Artikel 38 DSGVO: Stellung des Datenschutzbeauftragten
(1) Der Verantwortliche und der Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.
(2) Der Verantwortliche und der Auftragsverarbeiter unterstützen den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 39, indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.
(3) Der Verantwortliche und der Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Datenschutzbeauftragte darf von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Der Datenschutzbeauftragte berichtet unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters.
(4) Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen.
(5) Der Datenschutzbeauftragte ist nach dem Recht der Union oder der Mitgliedstaaten bei der Erfüllung seiner Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden.
(6) Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Der Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.
Weisungsfreiheit ist keine Formalie
Der Datenschutzbeauftragte ist ordnungsgemäß und frühzeitig einzubinden, darf für die Erfüllung seiner Aufgaben keine Weisungen erhalten und genießt Abberufungsschutz. Diese Anforderungen scheitern in der Praxis meist nicht am Willen, sondern an der Organisation: Wer intern benannt wird und zugleich die IT verantwortet, prüft am Ende die eigene Arbeit. Absatz 6 verbietet genau diesen Interessenkonflikt. Die externe Benennung löst ihn strukturell – der Beauftragte hat keine zweite Rolle im Unternehmen, die er schützen müsste.
Erwägungsgrund 97 hält fest, dass der Datenschutzbeauftragte seine Aufgaben unabhängig wahrnehmen muss – gleich, ob er Beschäftigter ist oder die Aufgabe auf Grundlage eines Dienstleistungsvertrags erfüllt.