Wann ist eine Benennung Pflicht?
Art. 37 DSGVO verlangt einen Datenschutzbeauftragten bei bestimmten öffentlichen Stellen, umfangreicher regelmäßiger und systematischer Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien. § 38 BDSG ergänzt nationale Fälle, unter anderem abhängig von der Zahl der ständig mit automatisierter Datenverarbeitung beschäftigten Personen. Auch unabhängig von Schwellenwerten kann eine freiwillige Benennung sinnvoll sein; dann gelten grundsätzlich die gesetzlichen Stellungsgarantien.
Intern oder extern?
Die Funktion kann ein Beschäftigter oder ein externer Dienstleister übernehmen. Entscheidend sind Fachkunde, Zuverlässigkeit, Ressourcen und unmittelbarer Zugang zur Leitung. Mehrere Unternehmen dürfen unter Voraussetzungen einen gemeinsamen Datenschutzbeauftragten benennen, wenn er leicht erreichbar ist. Der Vertrag sollte Aufgaben, Kapazität, Vertretung, Vertraulichkeit und Unterstützung regeln. Eine bloße Namensnennung ohne tatsächliche Einbindung erfüllt die Anforderungen nicht.
Aufgaben und Grenzen
Zu den Aufgaben gehören Unterrichtung und Beratung, Überwachung, Sensibilisierung, Beratung zur Datenschutz-Folgenabschätzung sowie Zusammenarbeit mit der Aufsicht. Der Datenschutzbeauftragte prüft und empfiehlt; Entscheidungen über Zwecke, Mittel und Risikobereitschaft trifft der Verantwortliche. Deshalb darf die Geschäftsleitung Verantwortung nicht auf die Funktion abschieben. Umgekehrt sollte der Beauftragte keine operative Entscheidung treffen, die er später unabhängig kontrollieren müsste.
EuGH zum Interessenkonflikt
Der Europäische Gerichtshof entschied am 9. Februar 2023, C-453/21 – X-FAB Dresden, dass ein Datenschutzbeauftragter andere Aufgaben wahrnehmen darf, solange kein Interessenkonflikt entsteht. Ein Konflikt liegt insbesondere nahe, wenn die Person Zwecke und Mittel der Verarbeitung bestimmt. Ob das der Fall ist, müssen nationale Gerichte anhand Organisation, Aufgabenverteilung und konkreter Funktion prüfen. Jobtitel allein entscheiden nicht.
Unabhängigkeit und Benachteiligungsverbot
Der Beauftragte darf wegen ordnungsgemäßer Aufgabenerfüllung keine Weisungen erhalten, abberufen oder benachteiligt werden. Er berichtet unmittelbar an die höchste Managementebene und ist frühzeitig in Datenschutzfragen einzubeziehen. Das schützt keine Pflichtverletzungen außerhalb der Funktion. Nationale Regeln können zusätzlichen Kündigungsschutz gewähren. Leitung, IT, Personal und Fachbereiche müssen dennoch verbindlich zusammenarbeiten; Unabhängigkeit bedeutet nicht organisatorische Isolation.
Kontakt zur Aufsicht und Betroffenen
Betroffene dürfen den Datenschutzbeauftragten zu Fragen der Verarbeitung und ihrer Rechte kontaktieren. Kontaktdaten sind zu veröffentlichen und der Aufsichtsbehörde mitzuteilen, ohne dass stets der persönliche Name öffentlich genannt werden muss. Die Funktion ist zur Geheimhaltung verpflichtet. Beschwerden sollten geordnet dokumentiert und an die entscheidungsbefugten Stellen eskaliert werden, ohne den vertraulichen Kommunikationskanal zu entwerten.
Praxischeck für Unternehmen
Zu prüfen sind Benennungspflicht, Fachkunde, Ressourcen, Fortbildung, Stellvertretung und mögliche Interessenkonflikte. Organigramm, Stellenbeschreibung und tatsächliche Befugnisse müssen zusammenpassen. Typisch konfliktträchtig sind leitende Rollen in IT, Personal, Recht oder Vertrieb, wenn sie Verarbeitungszwecke selbst festlegen. Eine dokumentierte Konfliktanalyse und regelmäßige Neubewertung helfen, Beanstandungen zu vermeiden. Verantwortlichkeiten für operative Maßnahmen bleiben parallel eindeutig zuzuweisen. Maßgeblich bleibt stets der konkrete Verarbeitungszweck. Antrag, Datensatz, technische Umsetzung und Kommunikation sollten deshalb in einer nachvollziehbaren Zeitlinie dokumentiert werden. Nur so lässt sich beurteilen, ob die gesetzlichen Voraussetzungen vorlagen, die Antwort vollständig war und Rechte anderer angemessen berücksichtigt wurden. Verantwortliche sollten außerdem festlegen, wer den Eingang bestätigt, Fachabteilungen einbindet, Fristen überwacht und die Entscheidung freigibt. Ein standardisierter Ablauf darf die Einzelfallprüfung nicht ersetzen. Abweichungen und offene Tatsachen müssen sichtbar bleiben, damit eine Aufsichtsbehörde oder ein Gericht die Entscheidung später nachvollziehen kann. Maßgeblich bleibt stets der konkrete Verarbeitungszweck. Antrag, Datensatz, technische Umsetzung und Kommunikation sollten deshalb in einer nachvollziehbaren Zeitlinie dokumentiert werden. Nur so lässt sich beurteilen, ob die gesetzlichen Voraussetzungen vorlagen, die Antwort vollständig war und Rechte anderer angemessen berücksichtigt wurden.