Wann ist ein Datenschutzbeauftragter für Unternehmen Pflicht?

Ob ein Datenschutzbeauftragter Pflicht ist, hängt nicht pauschal von Beschäftigtenzahl, Umsatz oder Unternehmensform ab. Verantwortliche und Auftragsverarbeiter prüfen für jede rechtliche Einheit ihre tatsächlichen Verarbeitungstätigkeiten. Artikel 37 nennt drei unionsweite Pflichtwege; Unionsrecht oder anwendbares Recht eines Mitgliedstaats kann einen vierten eröffnen ¹.

Ein Ja beendet nur die Notwendigkeitsprüfung. Danach muss die Organisation eine fachkundige, unabhängige und arbeitsfähige Rolle einrichten. Ein Nein braucht ebenfalls ein Ergebnis: eine datierte Bewertung mit Tatsachen, Quellen, Entscheidungseigentümer und Änderungsauslöser.

Kurzantwort: Ob und wann ein Datenschutzbeauftragter Pflicht ist, prüfen Sie anhand von Behörde oder öffentlicher Stelle, umfangreicher regelmäßiger und systematischer Überwachung als Kerntätigkeit, umfangreicher sensibler Kerntätigkeit und zusätzlicher gesetzlicher Benennungspflichten. Ein Treffer bedeutet: Datenschutzbeauftragte/n wirksam benennen. Ohne Treffer dokumentieren Sie das begründete Nein und prüfen es bei relevanten Änderungen erneut.

Zuletzt aktualisiert: 26. August 2026

Beginnen Sie mit vier Wegen statt mit der Kopfzahl

Startpunkt ist eine einzelne rechtliche Einheit in ihrer jeweiligen Rolle. Ein Konzernname, eine Plattform oder ein gemeinsamer Dienst darf die Prüfung mehrerer Verantwortlicher und Auftragsverarbeiter nicht verdecken; beschreiben Sie zunächst Zwecke, betroffene Personen, Datenarten, Umfang, Dauer, geografische Reichweite und die Bedeutung der Verarbeitung für die Tätigkeit. Danach laufen vier getrennte Wege.

Der Ablauf ist eine Entscheidungsreihenfolge, keine Punkteliste. Ein Ja auf einem Weg beendet die Frage, ob die Rolle nötig ist; es beantwortet noch nicht, wie sie ausgestattet wird, während ein Nein nach allen vier Wegen nur so belastbar wie die festgehaltenen Tatsachen ist. Offene Größenordnungen oder ungeklärtes nationales Recht zählen nicht als Nein.

Prüfen Sie Verantwortlichen- und Auftragsverarbeiterrolle gesondert. Derselbe Anbieter kann für eigene Zwecke Verantwortlicher und für Kundentätigkeiten Auftragsverarbeiter sein. Für beide Rollen nennt Artikel 37 eine eigenständige Pflicht ¹. Die Analyse folgt deshalb der abgegrenzten Verarbeitung, nicht einem Vertragsetikett oder einer gruppenweiten Annahme.

Legen Sie außerdem fest, wer die Prüfung fachlich vorbereitet und wer das Ergebnis verantwortet. Recht, Datenschutzkoordination und betroffene Fachbereiche liefern unterschiedliche Tatsachen; die Leitung der geprüften Einheit bestätigt die Entscheidung und offene Risiken; Datum und Bezugsstand verhindern, dass eine richtige Bewertung für einen alten Prozess später ungeprüft auf einen gewachsenen Dienst übertragen wird.

Abkürzungen täuschen, denn wer ausschließlich Kopfzahl, Umsatz oder Vertragsbezeichnung betrachtet, kann bei identischem Zahlenwert zu einem falschen Ergebnis gelangen, weil Rechtsstatus, Kerntätigkeit, Datenarten, Beobachtungsform und anwendbares nationales Recht für die konkrete Einheit weiterhin ungeprüft bleiben.

Prüfen Sie die drei Fälle aus Artikel 37

Die erste Route betrifft Behörden und öffentliche Stellen. Gerichte sind nur ausgenommen, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln ¹; für eine andere Verarbeitung eines Gerichts oder für eine eigenständige öffentliche Stelle muss die Ausnahme präzise geprüft werden. Der Begriff ist unionsrechtlich nicht abschließend definiert; seine Einordnung folgt im nächsten Schritt dem einschlägigen nationalen Recht.

Die zweite Route verbindet vier Merkmale: Kerntätigkeit, regelmäßige und systematische Überwachung, betroffene Personen und große Größenordnung ¹. Fehlt eines davon, greift gerade dieser Pflichtfall nicht automatisch. Digitale Verhaltensbeobachtung, Standortverfolgung, Profilbildung oder fortlaufende Bewertung können relevant sein, doch der Produktname beweist weder Systematik noch Umfang. Halten Sie Zweck, Wiederholung, Planung, Personenzahl, Dauer und Reichweite fest.

Die dritte Route erfasst umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10, wenn sie Kerntätigkeit ist ¹. Ein einzelner Gesundheitsnachweis in einem Nebenprozess und ein auf dauerhafte Gesundheitsanalysen ausgerichteter Dienst haben ein anderes Gewicht. Datenart, Kerntätigkeit und Umfang müssen gemeinsam vorliegen.

Für die große Größenordnung nennt Artikel 37 keine feste Zahl. Auch die Leitlinien empfehlen keinen einzigen Schwellenwert ⁴; eine kleine Organisation kann wegen ihrer tatsächlichen Verarbeitung unter einen Pflichtfall fallen, während eine große Organisation nicht allein wegen ihres Umsatzes für jede einfache Nebentätigkeit eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten braucht. Die Begründung muss zeigen, welches Merkmal erfüllt oder nicht erfüllt ist.

Testen Sie die drei Fälle nicht nur gegen eine Bestandsaufnahme auf Unternehmensebene. Ein neuer Dienst, eine übernommene Gesellschaft oder eine zusätzliche Kundengruppe kann die Kerntätigkeit und Größenordnung verändern, obwohl die Organisation gleich heißt. Bewahren Sie deshalb die verwendeten Plan- oder Betriebszahlen mit Zeitraum und Quelle auf.

Die Grenze ist praktisch: Wenn eine Einheit zugleich verschiedene Angebote betreibt, kann eine umfangreiche Überwachungsfunktion für einen zentralen Dienst den Pflichtfall tragen, obwohl andere Tätigkeiten schlicht bleiben; die Entscheidung muss dann erklären, welche Kerntätigkeit und welche Verarbeitung den Ausschlag geben.

Behandeln Sie öffentliche Stellen als nationale Rechtsfrage

Die DSGVO definiert „Behörde oder öffentliche Stelle“ nicht für alle Mitgliedstaaten abschließend. Die Organisation muss deshalb zuerst feststellen, welches nationale Recht für ihre Rechtsform und Aufgabe maßgeblich ist. Körperschaftsform, Finanzierung oder öffentliche Aufgabe können Hinweise liefern, ersetzen aber keine Prüfung der geltenden Vorschrift ⁴.

Erstellen Sie einen kurzen Rechtsquellenvermerk: Bezeichnung der Vorschrift, genaue Fundstelle, geltende Fassung, Prüfdatum, erfasste Einheit und Begründung. Bei einer Gerichtsorganisation wird zusätzlich abgegrenzt, ob die konkrete Verarbeitung zur justiziellen Tätigkeit gehört ¹. Eine pauschale Aussage „öffentlich finanziert“ oder „privatrechtlich organisiert“ reicht nicht.

Verwenden Sie keinen aus einem anderen Staat übernommenen Test. Insbesondere ist eine nationale Definition kein unionsweiter Standard; ist die Einordnung unklar, bleibt der Prüfpunkt offen, bis qualifizierte Beratung oder eine belastbare zuständige Quelle die Anwendung auf diese Einheit klärt. Die Unsicherheit darf nicht durch einen erfundenen EU-Grenzwert verdeckt werden.

Prüfen Sie auch, ob sich Rechtsform und Aufgabe auseinanderentwickelt haben. Ein privatrechtlicher Rechtsträger kann öffentliche Aufgaben wahrnehmen, ohne dass daraus automatisch ein Ergebnis folgt; eine frühere Behördeneinordnung kann nach Umstrukturierung ebenfalls überholt sein. Der Vermerk sollte deshalb nicht nur die Norm zitieren, sondern ihre einzelnen Merkmale mit den aktuellen Organisationsunterlagen verbinden.

Bei mehreren Niederlassungen ist zu unterscheiden, welche Einheit und welche Tätigkeit beurteilt werden. Eine Konzernentscheidung darf nationale Einordnungen nicht einebnen. Halten Sie fest, welche Stelle die Rechtsfrage geprüft hat und wie eine spätere Änderung der Rechtsgrundlage oder Aufgabenverteilung in den Prozess zurückgemeldet wird.

Bleibt etwas offen? Dann bleibt es offen.

Bestimmen Sie Kerntätigkeit, Umfang und Beobachtung

Eine Kerntätigkeit gehört zu den wesentlichen Vorgängen, mit denen die Organisation ihre Ziele erreicht. Reine Unterstützungsfunktionen wie gewöhnliche Lohnabrechnung oder Standard-IT sind typischerweise Nebentätigkeiten; bei einem Anbieter, dessen Leistung gerade in der Analyse oder Verarbeitung personenbezogener Daten besteht, kann derselbe Vorgang dagegen zentral sein ⁴; entscheidend ist seine tatsächliche Funktion im Leistungsmodell.

Für die große Größenordnung werden mehrere Faktoren zusammen betrachtet: Zahl der betroffenen Personen oder ihr Anteil an einer relevanten Gruppe, Datenmenge und Bandbreite, Dauer oder Beständigkeit der Tätigkeit sowie geografische Reichweite ⁴; dokumentieren Sie vorhandene Werte und Bezugsgrößen. „Viele Datensätze“ ohne Zeitraum, Personenzahl oder Gebiet ist nicht prüfbar. Fehlen Planwerte, werden sie als offen markiert.

Regelmäßig bedeutet unter anderem fortlaufend, wiederkehrend oder nach einem festen Muster. Systematisch weist auf geplante, organisierte, methodische oder strategisch angelegte Beobachtung hin ⁴. Beide Eigenschaften müssen zusammen mit großer Größenordnung und Kerntätigkeit geprüft werden. Ein einmaliger Vorgang ist nicht automatisch regelmäßig; eine ständig laufende Analyse ist nicht allein deshalb groß angelegt.

Monitoring umfasst mehr als Kameras; es kann etwa die Nachverfolgung von Onlineverhalten, vernetzten Geräten, Standorten, Nutzungsmustern oder Risiken einschließen, wenn Menschen wiederholt beobachtet und Erkenntnisse weiterverwendet werden. Beschreiben Sie Identifikatoren, Verknüpfung, Beobachtungsdauer, Entscheidung oder Wirkung und Möglichkeiten der betroffenen Personen. So wird sichtbar, ob nur ein technisches Ereignis gezählt oder eine Person systematisch verfolgt wird.

Bewerten Sie die Faktoren als Gesamtbild, ohne Punktesystem. Ein regionaler Dauerdienst mit großer betroffener Bevölkerungsgruppe kann ebenso relevant sein wie ein grenzüberschreitender Datendienst. Das Ergebnis nennt die tragenden Faktoren und Gegenargumente. Dadurch lässt es sich bei Wachstum oder einer neuen Funktion gezielt neu prüfen.

Trennen Sie dabei Ist-Zustand und verbindlich geplanten Zustand. Eine noch nicht gestartete Funktion kann für die Benennung relevant sein, wenn ihre tatsächliche Ausgestaltung bereits feststeht; eine unverbindliche Produktidee liefert dagegen keine belastbaren Umfangsdaten. Notieren Sie Annahmen, Freigabestand und frühesten Start, damit die Rolle rechtzeitig und nicht erst nach Aufnahme der Verarbeitung eingerichtet wird.

Prüfen Sie den Zweig des mitgliedstaatlichen Rechts

Artikel 37 Absatz 4 erlaubt ausdrücklich, dass Unionsrecht oder das Recht eines Mitgliedstaats die Benennung in weiteren Fällen verlangt ¹. Dieser Zweig steht neben den drei Fällen aus Absatz 1. Ein Nein bei Überwachung oder sensibler Kerntätigkeit schließt daher eine nationale Pflicht nicht aus.

Bestimmen Sie zuerst, welches Recht für die konkrete Einheit, Niederlassung, Tätigkeit und Rolle gilt. Prüfen Sie anschließend den aktuellen Gesetzestext und gegebenenfalls maßgebliche amtliche Hinweise. Der Arbeitsvermerk nennt Titel und Fundstelle der Norm, Fassung, Datum der Prüfung, geprüften Tatbestand, Tatsachen der Organisation und Ergebnis. Ein Link ohne Datum oder eine undatierte Zusammenfassung ist keine dauerhafte Belegspur.

Dieser unionsweite Beitrag nennt bewusst keinen angeblich allgemeinen Beschäftigtenschwellenwert. Solche Voraussetzungen können national unterschiedlich ausgestaltet oder geändert werden. Wer eine Zahl aus einem Staat auf eine andere Einheit überträgt, vermischt Rechtsordnungen. Dokumentieren Sie stattdessen die tatsächlich geprüfte nationale Quelle und öffnen Sie die Bewertung bei Gesetzesänderungen, Umstrukturierung oder einer neuen Niederlassung erneut.

Eine belastbare Quellenprüfung verwendet den amtlichen Gesetzestext oder eine andere autoritative Fundstelle, nicht nur einen Blog oder eine undatierte Checkliste. Der Vermerk hält auch fest, weshalb die Norm räumlich, persönlich und sachlich anwendbar ist. Bei mehreren möglichen Vorschriften werden ihre Tatbestände getrennt geprüft; ein einzelner negativer Treffer beendet den Zweig nicht, solange eine andere einschlägige Regel offenbleibt.

Die Aktualitätskontrolle braucht einen realen Auslöser. Rechtsmonitoring, gesellschaftsrechtliche Änderungen und neue Standorte sollten die verantwortliche Person erreichen. So bleibt die nationale Prüfung reproduzierbar, ohne dass dieser EU-Artikel eine einzelne nationale Behörde benennt oder eine Regel für alle Mitgliedstaaten behauptet.

Eine freiwillige Benennung schafft die volle Rolle

Eine Organisation kann freiwillig eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen. Dann gelten die Anforderungen der Artikel 37 bis 39 vollständig ⁴. „Freiwillig“ bedeutet nicht, dass Unabhängigkeit, Ressourcen, unmittelbarer Berichtsweg oder gesetzliche Aufgaben nach Belieben gekürzt werden dürfen.

Prüfen Sie deshalb vor der Bezeichnung, ob die Rolle tatsächlich getragen werden kann. Benötigt werden passende Fachkunde, Zugang zu Informationen und Verarbeitungsvorgängen, rechtzeitige Beteiligung, ausreichende Zeit und Mittel, Schutz vor Weisungen oder Benachteiligung sowie Konfliktfreiheit ². Die Kontaktmöglichkeit muss veröffentlicht und der Aufsichtsbehörde mitgeteilt werden ¹.

Soll lediglich eine interne Person Datenschutzaufgaben koordinieren, ist eine klar anders benannte Rolle ehrlicher, etwa „Verantwortliche Person für Datenschutzkoordination“. Sie darf weder als formell benannter Datenschutzbeauftragter erscheinen noch dessen Unabhängigkeit suggerieren. Aufgaben, Befugnisse und Eskalationsweg werden dennoch schriftlich festgelegt.

Eine gemeinsame Person für eine Unternehmensgruppe oder eine externe Bestellung ist zulässig, wenn echte Erreichbarkeit und Kapazität bestehen ¹. Anzahl der Einheiten, Sprachen, Standorte, Risikoprofil und Zeitbedarf gehören in die Einsatzplanung. Ein Name im Organigramm ersetzt keine arbeitsfähige Funktion.

Kommunizieren Sie intern eindeutig, welche Variante gewählt wurde. Beschäftigte und betroffene Personen dürfen eine Datenschutzkoordination nicht mit der unabhängigen gesetzlichen Anlaufstelle verwechseln. Umgekehrt darf eine tatsächlich benannte Person nicht durch Zusätze wie „nur beratend“ von ihren gesetzlichen Zugangs-, Berichts- und Überwachungsmöglichkeiten abgeschnitten werden.

Der Titel zählt. Wer ihn verwendet, muss die Rolle tragen.

Machen Sie die Rolle nach einem Ja arbeitsfähig

Nach einem Ja beginnt die Umsetzung. Der Datenschutzbeauftragte wird aufgrund beruflicher Qualifikation, insbesondere Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie Fähigkeit zur Aufgabenerfüllung, ausgewählt ¹. Das erforderliche Niveau richtet sich nach Komplexität und Risiko der tatsächlichen Verarbeitung. Die Bestellung kann intern oder über einen Dienstleistungsvertrag erfolgen.

Zur Aufgabe gehört nicht, operative Entscheidungen des Verantwortlichen zu übernehmen. Der oder die Datenschutzbeauftragte informiert, berät und überwacht; die Organisation bleibt für ihre Verarbeitung verantwortlich. Bei der Aufgabenerfüllung ist das Risiko nach Art, Umfang, Umständen und Zwecken zu berücksichtigen ³. Das erlaubt eine risikobewusste Priorisierung, aber keine Auslassung gesetzlicher Kernaufgaben.

Betroffene Personen müssen die Person zu Fragen ihrer Datenverarbeitung und Rechte erreichen können ². Intern braucht sie direkten Zugang zur höchsten Managementebene und die Möglichkeit, abweichende Empfehlungen festzuhalten. Werden Empfehlungen nicht übernommen, dokumentiert die entscheidende Stelle ihre Gründe und den Risikoeigentümer, ohne der Datenschutzrolle die Verantwortung zuzuschieben.

Kapazität wird vor der Benennung realistisch geprüft. Ein externer Vertrag mit wenigen Stunden, der zahlreiche Gesellschaften, Sprachen und risikoreiche Vorgänge abdecken soll, kann die Anforderungen verfehlen. Gleiches gilt für eine interne Person, deren Hauptfunktion Zwecke und wesentliche Mittel der Verarbeitung festlegt und deshalb in einen Interessenkonflikt gerät ⁴.

Übersetzen Sie Artikel 39 in einen belastbaren Arbeitsplan. Er enthält Beratung für Verantwortliche, Auftragsverarbeiter und Beschäftigte, risikoorientierte Überwachung der Compliance, Zuständigkeitskontrollen, Sensibilisierung, Schulung und Audits; bei Datenschutz-Folgenabschätzungen berät die Person auf Anfrage und überwacht deren Durchführung, gegenüber der Aufsichtsbehörde kooperiert sie und dient als Kontaktstelle ³.

Legen Sie fest, wie neue Projekte, Vorfälle, Beschwerden und wesentliche Änderungen die Rolle frühzeitig erreichen. Ein Ticket erst kurz vor Inbetriebnahme ist keine rechtzeitige Beteiligung. Die Organisation sollte Antwortzeiten, erforderliche Unterlagen und einen Eskalationsweg vereinbaren, ohne fachliche Weisungen für die konkrete Stellungnahme zu erteilen.

Damit die Beratung Wirkung entfaltet, müssen Projektleitung, Recht, Sicherheit, Einkauf und Fachbereich wissen, bei welchen Auslösern sie die Person einbeziehen, welche Unterlagen eine belastbare Stellungnahme benötigt und wer eine abweichende Managemententscheidung samt Begründung dokumentiert.

Formell genügt nicht.

Halten Sie nach einem Nein die Prüfung fest

Ein begründetes Nein ist kein leeres Feld. Es zeigt, dass alle vier Wege auf eine abgegrenzte Einheit und aktuelle Verarbeitung angewandt wurden. Der Vermerk erhält Datum, Version, verantwortliche Entscheidungsperson, Quellen und Nachweise. Offene Tatsachen werden nicht als negative Antworten behandelt.

Die Akte beschreibt nicht nur Schlussfolgerungen. Für den Umfang stehen beispielsweise Personenzahl, Datenvolumen, Dauer und Gebiet; für Monitoring stehen Zweck, Frequenz, Methode und Verwendung; für Kerntätigkeit steht die Verbindung zum Leistungsmodell ⁴. Quellen erhalten Fassung und Prüfdatum. So kann eine zweite Person das Ergebnis wiederholen.

Auch ohne formelle Datenschutzbeauftragte oder formellen Datenschutzbeauftragten bleiben alle übrigen DSGVO-Pflichten bestehen. Weisen Sie deshalb Datenschutzaufgaben einer normalen, korrekt benannten Rolle zu: Verzeichnisführung, Betroffenenanfragen, Vorfallprozess, Vertragskontrollen und Eskalation. Diese Person darf nicht irreführend als geschützte Rolle auftreten.

Änderungsauslöser werden an reale Prozesse angeschlossen. Einkauf meldet neue Analyse- oder Trackingfunktionen, Personal meldet neue sensible Verarbeitungen, Recht meldet Gesetzesänderungen und Unternehmensentwicklung meldet neue Einheiten. Ein proportionaler periodischer Kontrollpunkt kann übersehene Änderungen auffangen, ersetzt aber nicht die ereignisbezogene Neubewertung.

Dokumentieren Sie auch, warum ein Merkmal verneint wurde. „Keine große Größenordnung“ wird beispielsweise durch Personenzahl, Datenbandbreite, Dauer und Gebiet begründet; „keine Kerntätigkeit“ durch die Rolle des Prozesses im Leistungsmodell. Diese Negativbelege machen sichtbar, welche konkrete Veränderung das Ergebnis kippen kann.

Der Entscheidungsvermerk bleibt beim verantwortlichen Management und ist für interne Prüfung auffindbar. Eine Datenschutzkoordination kann ihn pflegen, darf aber nicht zur alleinigen Eigentümerin der Entscheidung gemacht werden. Die Leitung bestätigt offene Punkte, akzeptiert Fristen und sorgt dafür, dass ein späterer Treffer ohne Verzögerung in eine ordnungsgemäße Benennung übergeht.

Die Akte verbindet Ausgangsdaten, juristische Prüfung und Managemententscheidung so, dass eine fachfremde prüfende Person Jahre später erkennen kann, welche vier Wege betrachtet wurden, welche Annahme das Ergebnis trug und welcher konkrete Auslöser eine neue Bewertung verlangt.

Ein Nein braucht Belege.

Prüfen Sie Grenzfälle anhand dokumentierter Muster

Muster sind keine sicheren Häfen. Sie zeigen, welche Tatsachen ein Ergebnis tragen und welche Lücke vor einer Entscheidung geschlossen werden muss. Wenden Sie jeden Fall auf die konkrete rechtliche Einheit an.

Im öffentlichen Fall reicht die Beschreibung der Finanzierung nicht. Im Monitoringfall reicht der Name eines Analyseprodukts nicht. Beim Gesundheitsdienst reicht die Datenkategorie ohne Kerntätigkeit und Größenordnung nicht. Und beim echten Nein reicht die geringe Beschäftigtenzahl nicht. Jeder Ausgang hängt an einer sichtbaren Kette von Tatsachen und Norm.

Wenn eine Pflicht besteht, kann ein gemeinsamer oder ausgelagerter Datenschutzbeauftragter sinnvoll sein. Prüfen Sie dennoch Erreichbarkeit von jeder Niederlassung, erforderliche Sprachen, Arbeitslast, Reise- und Reaktionswege sowie Konflikte ^{1 4}. Die Struktur darf nicht nur kostengünstig, sondern muss für die gesetzlichen Aufgaben tatsächlich geeignet sein.

Für einen vertieften Vergleich der unionsweiten Prüfung mit einem englischsprachigen Länderbeispiel können Sie die Präsentation zur DPO-Pflicht im Vereinigten Königreich^EN(Artikel auf Englisch) öffnen. Übernehmen Sie daraus jedoch keinen nationalen Schwellenwert in diese EU-Prüfung.

Muster bleiben Muster.

Häufige Fragen zur Benennung

Wann ist ein Datenschutzbeauftragter nach der DSGVO Pflicht?

Die Pflicht besteht, sobald eine Route aus Artikel 37 greift: öffentliche Stelle, umfangreiche regelmäßige und systematische Überwachung als Kerntätigkeit oder umfangreiche sensible beziehungsweise strafrechtliche Datenverarbeitung als Kerntätigkeit ¹. Zusätzlich muss das anwendbare Unions- oder mitgliedstaatliche Recht geprüft werden. Das Ergebnis gilt für die abgegrenzte rechtliche Einheit und ihre tatsächliche Verarbeitung.

Entscheidet die Zahl der Beschäftigten über die Pflicht?

Nicht für die drei unionsweiten Fälle. Artikel 37 enthält dafür keine feste Beschäftigten- oder Umsatzgrenze ¹. Eine nationale Vorschrift kann weitere Voraussetzungen festlegen; deshalb braucht der vierte Prüfweg eine aktuelle Quelle, Fassung und ein Datum. Größe ist außerdem als tatsächlicher Umfang relevant, aber nie alleinige Abkürzung.

Wann gilt eine Verarbeitung als umfangreich?

Es gibt keine einzelne EU-Zahl. Bewerten Sie Zahl und Anteil der betroffenen Personen, Datenvolumen und Bandbreite, Dauer beziehungsweise Beständigkeit und geografische Reichweite gemeinsam ⁴. Halten Sie Werte, Bezugsgrößen und Unsicherheiten fest. Das Gesamtbild muss außerdem mit Kerntätigkeit und Monitoring oder sensiblen Daten zusammenpassen.

Kann ein externer oder gemeinsamer Datenschutzbeauftragter bestellt werden?

Ja. Ein Dienstleistungsvertrag und eine gemeinsame Person für eine Unternehmensgruppe sind möglich ¹. Trotzdem müssen Zugänglichkeit, Kapazität, Fachkunde, Ressourcen, Vertraulichkeit, Unabhängigkeit und Konfliktfreiheit praktisch funktionieren ². Zahlreiche Einheiten mit zu wenig Zeit erfüllen die Rolle nicht allein durch eine formale Benennung.

Was gilt bei einer freiwilligen Benennung?

Eine freiwillig als Datenschutzbeauftragte oder Datenschutzbeauftragter benannte Person fällt vollständig unter die Artikel 37 bis 39 ⁴. Die Organisation kann Anforderungen nicht frei abwählen. Soll lediglich Datenschutzarbeit koordiniert werden, ist eine deutlich anders benannte Rolle ohne den geschützten Titel die transparente Alternative.

Kann nationales Recht die Benennungspflicht erweitern?

Ja. Artikel 37 Absatz 4 öffnet diesen Weg ausdrücklich ¹. Prüfen Sie die für Einheit und Tätigkeit anwendbare nationale Norm und halten Sie Fundstelle, Fassung, Datum, Tatbestand und Ergebnis fest. Eine Zahl oder Definition aus einem Mitgliedstaat ist kein allgemeiner EU-Standard und darf nicht ungeprüft übertragen werden.

Bewahren Sie die Antworten zusammen mit der Vier-Wege-Bewertung auf. Sie sind eine verständliche Zusammenfassung, aber kein Ersatz für Tatsachen, Rechtsquellen und Freigabe. Ändert sich ein tragender Wert oder eine anwendbare Vorschrift, wird die zugrunde liegende Entscheidung erneut geprüft und anschließend auch die Zusammenfassung aktualisiert.