Glossar

Datenschutzbeauftragter (DSB)

Datenschutz-Glossar · 6 Minuten Lesezeit

Ein Datenschutzbeauftragter ist eine fachkundige Person, die Unternehmen oder öffentliche Stellen bei der Einhaltung datenschutzrechtlicher Vorschriften berät und deren Umsetzung überwacht. Seine Benennung ist unter bestimmten Voraussetzungen nach Art. 37 der Datenschutz-Grundverordnung (DS-GVO) und § 38 Bundesdatenschutzgesetz (BDSG) verpflichtend. Die Aufgaben und die unabhängige Stellung des Datenschutzbeauftragten sind insbesondere in Art. 38 und 39 DS-GVO geregelt.

Wann ist ein Datenschutzbeauftragter Pflicht?

Ob ein Unternehmen einen Datenschutzbeauftragten benennen muss, richtet sich insbesondere nach Art. 37 DS-GVO und § 38 BDSG. Dabei kommt es sowohl auf die Anzahl der mit der Datenverarbeitung beschäftigten Personen als auch auf Art und Umfang der Verarbeitung personenbezogener Daten an.

Nach § 38 Abs. 1 BDSG müssen nichtöffentliche Stellen in Deutschland grundsätzlich einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Hierzu können beispielsweise Beschäftigte gehören, die regelmäßig Kundendaten, Personalinformationen oder andere personenbezogene Daten mithilfe von IT-Systemen verarbeiten.

Unabhängig von dieser Personenzahl kann eine Benennungspflicht insbesondere in folgenden Fällen bestehen:

Öffentliche Stellen: Behörden und öffentliche Stellen müssen nach Art. 37 Abs. 1 lit. a DS-GVO grundsätzlich einen Datenschutzbeauftragten benennen. Für Gerichte besteht eine Ausnahme, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln.
Umfangreiche Überwachung: Die Kerntätigkeit besteht in Verarbeitungsvorgängen, die eine umfangreiche, regelmäßige und systematische Überwachung betroffener Personen erforderlich machen.
Besonders sensible Daten: Die Kerntätigkeit umfasst die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DS-GVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DS-GVO.
Datenschutz-Folgenabschätzung: Es werden Verarbeitungsvorgänge durchgeführt, für die eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO erforderlich ist.
Bestimmte geschäftsmäßige Datenverarbeitungen: Personenbezogene Daten werden geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet.

Auch Unternehmen mit weniger als 20 regelmäßig mit automatisierter Datenverarbeitung beschäftigten Personen können daher zur Benennung eines Datenschutzbeauftragten verpflichtet sein.

Welche Aufgaben hat ein Datenschutzbeauftragter?

Die wesentlichen Aufgaben eines Datenschutzbeauftragten ergeben sich aus Art. 39 DS-GVO. Er unterstützt Unternehmen und öffentliche Stellen dabei, datenschutzrechtliche Anforderungen zu verstehen, umzusetzen und deren Einhaltung zu überprüfen.

Zu seinen wichtigsten Aufgaben gehören:

Beratung: Unterrichtung und Beratung der Unternehmensleitung sowie der Beschäftigten über ihre datenschutzrechtlichen Pflichten.
Überwachung: Überprüfung der Einhaltung der DS-GVO, weiterer Datenschutzvorschriften und interner Datenschutzrichtlinien.
Sensibilisierung und Schulung: Mitwirkung an der Sensibilisierung und Schulung von Beschäftigten im Umgang mit personenbezogenen Daten.
Datenschutz-Folgenabschätzung: Beratung bei der Durchführung einer Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung.
Zusammenarbeit mit Aufsichtsbehörden: Tätigkeit als Ansprechpartner für die zuständige Datenschutzaufsichtsbehörde.
Ansprechpartner für Betroffene: Entgegennahme von Fragen betroffener Personen zur Verarbeitung ihrer personenbezogenen Daten und zur Wahrnehmung ihrer Datenschutzrechte.

Der Datenschutzbeauftragte sollte frühzeitig in datenschutzrelevante Vorhaben eingebunden werden. Dies betrifft beispielsweise die Einführung neuer IT-Systeme, den Einsatz externer Dienstleister oder die Verarbeitung besonders sensibler personenbezogener Daten.

Wichtig ist dabei die Abgrenzung der Verantwortlichkeiten: Der Datenschutzbeauftragte berät und überwacht, trägt aber nicht allein die Verantwortung für die Einhaltung des Datenschutzrechts. Diese verbleibt beim jeweiligen Verantwortlichen beziehungsweise Auftragsverarbeiter.

Wer kann Datenschutzbeauftragter werden und welche Anforderungen gelten?

Nach Art. 37 Abs. 5 DS-GVO wird ein Datenschutzbeauftragter auf Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie seiner Fähigkeit zur Erfüllung der gesetzlichen Aufgaben benannt.

Ein Datenschutzbeauftragter kann entweder intern aus dem Unternehmen benannt oder extern auf Grundlage eines Dienstleistungsvertrags beauftragt werden. Eine bestimmte Berufsausbildung oder ein gesetzlich vorgeschriebener Studienabschluss ist hierfür nicht erforderlich. Entscheidend sind die tatsächlich vorhandenen Fachkenntnisse und Fähigkeiten.

Bei der Auswahl und Benennung sind insbesondere folgende Anforderungen zu beachten:

Datenschutzrechtliche Fachkunde: Kenntnisse der DS-GVO, des BDSG und weiterer einschlägiger Datenschutzvorschriften.
Praktische Kenntnisse: Verständnis betrieblicher Datenverarbeitungsprozesse sowie der damit verbundenen organisatorischen und technischen Anforderungen.
Fähigkeit zur Aufgabenerfüllung: Der Datenschutzbeauftragte muss in der Lage sein, die gesetzlichen Beratungs- und Überwachungsaufgaben sachgerecht wahrzunehmen.
Interne oder externe Benennung: Die Funktion kann durch einen Beschäftigten des Unternehmens oder einen externen Dienstleister übernommen werden.
Organisatorische Einbindung: Die Benennung und die Zuständigkeiten sollten nachvollziehbar dokumentiert werden. Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden.

Welche Stellung hat der Datenschutzbeauftragte im Unternehmen?

Die besondere Stellung des Datenschutzbeauftragten ist in Art. 38 DS-GVO geregelt. Er muss bei allen Fragen zum Schutz personenbezogener Daten ordnungsgemäß und frühzeitig eingebunden werden und unmittelbar an die höchste Managementebene berichten können.

Bei der Erfüllung seiner gesetzlichen Aufgaben ist der Datenschutzbeauftragte weisungsfrei. Das Unternehmen muss ihn durch ausreichende Ressourcen, Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie Möglichkeiten zur Erhaltung seines Fachwissens unterstützen.

Zudem darf der Datenschutzbeauftragte wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Bei verpflichtend benannten Datenschutzbeauftragten nichtöffentlicher Stellen gelten die besonderen Regelungen

zum Abberufungs- und Kündigungsschutz nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG.

Besondere Bedeutung hat die Vermeidung von Interessenkonflikten. Ein Datenschutzbeauftragter darf nicht gleichzeitig Aufgaben wahrnehmen, bei denen er die Zwecke und Mittel der Verarbeitung personenbezogener Daten selbst maßgeblich festlegt und anschließend deren Rechtmäßigkeit überwachen müsste.

Problematisch kann deshalb beispielsweise die gleichzeitige Tätigkeit als Geschäftsführer, Personalleiter oder IT-Leiter sein. Ob tatsächlich ein Interessenkonflikt vorliegt, muss anhand der konkreten Aufgaben und Entscheidungsbefugnisse geprüft werden.

Praxisbeispiel: Benennung eines Datenschutzbeauftragten im Unternehmen

Ein mittelständisches Unternehmen beschäftigt 35 Mitarbeiter. Davon verarbeiten 24 Beschäftigte regelmäßig personenbezogene Daten mithilfe von IT-Systemen, beispielsweise in der Personalverwaltung, im Kundenservice und in der Buchhaltung.

Da das Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist es nach § 38 Abs. 1 BDSG zur Benennung eines Datenschutzbeauftragten verpflichtet.

Die Geschäftsführung möchte zunächst den IT-Leiter mit dieser Aufgabe betrauen. Dieser entscheidet jedoch eigenständig über wesentliche IT-Systeme und deren Einsatz bei der Verarbeitung personenbezogener Daten. Dadurch könnte ein Interessenkonflikt entstehen, weil er als Datenschutzbeauftragter auch Entscheidungen überprüfen müsste, die er selbst getroffen hat.

Das Unternehmen entscheidet sich deshalb für einen externen Datenschutzbeauftragten. Dieser wird frühzeitig in datenschutzrelevante Projekte eingebunden, berät die Beschäftigten und überwacht die Einhaltung der Datenschutzvorschriften. Seine Kontaktdaten werden veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt.

legal data Einschätzung: Unternehmen sollten nicht nur prüfen, ob eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten besteht, sondern auch, ob die vorgesehene Person die erforderliche Fachkunde besitzt und ihre Aufgaben unabhängig wahrnehmen kann. Besonders bei internen Datenschutzbeauftragten müssen mögliche Interessenkonflikte sorgfältig berücksichtigt werden. Eine klare Aufgabenverteilung, ausreichende Ressourcen und die frühzeitige Einbindung in datenschutzrelevante Entscheidungen sind wesentliche Voraussetzungen für eine wirksame Datenschutzorganisation.

Rechtsgrundlagen

Art. 37 DS-GVO
Art. 38 DS-GVO
Art. 39 DS-GVO
§ 38 BDSG
Ergänzend sind insbesondere Art. 35 DS-GVO zur Datenschutz-Folgenabschätzung und bei öffentlichen Stellen die einschlägigen gesetzlichen Sonderregelungen zu beachten

Häufige Fragen zum Datenschutzbeauftragten

Ab wie vielen Mitarbeitern braucht ein Unternehmen einen Datenschutzbeauftragten?

Nach § 38 Abs. 1 BDSG besteht für nichtöffentliche Stellen grundsätzlich eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl kann die Pflicht auch aufgrund der Art der Datenverarbeitung bestehen.

Kann ein Geschäftsführer Datenschutzbeauftragter sein?

In der Regel ist dies wegen eines Interessenkonflikts nicht zulässig. Ein Geschäftsführer entscheidet typischerweise über Zwecke und Mittel der Verarbeitung personenbezogener Daten und müsste als Datenschutzbeauftragter seine eigenen Entscheidungen überwachen.

Muss ein Datenschutzbeauftragter im Unternehmen angestellt sein?

Nein. Nach Art. 37 Abs. 6 DS-GVO kann ein Datenschutzbeauftragter sowohl Beschäftigter des Unternehmens sein als auch seine Aufgaben auf Grundlage eines externen Dienstleistungsvertrags erfüllen.

Wer haftet bei Datenschutzverstößen: das Unternehmen oder der Datenschutzbeauftragte?

Für die Einhaltung der datenschutzrechtlichen Pflichten bleibt grundsätzlich der Verantwortliche beziehungsweise Auftragsverarbeiter zuständig. Der Datenschutzbeauftragte übernimmt durch seine Benennung nicht automatisch diese Verantwortung. Eine persönliche Haftung kann jedoch unter besonderen Voraussetzungen nach allgemeinen Haftungsregeln in Betracht kommen.

Kann ein Unternehmen freiwillig einen Datenschutzbeauftragten benennen?

Ja. Unternehmen können auch dann einen Datenschutzbeauftragten benennen, wenn keine gesetzliche Pflicht besteht. Bei einer freiwilligen Benennung als Datenschutzbeauftragter im Sinne der DS-GVO sind grundsätzlich ebenfalls die Anforderungen der Art. 37 bis 39 DS-GVO zu beachten.