Brauchst du einen DSB?
Drei geführte Schritte (Art. 37 DSGVO, Garante-FAQ), um zu klären, ob die Benennung eines Datenschutzbeauftragten für deine Organisation verpflichtend ist.
Gut zu wissen
Pflicht zur Benennung eines DSB: wann die DSGVO sie verlangt
Der Datenschutzbeauftragte (DSB) ist eine in den Artikeln 37-39 DSGVO vorgesehene Funktion. Seine Benennung ist in drei Fällen verpflichtend: wenn die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt; wenn die Kerntätigkeit in Verarbeitungen besteht, die eine umfangreiche regelmäßige und systematische Überwachung der Betroffenen erfordern; wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Daten (Art. 9) oder strafrechtlicher Daten (Art. 10) besteht.
Außerhalb dieser Fälle ist die Benennung freiwillig, doch viele Organisationen benennen dennoch einen DSB als Governance-Instrument. Dieses Tool führt dich durch die gesetzlichen Kriterien, um zu klären, ob die Benennung in deinem Fall verpflichtend, empfohlen oder nicht erforderlich ist. Es ersetzt keine rechtliche Bewertung der „Umfänglichkeit“ deiner Verarbeitungen; das Ergebnis erhältst du als PDF per E-Mail.
Mach das DSGVO-Quiz Ist deine Website konform? DSB-Benennung anfragen
Häufige Fragen zur DSB-Pflicht
Wer ist zur Benennung eines DSB verpflichtet?
Behörden und öffentliche Stellen, Organisationen, deren Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung der Betroffenen erfordert, sowie jene, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer oder strafrechtlicher Daten besteht (Art. 37 DSGVO).
Was bedeutet „umfangreiche Überwachung“?
Der Begriff ist nicht durch feste Zahlenschwellen definiert. Bewertet werden Zahl der Betroffenen, Volumen und Vielfalt der Daten, Dauer der Verarbeitung und geografische Ausdehnung. „Regelmäßig und systematisch“ umfasst Profiling, Tracking und fortlaufende Überwachung.
Kann der DSB intern oder extern sein?
Beides. Der DSB kann ein Beschäftigter oder eine externe Fachperson auf Basis eines Dienstleistungsvertrags sein. In jedem Fall muss er über Fachwissen verfügen, unabhängig und ohne Interessenkonflikt handeln und der Leitung berichten.
Was riskiert, wer den DSB trotz Pflicht nicht benennt?
Die unterlassene Benennung ist, wenn geschuldet, ein Verstoß mit einem Bußgeld bis zu 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes, zusätzlich zu Beanstandungen bei einer Prüfung der Aufsichtsbehörde.
Gelten bei freiwilliger Benennung dieselben Pflichten?
Ja. Benennt eine Organisation freiwillig einen DSB, gelten für ihn dieselben Anforderungen und derselbe Schutz wie bei der verpflichtenden Benennung (Art. 37-39 DSGVO).