Compliance & Governance
Datenschutzbeauftragter als ausgelagerte Funktion nach Art. 37–39 DSGVO: eine unabhängige und dauerhafte Kontrollfunktion, die die Geschäftsführung unterrichtet, die Einhaltung überwacht und den Dialog mit der italienischen Datenschutzbehörde (Garante) und den betroffenen Personen führt, ohne die interne Organisation zu belasten.
Was wir tun
Wir prüfen, ob die Benennung verpflichtend (Art. 37) oder freiwillig sinnvoll ist, erstellen die Benennungsurkunde mit Aufgaben und Garantien der Unabhängigkeit und übernehmen für den Verantwortlichen die Mitteilung der Kontaktdaten an den Garante (Art. 37 Abs. 7).
Wir erstellen schriftliche Stellungnahmen zu neuen Verarbeitungen, Projekten und Dienstleisterverträgen sowie zu Anfragen der Fachbereiche und benennen dabei Risiken, Rechtsgrundlagen und angemessene Maßnahmen (Art. 39 Abs. 1 Buchst. a).
Wir planen regelmäßige Prüfungen von Verarbeitungsverzeichnis, Datenschutzhinweisen, Benennungen von Auftragsverarbeitern und autorisierten Personen, Sicherheitsmaßnahmen und Speicherfristen, dokumentieren die Ergebnisse und verfolgen die Umsetzung der Korrekturmaßnahmen gemeinsam mit den Bereichsverantwortlichen.
Bei einer DSFA (Art. 35) bringen wir eine begründete Stellungnahme zu Erforderlichkeit, Methodik und Maßnahmen zur Risikominderung ein und überwachen die Durchführung der Folgenabschätzung, wie in Art. 39 Abs. 1 Buchst. c vorgesehen.
Wir sind Anlaufstelle für die betroffenen Personen und begleiten den Verantwortlichen bei der Bewertung von Datenschutzverletzungen, bei der Meldung an den Garante, wenn die Voraussetzungen dafür vorliegen (Art. 33, möglichst binnen 72 Stunden), sowie bei der Beantwortung von Anfragen zur Ausübung der Betroffenenrechte.
Wir arbeiten mit der Aufsichtsbehörde bei Auskunftsersuchen, Beschwerden und Kontrollen zusammen und legen der Geschäftsführung einen Jahresbericht über die geleisteten Tätigkeiten, die festgestellten Risiken und die Prioritäten für das Folgejahr vor.
Die Verordnung (EU) 2016/679 (DSGVO) widmet dem Datenschutzbeauftragten (englisch Data Protection Officer, DPO) drei Artikel. Art. 37 legt fest, wann die Benennung verpflichtend ist. Es sind drei Fälle: Behörden und öffentliche Stellen; die umfangreiche regelmäßige und systematische Überwachung betroffener Personen als Kerntätigkeit; die umfangreiche Verarbeitung, ebenfalls als Kerntätigkeit, besonderer Kategorien personenbezogener Daten (Art. 9) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10). Art. 38 bestimmt seine Stellung: frühzeitige Einbindung in alle Fragen des Schutzes personenbezogener Daten, angemessene Ressourcen, keine Anweisungen bezüglich der Ausübung seiner Aufgaben, Verbot der Abberufung oder Benachteiligung wegen der Erfüllung dieser Aufgaben, unmittelbare Berichtslinie an die höchste Leitungsebene, Verschwiegenheitspflicht und Freiheit von Interessenkonflikten. Art. 39 zählt die Aufgaben auf: unterrichten und beraten, die Einhaltung der Verordnung überwachen, zur Datenschutz-Folgenabschätzung Stellung nehmen, mit der Aufsichtsbehörde zusammenarbeiten und als Anlaufstelle dienen.
Die Kontaktdaten des DPO sind zu veröffentlichen und dem Garante über das dafür vorgesehene Online-Verfahren mitzuteilen; sie erscheinen in den Datenschutzhinweisen, im Verzeichnis der Verarbeitungstätigkeiten und in den Meldungen von Datenschutzverletzungen. Die Leitlinien WP243 der Artikel-29-Datenschutzgruppe, die der EDPB übernommen hat, und die FAQ des Garante konkretisieren die Begriffe „umfangreich“, „Kerntätigkeit“ und „regelmäßige und systematische Überwachung“. Art. 37 Abs. 6 sieht ausdrücklich vor, dass der DPO ein externer Dienstleister sein kann, der seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllt; die Leitlinien empfehlen, eine feste Ansprechperson für den Kunden zu benennen, wenn die Rolle von einer Gesellschaft wahrgenommen wird.
Für das Unternehmen steht dabei Konkretes auf dem Spiel. Eine unterbliebene Benennung, obwohl sie verpflichtend ist, oder eine rein formale Benennung mit einem DPO ohne Ressourcen oder in einem Interessenkonflikt zählt zu den Verstößen, die mit bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes geahndet werden können (Art. 83 Abs. 4). Benennung und Stellung der Datenschutzbeauftragten waren zudem Gegenstand einer koordinierten Prüfaktion der europäischen Datenschutzbehörden.
Die Benennung des DPO ist keine Formalität zum Abheften: Sie schafft eine Funktion, die dann präsent sein muss, wenn im Unternehmen Entscheidungen über Daten fallen. Deshalb legen wir das Mandat als dauerhafte Begleitung der Geschäftsführung und der operativen Funktionen an, mit einem Tätigkeitsplan, der zu Beginn festgelegt und jedes Jahr überprüft wird.
Jede Tätigkeit wird in einer Tätigkeitsdokumentation des DPO festgehalten: erteilte Stellungnahmen, eingegangene Anfragen, durchgeführte Prüfungen, Ergebnisse und Korrekturmaßnahmen. Sie ist das Instrument, mit dem der Verantwortliche bei einer Kontrolle oder Beschwerde nachweisen kann, dass die Funktion eingebunden war und die Entscheidungen abgewogen wurden – auch dann, wenn die Geschäftsführung anders entschieden hat als empfohlen.
Unsere Leistung verbindet juristische und technische Kompetenz. Wir prüfen Verträge mit Dienstleistern und Klauseln zu Drittlandsübermittlungen, bewerten aber ebenso Protokolle, Konfigurationen und Sicherheitsmaßnahmen und sprechen direkt mit der IT. Verfügt das Unternehmen über ein Organisationsmodell nach dem italienischen Gesetzesdekret 231/2001, unterliegt es der NIS2 (italienisches Gesetzesdekret 138/2024) oder betreibt es ein Managementsystem nach ISO/IEC 27001:2022, stimmen wir die Arbeit des DPO mit diesen Gremien und Anforderungen ab: Informationsflüsse zu Computerdelikten an das Überwachungsgremium (Organismo di Vigilanza, OdV), ein einziges Verfahren für Vorfälle und Datenschutzverletzungen, ein einziges Verzeichnis der Dienstleister.
Unsere Methode
Wir prüfen die Benennungspflicht, den Umfang der Verarbeitungen und, in einer ersten Bestandsaufnahme, die vorhandene Dokumentation; mit dem Management legen wir das Betreuungsmodell fest, das zur Größe des Unternehmens passt.
Wir erstellen Benennungsurkunde und Dienstleistungsvertrag, bereiten die Mitteilung an den Garante zur Unterschrift des Verantwortlichen vor, nehmen die Kontaktdaten des DPO in Datenschutzhinweise und Verarbeitungsverzeichnis auf und stellen die Funktion den Bereichsverantwortlichen vor.
Wir sichten Verarbeitungsverzeichnis, vorhandene DSFA, Verfahren und Verträge mit Dienstleistern, ermitteln die kritischen Punkte und vereinbaren einen Jahresplan mit Prioritäten, Verantwortlichkeiten und Fristen.
Wir treffen die Ansprechpartner der Bereiche im vereinbarten Rhythmus, geben auf Anfrage Stellungnahmen ab, führen Stichprobenprüfungen durch, begleiten das Unternehmen bei Datenschutzverletzungen und Betroffenenanfragen und schulen die Mitarbeitenden.
Wir legen der Geschäftsführung den Jahresbericht mit den geleisteten Tätigkeiten, den Restrisiken und unseren Empfehlungen vor und überprüfen den Plan vor dem Hintergrund neuer Rechtsvorschriften und organisatorischer Veränderungen.
Nutzen
Arbeitsergebnisse
Häufige Fragen
Ja, in den drei Fällen des Art. 37 DSGVO: öffentliche Stellen; umfangreiche regelmäßige und systematische Überwachung als Kerntätigkeit; umfangreiche Verarbeitung, ebenfalls als Kerntätigkeit, besonderer Kategorien von Daten oder von Daten über Straftaten. Graubereiche betreffen Unternehmen, die Kunden profilieren, Fahrzeugflotten orten oder Gesundheitsdaten verarbeiten: Hier zählen die Kriterien „umfangreich“ und „Kerntätigkeit“ aus den Leitlinien WP243. In den übrigen Fällen ist die Benennung freiwillig, doch für den freiwillig benannten DPO gelten die Art. 37–39 DSGVO vollständig. Wir halten die Bewertung schriftlich fest, auch wenn das Unternehmen auf eine Benennung verzichtet.
Der DPO darf in keinem Interessenkonflikt stehen: Wer über Zwecke und Mittel der Verarbeitung entscheidet, kann die Rolle nicht ausüben. Eine intern benannte Person muss zudem geschult, mit Zeit und Ressourcen ausgestattet und vor Abberufung und Benachteiligung geschützt werden (Art. 38). Der externe DPO ist mit dem Verantwortlichen durch einen Dienstleistungsvertrag verbunden, nicht durch ein Weisungsverhältnis, und arbeitet mit einer internen Ansprechperson zusammen: Das Unternehmen behält die Kontrolle über seine Daten und gewinnt eine Funktion, die von internen Dynamiken unabhängig bleibt.
Die ordentlichen Tätigkeiten des DPO: geplante Treffen mit den Ansprechpartnern der Bereiche, Stellungnahmen, Stichprobenprüfungen, Führung der Tätigkeitsdokumentation, Begleitung bei Datenschutzverletzungen und Betroffenenanfragen, Kontakt zum Garante und Jahresbericht. Anzahl der Einsatztage und Turnus werden im Angebot festgelegt. Anpassungsprojekte, etwa die vollständige Neuerstellung von Verarbeitungsverzeichnis und Verfahren, werden gesondert kalkuliert, mit Vorkehrungen, die die Konzeption der Maßnahmen und die Überwachung ihrer Umsetzung personell trennen.
Nein. Die Verantwortung für die Einhaltung der Vorschriften bleibt beim Verantwortlichen (Art. 5 Abs. 2 und Art. 24 DSGVO) und, soweit sein Bereich betroffen ist, beim Auftragsverarbeiter (Art. 28). Der DPO unterrichtet, berät und überwacht; die Geschäftsführung entscheidet. Deshalb dokumentieren wir Stellungnahmen und Empfehlungen: Entscheidet das Unternehmen, ihnen nicht zu folgen, bleiben diese Entscheidung und ihre Begründung nachvollziehbar und belegbar.
Nein. Art. 37 Abs. 2 erlaubt einer Unternehmensgruppe, einen gemeinsamen DPO zu benennen, sofern er von jeder Niederlassung aus leicht erreichbar ist. Wir erstellen die Benennungsurkunde für jeden Verantwortlichen der Gruppe, übernehmen die entsprechenden Mitteilungen an den Garante und richten die Betreuung unter Berücksichtigung der Besonderheiten jeder Gesellschaft ein.
Verwandte Leistungen
Umsetzung der Verordnung (EU) 2016/679 und des italienischen Datenschutzkodex: Assessment, Verarbeitungsverzeichnis, DSFA, Richtlinien und Schulungen.
Mehr erfahrenOrganisations-, Management- und Kontrollmodelle nach dem italienischen Gesetzesdekret 231/2001, Risikobewertung der Anlassdelikte und Unterstützung des Überwachungsgremiums (OdV).
Mehr erfahrenTechnische Sicherheitsprüfungen von Netzwerken, Anwendungen und Infrastrukturen: Wir finden die Schwachstellen, bevor ein Angreifer es tut.
Mehr erfahrenSprechen wir darüber
Erzählen Sie uns von den Prioritäten Ihres Unternehmens: In einem ersten, unverbindlichen Gespräch analysieren wir die Ausgangslage und schlagen Ihnen einen konkreten Weg mit Zeitplan und messbaren Ergebnissen vor.