DSGVO · Art. 37-39
DSGVO-037-DSB
DSB-Pflicht pruefen, Benennung formalisieren und Unabhaengigkeit sicherstellen
Anforderung
Unter bestimmten Voraussetzungen (u. a. umfangreiche Verarbeitung besonderer Kategorien, regelmaessige umfangreiche Ueberwachung, Kerngeschaeft) ist ein Datenschutzbeauftragter (DSB) zu benennen, der seine Aufgaben unabhaengig wahrnehmen kann und der Aufsichtsbehoerde gemeldet wird.
Fundstelle
DSGVO Art. 37 Abs. 1, Art. 38-39
Gap-Check
Wurde geprueft, ob eine DSB-Pflicht besteht, und falls ja: ist ein DSB benannt, der Aufsichtsbehoerde gemeldet und mit ausreichenden Ressourcen/Unabhaengigkeit ausgestattet?
Wenn ja
Anforderung erfuellt – Unabhaengigkeit und Ressourcen des DSB regelmaessig sicherstellen.
Teilweise
DSB benannt, aber nicht an Aufsichtsbehoerde gemeldet oder ohne ausreichende Ressourcen/Unabhaengigkeit (Interessenkonflikt z. B. als IT-Leiter).
Wenn nein
Luecke: Fehlende DSB-Benennung trotz Pflicht ist eigenstaendiger Verstoss; bei Nicht-Pflicht sollte dies dokumentiert sein.
Maßnahme
- DSB-Pflicht anhand der Kriterien (Art. 37 Abs. 1, nationale Schwellenwerte z. B. 20 Personen staendig mit automatisierter Verarbeitung) pruefen und Ergebnis dokumentieren
- Bei Pflicht: DSB benennen (intern oder extern) und der zustaendigen Aufsichtsbehoerde melden
- Interessenkonflikte pruefen (DSB sollte nicht zugleich Entscheidungen ueber Verarbeitungszwecke/-mittel treffen)
- Ressourcen (Zeit, Budget, Zugang zu Informationen) fuer DSB-Taetigkeit sicherstellen und dokumentieren
Aufwand
niedrig
Schätzung
1 bis 3 Personentage (Pruefung und Formalisierung; laufende DSB-Taetigkeit separat zu budgetieren)
Zeithorizont
kurzfristig
Hilfsmittel
DSB-Pflichtpruefung-Checkliste, Benennungsschreiben, Meldeformular Aufsichtsbehoerde
Vertiefung
DSGVO Survival Kit, Kap. 12 – Der Datenschutzbeauftragte
Risiko
Fehlende DSB-Benennung trotz Pflicht oder Interessenkonflikte sind formale Verstoesse, die bei Audits leicht auffallen.
Eintritt
2 von 5
Auswirkung
3 von 5
Bußgeldrahmen
10.000.000 EUR oder 2% weltweiter Jahresumsatz
DSGVO Art. 83 Abs. 4
Control und Nachweis
Control
DSB-Pflicht dokumentiert geprueft, ggf. DSB benannt, gemeldet und mit Ressourcen/Unabhaengigkeit ausgestattet
Art
organisatorisch
Dringlichkeit
mittel
Nachweis
DSB-Pflichtpruefung + Benennungsdokumentation
Vorlage
DSB-Pflichtpruefung-Checkliste
Verknüpfungen
Querverweise
NIS-2 Art. 20
ISO 27001:2022
A.5.2 (teilweise)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json