Der Datenschutzbeauftragte (DSB) hat nach Art. 39 Abs. 1 DSGVO fünf Pflichtaufgaben: Er unterrichtet und berät, er überwacht die Einhaltung des Datenschutzes, er berät zur Datenschutz-Folgenabschätzung, er arbeitet mit der Aufsichtsbehörde zusammen und er ist ihre Anlaufstelle. Damit er das leisten kann, muss Ihr Unternehmen ihn früh einbinden und mit Informationen und Zeit ausstatten (Art. 38 DSGVO). Die Verantwortung für den Datenschutz bleibt bei der Geschäftsleitung (Art. 24 DSGVO).
Die Aufgaben nach Art. 39 DSGVO im Überblick
Die Tabelle zeigt jede Aufgabe mit dem, was der DSB praktisch tut, und dem, was Ihr Unternehmen dafür beisteuern muss.
| Aufgabe | Was der DSB tut | Was Ihr Unternehmen bereitstellt |
|---|---|---|
| Unterrichten und beraten (lit. a) | beantwortet Fragen der Geschäftsleitung und der Fachabteilungen, nimmt Stellung zu neuen Tools, Verträgen und Prozessen | Fragen und Vorhaben rechtzeitig vorlegen, mit Unterlagen wie Angebot, Vertrag oder Produktbeschreibung |
| Überwachen (lit. b) | prüft Verzeichnis, TOM, Löschkonzept und Abläufe stichprobenartig, sensibilisiert und schult Beschäftigte | Zugang zu Dokumenten, Systemen und Ansprechpartnern, Zeit der Beschäftigten für Schulungen |
| Beraten zur DSFA (lit. c) | berät zur Frage, ob eine DSFA nötig ist, und überwacht ihre Durchführung | ihn um Rat fragen, bevor die Verarbeitung startet (Art. 35 Abs. 2 DSGVO) |
| Zusammenarbeit mit der Aufsichtsbehörde (lit. d) | begleitet Anfragen, Beschwerdeverfahren und Prüfungen | ihn sofort informieren, wenn Post von der Behörde kommt |
| Anlaufstelle für die Behörde (lit. e) | ist Kontakt bei Fragen der Behörde, auch bei einer vorherigen Konsultation nach Art. 36 DSGVO | seine Kontaktdaten der Behörde mitteilen (Art. 37 Abs. 7 DSGVO) |
Hinzu kommt eine sechste Rolle aus Art. 38 Abs. 4 DSGVO: Beschäftigte, Kunden und andere Betroffene können sich mit allen Fragen zu ihren Daten und Rechten direkt an den DSB wenden. Deshalb gehören seine Kontaktdaten in die Datenschutzhinweise (Art. 13 Abs. 1 lit. b DSGVO) und in das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. a DSGVO).
Risikoorientiert arbeiten
Der DSB muss nicht alles gleichzeitig prüfen. Er trägt dem Risiko der Verarbeitungen Rechnung und berücksichtigt Art, Umfang, Umstände und Zwecke (Art. 39 Abs. 2 DSGVO). In einer Arztpraxis stehen deshalb Patientendaten und Praxissoftware oben auf der Liste, in einem Online-Shop eher Kundenkonten, Zahlungsdienste und Tracking. Das Kontaktformular der Website kommt später.
Einbindung nach Art. 38 DSGVO: Was Ihr Unternehmen schuldet
Die Aufgaben des DSB laufen ins Leere, wenn niemand ihn fragt. Art. 38 DSGVO verpflichtet Ihr Unternehmen deshalb zu Folgendem:
- Frühzeitig und ordnungsgemäß einbinden in alle Fragen zum Schutz personenbezogener Daten (Abs. 1). Frühzeitig heißt: bevor der Vertrag unterschrieben oder das Tool eingeführt ist.
- Unterstützen: die nötigen Ressourcen, Zugang zu Daten und Verarbeitungsvorgängen und die Mittel zur Erhaltung seines Fachwissens (Abs. 2).
- Keine Weisungen zur Ausübung seiner Aufgaben. Er berichtet unmittelbar der höchsten Managementebene (Abs. 3).
- Vertraulichkeit wahren: Der DSB ist zur Geheimhaltung verpflichtet (Abs. 5). Das BDSG schützt insbesondere die Identität von Betroffenen, die sich an ihn wenden (§ 38 Abs. 2 in Verbindung mit § 6 Abs. 5 Satz 2 BDSG).
Typische Anlässe, den DSB zu fragen
- neue Software oder ein neuer Cloud-Dienst, etwa ein CRM oder ein KI-Werkzeug
- neue Dienstleister mit Zugriff auf Daten und deren Verträge zur Auftragsverarbeitung
- Änderungen an Website, Cookie-Banner, Newsletter oder Bewerbungsprozess
- Pläne zur Überwachung von Beschäftigten, etwa Videokameras oder GPS
- eine Datenpanne, denn die Meldung an die Behörde nennt den DSB als Anlaufstelle (Art. 33 Abs. 3 lit. b DSGVO); Hilfe zum Ablauf bietet die Seite Datenpanne melden
- Auskunfts- und Löschanträge, die nicht Routine sind
- jede Anfrage einer Aufsichtsbehörde
Wer den DSB nicht einbindet, verstößt selbst gegen die DSGVO. Verstöße gegen Art. 38 und 39 DSGVO können mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a DSGVO).
Was nicht zu seinen Aufgaben gehört
- Entscheiden: Ob und wie Daten verarbeitet werden, entscheidet Ihr Unternehmen. Der DSB empfiehlt. Folgt die Geschäftsleitung einer Empfehlung nicht, sollte sie das mit Begründung dokumentieren.
- Pflichten des Unternehmens erfüllen: Das Verzeichnis, die Meldung einer Datenpanne, die Antwort auf eine Auskunftsanfrage und die DSFA bleiben Pflichten des Verantwortlichen. Der DSB kann dabei mitarbeiten, wenn Sie das vereinbaren.
- Haften für Bußgelder: Adressat von Bußgeldern ist das Unternehmen.
Sie dürfen dem DSB weitere Aufgaben übertragen, etwa das Führen des Verzeichnisses oder Schulungen. Diese Aufgaben dürfen aber nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Er darf zum Beispiel nicht selbst über Zwecke und Mittel von Verarbeitungen bestimmen, die er anschließend überwachen soll (EuGH, Urteil vom 09.02.2023, C-453/21).
Beispiel: Ein neues CRM-System
Ein Großhändler mit 40 Beschäftigten will ein cloudbasiertes CRM einführen. So greifen die Aufgaben ineinander:
- Der Vertrieb legt dem DSB Anbieter, Datenkategorien und Vertragsentwurf vor, bevor der Vertrag unterschrieben wird.
- Der DSB berät: Er prüft den Vertrag zur Auftragsverarbeitung, den Serverstandort und mögliche Übermittlungen in Drittländer und empfiehlt Löschfristen und Rollen für die Zugriffsrechte.
- Er klärt mit der Geschäftsleitung, ob eine Datenschutz-Folgenabschätzung nötig ist, etwa wenn Kundenprofile gebildet werden.
- Die Fachabteilung trägt die Verarbeitung ins Verzeichnis ein und passt die Datenschutzhinweise an.
- Nach dem Start prüft der DSB stichprobenartig, ob Zugriffsrechte und Löschfristen wie vereinbart umgesetzt sind, und schult die Vertriebsmitarbeiter.
Checkliste für die Zusammenarbeit
- Aufgaben, zusätzliche Aufgaben und Ansprechpartner schriftlich festlegen.
- Kontaktdaten des DSB veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).
- Einen festen Weg vereinbaren, auf dem Fachabteilungen neue Vorhaben melden.
- Zugang zu Verzeichnis, TOM, Verträgen und relevanten Systemen gewähren.
- Einen jährlichen Bericht an die Geschäftsleitung mit Prüfergebnissen und Maßnahmenplan einplanen.
- Empfehlungen und Entscheidungen dokumentieren.
Pflicht, intern oder extern: Hier geht es weiter
Ob Ihr Unternehmen überhaupt einen DSB benennen muss, erklärt die Seite Datenschutzbeauftragter Pflicht. Ob ein interner oder externer DSB besser passt, wer wegen Interessenkonflikten ausscheidet, wie es um Haftung und Kündigungsschutz steht, zeigt der Vergleich intern oder extern. Die Aufgaben nach Art. 39 DSGVO sind in beiden Fällen dieselben. Datenkodex unterstützt als externer Datenschutzbeauftragter bei diesen Aufgaben, vollständig digital.