Glossar
Was ist DSB (Datenschutzbeauftragter)?
Der DSB (Datenschutzbeauftragte, englisch Data Protection Officer) überwacht die Einhaltung der DSGVO in einer Organisation. Er entscheidet nicht über Verarbeitungen: er unterrichtet, berät, überwacht und ist Anlaufstelle für Aufsichtsbehörde und Betroffene. Geregelt ist die Rolle in den Artikeln 37 bis 39 DSGVO.
Die Benennung ist in drei Fällen Pflicht (Art. 37 Abs. 1): bei Verarbeitung durch eine Behörde oder öffentliche Stelle, ausgenommen Gerichte; wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Betroffenen besteht; wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien (Art. 9) oder strafrechtlicher Daten (Art. 10) besteht. Wird ein DSB freiwillig benannt, gelten die Art. 37-39 vollständig.
Der DSB muss unabhängig arbeiten können: er berichtet der obersten Leitungsebene, erhält keine Weisungen zur Ausübung seiner Aufgaben, darf deswegen nicht abberufen oder benachteiligt werden und darf keinem Interessenkonflikt unterliegen. Deshalb können IT-Leitung, Personalleitung oder Geschäftsführung die Rolle nicht übernehmen: sie würden die Verarbeitungen kontrollieren, die sie selbst festlegen.
Der DSB kann Beschäftigter oder externer Dienstleister sein (Art. 37 Abs. 6). Für viele KMU ist die externe Lösung die einzig praktikable: verlangt wird Fachwissen zum Datenschutzrecht und zur Praxis, angemessen zur Komplexität der Verarbeitungen, und dieses Wissen muss laufend aktuell gehalten werden.
Häufige Fragen
Wer muss einen Datenschutzbeauftragten benennen?
Behörden und öffentliche Stellen (außer Gerichten), Organisationen mit umfangreicher regelmäßiger und systematischer Überwachung von Betroffenen als Kerntätigkeit sowie Organisationen, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer oder strafrechtlicher Daten besteht (Art. 37 Abs. 1 DSGVO).
Darf der Datenschutzbeauftragte extern sein?
Ja. Art. 37 Abs. 6 DSGVO lässt ausdrücklich einen externen DSB auf Grundlage eines Dienstleistungsvertrags zu. Die Anforderungen an Unabhängigkeit, Fachkunde und Freiheit von Interessenkonflikten bleiben unverändert.
Was macht ein DSB konkret?
Er unterrichtet und berät Verantwortlichen, Auftragsverarbeiter und Beschäftigte; überwacht die Einhaltung der DSGVO einschließlich Zuweisung von Zuständigkeiten, Sensibilisierung, Schulung und Audits; berät zur DSFA und überwacht deren Durchführung; arbeitet mit der Aufsichtsbehörde zusammen und ist deren Anlaufstelle (Art. 39).
Kann der IT-Leiter DSB sein?
In aller Regel nicht. Wer Zwecke und Mittel der Verarbeitung festlegt (IT, Personal, Marketing, Geschäftsführung), würde die eigenen Entscheidungen kontrollieren: genau der von Art. 38 Abs. 6 untersagte Interessenkonflikt, der von europäischen Aufsichtsbehörden mehrfach geahndet wurde.
Quellen: Art. 37-39 DSGVO (Verordnung EU 2016/679)
Dazu beraten wir Sie: Externer zertifizierter DSB
Selbst prüfen: DSB-Pflicht-Check
Verwandte Begriffe: DSFA (Datenschutz-Folgenabschätzung) · Datenpanne (Verletzung des Schutzes personenbezogener Daten)