Datenschutzbeauftragter (DSB)

Definition: Der Datenschutzbeauftragte (DSB), englisch Data Protection Officer (DPO), ist eine in den Artikeln 37 bis 39 der DSGVO geregelte Funktion, die Unternehmen und öffentliche Stellen bei der Erfüllung ihrer datenschutzrechtlichen Pflichten unterstützt. Der DSB überwacht die Einhaltung der DSGVO und anderer Datenschutzvorschriften, berät zu Datenschutz-Folgenabschätzungen, fungiert als Ansprechpartner für Betroffene und als offizielle Kontaktstelle gegenüber Datenschutzaufsichtsbehörden. Er genießt dabei vollständige Weisungsfreiheit in der Ausübung seiner Aufgaben und untersteht unmittelbar der höchsten Managementebene. Eine unbillige Benachteiligung oder Entlassung wegen der Ausübung seiner Tätigkeit ist unzulässig. Der DSB kann entweder ein Mitarbeiter des Unternehmens (interner DSB) oder ein externer Dienstleister sein (externer DSB). Im Online-Marketing-Kontext ist der DSB ein unverzichtbarer Ansprechpartner bei der Einführung neuer Tracking-Technologien, der Gestaltung von Consent-Management-Lösungen, der Erstellung von Datenschutzerklärungen und der Bewertung von Marketing-Dienstleistern als Auftragsverarbeiter.

Erläuterung

Die Pflicht zur Benennung eines Datenschutzbeauftragten ergibt sich aus Art. 37 DSGVO. Danach ist die Bestellung in drei Fällen zwingend: erstens für öffentliche Stellen und Behörden (mit Ausnahme von Gerichten in richterlicher Funktion); zweitens für Unternehmen, deren Kerntätigkeit in der Durchführung von Verarbeitungen besteht, die eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erfordern; drittens für Unternehmen, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen nach Art. 10 besteht. Das deutsche Bundesdatenschutzgesetz (BDSG) in § 38 senkt die Schwelle: Wenn in einem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, besteht Bestellpflicht – unabhängig von der Art der Verarbeitung.

Auch wenn keine gesetzliche Pflicht besteht, empfiehlt sich die freiwillige Bestellung eines DSB für nahezu jedes Unternehmen mit aktiven Online-Marketing-Aktivitäten. Ein DSB kann intern aus dem Mitarbeiterkreis bestellt werden; er muss dann jedoch über ausreichend Fachkunde (juristische und technische Kenntnisse des Datenschutzrechts und der Datenschutzpraxis) verfügen und darf keine Interessenkonflikte haben. Typische Positionen, die nicht gleichzeitig als DSB fungieren dürfen, sind Geschäftsführer, IT-Leiter oder Marketing-Leiter, da diese bei datenschutzrelevanten Entscheidungen selbst Verantwortung tragen und eine unabhängige Kontrolle ausschließen würden.

Der externe DSB – häufig ein Rechtsanwalt, ein Datenschutzberatungsunternehmen oder ein spezialisierter Freelancer – bietet kleineren und mittleren Unternehmen eine flexible und kosteneffiziente Lösung. Externe DSBs bringen oft umfassende Fachkunde aus der Beratung verschiedener Branchen mit und sind unabhängig von internen Hierarchien. Sie werden über einen Dienstleistungsvertrag beauftragt, müssen jedoch dieselbe Weisungsfreiheit und Unabhängigkeit genießen wie interne DSBs. Die Bestellung muss der zuständigen Datenschutzaufsichtsbehörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO), ebenso wie etwaige spätere Abberufungen.

Aufgaben des Datenschutzbeauftragten nach Art. 39 DSGVO

• Unterrichtung und Beratung: Aufklärung der Unternehmensleitung, der Mitarbeiter und aller anderen an der Verarbeitung beteiligten Personen über ihre datenschutzrechtlichen Pflichten.
• Überwachung der Einhaltung: Kontrolle, ob die datenschutzrechtlichen Vorschriften und unternehmensinternen Richtlinien eingehalten werden, einschließlich Zuweisung von Verantwortlichkeiten, Sensibilisierung und Schulungen.
• Beratung bei DSFA: Beratung in Bezug auf Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und Überwachung ihrer Durchführung; die Stellungnahme des DSB ist zu dokumentieren.
• Zusammenarbeit mit der Aufsichtsbehörde: Anlaufstelle für die Aufsichtsbehörde bei allen mit der Verarbeitung zusammenhängenden Fragen; Erleichterung des Zugangs zu Dokumenten für Prüfungen.
• Anlaufstelle für Betroffene: Entgegennahme und Weiterleitung von Betroffenenanfragen (Auskunft, Löschung, Berichtigung); Koordination der fristgerechten Beantwortung innerhalb eines Monats.

Rolle des DSB im Online-Marketing-Prozess

• Tool-Evaluierung: Prüfung neuer Marketing-Tools, Analytics-Plattformen oder CRM-Systeme vor der Einführung auf datenschutzrechtliche Konformität; Abschluss von AVV mit Anbietern.
• Consent-Management: Beurteilung der CMP-Implementierung, Prüfung von Einwilligungstexten und Cookie-Bannern auf rechtliche Anforderungen.
• Datenschutzerklärung: Aktuelle Haltung und Freigabe der Datenschutzerklärung; sicherstellen, dass alle genutzten Tools korrekt dokumentiert sind.
• Kampagnen-Freigabe: Bewertung neuer Kampagnen mit hohem Datenschutzrisiko (z. B. Profiling-Kampagnen, Targeting auf Basis sensibler Daten); Empfehlungen zur Risikominimierung.
• Schulungen: Regelmäßige Sensibilisierung des Marketing-Teams zu aktuellen Datenschutzanforderungen, neuen Behördenentscheidungen und Best Practices.