Wann ein DPO verpflichtend ist
Die DSGVO verlangt nicht von jeder Organisation, einen DPO zu benennen. Die Pflicht wird in drei definierten Fällen ausgelöst:
- Behörden und öffentliche Stellen — jede Verarbeitung durch eine Behörde oder öffentliche Stelle, mit Ausnahme von Gerichten, die in ihrer justiziellen Tätigkeit handeln, erfordert einen DPO.
- Umfangreiche regelmäßige und systematische Überwachung — wenn die Kerntätigkeiten der Organisation in Verarbeitungsvorgängen bestehen, die aufgrund ihrer Art eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erfordern.
- Umfangreiche Verarbeitung besonderer Datenkategorien — wenn die Kerntätigkeiten in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (wie Gesundheits-, biometrischer oder genetischer Daten) oder von Daten über strafrechtliche Verurteilungen und Straftaten bestehen.
Der Begriff Kerntätigkeiten ist ausschlaggebend: Die Verarbeitung muss zentral für das sein, was die Organisation tut, und keine untergeordnete Unterstützungsfunktion wie die gewöhnliche Personal- oder Lohnadministration. Wo die Pflicht nicht greift, kann eine Organisation dennoch freiwillig einen DPO benennen — und sobald benannt, gelten dieselben gesetzlichen Anforderungen an Unabhängigkeit, Stellung und Aufgaben.
Die Aufgaben des DPO
Die Rolle des DPO ist in den Artikeln 37 bis 39 der DSGVO festgelegt, die die Benennung, Stellung und Aufgaben des Amtes regeln. Die Kernaufgaben des DPO sind:
Informieren und beraten
Der DPO informiert und berät die Organisation und ihre Beschäftigten, die Verarbeitungen durchführen, über ihre Pflichten nach der DSGVO und anderen Datenschutzvorschriften. Dies ist eine beratende Funktion — der DPO ist eine Quelle von Fachwissen, nicht die Partei, die entscheidet, wie Daten verarbeitet werden.
Compliance überwachen
Der DPO überwacht die Einhaltung der DSGVO, anderer geltender Datenschutzvorschriften und der internen Richtlinien der Organisation. Dazu gehören die Zuweisung von Zuständigkeiten, die Sensibilisierung, die Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeiter und die Durchführung diesbezüglicher Audits.
Beraten bei DPIAs
Wo eine Datenschutz-Folgenabschätzung (DPIA) durchgeführt wird, berät der DPO auf Anfrage und überwacht deren Durchführung. DPIAs sind für Verarbeitungen erforderlich, die voraussichtlich ein hohes Risiko für Einzelpersonen mit sich bringen — eine Kategorie, die zunehmend automatisierte Entscheidungsfindung und AI-Systeme umfasst.
Mit der Aufsichtsbehörde zusammenarbeiten
Der DPO arbeitet mit der Aufsichtsbehörde zusammen und fungiert ihr gegenüber als Anlaufstelle in Fragen der Verarbeitung, einschließlich der vorherigen Konsultation. Der DPO ist zudem die Anlaufstelle für betroffene Personen bei Fragen dazu, wie ihre personenbezogenen Daten verarbeitet werden und wie sie ihre Rechte ausüben können.
Unabhängigkeit und Stellung
Was den DPO von einem gewöhnlichen Compliance-Manager unterscheidet, ist der gesetzliche Schutz seiner Unabhängigkeit. Die DSGVO verlangt, dass der DPO:
- An die höchste Leitungsebene berichtet, damit Datenschutzbelange die Personen erreichen, die tatsächlich Strategie festlegen und Ressourcen zuweisen.
- Keine Weisungen erhält hinsichtlich der Ausübung seiner Aufgaben — die Leitung kann den Inhalt der Beratung oder Feststellungen des DPO nicht steuern.
- Nicht entlassen oder benachteiligt wird für die Erfüllung seiner Aufgaben, was die Rolle vor Vergeltung schützt, wenn ihre Schlussfolgerungen unerwünscht sind.
- Ohne Interessenkonflikt tätig ist, was bedeutet, dass der DPO nicht zugleich eine Position innehaben sollte, die das Bestimmen der Zwecke und Mittel der Verarbeitung umfasst (zum Beispiel ein leitender IT- oder Marketing-Entscheider).
Die Rolle kann intern durch einen Beschäftigten besetzt oder extern an einen Anbieter im Rahmen eines Dienstleistungsvertrags vergeben werden. In jedem Fall muss die Organisation dem DPO angemessene Ressourcen, Zugang zu den Verarbeitungsvorgängen und die nötige Unterstützung zur Erhaltung des Fachwissens bereitstellen. Der DPO ist bei der Wahrnehmung der Rolle zur Vertraulichkeit verpflichtet.
DPO vs. CISO
Der DPO wird häufig mit dem Chief Information Security Officer (CISO) verwechselt. Sie sind komplementär, aber unterschiedlich: Der CISO verantwortet die Sicherheit von Informationen und Systemen, während der DPO die rechtmäßige und faire Verarbeitung personenbezogener Daten überwacht. Entscheidend ist, dass der CISO operative Entscheidungen darüber trifft, wie Daten geschützt werden, während der DPO unabhängig von diesen Entscheidungen bleiben muss, um sie objektiv zu beurteilen.
| Datenschutzbeauftragter (DPO) | Chief Information Security Officer (CISO) | |
|---|---|---|
| Primäres Mandat | Rechtmäßige, faire Verarbeitung personenbezogener Daten | Vertraulichkeit, Integrität, Verfügbarkeit von Systemen |
| Rechtsgrundlage | Vorgeschrieben durch DSGVO-Artikel 37–39 in definierten Fällen | Organisatorische Rolle, kein durch die DSGVO vorgeschriebenes Amt |
| Berichtslinie | Höchste Leitungsebene, mit geschützter Unabhängigkeit | Typischerweise innerhalb der IT oder Geschäftsleitung |
| Entscheidungsrechte | Nur beratend — erhält keine Weisungen zu den Aufgaben | Operativ — legt Sicherheitskontrollen fest und setzt sie durch |
| Interessenkonflikt | Darf nicht Zwecke und Mittel der Verarbeitung bestimmen | Soll Sicherheitsentscheidungen verantworten und steuern |
| Externe Anlaufstelle | Aufsichtsbehörde und betroffene Personen | Auditoren, Anbieter, Incident-Responder |
Die Anforderung der Unabhängigkeit ist der Grund, warum dieselbe Person in der Regel nicht beide Rollen innehaben kann: Ein CISO, der entscheidet, wie personenbezogene Daten gesichert werden, kann nicht zugleich die unabhängige Partei sein, die bewertet, ob diese Verarbeitung konform ist.
Die wachsende Rolle des DPO in der AI-Governance
AI hat erheblich erweitert, was der DPO überwachen muss. Personenbezogene Daten fließen nun auf Wegen in AI-Tools hinein und wieder heraus, die herkömmliche Compliance-Prüfungen nie erfassen sollten.
Wenn Mitarbeiter Kundendatensätze in einen Chatbot einfügen, wenn ein AI-Assistent ein Dokument mit besonderen Datenkategorien zusammenfasst oder wenn ein autonomer Agent einen internen Datensatz liest und an einen externen Dienst sendet, werden personenbezogene Daten verarbeitet — oft ohne Aufzeichnung, ohne Bewertung der Rechtsgrundlage oder ohne DPIA. Das ist Shadow AI: AI-Nutzung, die außerhalb genehmigter Tools und außerhalb der Sichtbarkeit des DPO stattfindet.
Für den DPO sind drei Entwicklungen bedeutsam:
- Automatisierte Entscheidungsfindung — Verarbeitung, die rechtliche oder ähnlich erhebliche Auswirkungen auf Einzelpersonen erzeugt, verlangt genauere Prüfung und häufig eine DPIA, zu der der DPO beraten muss.
- Neue, hochvolumige Datenflüsse — AI-Prompts und Tool-Calls sind ein rasch wachsender Kanal, über den personenbezogene Daten die Organisation verlassen, doch sie erscheinen selten in den Verzeichnissen von Verarbeitungstätigkeiten.
- Nachweis der Rechenschaft — die Überwachungspflicht des DPO setzt voraus, dass nachgewiesen, nicht nur behauptet werden kann, wie personenbezogene Daten gehandhabt werden. Ohne einen Audit-Trail der AI-Interaktionen existiert dieser Nachweis nicht.
Der DPO kann nicht überwachen, was die Organisation nicht sehen kann. Da AI zu einem primären Weg wird, über den personenbezogene Daten in das Unternehmen ein- und austreten, hängt die Wirksamkeit des Amtes zunehmend davon ab, Sichtbarkeit und Kontrolle auf der AI-Interaktionsschicht zu haben.
