standortdaten mobiler Anwendungen; Kundenbindungsprogramme mit Verhaltensanalyse; die Verarbeitung biometrischer Daten zur Zugangskontrolle; Videoüberwachung von Personen im öffentlichen Raum; verhaltensbasierte Werbung; sowie die Verfolgung über vernetzte Geräte.

Was "umfangreich" bedeutet

Die DSGVO definiert "umfangreich" nicht anhand einer festen Zahl. Erwägungsgrund 91 besagt, dass eine umfangreiche Verarbeitung darauf abzielt, eine beträchtliche Menge personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten und eine große Zahl betroffener Personen betreffen könnte. Als Gegenbeispiel führt Erwägungsgrund 91 an, dass ein einzelner Arzt oder Rechtsanwalt, der Patienten- oder Mandantendaten verarbeitet, keine umfangreiche Verarbeitung darstellt.

Die WP29 nannte vier Bewertungsfaktoren: die Zahl der betroffenen Personen (absolut oder als Anteil der jeweiligen Bevölkerung); den Umfang beziehungsweise die Bandbreite der verarbeiteten Daten; die Dauer beziehungsweise Beständigkeit der Tätigkeit; sowie die geografische Ausdehnung.

Der EDSA behandelt Folgendes als umfangreich: ein Krankenhaus, das im normalen Betrieb Patientendaten verarbeitet; ein Verkehrsunternehmen, das Fahrgastdaten im öffentlichen Nahverkehr einer Stadt verarbeitet; ein Anbieter, der ein nationales Straßennetz in Echtzeit geolokalisiert; eine Suchmaschine, die weltweit Daten für verhaltensbasierte Werbung verarbeitet. Nicht umfangreich: ein einzelner Arzt oder Facharzt, der Patientenakten verarbeitet; ein einzelner Rechtsanwalt, der Mandantendaten verarbeitet.

Auslöser drei: Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Daten (Artikel 37 Absatz 1 Buchstabe c)

Auslöser drei stellt auf die Sensibilität der Daten ab und nicht auf die Art der Überwachung. Er gilt, wenn die Kerntätigkeit in der umfangreichen Verarbeitung der in Artikel 9 Absatz 1 genannten besonderen Kategorien oder strafrechtlicher Daten nach Artikel 10 besteht.

Artikel 9 Absatz 1 nennt acht besondere Kategorien: rassische und ethnische Herkunft; politische Meinungen; religiöse oder weltanschauliche Überzeugungen; Gewerkschaftszugehörigkeit; genetische Daten; biometrische Daten, die zur eindeutigen Identifizierung verarbeitet werden; Gesundheitsdaten; sowie Daten zum Sexualleben oder zur sexuellen Orientierung.

Daten nach Artikel 10 betreffen strafrechtliche Verurteilungen und Straftaten. Die meisten Organisationen, die Artikel-10-Daten im Rahmen ihrer Kerntätigkeit verarbeiten, tun dies auf Grundlage einer besonderen gesetzlichen Öffnungsklausel. Das Erfordernis der Umfangreichheit bleibt bestehen; eine kleine gemeinnützige Organisation, die eine einzelne Prüfung eines Führungszeugnisses für eine ehrenamtliche Person durchführt, löst diesen Auslöser nicht aus.

Organisationen, die Auslöser drei wahrscheinlich erfüllen: ein privater Krankenversicherer, der medizinische Risikoprüfungsdaten für seinen gesamten Kundenstamm verarbeitet; eine Personalvermittlung, die in großem Umfang Führungszeugnisse prüft; ein Anbieter genetischer Tests, der DNA-Daten von Hunderttausenden Verbrauchern verarbeitet; ein Anbieter biometrischer Zugangskontrolle für eine große Belegschaft.

Der Begriff der "Kerntätigkeit"

Auslöser zwei und drei setzen jeweils voraus, dass die betreffende Verarbeitung Teil der "Kerntätigkeiten" der Organisation ist. Nebensächliche oder unterstützende Verarbeitungen lösen die Pflicht zur Bestellung eines Datenschutzbeauftragten nicht aus.

Die WP29 zog die Grenze zwischen primären Geschäftsfunktionen und Unterstützungsfunktionen wie Gehaltsabrechnung, IT-Verwaltung und Personalwesen. Ein Krankenhaus verarbeitet Gesundheitsdaten als Kerntätigkeit, weil die Gesundheitsversorgung sein primärer Zweck ist. Seine Gehaltsabrechnung, obwohl sie personenbezogene Daten betrifft, ist nebensächlich und löst Auslöser drei nicht aus.

Ein Sicherheitsunternehmen, das Einkaufszentren und öffentliche Räume per Videoüberwachung überwacht, betreibt eine regelmäßige und systematische Überwachung als Kerntätigkeit, weil die Überwachung die primäre Dienstleistung ist, die es verkauft. Ein Supermarkt, der zur Diebstahlprävention Videoüberwachung einsetzt, nutzt die Überwachung als sekundäres Hilfsmittel, nicht als primäres Angebot.

Viele mittelständische Unternehmen verarbeiten umfangreich personenbezogene Daten in HR-Systemen, CRM-Plattformen und Buchhaltungssoftware, doch keine dieser Tätigkeiten ist im Sinne der DSGVO eine Kerntätigkeit. Ein Hersteller, dessen primäre Tätigkeit die Produktion von Waren ist, verarbeitet Mitarbeiter- und Kundendaten als Unterstützungsfunktion. Umfasst seine Kerntätigkeit keine umfangreiche Überwachung oder umfangreiche Verarbeitung besonderer Kategorien, entsteht keine verpflichtende Bestellungspflicht nach Auslöser zwei oder drei.

Freiwillige Bestellung eines Datenschutzbeauftragten

Artikel 37 Absatz 4 bestätigt, dass Organisationen, bei denen die Bestellung nicht verpflichtend ist, einen Datenschutzbeauftragten "bestellen können oder müssen". Die Formulierung "müssen" bezieht sich auf Möglichkeiten des mitgliedstaatlichen oder Unionsrechts, die eine Bestellung über die Grundregel des Artikels 37 Absatz 1 hinaus vorschreiben können; Organisationen sollten das nationale Umsetzungsrecht prüfen.

Der EDSA empfiehlt die freiwillige Bestellung für jede Organisation, die erhebliche Mengen personenbezogener Daten verarbeitet, unabhängig davon, ob die verpflichtenden Schwellenwerte erfüllt sind. Ein freiwillig bestellter Datenschutzbeauftragter kann Rechenschaftspflicht nachweisen, aufsichtsrechtliches Vertrauen aufbauen und das Risiko unentdeckter Verstöße senken.

Entscheidend ist, dass die Artikel 38 und 39 vollständig auf einen freiwillig bestellten Datenschutzbeauftragten anzuwenden sind. Eine Organisation kann keinen nominellen Datenschutzbeauftragten ohne Unabhängigkeit oder ohne den Schutz durch die Interessenkonfliktregeln bestellen.

Wer kann als Datenschutzbeauftragter tätig sein?

Erforderliche Qualifikationen

Artikel 37 Absatz 5 verlangt eine Bestellung auf der Grundlage der beruflichen Qualifikation und insbesondere des Fachwissens auf dem Gebiet des Datenschutzrechts und der Praxis sowie der Fähigkeit, die Aufgaben nach Artikel 39 zu erfüllen. Eine vorgeschriebene Qualifikation oder Prüfung existiert nicht. Das erforderliche Fachwissen ist der Sensibilität der Daten und der Komplexität der Verarbeitung angemessen.

Die WP29 nannte relevante Fachgebiete: nationales und europäisches Datenschutzrecht; die Branche und den Gegenstand der Organisation; die Geschäfts- und IT-Infrastruktur der Organisation; das Management der Compliance-Funktion; sowie internationale Übermittlungsrahmen.

Für eine kleine Organisation, die lediglich grundlegende Kontaktdaten für einen Newsletter erhebt, kann eine kompetente Mitarbeiterin oder ein kompetenter Mitarbeiter mit angemessenem DSGVO-Verständnis genügen. Für einen großen multinationalen Konzern, der biometrische Daten verarbeitet, verhaltensbasierte Werbung betreibt und Daten über Rechtsordnungen hinweg übermittelt, ist spezialisiertes rechtliches und technisches Fachwissen angemessen.

Mitarbeiterin oder externer Dienstleister

Artikel 37 Absatz 6 erlaubt ausdrücklich, dass der Datenschutzbeauftragte eine Mitarbeiterin beziehungsweise ein Mitarbeiter ist oder die Rolle auf der Grundlage eines Dienstleistungsvertrags wahrnimmt. Das Modell des externen Datenschutzbeauftragten hat seit Inkrafttreten der DSGVO erheblich an Bedeutung gewonnen. Anwaltskanzleien, Beratungsunternehmen und spezialisierte Datenschutzdienstleister bieten gemeinsam genutzte oder anteilige Dienste als Datenschutzbeauftragter an.

Ist der Datenschutzbeauftragte extern, muss der Dienstleistungsvertrag so gestaltet sein, dass die Artikel 38 und 39 eingehalten werden. Der externe Datenschutzbeauftragte muss echten Zugang zu den Verarbeitungsvorgängen und der Geschäftsleitung der Organisation haben und darf nicht lediglich als nomineller Compliance-Ansprechpartner fungieren.

Konzernweiter Datenschutzbeauftragter und Datenschutzbeauftragter für mehrere Behörden

Artikel 37 Absatz 2 erlaubt es einer Unternehmensgruppe, einen einzigen Datenschutzbeauftragten zu bestellen, sofern dieser von jeder Niederlassung aus leicht erreichbar ist. Artikel 37 Absatz 3 erlaubt in ähnlicher Weise einen einzigen Datenschutzbeauftragten für mehrere Behörden oder öffentliche Stellen unter Berücksichtigung ihrer Organisationsstruktur und Größe.

"Leicht erreichbar" ist eine funktionale Anforderung. Der Datenschutzbeauftragte muss für Beschäftigte, betroffene Personen und Aufsichtsbehörden ohne unangemessene Schwierigkeiten erreichbar sein. Die WP29 nannte unterstützende Faktoren: klare Kommunikation der Kontaktdaten des Datenschutzbeauftragten im gesamten Konzern; Verfügbarkeit für Rückfragen zu Datenschutzthemen; sowie physische Präsenz, wo komplexe oder sensible Verarbeitungen stattfinden.

Artikel 37 Absatz 7 verlangt, dass Verantwortliche und Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten veröffentlichen und der Aufsichtsbehörde mitteilen. Die vollständige Identität muss nicht veröffentlicht werden, wohl aber eine für betroffene Personen zugängliche Kontaktadresse.

Die Aufgaben des Datenschutzbeauftragten nach Artikel 39

Artikel 39 Absatz 1 nennt fünf Mindestaufgaben. Die Formulierung "zumindest" macht deutlich, dass das mitgliedstaatliche Recht, die Vertragsbedingungen des Datenschutzbeauftragten oder die eigene Governance der Organisation zusätzliche Zuständigkeiten zuweisen können.

Aufgabe eins: Unterrichtung und Beratung (Artikel 39 Absatz 1 Buchstabe a)

Der Datenschutzbeauftragte muss den Verantwortlichen, den Auftragsverarbeiter und die Beschäftigten über DSGVO-Pflichten und andere anwendbare Datenschutzvorschriften unterrichten und beraten. Dies umfasst Hinweise zu rechtmäßigen Verarbeitungsgrundlagen, Einwilligungsmechanismen, Verfahren zu den Rechten betroffener Personen, Mitarbeiterschulungen und Datenschutzstrategie.

Der Datenschutzbeauftragte unterrichtet und berät; er entscheidet nicht. Nach Artikel 38 Absatz 3 darf der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Weisungen entgegennehmen, doch der Verantwortliche oder Auftragsverarbeiter behält die Entscheidungsbefugnis darüber, wie personenbezogene Daten verarbeitet werden. Die Rolle des Datenschutzbeauftragten besteht darin, sicherzustellen, dass Entscheidungsträger die Rechtslage verstehen, und nicht konforme Vorgaben zu kennzeichnen.

Aufgabe zwei: Überwachung der Einhaltung (Artikel 39 Absatz 1 Buchstabe b)

Der Datenschutzbeauftragte muss die Einhaltung der DSGVO, anderer anwendbarer Datenschutzvorschriften und der eigenen Datenschutzrichtlinien der Organisation überwachen. Die Überwachung umfasst: die Zuweisung von Datenschutzzuständigkeiten; die Durchführung interner Prüfungen; die Überprüfung von Verarbeitungsverträgen und Datenaustauschvereinbarungen; die Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten; die Überwachung von Anfragen zu den Rechten betroffener Personen; sowie die Nachverfolgung technischer und organisatorischer Sicherheitsmaßnahmen.

Artikel 39 Absatz 1 Buchstabe b nennt zudem die Sensibilisierung und Schulung der Beschäftigten. Der Datenschutzbeauftragte hat daher die fortlaufende Pflicht, die Belegschaft über die DSGVO-Anforderungen auf dem Laufenden zu halten, während sich der rechtliche Rahmen und die Verarbeitungsvorgänge der Organisation weiterentwickeln.

Aufgabe drei: Beratung zu DSFAs (Artikel 39 Absatz 1 Buchstabe c)

Bringt eine neue Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für betroffene Personen mit sich, verlangt Artikel 35 eine Datenschutz-Folgenabschätzung (DSFA) vor Beginn der Verarbeitung. Der Datenschutzbeauftragte berät zur DSFA und überwacht deren Durchführung.

Nach Artikel 38 Absatz 1 muss der Datenschutzbeauftragte "ordnungsgemäß und frühzeitig" eingebunden werden und sollte bereits zu Beginn jedes Projekts konsultiert werden, das voraussichtlich eine DSFA erfordert. Der Rat des Datenschutzbeauftragten und die Reaktion des Verantwortlichen sollten zusammen mit der DSFA dokumentiert werden. Erwägungsgrund 97 weist darauf hin, dass der Datenschutzbeauftragte bei der Beurteilung mitwirken sollte, ob eine DSFA erforderlich ist und wie sie durchzuführen ist.

Setzt ein Verantwortlicher eine Verarbeitung mit hohem Risiko trotz dokumentiertem Einwand des Datenschutzbeauftragten fort, sollten sowohl der Rat des Datenschutzbeauftragten als auch die Entscheidung des Verantwortlichen schriftlich festgehalten werden. Diese Dokumentation belegt die Unabhängigkeit des Datenschutzbeauftragten und die Rechenschaftspflicht des Verantwortlichen nach Artikel 5 Absatz 2.

Aufgabe vier: Zusammenarbeit mit der Aufsichtsbehörde (Artikel 39 Absatz 1 Buchstabe d)

Der Datenschutzbeauftragte muss mit der Aufsichtsbehörde zusammenarbeiten. Die Zusammenarbeit umfasst die Erleichterung von Prüfungen und Untersuchungen; die Bereitstellung von Informationen im Rahmen der Untersuchungsbefugnisse der Behörde nach Artikel 58; die Teilnahme an Besprechungen oder Anhörungen; sowie die Verwaltung von Meldungen von Datenschutzverletzungen an die Aufsichtsbehörde nach Artikel 33.

Aufgabe fünf: Anlaufstelle für die Aufsichtsbehörde (Artikel 39 Absatz 1 Buchstabe e)

Der Datenschutzbeauftragte fungiert als Anlaufstelle für die Aufsichtsbehörde in Fragen der Verarbeitung und führt gegebenenfalls die vorherige Konsultation nach Artikel 36 durch. Die vorherige Konsultation ist das Verfahren, durch das ein Verantwortlicher, der von der DSFA festgestellte Risiken nicht auf ein vertretbares Maß senken kann, vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert.

Die Funktion als Anlaufstelle bedeutet auch, dass betroffene Personen über eine veröffentlichte Adresse zur Ausübung ihrer DSGVO-Rechte verfügen. Artikel 37 Absatz 7 stellt sicher, dass die Kontaktdaten des Datenschutzbeauftragten öffentlich zugänglich sind, und Artikel 38 Absatz 4 bestätigt, dass betroffene Personen den Datenschutzbeauftragten zu allen Fragen der Verarbeitung und ihrer Rechte kontaktieren können.

Der risikobasierte Ansatz in der Praxis

Artikel 39 Absatz 2 verlangt, dass der Datenschutzbeauftragte bei allen fünf Aufgaben das mit den Verarbeitungsvorgängen verbundene Risiko unter Berücksichtigung von Art, Umfang, Umständen und Zwecken berücksichtigt. Ein verhältnismäßiger, risikobasierter Ansatz lenkt die Aufmerksamkeit auf jene Tätigkeiten, die am ehesten hohe Risiken schaffen: Profiling, automatisierte Entscheidungsfindung, umfangreiche Verarbeitung besonderer Kategorien und grenzüberschreitende Übermittlungen ohne angemessene Garantien.

Unabhängigkeit und Kündigungsschutz des Datenschutzbeauftragten (Artikel 38)

Weisungsfreiheit

Artikel 38 Absatz 3 bestimmt, dass der Datenschutzbeauftragte "bei der Erfüllung seiner Aufgaben keine Weisungen entgegennehmen" darf. Dieses Verbot gilt auf allen Führungsebenen. Der Datenschutzbeauftragte berichtet unmittelbar an die höchste Managementebene, was in den meisten Unternehmensstrukturen den Vorstand oder ein gleichwertiges Leitungsorgan bedeutet.

Ein Datenschutzbeauftragter, der feststellt, dass eine Verarbeitungstätigkeit rechtswidrig ist, kann nicht angewiesen werden, sie zu genehmigen. Ein Datenschutzbeauftragter, der der Auffassung ist, dass die Organisation Datenschutzverletzungen unzureichend meldet, kann nicht zum Schweigen gebracht werden. Der Datenschutzbeauftragte muss frei sein, Bedenken nach Artikel 39 Absatz 1 Buchstabe d ohne interne Genehmigung an die Aufsichtsbehörde zu eskalieren.

Schutz vor Abberufung und Benachteiligung

Artikel 38 Absatz 3 verbietet die Abberufung oder Benachteiligung des Datenschutzbeauftragten wegen der Erfüllung seiner Aufgaben. Ein Datenschutzbeauftragter, der wegen seiner Funktion abberufen, herabgestuft, in der Vergütung gekürzt oder anderweitig benachteiligt wird, hat einen unmittelbaren Anspruch nach der DSGVO, und die Aufsichtsbehörde kann den Verantwortlichen oder Auftragsverarbeiter untersuchen und sanktionieren.

Der Schutz gilt sowohl für angestellte als auch für als externe Dienstleister tätige Datenschutzbeauftragte. Ein Verantwortlicher kann den Dienstleistungsvertrag des Datenschutzbeauftragten nicht als Vergeltung dafür beenden, dass der Datenschutzbeauftragte Compliance-Bedenken geäußert hat. Vertragsklauseln, die dem Verantwortlichen ein uneingeschränktes Kündigungsrecht ohne Grund einräumen, können das Unabhängigkeitserfordernis untergraben, wenn sie genutzt werden, um rechtmäßiges Handeln des Datenschutzbeauftragten zu unterdrücken.

Ressourcen und Zugang

Artikel 38 Absatz 2 verpflichtet den Verantwortlichen und den Auftragsverarbeiter, die zur Erfüllung der Aufgaben nach Artikel 39 und zum Erhalt des Fachwissens erforderlichen Ressourcen sowie den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen bereitzustellen. Zu den Ressourcen zählen Zeit, Mittel für Schulung und berufliche Weiterentwicklung sowie administrative Unterstützung. Bei einem Teilzeit- oder externen Datenschutzbeauftragten umfasst dies einen echten Zugang zu Systemen, Dokumentation und Personal.

Ein Datenschutzbeauftragter, der keine Verzeichnisse von Verarbeitungstätigkeiten erhalten, an Besprechungen zu Verarbeitungsentscheidungen teilnehmen oder Beschaffungsverträge mit Bezug zu personenbezogenen Daten prüfen kann, verfügt nicht über den für die Überwachung nach Artikel 39 Absatz 1 Buchstabe b erforderlichen Zugang.

Interessenkonflikt

Artikel 38 Absatz 6 erlaubt es dem Datenschutzbeauftragten, weitere Aufgaben und Pflichten wahrzunehmen, doch der Verantwortliche oder Auftragsverarbeiter muss sicherstellen, dass diese Aufgaben keinen Interessenkonflikt mit der Aufsichtsfunktion des Datenschutzbeauftragten begründen.

Die Leitlinien der WP29 (WP243rev.01) nannten Funktionen, die grundsätzlich mit der Rolle des Datenschutzbeauftragten unvereinbar sind: Geschäftsführung (CEO), Chief Operating Officer, Chief Financial Officer, Chief Marketing Officer, Personalleitung, Chief Information Officer sowie Leitung der IT- oder Sicherheitsabteilung. In kleineren Organisationen, in denen eine Person mehrere Rollen innehat, muss die Funktion des Datenschutzbeauftragten von Rollen abgeschirmt bleiben, die Verarbeitungsziele festlegen.

Der Maßstab ist funktional, nicht nominell. Die Änderung einer Berufsbezeichnung von "IT-Leiter" in "Datenschutzbeauftragter" bei unveränderten inhaltlichen Zuständigkeiten behebt den Konflikt nicht. Ein Konflikt besteht immer dann, wenn die Rolle die Festlegung der Zwecke und Mittel der Verarbeitung personenbezogener Daten umfasst.

Externe Datenschutzbeauftragte tragen eigene Risiken: Eine Anwaltskanzlei, die einen Mandanten zur Rechtmäßigkeit einer Verarbeitungsstrategie berät und gleichzeitig als Datenschutzbeauftragter tätig ist, kann in einen Konflikt geraten, wenn die Funktion des Datenschutzbeauftragten verlangt, von dieser Strategie abzuraten. Organisationen, die externe DSB-Dienste nutzen, sollten sicherstellen, dass der Anbieter über Governance-Maßnahmen zur Steuerung dieser Konflikte verfügt.

Folgen der Nichteinhaltung

Bußgelder nach Artikel 83 Absatz 4

Verstöße gegen die Artikel 37, 38 und 39 fallen unter die niedrigere Bußgeldstufe der DSGVO nach Artikel 83 Absatz 4, die Pflichten gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43 erfasst. Das Höchstmaß beträgt 10 Millionen Euro oder 2 % des weltweiten Gesamtjahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist.

Häufig sanktionierte Verstöße im Zusammenhang mit dem Datenschutzbeauftragten: die Nichtbestellung eines erforderlichen Datenschutzbeauftragten; die Bestellung eines Datenschutzbeauftragten ohne die erforderliche Qualifikation oder Unabhängigkeit; die Zuweisung einer im Konflikt stehenden Rolle an den Datenschutzbeauftragten; die unzureichende Bereitstellung von Ressourcen oder Zugang; sowie die unterlassene Veröffentlichung der Kontaktdaten des Datenschutzbeauftragten.

Durchsetzung in der Praxis

Aufsichtsbehörden in der gesamten EU haben Organisationen wegen Verstößen im Zusammenhang mit dem Datenschutzbeauftragten untersucht und mit Bußgeldern belegt. Deutsche Datenschutzbehörden waren dabei besonders aktiv, da die Pflicht zum Datenschutzbeauftragten ihre Wurzeln im deutschen Bundesdatenschutzrecht hat, das der DSGVO vorausging. Mehrere Aufsichtsbehörden haben nominell bestellte Datenschutzbeauftragte ohne echte Befugnis, ohne angemessene Ressourcen und ohne Schutz vor Einflussnahme durch die Geschäftsleitung so behandelt, als läge überhaupt kein Datenschutzbeauftragter vor.

Die unterlassene Veröffentlichung der Kontaktdaten des Datenschutzbeauftragten gehört zu den einfachsten Verstößen, die eine Aufsichtsbehörde feststellen kann: Sie ist unmittelbar aus der Datenschutzerklärung ersichtlich. Aufsichtsbehörden, die Überprüfungen von Datenschutzhinweisen auf Websites durchführen, stellen fehlende Kontaktdaten des Datenschutzbeauftragten regelmäßig fest.

Folgen jenseits von Bußgeldern

Die Nichteinhaltung der Anforderungen an den Datenschutzbeauftragten untergräbt die Rechenschaftspflicht nach Artikel 5 Absatz 2. Ein Verantwortlicher, dem ein erforderlicher Datenschutzbeauftragter fehlt, weist ein strukturelles Rechenschaftsdefizit auf, das die Sanktion für jeden im Rahmen derselben Untersuchung festgestellten DSGVO-Verstoß verschärfen kann.

Bei B2B-Geschäften verlangen Beschaffungsteams, die eine DSGVO-Sorgfaltsprüfung von Lieferanten und Unterauftragsverarbeitern durchführen, zunehmend Nachweise über die Bestellung eines Datenschutzbeauftragten, dessen Kontaktdaten sowie Verzeichnisse von Verarbeitungstätigkeiten. Das Fehlen eines erforderlichen Datenschutzbeauftragten ist ein wesentlicher Befund bei Risikobewertungen von Lieferanten in Unternehmen.

UK-DSGVO und die Pflicht zum Datenschutzbeauftragten

Das Vereinigte Königreich hat die DSGVO durch den European Union (Withdrawal) Act 2018 und den Data Protection Act 2018 als innerstaatliches Recht beibehalten. Die UK-DSGVO übernimmt den EU-Text mit geringfügigen Änderungen. Die Artikel 37, 38 und 39 der UK-DSGVO geben die EU-Vorschriften nahezu wortgleich wieder, und die drei verpflichtenden Auslöser bleiben unverändert.

Das Information Commissioner's Office (ICO) ist die Aufsichtsbehörde für die UK-DSGVO. Das ICO folgt dem Ansatz der WP29 eng und wendet dieselben Analysekriterien für "umfangreich" und "Kerntätigkeiten" an wie die EU-Aufsichtsbehörden. Organisationen, die beiden Regelwerken unterliegen, können getrennte Datenschutzbeauftragte oder einen einzigen Datenschutzbeauftragten für beide bestellen, sofern dieser für beide Aufsichtsbehörden, Beschäftigte und betroffene Personen erreichbar ist.

Das Bußgeldregime der UK-DSGVO ist in Pfund Sterling angegeben: Die untere Stufe beträgt bis zu 8,7 Millionen GBP oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Wie Sie beurteilen, ob Ihre Organisation einen Datenschutzbeauftragten benötigt

Beginnen Sie mit Auslöser eins: Ist die Organisation nach dem nationalen Recht des betreffenden EU-Mitgliedstaats eine Behörde oder öffentliche Stelle? Wenn ja, ist ein Datenschutzbeauftragter verpflichtend. Ist die Organisation in mehreren Mitgliedstaaten tätig, prüfen Sie, ob einer von ihnen die Stelle als öffentliche Einrichtung einstuft.

Handelt es sich nicht um eine öffentliche Stelle, ermitteln Sie die Kerngeschäftstätigkeiten. Fragen Sie für jede Kerntätigkeit: Erfordert diese Tätigkeit eine regelmäßige und systematische Überwachung von Personen? Wenn ja, erfolgt diese Überwachung in umfangreichem Ausmaß? Sind beide Antworten ja, gilt Auslöser zwei.

Fragen Sie anschließend für jede Kerntätigkeit: Umfasst diese Tätigkeit die Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 oder strafrechtlicher Daten nach Artikel 10? Wenn ja, erfolgt diese Verarbeitung in umfangreichem Ausmaß? Sind beide Antworten ja, gilt Auslöser drei.

Dokumentieren Sie die Analyse. Auch wenn kein verpflichtender Datenschutzbeauftragter erforderlich ist, weist eine dokumentierte Bewertung Rechenschaftspflicht nach Artikel 5 Absatz 2 nach und schützt die Organisation, falls eine Aufsichtsbehörde die Entscheidung später in Frage stellt. Aktualisieren Sie die Bewertung, wann immer sich Verarbeitungstätigkeiten wesentlich ändern, etwa durch Übernahmen, neue Produktlinien oder geänderte Vereinbarungen zum Datenaustausch.

Wie sich die Pflichten zum Datenschutzbeauftragten in das umfassendere DSGVO-Compliance-Programm einfügen, erläutert die DSGVO-Compliance-Checkliste. Organisationen außerhalb der EU, die prüfen möchten, ob die DSGVO überhaupt anwendbar ist, können mit dem Leitfaden DSGVO für kleine Unternehmen beginnen. Eine vollständige Einführung in die Verordnung bietet Was ist die DSGVO.

Haftungsausschluss: Dieser Artikel enthält allgemeine rechtliche Informationen zu den Anforderungen der DSGVO an den Datenschutzbeauftragten und stellt keine Rechtsberatung dar. Die DSGVO-Compliance ist einzelfallabhängig, und die Anwendung der Artikel 37 bis 39 auf eine bestimmte Organisation hängt von ihren konkreten Verarbeitungstätigkeiten, ihrem Rechtsstatus und dem nationalen Recht des jeweiligen Mitgliedstaats ab. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Datenschutzfachkraft oder einen Rechtsanwalt.