Datenschutzbeauftragter gemäß DSGVO – wann ist ein DSB erforderlich und wie wird er benannt? Leitfaden 2026

Kurze Antwort: Die Unternehmensgröße allein ist nicht ausschlaggebend. Prüfen Sie die tatsächlichen Verarbeitungen und deren Umfang. Wenn Sie freiwillig einen Datenschutzbeauftragten ernennen, gelten dennoch die Artikel 37–39, einschließlich der Anforderungen an Unabhängigkeit und Meldung an die IMY.

Wann ist ein Datenschutzbeauftragter obligatorisch?

Artikel 37.1 der Datenschutzverordnung (EU) 2016/679 nennt drei Hauptsituationen. Für private Unternehmen ist es besonders wichtig, die normale Personalverwaltung von einer umfangreichen Verarbeitung zu unterscheiden, die die eigentliche Kernaktivität darstellt.

Es gibt keine allgemeine Regel, dass jedes Aktiengesellschaft, jeder Arbeitgeber oder jede Organisation mit einem Kundenverzeichnis einen Beauftragten ernennen muss. Siehe die Leitlinien der IMY dazu, wann ein Beauftragter erforderlich ist.

Was macht ein Datenschutzbeauftragter gemäß Artikel 39?

Der Datenschutzbeauftragte muss über die Regeln informieren und beraten, die Einhaltung überwachen, bei Folgenabschätzungen beraten und mit der IMY zusammenarbeiten. Der Beauftragte muss risikobasiert arbeiten. Der Beauftragte übernimmt nicht die Verantwortung der Organisation für die DSGVO. Der Verantwortliche für die Verarbeitung personenbezogener Daten und gegebenenfalls der Auftragsverarbeiter muss seine Pflichten erfüllen.

• Bei der Einführung neuer Systeme, die personenbezogene Daten verarbeiten, beraten.
• Schulungen, die Aufgabenverteilung und interne Datenschutzkontrollen überwachen.
• Bei einer DSFA beraten, ohne selbst über die Entscheidungen der Organisation zu entscheiden.
• Als Ansprechpartner für betroffene Personen und die IMY fungieren.
• Risiken und Beobachtungen an die Geschäftsführung melden.

Vertiefung: Folgenabschätzung gemäß DSGVO und Verzeichnis gemäß Artikel 30.

Unabhängigkeit, Ressourcen und Interessenkonflikte

Artikel 38 verlangt, dass der Datenschutzbeauftragte frühzeitig einbezogen wird, die erforderlichen Ressourcen erhält und keine Anweisungen darüber erhält, wie die gesetzlichen Aufgaben auszuführen sind. Der Beauftragte muss direkt an die höchste Verwaltungsebene berichten. Andere Aufgaben sind nur zulässig, wenn sie keine Interessenkonflikte verursachen.

Beispiel: Ein Manager, der selbst über die Zwecke und Mittel einer umfangreichen Verarbeitung personenbezogener Daten entscheidet, ist möglicherweise als DSB für dieselbe Organisation ungeeignet. Es ist eine Beurteilung der tatsächlichen Rolle erforderlich, nicht nur des Titels. Siehe die Kommentare der IMY zu den Artikeln 37–39.

So dokumentieren Sie die Ernennung – sechs Schritte

1. Bedarfsprüfung: dokumentieren Sie, ob Artikel 37.1 zutrifft und welche Verarbeitungen zu diesem Schluss geführt haben.
2. Kompetenz: prüfen Sie die Kenntnisse über Datenschutz, die Systeme der Organisation und die Risiken.
3. Unabhängigkeit: erfassen Sie andere Rollen und mögliche Interessenkonflikte.
4. Entscheidung: dokumentieren Sie Aufgaben, organisatorische Einordnung, Berichtsweg und Ressourcen.
5. Kontaktdaten: veröffentlichen Sie den Kontaktweg und melden Sie ihn gemäß Artikel 37.7 an die IMY.
6. Nachverfolgung: dokumentieren Sie Schulungen, Kontrollen und Änderungen der Aufgaben.

Praktische Beispiele und häufige Fehler

Kleinunternehmen mit Lohn- und Kundenverwaltung

Die alleinige übliche Personal- und Kundenverwaltung führt nicht automatisch zur Pflicht eines DSB. Das Unternehmen muss dennoch andere anwendbare DSGVO-Regeln erfüllen. Dokumentieren Sie die Bedarfsprüfung und überprüfen Sie sie erneut, wenn sich die Tätigkeit ändert.

Tätigkeit mit umfangreicher Überwachung

Wenn die Kernaktivität eine regelmäßige und systematische Überwachung von Personen in großem Umfang beinhaltet, kann Artikel 37.1 b zutreffen. Beurteilen Sie unter anderem die Art, den Umfang und die Zwecke der Verarbeitung.

Häufige Fehler: eine Person zu ernennen, ohne Interessenkonflikte zu prüfen, dem Beauftragten keine Zeit und Ressourcen zu geben, die Meldung an die IMY zu vergessen oder zu glauben, dass der Beauftragte allein dafür verantwortlich ist, dass die Organisation die DSGVO einhält.

Häufige Fragen

Müssen kleine Unternehmen einen Datenschutzbeauftragten ernennen?

Nicht allein aufgrund ihrer Größe. Beurteilen Sie die spezifischen Kriterien in Artikel 37.

Kann der Datenschutzbeauftragte ein externer Berater sein?

Ja. Artikel 37.6 erlaubt sowohl Angestellte als auch externe Auftragnehmer, vorausgesetzt, die Anforderungen werden erfüllt.

Kann ein Konzern einen gemeinsamen Datenschutzbeauftragten haben?

Ja, wenn der Beauftragte von jedem Betriebsstandort aus leicht erreichbar ist. Die Ressourcen und mögliche Interessenkonflikte müssen ebenfalls beurteilt werden.

Ist der DSB für alle Datenschutzverletzungen verantwortlich?

Der Beauftragte berät und kann in die Bearbeitung von Vorfällen einbezogen werden, aber die eigenen Pflichten der Organisation bleiben bestehen. Lesen Sie den Leitfaden zu Datenschutzverletzungen.

Dokumentvorlagen und verwandte Leitlinien

Lesen Sie auch den Unterschied zwischen Verantwortlichem für die Verarbeitung personenbezogener Daten und Auftragsverarbeiter.

Rechtsquellen und Abgrenzung

• DSGVO (EU) 2016/679, Artikel 37–39, schwedischer Volltext.
• IMY – Müssen wir einen Datenschutzbeauftragten ernennen?.
• IMY – Über den Datenschutzbeauftragten in der Datenschutzverordnung.
• IMY – Datenschutzbeauftragten melden.

Quellencheck durchgeführt am 2. November 2026 anhand der angegebenen offiziellen Quellen. Keine spezielle Rechtsprüfung des Artikels dokumentiert. Allgemeine Informationen über die DSGVO und die schwedische Aufsichtspraxis, keine individuelle Rechtsberatung.