Art. 37 DSGVO — Pflicht zur DSB-Bestellung

Bedingungen für Datenschutzbeauftragten nach DSGVO.

Definition

Art. 37 DSGVO verpflichtet zur Benennung einer oder eines Datenschutzbeauftragten bei: (a) Behörden oder öffentlichen Stellen, (b) Kerntätigkeit umfangreiche regelmäßige und systematische Überwachung, (c) Kerntätigkeit umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9) oder von Daten über strafrechtliche Verurteilungen (Art. 10). Als EU-Verordnung gilt Art. 37 DSGVO in Deutschland und Österreich wortgleich; Unterschiede bestehen nur im ergänzenden nationalen Recht und bei der zuständigen Aufsichtsbehörde (siehe unten). Für die Umsetzung hilfreich: eine Vorlage für die Benennung und ein Aufgabenkatalog für die oder den Datenschutzbeauftragten.

Deutschland und Österreich

Deutschland

Ergänzend zu Art. 37 Abs. 1 DSGVO verlangt § 38 Abs. 1 BDSG die Bestellung eines Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zuständige Aufsicht sind die Landesdatenschutzbehörden der Länder (für den nicht-öffentlichen Bereich).

Österreich

Österreich kennt keine dem § 38 BDSG entsprechende 20-Personen-Schwelle. Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich unmittelbar aus Art. 37 DSGVO; das österreichische Datenschutzgesetz (DSG) sieht in § 5 keinen zusätzlichen zahlenmäßigen Schwellenwert vor. Zuständige Aufsichtsbehörde ist die österreichische Datenschutzbehörde.