Der obligatorische DPO: Die drei Fälle des Art. 37 DSGVO mit Beispielen erklärt

Die Pflicht zur Benennung eines DPO ist eine der häufigsten Fragen, die wir erhalten: Muss meine Organisation einen Datenschutzbeauftragten bestellen? Art. 37 der Verordnung (EU) 2016/679 nennt drei Fälle, in denen die Bestellung eines Datenschutzbeauftragten verpflichtend ist und keine freie Wahl darstellt. Das Problem ist, dass die Norm offene Begriffe wie die umfangreiche Beobachtung verwendet, die interpretiert werden müssen. Wir betrachten die drei Fälle mit konkreten Beispielen und was zu tun ist, wenn man sich in einer Grauzone befindet.

Erster Fall: Öffentliche Behörden und Stellen

Der klarste Fall: Jede öffentliche Behörde oder öffentliche Stelle muss einen DPO benennen, mit der einzigen Ausnahme von Gerichten bei der Wahrnehmung ihrer richterlichen Aufgaben. Dazu gehören Gemeinden, Schulen, Gesundheitsunternehmen, Universitäten, Sozialversicherungsträger und Handelskammern. Der Begriff ist weit auszulegen: Auch formell private Einrichtungen, die öffentliche Aufgaben oder Dienstleistungen erbringen, wie bestimmte Beteiligungsgesellschaften, sollten die Bestellung ernsthaft prüfen, im Einklang mit den Vorgaben der europäischen Behörden. Kurz gesagt, für den öffentlichen Sektor ist die Frage nicht, ob ein DPO benannt werden soll, sondern wie er gut ausgewählt wird.

Zweiter Fall: Regelmäßige und systematische Beobachtung im großen Umfang

Der zweite Fall betrifft diejenigen, deren Kerntätigkeit in Verarbeitungen besteht, die eine regelmäßige und systematische Beobachtung von betroffenen Personen im großen Umfang erfordern. Drei Bedingungen, die zusammen betrachtet werden müssen. Kerntätigkeit: keine akzessorische Verarbeitung, sondern das Herzstück des Geschäfts oder ein untrennbarer Bestandteil davon. Regelmäßige und systematische Beobachtung: Beobachtung, Nachverfolgung oder Profiling, das kontinuierlich oder wiederkehrend erfolgt. Großer Umfang: Datenvolumen, Anzahl der betroffenen Personen, geografische Ausdehnung, Dauer. Typische Beispiele: Telemarketing- und kommerzielle Profilierungsunternehmen, Plattformen, die das Online-Verhalten von Nutzern verfolgen, Telekommunikationsanbieter, Unternehmen, die umfangreiche Treueprogramme verwalten, Anbieter von Geolokalisierungs- oder Videoüberwachungsdiensten im großen Umfang. Im Gegensatz dazu fällt das kleine Unternehmen, das seinen Kunden gelegentlich Newsletter sendet, in der Regel nicht darunter.

Dritter Fall: Umfangreiche Verarbeitung besonderer Kategorien von Daten

Der dritte Fall tritt ein, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht, wie Gesundheits-, biometrische, genetische Daten oder Daten über politische Meinungen und religiöse Überzeugungen, oder Daten über strafrechtliche Verurteilungen und Straftaten. Konkrete Beispiele: Krankenhäuser und Pflegeheime, Analyselabore, Krankenversicherungsgesellschaften, Unternehmen, die betriebliche Sozialleistungen mit Gesundheitsdaten anbieten. Der einzelne Gesundheitsdienstleister verarbeitet, wie in den Erwägungsgründen der Verordnung angegeben, keine Daten im großen Umfang; ein Netzwerk von Polikliniken mit Tausenden von Patienten wahrscheinlich schon. Auch hier zählt die Gesamtbewertung, nicht eine magische Zahl.

Grauzone: Wie man entscheidet (und dokumentiert)

Viele Organisationen fallen nicht eindeutig unter einen dieser Fälle. Der richtige Ansatz ist es, zu bewerten und zu dokumentieren:

• die Verarbeitungen zu erfassen und sie anhand der drei Kriterien des Art. 37 zu überprüfen;
• Volumen, Art der Daten und Systematik der Beobachtung zu bewerten;
• die Schlussfolgerung schriftlich festzuhalten, auch wenn sie negativ ist: Die dokumentierte Bewertung ist selbst Rechenschaftspflicht;
• eine freiwillige Benennung in Betracht zu ziehen, wenn die Verarbeitungen dennoch relevant sind: Ein gut gewählter DPO ist eine Schutzmaßnahme, kein bürokratischer Aufwand;
• neu zu bewerten, wenn sich das Geschäft ändert, da die Pflicht im Laufe der Zeit entstehen kann.

Achtung vor einem weit verbreiteten Fehler: einen DPO zu benennen, der keine echten Kompetenzen besitzt oder in einem Interessenkonflikt steht, nur um eine Unterschrift auf einem Formular zu leisten. Ein ungeeigneter DPO birgt mehr Risiken als ein fehlender DPO, da er eine bewusste und falsche Entscheidung bestätigt. Schließlich ist zu beachten, dass der DPO nach seiner Benennung dem Garante über das entsprechende Verfahren mitzuteilen ist und seine Kontaktdaten veröffentlicht werden müssen, zum Beispiel in der Datenschutzerklärung: Eine im Schubfach aufbewahrte Benennung erfüllt die Norm nicht.

Brauchen Sie eine Bewertung? Sprechen wir darüber

PL Consulting führt Bewertungen der DPO-Pflicht durch und bietet den Dienst eines zertifizierten externen DPO für Unternehmen und Einrichtungen in ganz Italien an: Entdecken Sie den Dienst des externen DPO und kontaktieren Sie uns, um zu erfahren, ob und wie Ihre Organisation ihn benennen muss.

Hinweis: Die aufgeführten Beispiele sind indikativ, und die Bewertung der Benennungspflicht muss im Einzelfall vorgenommen werden. Dieser Artikel dient allgemeinen Informationszwecken und ersetzt keine professionelle Bewertung. Artikel aktualisiert im Juli 2026.