Ein Datenschutzbeauftragter ist eine von einer Behörde, einem Unternehmen oder einem Auftragsverarbeiter benannte, fachkundige Person, die den Umgang mit personenbezogenen Daten überwacht und die verantwortliche Stelle datenschutzrechtlich berät.
Datenschutzbeauftragte sorgen innerhalb einer Organisation dafür, dass Datenschutzregeln eingehalten werden, beraten Beschäftigte und Leitung in Datenschutzfragen und sind zugleich Ansprechpartner für die Datenschutzaufsichtsbehörde.
Die Datenschutz-Grundverordnung verpflichtet Behörden und öffentliche Stellen grundsätzlich immer zur Benennung eines Datenschutzbeauftragten; Unternehmen müssen einen benennen, wenn ihre Kerntätigkeit eine umfangreiche systematische Überwachung von Personen oder eine umfangreiche Verarbeitung besonders sensibler Daten umfasst. Die benannte Person muss über ausreichendes datenschutzrechtliches Fachwissen verfügen und kann sowohl intern beschäftigt als auch extern beauftragt sein. Zu ihren gesetzlichen Aufgaben zählen die Unterrichtung und Beratung der Organisation, die Überwachung der Einhaltung der Datenschutzvorschriften, die Mitwirkung bei Datenschutz-Folgenabschätzungen sowie die Zusammenarbeit mit der zuständigen Aufsichtsbehörde als deren Anlaufstelle.
Ein mittelständisches Unternehmen benennt eine interne Mitarbeiterin zur Datenschutzbeauftragten. Sie berät die Fachabteilungen bei neuen Datenverarbeitungsvorhaben, überwacht die Einhaltung der Datenschutzregeln und steht als Ansprechpartnerin für die zuständige Aufsichtsbehörde zur Verfügung.
Ein Datenschutzbeauftragter wird eingesetzt, um die datenschutzrechtliche Verantwortung einer Organisation durch unabhängige fachliche Beratung und Kontrolle zu unterstützen, Risiken frühzeitig zu erkennen und die Kommunikation mit der Datenschutzaufsichtsbehörde zu bündeln.
Der Datenschutzbeauftragte trägt nicht die rechtliche Verantwortung für Datenschutzverstöße der Organisation – diese bleibt bei der Leitung der verantwortlichen Stelle. Der Datenschutzbeauftragte ist außerdem nicht dasselbe wie die staatliche Datenschutzaufsichtsbehörde: Er berät und überwacht innerhalb seiner Organisation, hat aber keine behördlichen Durchsetzungsbefugnisse wie die Aufsichtsbehörde.
Nicht zu verwechseln mit Datenschutz-Grundverordnung: Diese ist der Rechtsrahmen, der die Benennung und Aufgaben des Datenschutzbeauftragten überhaupt erst vorschreibt, nicht die benannte Person selbst. Ebenfalls abzugrenzen ist Datenschutz-Folgenabschätzung: Diese ist ein konkretes Prüfverfahren, bei dem der Datenschutzbeauftragte beratend mitwirkt, aber nicht dessen allgemeine Rolle.