DSGVO-DPO-Implementierungsleitfaden: Ernennung und Operationalisierung Ihres Datenschutzbeauftragten

Nur 37 % der Organisationen, die einen Datenschutzbeauftragten ernennen müssen, haben dies korrekt getan. Die restlichen 63 % haben entweder keinen ernannt, jemanden ohne die erforderliche Unabhängigkeit ernannt oder keine ausreichenden Ressourcen bereitgestellt. Eine nur auf dem Papier bestehende DSB-Bestellung bietet keinen Schutz, wenn die Aufsichtsbehörde an die Tür klopft.

Dieser Leitfaden deckt den gesamten Lebenszyklus der DPO-Implementierung ab: Feststellung, ob Sie einen benötigen, Auswahl der richtigen Person, Definition der Rolle und Operationalisierung der Funktion, damit sie tatsächlich funktioniert.

Wichtige Erkenntnisse

• Die Ernennung eines Datenschutzbeauftragten ist für Organisationen, die personenbezogene Daten in großem Umfang oder besondere Datenkategorien verarbeiten, obligatorisch
• Der Datenschutzbeauftragte muss unabhängig sein: Er darf nicht in die Ausführung seiner Aufgaben eingewiesen werden und darf für die Ausführung seiner Aufgaben nicht bestraft werden
• Externe (ausgelagerte) Datenschutzbeauftragte sind im Rahmen der DSGVO gültig und für KMU oft praktischer – Die Operationalisierung der Rolle des Datenschutzbeauftragten erfordert dokumentierte Arbeitsabläufe für DSFAs, Anfragen betroffener Personen und die Meldung von Verstößen

---

Benötigen Sie einen Datenschutzbeauftragten?

Obligatorische Ernennungskriterien (Artikel 37)

Ein DSB ist erforderlich, wenn:

1. Sie sind eine öffentliche Behörde oder Einrichtung (mit Ausnahme von Gerichten, die in richterlicher Funktion handeln)
2. Ihre Kernaktivitäten erfordern eine regelmäßige und systematische Überwachung der betroffenen Personen in großem Umfang (z. B. Verhaltensverfolgung, Profilerstellung, Standortverfolgung)
3. Zu Ihren Kernaktivitäten gehört die groß angelegte Verarbeitung spezieller Datenkategorien (Gesundheit, Biometrie, Strafregister, politische Meinungen, religiöse Überzeugungen)

Entscheidungsmatrix

Auch wenn dies nicht zwingend vorgeschrieben ist, wird die Ernennung eines Datenschutzbeauftragten dringend empfohlen, da dies ein Zeichen für das Engagement für den Datenschutz ist.

---

Auswahl des richtigen Datenschutzbeauftragten

Erforderliche Qualifikationen (Artikel 37 Absatz 5)

Der DSB muss über Folgendes verfügen:

• Expertenwissen über Datenschutzgesetze und -praktiken --- nicht unbedingt ein Anwalt, aber tiefes Verständnis der DSGVO und relevanter lokaler Gesetze
• Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben (siehe unten)
• Erreichbarkeit zur Kontaktaufnahme durch betroffene Personen und Aufsichtsbehörden

Interner vs. externer DSB

Für die meisten KMUs: Ein externer DPO-Dienst ist kostengünstiger und bietet echte Unabhängigkeit. Stellen Sie sicher, dass der Vertrag die Verfügbarkeit für die Reaktion auf Verstöße und für Anfragen der Aufsichtsbehörden gewährleistet.

---

Verantwortlichkeiten des Datenschutzbeauftragten (Artikel 39)

Kernaufgaben

1. Informieren und beraten Sie die Organisation und ihre Mitarbeiter über die DSGVO-Pflichten
2. Überwachen Sie die Einhaltung der DSGVO und interner Datenschutzrichtlinien
3. Beratung zu DPIAs (Datenschutz-Folgenabschätzungen) und Überwachung ihrer Umsetzung
4. Kooperieren Sie mit Aufsichtsbehörden und fungieren Sie als Anlaufstelle
5. Anfragen betroffener Personen bearbeiten oder den Prozess überwachen

Operativer Arbeitsablauf

Verfahren zur Datenschutz-Folgenabschätzung (DPIA):

Workflow für Anfragen betroffener Personen:

Request received (email, form, phone)
    |
    v
Identity verification (within 3 days)
    |
    v
Request classification:
  - Access (Art. 15): Provide copy of all personal data
  - Rectification (Art. 16): Correct inaccurate data
  - Erasure (Art. 17): Delete data (if no legal basis to retain)
  - Restriction (Art. 18): Limit processing
  - Portability (Art. 20): Export data in machine-readable format
  - Objection (Art. 21): Stop processing based on legitimate interest
    |
    v
Fulfillment (within 30 days, extendable to 90 for complex requests)
    |
    v
Documentation and closure

---

Berichtsstruktur

Unabhängigkeitsanforderungen

Die DSGVO schreibt vor, dass der Datenschutzbeauftragte:

• Berichtet an die höchste Führungsebene (CEO, Vorstand)
• Können nicht angewiesen werden, wie sie ihre Aufgaben ausführen sollen
• Kann nicht entlassen oder bestraft werden für die Wahrnehmung von DPO-Aufgaben
• Muss mit ausreichenden Ressourcen ausgestattet sein (Budget, Personal, Schulung, Werkzeuge)

Organigramm

Board of Directors / CEO
        |
        +--- DPO (direct reporting line)
        |      |
        |      +--- Data Protection Team (if applicable)
        |
        +--- CTO / CIO
        |      |
        |      +--- IT Security (implements controls recommended by DPO)
        |
        +--- COO
        |      |
        |      +--- Business Units (comply with DPO guidance)
        |
        +--- Legal
               |
               +--- Contracts (DPAs reviewed with DPO input)

Interessenkonflikt

Der Datenschutzbeauftragte kann nicht gleichzeitig eine Position einnehmen, die die Zwecke und Mittel der Datenverarbeitung bestimmt. Zu den widersprüchlichen Rollen gehören:

• CEO, COO, CFO
• Leiter IT
• Leiter Personal
• Leiter Marketing
• General Counsel (umstritten, aber problematisch)

---

DPO-Toolkit

Erforderliche Dokumentation

Technologie-Stack

---

Messung der DPO-Wirksamkeit

---

Häufig gestellte Fragen

Kann der Datenschutzbeauftragte persönlich haftbar gemacht werden?

Nein. Die Rolle des Datenschutzbeauftragten ist beratend. Die Verantwortung für die Einhaltung liegt bei der Organisation (Datenverantwortlicher). Dem Datenschutzbeauftragten können jedoch berufliche Konsequenzen drohen, wenn er fahrlässige Ratschläge erteilt. Für interne Datenschutzbeauftragte wird eine Versicherung (Berufshaftpflicht) empfohlen.

Kann ein DSB mehrere Organisationen betreuen?

Ja. Artikel 37 Absatz 2 erlaubt einer Unternehmensgruppe, einen einzigen DSB zu ernennen, sofern der DSB „von jeder Niederlassung aus leicht erreichbar“ ist. Dies ist bei externen DPO-Diensten und bei Unternehmensgruppen üblich. Der Datenschutzbeauftragte muss für jede Organisation über ausreichend Zeit und Ressourcen verfügen.

Was passiert, wenn wir bei Bedarf keinen Datenschutzbeauftragten ernennen?

Das Versäumnis, bei Bedarf einen Datenschutzbeauftragten zu ernennen, stellt einen direkten Verstoß gegen die DSGVO dar und kann mit Geldstrafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Praktischer ausgedrückt schwächt das Fehlen eines Datenschutzbeauftragten Ihre Verteidigung bei der Untersuchung von Datenschutzverletzungen – Aufsichtsbehörden betrachten dies als Beweis für unzureichende Governance.

Wie funktioniert die Ernennung eines Datenschutzbeauftragten für Odoo ERP-Implementierungen?

Wenn Ihre Odoo-Instanz personenbezogene Daten in großem Umfang verarbeitet (Hunderte von Mitarbeitern, Tausende von Kunden in der gesamten EU), benötigen Sie wahrscheinlich einen Datenschutzbeauftragten. Der Datenschutzbeauftragte sollte in Odoo-Konfigurationsentscheidungen einbezogen werden: Zugriffskontrollen pro Modul, Automatisierung der Datenaufbewahrung, Einrichtung der Audit-Protokollierung und DPIA für Module, die spezielle Kategorien verarbeiten (HR, Personalbeschaffung). ECOSIRE umfasst Governance-Beratung in unseren Odoo-Implementierungsdiensten.

---

Was als nächstes kommt

Die Ernennung eines Datenschutzbeauftragten ist der erste Schritt. Erstellen Sie das darauf aufbauende Governance-Programm mit Privacy by Design, Richtlinien zur Datenaufbewahrung und Datenschutzverwaltung für Mitarbeiter. Das vollständige Governance-Framework finden Sie in unserem Daten-Governance-Leitfaden.

Kontaktieren Sie ECOSIRE für DSGVO-Compliance-Beratung und DPO-Beratungsdienste.

---

Herausgegeben von ECOSIRE – Unterstützung von Unternehmen bei der Umsetzung eines funktionierenden Datenschutzes.