Datenschutzbeauftragter: Aufgaben nach Art. 37–39 DSGVO

Ein Datenschutzbeauftragter berät, überwacht und unterstützt die Datenschutzarbeit. Doch wer trifft die Entscheidungen? Dieser Leitfaden erläutert die Artikel 37–39 DSGVO, die Schutzvorkehrungen für diese Funktion und eine klare Aufgabenverteilung in der Praxis.

Datenschutzbeauftragte unterrichten und beraten, überwachen die Einhaltung der Datenschutzvorschriften, beraten auf Anfrage zur Datenschutz-Folgenabschätzung und überwachen deren Durchführung. Außerdem arbeiten sie mit der Aufsichtsbehörde zusammen und dienen ihr als Anlaufstelle. Diese Mindestaufgaben stehen in Artikel 39 DSGVO. Artikel 38 regelt ihre Stellung, Artikel 37 ihre Benennung. Die Organisation bleibt für die Einhaltung der Datenschutzvorschriften verantwortlich.

Stellen Sie sich ein Team vor, das eine neue Kundendatenbank einführt. Es bittet den Datenschutzbeauftragten, das System freizugeben und die Verantwortung für sämtliche Datenschutzentscheidungen zu übernehmen. Bevor das Team die Aufgaben verteilt, muss es unabhängige Beratung und organisatorische Entscheidungen voneinander abgrenzen.

Diese Unterscheidung ist wichtig, wenn Sie die Funktion eines Datenschutzbeauftragten übernehmen, Datenschutzaufgaben zuweisen oder eine Projektanfrage bearbeiten. Die gesetzlichen Aufgaben geben der Funktion einen klaren Rahmen. Sie übertragen aber nicht jede operative Verantwortung auf eine einzelne Person.

Was regeln die Artikel 37, 38 und 39?

Die drei Artikel beantworten unterschiedliche Fragen. Zusammen erklären sie, unter welchen Bedingungen benannte Datenschutzbeauftragte ihre Aufgaben wahrnehmen können.

Artikel 37 enthält unter anderem Anforderungen an das Fachwissen sowie an die Veröffentlichung und Mitteilung der Kontaktdaten. In Deutschland gelten zusätzliche Benennungsregeln. Ob eine Benennung erforderlich ist, muss jedoch getrennt von den hier erläuterten Aufgaben geprüft werden.

Ein Verantwortlicher legt die Zwecke und Mittel der Verarbeitung fest. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten in dessen Auftrag. Für beide können Pflichten im Zusammenhang mit Datenschutzbeauftragten bestehen.

Der 🟧 Leitfaden des Europäischen Datenschutzausschusses zu Datenschutzbeauftragten erläutert den Zusammenhang zwischen Benennung, Stellung und Aufgaben.

Welche fünf Mindestaufgaben nennt Artikel 39?

Artikel 39 Absatz 1 nennt fünf Mindestaufgaben. Der 🟧 von der Deutschen Rentenversicherung veröffentlichte Wortlaut des Artikels 39 enthält die einzelnen Bestimmungen.

Die folgenden Praxisbeispiele zeigen mögliche Wege, diese Aufgaben umzusetzen. Sie stellen keine zusätzlichen gesetzlich vorgeschriebenen Verfahren dar.

Unterrichten und beraten: Artikel 39 Absatz 1 Buchstabe a

Datenschutzbeauftragte unterrichten und beraten den Verantwortlichen oder Auftragsverarbeiter sowie die Beschäftigten, die personenbezogene Daten verarbeiten, über ihre Pflichten nach der DSGVO und anderen einschlägigen Datenschutzvorschriften der EU oder der Mitgliedstaaten.

Angenommen, ein Projektteam möchte Kundeninformationen für einen neuen Zweck verwenden. Der Datenschutzbeauftragte kann erläutern, welche Fragen geprüft werden müssen, fehlende Informationen benennen und zu den einschlägigen Pflichten beraten.

Hilfreiche Beratung verbindet die rechtliche Anforderung mit der konkreten Entscheidung des Teams.

Die Einhaltung der Vorschriften überwachen: Artikel 39 Absatz 1 Buchstabe b

Die Überwachung umfasst die DSGVO, weitere einschlägige Datenschutzvorschriften und die internen Vorgaben zum Schutz personenbezogener Daten. Dazu gehören die Zuweisung von Zuständigkeiten, die Sensibilisierung und Schulung der beteiligten Beschäftigten sowie entsprechende Überprüfungen.

Prüfen Sie in der Praxis, ob dokumentierte Regelungen mit den tatsächlichen Abläufen übereinstimmen. Eine Richtlinie kann beispielsweise ein zuständiges Team benennen, ohne dass dieses weiß, wie Anfragen bei ihm eingehen.

Der Datenschutzbeauftragte kann diese Lücke untersuchen und das Ergebnis erläutern. Für die Zuweisung und Umsetzung von Korrekturmaßnahmen braucht es klare Zuständigkeiten innerhalb der Organisation.

Zur Datenschutz-Folgenabschätzung beraten und ihre Durchführung überwachen: Artikel 39 Absatz 1 Buchstabe c

Datenschutzbeauftragte beraten auf Anfrage zur Datenschutz-Folgenabschätzung, kurz DSFA, und überwachen deren Durchführung nach Artikel 35.

Daraus folgt keine allgemeine Pflicht, jede DSFA persönlich durchzuführen. Die Verantwortung des Verantwortlichen und der Beitrag des Datenschutzbeauftragten müssen getrennt betrachtet werden.

Beispielsweise kann der Datenschutzbeauftragte hinterfragen, ob eine Bewertung die Risiken für betroffene Personen ausreichend berücksichtigt. Die Projektverantwortlichen und die beteiligten Fachbereiche liefern die Informationen zur Verarbeitung und setzen die vereinbarten Maßnahmen um.

Die 🟧 Informationen der Europäischen Kommission zu den Pflichten von Organisationen erläutern den weiteren Zusammenhang der DSFA.

Mit der Aufsichtsbehörde zusammenarbeiten: Artikel 39 Absatz 1 Buchstabe d

Datenschutzbeauftragte arbeiten mit der Aufsichtsbehörde zusammen.

In der Praxis kann dies bedeuten, bei der Erläuterung von Verarbeitungsvorgängen zu unterstützen und über geeignete interne Wege den Zugang zu relevanten Informationen zu erleichtern.

Eine sinnvolle Vorbereitung besteht darin, festzustellen, wer die zur Beantwortung von Fragen benötigten Unterlagen verwahrt. Sind Dokumente verstreut und Zuständigkeiten unklar, lässt sich die Zusammenarbeit schwerer organisieren.

Als Anlaufstelle für die Aufsichtsbehörde dienen: Artikel 39 Absatz 1 Buchstabe e

Datenschutzbeauftragte dienen der Aufsichtsbehörde als Anlaufstelle für Fragen im Zusammenhang mit der Verarbeitung. Dazu gehört die vorherige Konsultation nach Artikel 36. Gegebenenfalls beraten sie sich mit der Behörde auch zu weiteren Fragen.

Davon zu unterscheiden ist die Möglichkeit betroffener Personen, sich nach Artikel 38 Absatz 4 an den Datenschutzbeauftragten zu wenden. Beide Kontaktfunktionen sind wichtig, beruhen aber auf unterschiedlichen Bestimmungen.

Die Kontaktwege sollten sicherstellen, dass Anliegen den richtigen Empfänger erreichen und Anfragen an den Datenschutzbeauftragten nicht mit allgemeinen Kundenserviceanfragen verwechselt werden.

Was verlangt Artikel 38 von der Organisation?

Ohne Zugang zu Informationen, ausreichend Zeit und einen geeigneten Berichtsweg lassen sich die Aufgaben nur schwer erfüllen. Artikel 38 regelt die Bedingungen, unter denen Datenschutzbeauftragte arbeiten.

Einbindung, Ressourcen und Unabhängigkeit

Die Organisation muss den Datenschutzbeauftragten ordnungsgemäß und frühzeitig in Fragen zum Schutz personenbezogener Daten einbinden. Sie muss die notwendigen Ressourcen bereitstellen, Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen ermöglichen und die Erhaltung des Fachwissens unterstützen.

Bei der Erfüllung seiner Aufgaben darf der Datenschutzbeauftragte keine Weisungen erhalten. Wegen der Erfüllung dieser Aufgaben darf er nicht abberufen oder benachteiligt werden. Er berichtet unmittelbar der höchsten Managementebene. Diese Schutzvorkehrungen erläutert der 🟧 Leitfaden des Europäischen Datenschutzausschusses.

Beim Beispiel der Kundendatenbank schränkt eine Einbindung erst nach der Einführung die Möglichkeit sinnvoller Beratung ein. Ein praktikabler Projektablauf sollte festlegen, wann der Datenschutzbeauftragte Informationen erhält und wie ungeklärte Bedenken an die Leitung gelangen.

Vertraulichkeit und weitere Aufgaben

Artikel 38 regelt außerdem die Vertraulichkeit und die Möglichkeit betroffener Personen, sich wegen der Verarbeitung ihrer Daten und der Ausübung ihrer Rechte an den Datenschutzbeauftragten zu wenden.

Zusätzliche Aufgaben sind möglich, dürfen aber keine Interessenkonflikte verursachen. Die Organisation muss die tatsächlichen Zuständigkeiten prüfen. Dazu gehört die Frage, ob die betreffende Person Zwecke und Mittel der Verarbeitung festlegt.

Die 🟧 FAQ des Bayerischen Landesamts für Datenschutzaufsicht erläutern Interessenkonflikte und die Auswirkungen weiterer Aufgaben auf die verfügbare Arbeitszeit. Eine ausführlichere Betrachtung bietet der geplante Beitrag 🟦 Eignung für die Tätigkeit als Datenschutzbeauftragter und Interessenkonflikte.

Wer ist für die Umsetzung verantwortlich?

Beratung und Überwachung durch den Datenschutzbeauftragten heben die Verantwortung der Organisation nicht auf. Die 🟧 Übersicht des Bayerischen Landesamts für Datenschutzaufsicht grenzt die Funktion des Datenschutzbeauftragten von der fortbestehenden Verantwortung der Organisation ab.

Nutzen Sie die folgende praktische Aufgabenverteilung als Ausgangspunkt für ein Gespräch. Sie ist keine vollständige Übersicht aller gesetzlichen Verantwortlichkeiten.

Leiten Sie aus dieser Tabelle kein pauschales Verbot operativer Unterstützung ab. Der Europäische Datenschutzausschuss weist darauf hin, dass Datenschutzbeauftragten in der Praxis häufig die Führung des Verzeichnisses von Verarbeitungstätigkeiten übertragen wird. Zusätzliche Aufgaben müssen weiterhin auf mögliche Interessenkonflikte geprüft werden.

Entscheidend ist, ob die Regelung eine unabhängige Erfüllung der Aufgaben ermöglicht und zugleich klare Verantwortlichkeiten für Entscheidungen und Umsetzung erhält.

Es macht beispielsweise einen Unterschied, ob ein Datenschutzbeauftragter eine Vorlage verbessert oder selbst über Zwecke und Mittel der Verarbeitung entscheidet und anschließend dieselben Entscheidungen unabhängig überprüfen soll.

Wie sollten Datenschutzbeauftragte ihre Arbeit priorisieren?

Nach Artikel 39 Absatz 2 müssen Datenschutzbeauftragte den Risiken der Verarbeitung gebührend Rechnung tragen. Dabei berücksichtigen sie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Ein praktischer Arbeitsplan sollte deshalb nachvollziehbar machen, warum bestimmte Themen früher oder eingehender bearbeitet werden müssen.

Betrachten Sie zwei hypothetische Feststellungen: ein unvollständiges Kontaktfeld in einem internen Dokument und eine ungeklärte Zugriffsfrage bei sensiblen Datensätzen. Die Auswirkungen können unterschiedlich sein. Prüfen Sie die tatsächlichen Umstände und die geltenden Anforderungen, bevor Sie die Dringlichkeit festlegen.

Eine risikoorientierte Priorisierung lässt weniger dringliche Pflichten nicht entfallen und erlaubt auch nicht, verbindliche Fristen zu ignorieren. Sie hilft, Umfang und Zeitpunkt der Arbeit innerhalb der geltenden Verpflichtungen zu organisieren.

Halten Sie die Gründe fest, wenn sie für die Planung relevant sind, insbesondere wenn begrenzte Ressourcen den Arbeitsplan beeinflussen.

Eine neue Kundendatenbank: die Funktion in der Praxis

Kehren wir zum hypothetischen Projektteam aus der Einleitung zurück.

Das Team ersetzt mehrere Tabellen durch eine gemeinsame Kundendatenbank. Es hat einen Anbieter ausgewählt, aber noch nicht klar beschrieben, welche Abteilungen Zugriff benötigen oder wie die Informationen verwendet werden sollen.

Ein empfehlenswerter Ablauf ist:

1. Das Projektteam liefert die Fakten. Es beschreibt die vorgesehenen Zwecke, Daten, Zugriffe, Empfänger und Aufbewahrungsregelungen.

2. Der Datenschutzbeauftragte berät. Er benennt offene Fragen, erläutert einschlägige Pflichten und berät dazu, ob eine eingehendere Prüfung erforderlich ist.

3. Die zuständigen Stellen entscheiden und setzen um. Leitung und beteiligte Teams befassen sich mit der Beratung, weisen Maßnahmen zu und gestalten den Ablauf.

4. Der Datenschutzbeauftragte überwacht die Nachverfolgung. Er prüft relevante Nachweise und teilt verbleibende Bedenken mit.

Das Beispiel zeigt, warum Beratung, Entscheidungen und Umsetzung sichtbar bleiben sollten, statt sie in einer pauschalen Bitte um „Freigabe durch den Datenschutzbeauftragten“ zusammenzufassen. Die Einhaltung dieses Ablaufs allein belegt nicht die Rechtmäßigkeit der Verarbeitung.

Für den übergeordneten organisatorischen Zusammenhang erläutert der GCI-Beitrag 🟩 strategischer Datenschutz in der Praxis, wie Datenschutzarbeit mit der Unternehmenssteuerung verbunden ist.

Die gesetzlichen Aufgaben im Arbeitsalltag verankern

Mit den folgenden empfohlenen Fragen können Sie die Arbeitsbedingungen überprüfen:

• Wann werden Projekte und Vorfälle dem Datenschutzbeauftragten zur Kenntnis gebracht?

• Kann er die relevanten Informationen erhalten?

• Sind Arbeitszeit, Unterstützung und fachliche Weiterentwicklung berücksichtigt?

• Funktioniert die unmittelbare Berichterstattung an die höchste Managementebene?

• Wurden zusätzliche Zuständigkeiten auf Interessenkonflikte geprüft?

• Wer ist für Umsetzung und Korrekturmaßnahmen zuständig?

• Wie werden ungeklärte Bedenken nachverfolgt?

Ein kurzer Beratungsvermerk kann helfen:

Dies ist eine praktische Dokumentationsempfehlung, keine von der DSGVO vorgeschriebene Vorlage und keine allgemeine Pflicht zu einem Jahresbericht. Wählen Sie eine zur Organisation passende Berichterstattung, ohne sie als gesetzlich festgelegten Zeitplan darzustellen.

Bereiten Sie sich auf die Aufgaben vor

Richten Sie Ihre Vorbereitung an den Aufgaben aus, die Sie voraussichtlich übernehmen. Unser geplanter 🟦 Leitfaden zur Zertifizierung und Qualifikation von Datenschutzbeauftragten in Deutschland erläutert den Zusammenhang zwischen Weiterbildung, Fachwissen und Benennung.

Die GCI-Weiterbildung 🟪 Data Protection Officer (DPO) Certification Training nennt die DSGVO, das BDSG, die Funktion des Datenschutzbeauftragten, Datenschutz-Folgenabschätzungen und Audits als Themen. Prüfen Sie die Kursinhalte sowie die Angaben zur Prüfung und zum Zertifikat anhand Ihres Bedarfs.

Der Abschluss einer Weiterbildung belegt nicht automatisch die Eignung für eine bestimmte Benennung zum Datenschutzbeauftragten.

🟪 Kursinhalte der DPO-Weiterbildung ansehen