Tätigkeitsbericht des Datenschutzbeauftragten – Pflicht oder Kür?

Nach Art. 38 Abs. 3 S. 3 DSGVO berichtet ein Datenschutzbeauftragter unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters. Erklärungen dazu, wie dieser Bericht konkret aussehen muss oder kann, sucht man in der DSGVO genauso vergebens wie Feststellung dazu, ob ein Tätigkeitsbericht verpflichtend zu erteilen ist. Legt man Äußerungen von Aufsichtsbehörden und Literatur zugrunde, erscheint eine Auslegung dahingehend möglich, dass einerseits eine Pflicht zur Berichterstattung besteht und eine anerkannte Form der Berichterstattung ein jährlicher Tätigkeitsbericht nebst Jahresgespräch ist.