Aufgaben des Datenschutzbeauftragten nach DSGVO: Der vollständige operative Leitfaden

Das Wichtigste auf einen Blick: Aufgaben des Datenschutzbeauftragten nach DSGVO

Ein Datenschutzbeauftragter (DSB) trägt nach der DSGVO sieben zentrale operative Aufgaben, die in den Artikeln 37 bis 39 definiert sind: Beratung der Organisation, Überwachung der Compliance, Begleitung von DSFAs, Zusammenarbeit mit den Aufsichtsbehörden, Funktion als Anlaufstelle für betroffene Personen, Führung des Verzeichnisses von Verarbeitungstätigkeiten und Steuerung der Meldung von Datenschutzverletzungen innerhalb des 72-Stunden-Fensters. Für Organisationen mit mehreren Gesellschaften gewinnen diese Pflichten an Komplexität und erfordern zentralisierte Werkzeuge, um sie über Rechtsordnungen hinweg konsistent umzusetzen.

Definitionen

Was ist ein Datenschutzbeauftragter (DSB)?

Ein Datenschutzbeauftragter (DSB) ist eine unabhängige Compliance-Rolle, die nach Art. 37 DSGVO für Organisationen vorgeschrieben ist, die eine umfangreiche systematische Überwachung vornehmen oder besondere Kategorien personenbezogener Daten verarbeiten. Der Datenschutzbeauftragte berät zu den Datenschutzpflichten, überwacht die Compliance und fungiert als Bindeglied zwischen der Organisation, den betroffenen Personen und den Aufsichtsbehörden.

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein Risikobeurteilungsprozess, der nach Art. 35 DSGVO immer dann erforderlich ist, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Der EDSA hat die Leitlinien 4/2017 zur DSFA veröffentlicht, die ausführen, wann und wie Abschätzungen durchzuführen sind.

Was ist ein Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis)?

Ein Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis) ist eine zwingende Dokumentationspflicht nach Art. 30 DSGVO. Es muss die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die Empfänger, internationale Übermittlungen, Aufbewahrungsfristen sowie eine Beschreibung der technischen und organisatorischen Sicherheitsmassnahmen enthalten.

Was ist das 72-Stunden-Fenster für die Meldung von Datenschutzverletzungen?

Nach Art. 33 DSGVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich und, sofern möglich, innerhalb von 72 Stunden nach Bekanntwerden melden. Die EDSA-Leitlinien 9/2022 liefern ausführliche Beispiele für Szenarien der Meldung von Datenschutzverletzungen.

Statistiken und Branchenkontext

Laut dem IAPP-EY Annual Privacy Governance Report 2023 stieg das durchschnittliche Budget eines Datenschutzteams auf rund 2,7 Mio. USD, und 73 % der befragten Organisationen gaben an, einen dedizierten Datenschutzbeauftragten zu haben. Derselbe Bericht stellte fest, dass Organisationen mit ausgereiften Datenschutzprogrammen 40 % weniger Zeit für ad-hoc-Compliance-Aufgaben aufwenden. Laut dem EDSA-Jahresbericht 2023 haben die europäischen Datenschutzbehörden seit Beginn der Durchsetzung zusammen über 2,1 Mrd. EUR an DSGVO-Bussen verhängt, was das finanzielle Risiko von Non-Compliance unterstreicht. Der Bericht Threat Landscape 2024 der ENISA hebt hervor, dass Ransomware und Datenexfiltration die grössten Bedrohungen für personenbezogene Daten bleiben, was die Rolle des Datenschutzbeauftragten beim Management von Datenschutzverletzungen zunehmend kritisch macht.

Häufig gestellte Fragen

Was sind die zentralen Aufgaben eines Datenschutzbeauftragten nach DSGVO?

Art. 39 DSGVO definiert sieben zentrale Aufgaben des Datenschutzbeauftragten: (1) Unterrichtung und Beratung der Organisation zu den DSGVO-Pflichten, (2) Überwachung der Einhaltung der DSGVO und interner Datenschutzrichtlinien, (3) Beratung zu und Überwachung von Datenschutz-Folgenabschätzungen nach Art. 35, (4) Zusammenarbeit mit der Aufsichtsbehörde, (5) Funktion als Anlaufstelle für betroffene Personen, die ihre Rechte ausüben, (6) Führung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 und (7) Steuerung der Meldung von Datenschutzverletzungen innerhalb des 72-Stunden-Fensters nach Art. 33 und 34.

Wann ist die Bestellung eines Datenschutzbeauftragten nach DSGVO verpflichtend?

Nach Art. 37 DSGVO ist die Bestellung eines Datenschutzbeauftragten verpflichtend, wenn: (a) die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt (mit Ausnahme von Gerichten, soweit sie justiziell tätig sind), (b) die Kerntätigkeiten des Verantwortlichen oder Auftragsverarbeiters eine umfangreiche regelmässige und systematische Überwachung betroffener Personen erfordern, oder (c) die Kerntätigkeiten in der umfangreichen Verarbeitung besonderer Kategorien von Daten nach Art. 9 oder von Daten über strafrechtliche Verurteilungen nach Art. 10 bestehen. Die EDSA-Leitlinien zu Datenschutzbeauftragten (WP 243 rev.01) präzisieren die Schwellen «umfangreich» sowie «regelmässige und systematische Überwachung».

Was ist die 72-Stunden-Meldepflicht bei Datenschutzverletzungen für Datenschutzbeauftragte?

Nach Art. 33 DSGVO muss der Verantwortliche die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung nicht innerhalb von 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen. Der Datenschutzbeauftragte ist operativ dafür zuständig, dass Incident-Response-Workflows Verletzungen sofort sichtbar machen und konforme Meldungen mit den nach Art. 33(3) erforderlichen Informationen erzeugen.

Wie steuert ein Datenschutzbeauftragter Compliance über mehrere Gesellschaften und Rechtsordnungen hinweg?

Compliance für Datenschutzbeauftragte über mehrere Gesellschaften erfordert eine zentralisierte Nachverfolgung der Verarbeitungstätigkeiten je Tochtergesellschaft, lokalisierte Beurteilungen der Rechtsgrundlage je Rechtsordnung, systematische DSFA-Aufnahmeprozesse und auf Anforderung verfügbare auditfähige Unterlagen. Die EDSA-Leitlinien zu Datenschutzbeauftragten bestätigen, dass eine Unternehmensgruppe einen einzigen Datenschutzbeauftragten benennen darf, sofern dieser «von jeder Niederlassung aus leicht erreichbar» ist. Eine GRC-Plattform wie Priverion ermöglicht es Datenschutzbeauftragten, Verarbeitungsverzeichnisse, DSFAs, Workflows für Betroffenenanfragen und Risikobeurteilungen von Dienstleistern über alle Tochtergesellschaften hinweg von einem einzigen, in der Schweiz gehosteten Dashboard aus zu steuern.

Welche Qualifikationen benötigt ein Datenschutzbeauftragter nach DSGVO?

Art. 37(5) DSGVO verlangt, dass der Datenschutzbeauftragte auf der Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens über das Datenschutzrecht und die Datenschutzpraxis benannt wird. Die EDSA-Leitlinien präzisieren weiter, dass der erforderliche Grad an Fachwissen der Sensibilität, Komplexität und Menge der von der Organisation verarbeiteten Daten entsprechen sollte. Zertifizierungen wie CIPP/E (Certified Information Privacy Professional/Europe) der IAPP sind weithin anerkannt, jedoch rechtlich nicht vorgeschrieben.

Kann ein Datenschutzbeauftragter wegen der Wahrnehmung seiner Aufgaben abberufen oder benachteiligt werden?

Nein. Art. 38(3) DSGVO stellt ausdrücklich klar, dass der Datenschutzbeauftragte «wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden» darf, weder durch den Verantwortlichen noch durch den Auftragsverarbeiter. Der Datenschutzbeauftragte muss unmittelbar der höchsten Managementebene berichten und darf hinsichtlich der Ausübung seiner Aufgaben keine Weisungen erhalten, was seine funktionale Unabhängigkeit sicherstellt.

Vergleich der DSB-Aufgaben: DSGVO vs. revidiertes Datenschutzgesetz (revDSG)