DSGVO DPO: Rollen und Aufgaben des Datenschutzbeauftragten

Nach Art. 37 DSGVO ist ein DSB zwingend bei Behörden, bei systematischer Überwachung von Betroffenen in großem Umfang und bei umfangreicher Verarbeitung besonderer Datenkategorien. In Deutschland kommt § 38 BDSG hinzu: Ein DSB ist Pflicht, wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind oder wenn eine Datenschutz-Folgenabschätzung erforderlich ist.

Der DSB unterrichtet und berät den Verantwortlichen und die Beschäftigten zur Einhaltung der DSGVO, überwacht die Einhaltung von Datenschutzvorschriften, berät bei Datenschutz-Folgenabschätzungen, arbeitet mit der Aufsichtsbehörde zusammen und dient als Anlaufstelle für Betroffene. Wichtig: Der DSB haftet nicht persönlich für Verstöße, die Verantwortung liegt beim Unternehmen.

Der Datenschutzbeauftragte ist die gesetzlich vorgeschriebene Rolle nach Art. 37 bis 39 DSGVO mit Weisungsfreiheit, Kündigungsschutz und direktem Berichtsweg zur Geschäftsleitung. Der Datenschutzkoordinator ist keine gesetzlich definierte Rolle, sondern eine organisatorische Ergänzung: Er unterstützt den DSB operativ, koordiniert Datenschutzmaßnahmen in Fachabteilungen und dient als Bindeglied zwischen DSB und Tagesgeschäft.

Ein externer DSB eignet sich besonders für KMU ohne interne Datenschutzexpertise, bei Interessenkonflikten interner Kandidaten (z. B. IT-Leiter, Geschäftsführer) oder wenn spezialisiertes Branchenwissen gefragt ist. Vorteile: Keine Schulungskosten, kein Kündigungsschutz-Risiko, breitere Praxiserfahrung und unabhängige Perspektive. Der externe DSB muss dieselben Qualifikationsanforderungen erfüllen wie ein interner.

Art. 37 Abs. 5 DSGVO fordert berufliche Qualifikation, Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie die Fähigkeit zur Aufgabenerfüllung nach Art. 39. Konkret bedeutet das: fundierte Kenntnisse der DSGVO, des BDSG und branchenspezifischer Regelungen, technisches Verständnis der Datenverarbeitungsprozesse sowie Kommunikationsfähigkeit für Schulungen und Beratung.

Ja. Art. 37 Abs. 7 DSGVO verpflichtet den Verantwortlichen, die Kontaktdaten des DSB zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. In Deutschland erfolgt die Meldung an die zuständige Landesdatenschutzbehörde. Die Kontaktdaten müssen auch für Betroffene zugänglich sein, etwa auf der Unternehmenswebsite und in der Datenschutzerklärung.

Art. 38 DSGVO garantiert dem DSB Weisungsfreiheit bei der Aufgabenerfüllung, ein Benachteiligungsverbot und einen direkten Berichtsweg zur höchsten Managementebene. In Deutschland gewährt § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG zusätzlich besonderen Kündigungsschutz: Eine Abberufung oder Kündigung ist nur aus wichtigem Grund zulässig und erst ein Jahr nach Ende der Tätigkeit möglich.