Rolle und Stellung des Datenschutzbeauftragten

Wann ein DSB benannt werden muss

Artikel 37 verlangt einen DSB in drei Fällen: Die Verarbeitung erfolgt durch eine Behörde oder öffentliche Stelle (mit Ausnahme von Gerichten im Rahmen ihrer justiziellen Tätigkeit); die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters besteht in Verarbeitungen, die eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordern; oder die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten. Das Recht eines Mitgliedstaats kann weitere Fälle vorsehen – in Deutschland etwa § 38 BDSG –, und wer freiwillig einen DSB benennt, muss dieselben Regeln einhalten.

Eine Unternehmensgruppe kann einen gemeinsamen DSB benennen, wenn er von jeder Niederlassung leicht erreicht werden kann. Der DSB kann Beschäftigter sein oder auf Grundlage eines Dienstleistungsvertrags tätig werden und wird auf der Grundlage seiner beruflichen Qualifikation und seines Fachwissens im Datenschutzrecht und in der Datenschutzpraxis benannt. Die Organisation veröffentlicht seine Kontaktdaten und teilt sie der Aufsichtsbehörde mit.

Stellung: Einbindung, Ressourcen und Unabhängigkeit

• Ordnungsgemäß und frühzeitig in alle Fragen des Schutzes personenbezogener Daten eingebunden (Artikel 38 Absatz 1).
• Mit den erforderlichen Ressourcen, dem Zugang zu Daten und Verarbeitungsvorgängen und den Mitteln zur Erhaltung seines Fachwissens ausgestattet.
• Erhält keine Anweisungen bezüglich der Ausübung seiner Aufgaben und darf wegen ihrer Erfüllung nicht abberufen oder benachteiligt werden.
• Berichtet unmittelbar der höchsten Managementebene.
• Kann andere Aufgaben wahrnehmen, sofern diese nicht zu einem Interessenkonflikt führen.
• Ist zur Geheimhaltung oder Vertraulichkeit verpflichtet.

Aufgaben nach Artikel 39

Der DSB hat mindestens folgende Aufgaben: die Organisation und ihre Beschäftigten über ihre Pflichten zu unterrichten und zu beraten; die Einhaltung der DSGVO, anderer Datenschutzvorschriften und interner Strategien zu überwachen, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung, Schulung und Überprüfungen; auf Anfrage zu Datenschutz-Folgenabschätzungen zu beraten und ihre Durchführung zu überwachen; mit der Aufsichtsbehörde zusammenzuarbeiten und als ihre Anlaufstelle zu dienen. Dabei trägt er dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung.

Die Verantwortung für die Einhaltung bleibt beim Verantwortlichen oder Auftragsverarbeiter, nicht beim DSB. Der DSB berät; die Leitung entscheidet – und sollte dokumentieren, warum sie einem Rat nicht folgt.