Art. 38 Stellung des Datenschutzbeauftragten | GDPR regulation | GDPR

This article sets out the conditions under which a Data Protection Officer (DPO) must operate once appointed — building directly on Article 37, which establishes when a DPO must be designated.

The focus here is on protecting the DPO's independence and effectiveness: controllers and processors must involve the DPO in all relevant matters, give them the resources they need, and crucially, shield them from instructions or penalties that could compromise their role.

The article also addresses the DPO's relationship with data subjects, their obligation of secrecy, and the management of potential conflicts of interest if they hold additional duties.

Important points:

Ensure your DPO is involved in all personal data protection matters in a timely manner, is properly resourced, and reports directly to the highest management level.
The DPO must not receive instructions on how to perform their tasks and cannot be dismissed or penalised for carrying them out.
If the DPO holds other roles or duties, controllers and processors must ensure no conflict of interests arises.

1. Der Verantwortliche und der Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.
1. Der Verantwortliche und der Auftragsverarbeiter unterstützen den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 39, indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.
1. Der Verantwortliche und der Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Datenschutzbeauftragte darf von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Der Datenschutzbeauftragte berichtet unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters.
1. Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen.
1. Der Datenschutzbeauftragte ist nach dem Recht der Union oder der Mitgliedstaaten bei der Erfüllung seiner Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden.
1. Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Der Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.