Die DSGVO legt in Artikel 37 die Pflicht zur Benennung eines Datenschutzbeauftragten in bestimmten Situationen fest. Seit dem Inkrafttreten der DSGVO im Mai 2018 hat die AEPD Sanktionen wegen fehlender Benennung verhängt, wenn die Pflicht vorlag und das Unternehmen sie nicht erfüllte. Zu wissen, wann die Benennung eines DPO obligatorisch ist, ist daher nicht optional.
Die drei Fälle, in denen die DSGVO einen DPO vorschreibt
Fall 1: Öffentliche Stellen und Einrichtungen
Alle Behörden und öffentlichen Stellen (außer den Gerichten, wenn sie im Rahmen ihrer justiziellen Aufgaben handeln) sind verpflichtet, einen DPO zu benennen. Diese Pflicht ist absolut und kennt keine Ausnahmen aufgrund von Größe oder Verarbeitungsvolumen.
Fall 2: Verarbeitung im großen Umfang von besonderen Datenkategorien
Wenn die Haupttätigkeit des Unternehmens darin besteht, im großen Umfang besondere Kategorien personenbezogener Daten zu verarbeiten (Artikel 9 DSGVO), ist ein DPO obligatorisch. Besondere Kategorien sind:
- Gesundheitsdaten.
- Genetische Daten.
- Biometrische Daten zur eindeutigen Identifizierung.
- Daten zu rassischer oder ethnischer Herkunft.
- Politische Meinungen.
- Religiöse oder weltanschauliche Überzeugungen.
- Gewerkschaftszugehörigkeit.
- Sexualleben oder sexuelle Orientierung.
- Strafrechtliche Verurteilungen und Straftaten.
Was bedeutet “im großen Umfang”? Die DSGVO definiert diesen Begriff nicht quantitativ, aber die Richtlinien des Europäischen Datenschutzausschusses (EDSA) liefern Orientierung: ein Krankenhaus, das Patientendaten verarbeitet, ein Versicherungsunternehmen, das Gesundheitsdaten verarbeitet, eine Apotheke — ja. Ein einzelner Arzt in seiner Praxis — in der Regel nein.
Fall 3: Regelmäßige und systematische Überwachung im großen Umfang
Wenn die Haupttätigkeit des Unternehmens darin besteht, natürliche Personen regelmäßig und systematisch im großen Umfang zu überwachen, ist ein DPO obligatorisch.
Typische Fälle: Telekommunikationsunternehmen, Kreditauskunfteien, Tracking-Unternehmen (Online-Werbung, Geolokalisierung), Videoüberwachungsunternehmen, die umfangreiche Daten von Personen verarbeiten.
Besonderheiten des spanischen Rechts: LOPDGDD erweitert die Pflicht
Das spanische organische Datenschutzgesetz (LOPDGDD) in Artikel 34 erweitert die Liste der DPO-pflichtigen Unternehmen auf die spanische Rechtsordnung:
- Verarbeitungsverantwortliche, die im Bildungsbereich tätig sind.
- Werbetreibende und Werbenetzwerke, wenn sie Profile von Betroffenen erstellen.
- Unternehmen, die Kreditinformationssysteme verwalten.
- Unternehmen, die Sicherheitsdienste erbringen.
- Versicherungsunternehmen.
- Meinungsforschungsinstitute und Marktforschungsunternehmen.
Praktische Konsequenz: In Spanien ist der Kreis der zur DPO-Benennung verpflichteten Unternehmen größer als in anderen EU-Mitgliedstaaten.
Interner vs. externer DPO: welche Option wählen?
| Merkmal | Interner DPO | Externer DPO |
|---|---|---|
| Kosten | Gehalt + SS-Beiträge | Monatliche Vergütung (500–2.000 €) |
| Fachkenntnisse | Auf das Unternehmen beschränkt | Branchenübergreifende Kenntnisse |
| Unabhängigkeit | Kann intern kompromittiert sein | Strukturell unabhängig |
| Verfügbarkeit | Vollzeit (bei exklusiver Zuweisung) | Vereinbarte Zeiten + Notfälle |
| Risiko des Verlusts von Know-how | Hoch bei Kündigung | Kontinuität gewährleistet |
Wann ein interner DPO sinnvoll ist:
- Großes Unternehmen mit eigenem Datenschutzteam (Compliance, IT, Legal).
- Hochkomplexe oder hochvolumige Datenverarbeitung, die tägliche Vollzeit-Anwesenheit erfordert.
Wann ein externer DPO sinnvoll ist:
- KMU mit bis zu 200 Mitarbeitern.
- Unternehmen ohne dediziertes IT-Sicherheitsteam.
- Unternehmen, die Unabhängigkeit und aktuelles Fachwissen ohne das Risiko einer internen Kündigungsabhängigkeit garantieren wollen.
Aufgaben des DPO laut DSGVO
Der DPO ist unabhängig und hat Zugang zur Unternehmensleitung. Seine Hauptaufgaben sind:
- Informierung und Beratung des Verantwortlichen, des Auftragsverarbeiters und der Mitarbeiter über ihre DSGVO-Pflichten.
- Überwachung der Einhaltung der DSGVO und der nationalen Datenschutzvorschriften.
- Beratung bei Datenschutz-Folgenabschätzungen (DPIA) und Überwachung ihrer Durchführung.
- Zusammenarbeit mit der Aufsichtsbehörde (AEPD) und Funktion als Kontaktstelle.
- Verwaltung von Anfragen betroffener Personen (Recht auf Auskunft, Berichtigung, Löschung).
Konsequenzen der Nichteinhaltung
Die AEPD kann Sanktionen wegen fehlender DPO-Benennung verhängen, wenn die Pflicht besteht:
- Nichtbenennung des DPO, wenn obligatorisch: Schwerer Verstoß (DSGVO Art. 83.4), bis zu 10.000.000 Euro oder 2 % des Jahresumsatzes.
- Fehlende Registrierung des DPO bei der AEPD: Leichter bis mittelschwerer Verstoß.
- Nichtgewährung notwendiger Ressourcen für die DPO-Funktion: Verstoß gegen die DSGVO-Pflichten.
Informationen zu unserem externen DPO-Service und Datenschutz-Compliance.
