Artikel 37 DSGVO – Benennung eines Datenschutzbeauftragten

(1) Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn
a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln,
b) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
c) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
(2) Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten ernennen, sofern von jeder Niederlassung aus der Datenschutzbeauftragte leicht erreicht werden kann.
(3) Falls es sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde oder öffentliche Stelle handelt, kann für mehrere solcher Behörden oder Stellen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe ein gemeinsamer Datenschutzbeauftragter benannt werden.
(4) In anderen als den in Absatz 1 genannten Fällen können der Verantwortliche oder der Auftragsverarbeiter oder Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, einen Datenschutzbeauftragten benennen; falls dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, müssen sie einen solchen benennen. Der Datenschutzbeauftragte kann für derartige Verbände und andere Vereinigungen, die Verantwortliche oder Auftragsverarbeiter vertreten, handeln.
(5) Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben.
(6) Der Datenschutzbeauftragte kann Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.
(7) Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt diese Daten der Aufsichtsbehörde mit.

Relevante Erwägungsgründe

Häufig gestellte Fragen

Kurze Antworten auf häufige Fragen zu dieser Vorschrift. Sie sind allgemeine Informationen und keine Rechtsberatung.

Absatz 1 macht die Benennung in drei Fällen zwingend. Es sind die Verarbeitung durch eine Behörde oder öffentliche Stelle, mit Ausnahme von Gerichten, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln, eine Kerntätigkeit, die in der Durchführung von Verarbeitungsvorgängen besteht, welche eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, sowie eine Kerntätigkeit, die in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.

Ja. Absatz 1 richtet sich gleichermaßen an den Verantwortlichen und den Auftragsverarbeiter, und die Kerntätigkeitstests in den Buchstaben b und c nehmen ausdrücklich auf die Tätigkeit des Verantwortlichen oder des Auftragsverarbeiters Bezug. Ein Auftragsverarbeiter kann daher zur Benennung verpflichtet sein, auch wenn seine auftraggebenden Verantwortlichen es nicht sind.

Ja. Nach Absatz 2 darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten ernennen, sofern er von jeder Niederlassung aus leicht erreicht werden kann, und nach Absatz 3 kann für mehrere Behörden oder öffentliche Stellen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe ein gemeinsamer Datenschutzbeauftragter benannt werden.

Absatz 5 verlangt die Benennung auf der Grundlage der beruflichen Qualifikation, insbesondere des Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis, sowie der Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben. Absatz 6 ergänzt, dass der Datenschutzbeauftragte Beschäftigter sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen kann, sodass eine externe Benennung zulässig ist.

Absatz 7 verpflichtet den Verantwortlichen oder den Auftragsverarbeiter, die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Die Vorschrift betrifft die Kontaktdaten, was seine Erreichbarkeit für betroffene Personen nach Artikel 38 Absatz 4 und seine Funktion als Anlaufstelle für die Behörde nach Artikel 39 Absatz 1 Buchstabe e stützt.