{
  "bam_id": "DSGVO-037-DSB",
  "regulation": "DSGVO",
  "article": "Art. 37-39",
  "status": "ausstehend",
  "tags": [
    "datenschutzbeauftragter",
    "governance",
    "benennung"
  ],
  "cross_refs": [
    "NIS-2 Art. 20"
  ],
  "requirement": {
    "text": "Unter bestimmten Voraussetzungen (u. a. umfangreiche Verarbeitung besonderer Kategorien, regelmaessige umfangreiche Ueberwachung, Kerngeschaeft) ist ein Datenschutzbeauftragter (DSB) zu benennen, der seine Aufgaben unabhaengig wahrnehmen kann und der Aufsichtsbehoerde gemeldet wird.",
    "source": "DSGVO Art. 37 Abs. 1, Art. 38-39",
    "priority": "mittel"
  },
  "gap_check": {
    "question": "Wurde geprueft, ob eine DSB-Pflicht besteht, und falls ja: ist ein DSB benannt, der Aufsichtsbehoerde gemeldet und mit ausreichenden Ressourcen/Unabhaengigkeit ausgestattet?",
    "if_yes": "Anforderung erfuellt – Unabhaengigkeit und Ressourcen des DSB regelmaessig sicherstellen.",
    "if_no": "Luecke: Fehlende DSB-Benennung trotz Pflicht ist eigenstaendiger Verstoss; bei Nicht-Pflicht sollte dies dokumentiert sein.",
    "if_partial": "DSB benannt, aber nicht an Aufsichtsbehoerde gemeldet oder ohne ausreichende Ressourcen/Unabhaengigkeit (Interessenkonflikt z. B. als IT-Leiter)."
  },
  "remediation": {
    "summary": "DSB-Pflicht pruefen, Benennung formalisieren und Unabhaengigkeit sicherstellen",
    "steps": [
      "DSB-Pflicht anhand der Kriterien (Art. 37 Abs. 1, nationale Schwellenwerte z. B. 20 Personen staendig mit automatisierter Verarbeitung) pruefen und Ergebnis dokumentieren",
      "Bei Pflicht: DSB benennen (intern oder extern) und der zustaendigen Aufsichtsbehoerde melden",
      "Interessenkonflikte pruefen (DSB sollte nicht zugleich Entscheidungen ueber Verarbeitungszwecke/-mittel treffen)",
      "Ressourcen (Zeit, Budget, Zugang zu Informationen) fuer DSB-Taetigkeit sicherstellen und dokumentieren"
    ],
    "effort": "niedrig",
    "deadline": "kurzfristig",
    "tools": [
      "DSB-Pflichtpruefung-Checkliste",
      "Benennungsschreiben",
      "Meldeformular Aufsichtsbehoerde"
    ],
    "book_reference": {
      "book": "DSGVO Survival Kit",
      "chapter": "Kap. 12 – Der Datenschutzbeauftragte"
    },
    "cost_estimate": {
      "pt_min": 1,
      "pt_max": 3,
      "note": "Pruefung und Formalisierung; laufende DSB-Taetigkeit separat zu budgetieren"
    }
  },
  "risk": {
    "likelihood": 2,
    "impact": 3,
    "score": 5,
    "description": "Fehlende DSB-Benennung trotz Pflicht oder Interessenkonflikte sind formale Verstoesse, die bei Audits leicht auffallen.",
    "regulatory_fine": {
      "max_eur": 10000000,
      "max_pct": "2% weltweiter Jahresumsatz",
      "basis": "DSGVO Art. 83 Abs. 4"
    }
  },
  "control": {
    "measure": "DSB-Pflicht dokumentiert geprueft, ggf. DSB benannt, gemeldet und mit Ressourcen/Unabhaengigkeit ausgestattet",
    "priority": "mittel",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "DSB-Pflichtpruefung + Benennungsdokumentation",
    "template": "DSB-Pflichtpruefung-Checkliste",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.5.2"
    ],
    "coverage": "teilweise"
  },
  "iso27001_2022_controls": [
    "5.2"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/DSGVO-037-DSB",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}