Art. 39 Aufgaben des Datenschutzbeauftragten | GDPR regulation | GDPR

This article sets out the minimum tasks assigned to the data protection officer (DPO), a role established under Article 37.

It covers the full range of the DPO's responsibilities, from internal advisory and compliance monitoring functions to external engagement with supervisory authorities.

The article also establishes a risk-based approach to how the DPO must carry out these duties, requiring them to factor in the nature, scope, context, and purposes of processing operations.

Important points:

The DPO is required to inform and advise the controller, processor, and relevant employees of their obligations under the GDPR and other applicable data protection provisions.
The DPO must monitor compliance, including through awareness-raising, staff training, and audits, and act as the contact point for the supervisory authority.
The DPO must perform all tasks with due regard to the risk associated with processing operations.

1. Dem Datenschutzbeauftragten obliegen zumindest folgende Aufgaben:
  1. Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Verordnung sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten;
  2. Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;
  3. Beratung — auf Anfrage — im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 35;
  4. Zusammenarbeit mit der Aufsichtsbehörde;
  5. Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Artikel 36, und gegebenenfalls Beratung zu allen sonstigen Fragen.
1. Der Datenschutzbeauftragte trägt bei der Erfüllung seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung, wobei er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigt.