Ein Datenschutzbeauftragter (DSB) ist eine Funktion in einer Organisation, die als Beschäftigter oder auf Grundlage eines Dienstleistungsvertrags wahrgenommen wird und deren Aufgaben unter anderem Unterrichtung und Beratung sowie Überwachung der Einhaltung der Datenschutzvorschriften umfassen.
Auf einen Blick
Benennung nach Art. 37 Abs. 1 DSGVO: bei Verarbeitung durch eine Behörde oder öffentliche Stelle (außer Gerichten im Rahmen ihrer justiziellen Tätigkeit) oder wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von betroffenen Personen oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten besteht.
Ergänzend verlangt § 38 BDSG von nichtöffentlichen Stellen die Benennung, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, oder geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung gilt dies unabhängig von der Personenzahl.
Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten und teilt sie der Aufsichtsbehörde mit; betroffene Personen können den Datenschutzbeauftragten zu allen Fragen im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten und der Wahrnehmung ihrer Rechte zu Rate ziehen.
Was ist Datenschutzbeauftragter?
Zu den Aufgaben des Datenschutzbeauftragten gehören unter anderem die Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, sowie die Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften. Nach Darstellung des BfDI trägt der Datenschutzbeauftragte damit zur Einhaltung der Datenschutzvorschriften in seiner Organisation bei, unbeschadet der fortbestehenden Verantwortlichkeit der Leitung.
Art. 37 Abs. 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter in drei Fällen zur Benennung: wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird (außer von Gerichten im Rahmen ihrer justiziellen Tätigkeit), wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht, oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten besteht. Ergänzend zu Buchstabe b und c verlangt § 38 BDSG die Benennung von nichtöffentlichen Stellen unter eigenen Voraussetzungen. Besteht die Kerntätigkeit eines Versicherers in der umfangreichen Verarbeitung von Gesundheitsdaten, benennt er einen Datenschutzbeauftragten, denn die DSGVO verlangt das, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 besteht. In anderen Fällen können Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten benennen; falls dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, müssen sie einen solchen benennen.
Wie funktioniert Datenschutzbeauftragter?
Verantwortlicher und Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen, wobei der Verantwortliche oder der Auftragsverarbeiter sicherstellt, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.
Die Kontaktdaten des Datenschutzbeauftragten veröffentlicht der Verantwortliche oder der Auftragsverarbeiter und teilt sie der Aufsichtsbehörde mit. Der Datenschutzbeauftragte kann Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen. Betroffene Personen können den Datenschutzbeauftragten zu allen Fragen, die mit der Verarbeitung ihrer personenbezogenen Daten und der Wahrnehmung ihrer Rechte nach der DSGVO im Zusammenhang stehen, zu Rate ziehen. Gegenüber der Aufsichtsbehörde dient der Datenschutzbeauftragte als Anlaufstelle in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation nach Artikel 36; nach Darstellung des BfDI kann sich die Aufsichtsbehörde an den Datenschutzbeauftragten wenden, muss es aber nicht.
Datenschutzbeauftragter im Vergleich
| Kriterium | Datenschutzbeauftragter | Datenschutz-Aufsichtsbehörde |
|---|---|---|
| Einordnung | Funktion bei einem Verantwortlichen oder Auftragsverarbeiter, der den Datenschutzbeauftragten benennt; sie kann ein Beschäftigter oder ein Dienstleister auf Grundlage eines Dienstleistungsvertrags wahrnehmen. | Eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige staatliche Stelle. |
| Aufgabe | Unterrichtung und Beratung sowie Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften innerhalb der Organisation. | Überwachung der Anwendung der DSGVO, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden. |
| Zuständigkeit bei Unternehmen | Wird vom Verantwortlichen oder Auftragsverarbeiter benannt; kann dort Beschäftigter sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen. | Die nach Landesrecht zuständigen Behörden überwachen im Anwendungsbereich der DSGVO bei den nichtöffentlichen Stellen die Anwendung der Vorschriften über den Datenschutz (§ 40 Abs. 1 BDSG). |
| Verhältnis zueinander | Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen. | Kann sich nach Darstellung des BfDI an den Datenschutzbeauftragten wenden, muss es aber nicht. |
Wann muss ein Datenschutzbeauftragter benannt werden?
| Fall | Was das bedeutet |
|---|---|
| Art. 37 Abs. 1 lit. a DSGVO | Die Verarbeitung wird von einer Behörde oder öffentlichen Stelle durchgeführt, mit Ausnahme von Gerichten, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln. Verantwortlicher und Auftragsverarbeiter benennen dann auf jeden Fall einen Datenschutzbeauftragten. |
| Art. 37 Abs. 1 lit. b DSGVO | Die Kerntätigkeit besteht in Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen. |
| Art. 37 Abs. 1 lit. c DSGVO | Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10. |
| § 38 Abs. 1 BDSG, Personenzahl | Ergänzend zu Art. 37 Abs. 1 Buchstabe b und c benennen Verantwortlicher und Auftragsverarbeiter einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. |
| § 38 Abs. 1 BDSG, unabhängig von der Personenzahl | Nehmen Verantwortlicher oder Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen einen Datenschutzbeauftragten zu benennen. |
Beispiele aus der Praxis
- Eine Gemeindeverwaltung, die keine justizielle Tätigkeit ausübt, verarbeitet personenbezogene Daten als Behörde; weil die Verarbeitung von einer Behörde durchgeführt wird, benennt der Verantwortliche nach Art. 37 Abs. 1 lit. a DSGVO einen Datenschutzbeauftragten.
- Beschäftigt ein nichtöffentlicher Auftragsverarbeiter in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten, benennt er ergänzend zu Art. 37 Abs. 1 Buchstabe b und c DSGVO nach § 38 BDSG einen Datenschutzbeauftragten.
- Unterliegt eine Verarbeitung einer nichtöffentlichen Stelle einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, hat die Stelle nach § 38 BDSG unabhängig von der Anzahl der beschäftigten Personen einen Datenschutzbeauftragten zu benennen.
- Ein Versicherer, dessen Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten besteht, benennt einen Datenschutzbeauftragten, weil Gesundheitsdaten zu den besonderen Kategorien von Daten gemäß Artikel 9 gehören und Art. 37 Abs. 1 lit. c DSGVO die Benennung bei deren umfangreicher Verarbeitung als Kerntätigkeit verlangt.
