Datenschutzbeauftragter (DSB) – Pflicht, Aufgaben und Stellung im Unternehmen

Was ist ein Datenschutzbeauftragter?

Ein Datenschutzbeauftragter (DSB) ist eine fachkundige Person, die ein Unternehmen beim Datenschutz berät und die Einhaltung der Datenschutzgesetze überwacht. Er ist Ansprechpartner für Geschäftsleitung, Beschäftigte, Kunden und die Aufsichtsbehörde. Geregelt ist seine Rolle in Art. 37–39 der DSGVO und in § 38 BDSG.

Wichtig: Der Datenschutzbeauftragte ist nicht für den Datenschutz verantwortlich. Die Verantwortung bleibt bei der Geschäftsleitung. Der DSB berät, kontrolliert und weist auf Mängel hin.

Wann ist ein Datenschutzbeauftragter Pflicht?

In Deutschland müssen Unternehmen einen Datenschutzbeauftragten benennen, wenn eine dieser Bedingungen erfüllt ist:

1. 20 Personen: In der Regel sind mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG).
2. DSFA-pflichtige Verarbeitung: Das Unternehmen nimmt Verarbeitungen vor, die eine Datenschutz-Folgenabschätzung erfordern, unabhängig von der Mitarbeiterzahl.
3. Geschäftsmäßige Übermittlung: Daten werden geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet, etwa durch Adresshandel oder Auskunfteien.
4. Kerntätigkeit: Die Kerntätigkeit besteht in der umfangreichen, regelmäßigen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Kategorien wie Gesundheitsdaten (Art. 37 Abs. 1 DSGVO).

Wer zählt zu den 20 Personen?

Gezählt werden Köpfe, nicht Vollzeitstellen. Dazu gehören alle, die regelmäßig mit personenbezogenen Daten am Computer arbeiten: Teilzeitkräfte, Auszubildende, Praktikanten und freie Mitarbeitende. Wer E-Mails bearbeitet, Kundendaten im System pflegt oder Aufträge erfasst, zählt in der Regel mit.

Auch ohne Pflicht gilt die DSGVO vollständig. Viele kleinere Unternehmen benennen deshalb freiwillig einen Datenschutzbeauftragten.

Welche Aufgaben hat ein Datenschutzbeauftragter?

Art. 39 DSGVO legt die Mindestaufgaben fest:

1. Unterrichten und beraten: Er informiert Geschäftsleitung und Beschäftigte über ihre Pflichten aus der DSGVO und anderen Datenschutzgesetzen.
2. Überwachen: Er kontrolliert, ob die Vorgaben eingehalten werden, einschließlich der Zuständigkeiten, der Schulung der Mitarbeitenden und interner Überprüfungen.
3. Bei der DSFA beraten: Er unterstützt bei Datenschutz-Folgenabschätzungen und überwacht ihre Durchführung.
4. Mit der Aufsichtsbehörde zusammenarbeiten: Er ist Anlaufstelle für die Behörde, etwa bei Anfragen oder Prüfungen.

In der Praxis kommen weitere Tätigkeiten hinzu: Er prüft AV-Verträge, unterstützt beim Verzeichnis von Verarbeitungstätigkeiten, bewertet Datenpannen und beantwortet Fragen von Betroffenen.

Welche Stellung hat ein Datenschutzbeauftragter?

Damit der DSB seine Aufgaben erfüllen kann, schützt ihn Art. 38 DSGVO besonders:

• Frühe Einbindung: Er muss ordnungsgemäß und rechtzeitig in alle Datenschutzfragen eingebunden werden, etwa bei neuer Software.
• Weisungsfreiheit: Bei der Erfüllung seiner Aufgaben ist er an keine Weisungen gebunden.
• Schutz vor Benachteiligung: Er darf wegen seiner Aufgaben weder abberufen noch benachteiligt werden.
• Direkter Draht zur Geschäftsleitung: Er berichtet unmittelbar der höchsten Managementebene.
• Ressourcen: Das Unternehmen muss ihm Zeit, Mittel und Zugang zu den nötigen Informationen geben.
• Verschwiegenheit: Er ist zur Geheimhaltung verpflichtet.

Welche Fachkunde braucht ein Datenschutzbeauftragter?

Die DSGVO verlangt berufliche Qualifikation und Fachwissen im Datenschutzrecht und in der Datenschutzpraxis (Art. 37 Abs. 5). Eine bestimmte Ausbildung schreibt sie nicht vor. Üblich sind Lehrgänge mit Zertifikat, etwa von TÜV, IHK oder spezialisierten Schulungsanbietern. Neben dem Recht braucht ein DSB Verständnis für IT und Organisation, weil viele Datenschutzpflichten technisch umgesetzt werden.

Interner oder externer Datenschutzbeauftragter?

Unternehmen können einen eigenen Mitarbeitenden benennen oder einen externen Dienstleister beauftragen (Art. 37 Abs. 6 DSGVO). Beide Wege sind gleichwertig zulässig.

• Fachkunde: Interner DSB: muss aufgebaut und laufend aufgefrischt werden · Externer DSB: bringt Erfahrung aus vielen Unternehmen mit
• Kosten: Interner DSB: Arbeitszeit, Fortbildung, Schulungen · Externer DSB: feste Monatspauschale
• Kenntnis des Betriebs: Interner DSB: kennt Abläufe und Menschen · Externer DSB: muss sich einarbeiten
• Kündigungsschutz: Interner DSB: besonderer Kündigungsschutz · Externer DSB: keiner, Vertrag mit Laufzeit
• Interessenkonflikte: Interner DSB: häufiger, je nach Position · Externer DSB: strukturell geringer

Wer darf nicht Datenschutzbeauftragter werden?

Der DSB darf keine Aufgaben haben, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Er kann sich nicht selbst kontrollieren. Ungeeignet sind deshalb in der Regel die Geschäftsführung, die IT-Leitung, die Personalleitung oder die Leitung von Marketing und Vertrieb. Der Europäische Gerichtshof hat bestätigt, dass ein Interessenkonflikt im Einzelfall zu prüfen ist (EuGH, Urteil vom 9. Februar 2023, C-453/21).

Kündigungsschutz für interne Datenschutzbeauftragte

Ist ein DSB gesetzlich vorgeschrieben, darf einem internen DSB nur aus wichtigem Grund gekündigt werden. Dieser Schutz gilt bis ein Jahr nach Ende der Tätigkeit (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG). Viele Unternehmen entscheiden sich auch deshalb für einen externen Datenschutzbeauftragten.

Benennung und Meldung

Die Benennung sollte schriftlich dokumentiert werden. Seine Kontaktdaten müssen veröffentlicht werden, etwa in der Datenschutzerklärung, und der Aufsichtsbehörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO). In Nordrhein-Westfalen geht die Meldung an die LDI NRW. Der Name muss nicht veröffentlicht werden, eine Funktionsadresse wie datenschutz@ihrefirma.de reicht.

Aus der Praxis

Wenn wir ein Mandat übernehmen, erhält der Mandant zuerst einen von uns bereits unterschriebenen AV-Vertrag zur Prüfung. Auf Wunsch stellen wir zusätzlich eine Bestellurkunde aus, auch wenn sie nicht vorgeschrieben ist. Danach verschaffen wir uns ein Lagebild und erstellen in der Regel TOM, AV-Verträge und die weitere Dokumentation. Die Kontaktdaten des neuen Datenschutzbeauftragten trägt der Mandant meist selbst auf seiner Website ein, die Meldung an die Aufsichtsbehörde folgt in den ersten Wochen.

Bei Mandaten, die wir von anderen Datenschutzbeauftragten übernehmen, finden wir die häufigsten Mängel auf der Website: veraltete Datenschutzerklärungen oder Plugins, die nicht mehr datenschutzkonform sind. Deshalb überwachen wir die Websites aller Mandanten automatisiert rund um die Uhr.

Häufige Fragen zum Datenschutzbeauftragten

Was kostet ein Datenschutzbeauftragter?

Ein interner DSB kostet Arbeitszeit und regelmäßige Fortbildung. Externe Datenschutzbeauftragte arbeiten meist mit Monatspauschalen, die sich nach Größe und Branche richten. Bei HMC beginnt das Mandat ab 179 € netto im Monat, mehr dazu auf unserer Seite Externer Datenschutzbeauftragter.

Haftet der Datenschutzbeauftragte bei Verstößen?

Für Datenschutzverstöße haftet grundsätzlich das Unternehmen. Der DSB kann haften, wenn er seine eigenen Pflichten verletzt, etwa durch falsche Beratung. Externe Datenschutzbeauftragte sichern sich dafür über eine Berufshaftpflicht ab. Bei HMC besteht eine eigene Berufshaftpflicht für die Tätigkeit als Datenschutzbeauftragte, die Versicherungssumme ist im Vertrag mit jedem Mandanten festgelegt.

Was passiert, wenn kein Datenschutzbeauftragter benannt ist?

Fehlt ein vorgeschriebener DSB, kann die Aufsichtsbehörde ein Bußgeld von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes verhängen (Art. 83 Abs. 4 DSGVO).

Kann der Geschäftsführer selbst Datenschutzbeauftragter sein?

Nein. Die Geschäftsführung entscheidet über die Datenverarbeitung und könnte sich nicht selbst kontrollieren. Das wäre ein Interessenkonflikt.

Wie viel Zeit braucht ein Datenschutzbeauftragter?

Das hängt von Größe, Branche und Datenarten ab. Ein Handwerksbetrieb braucht deutlich weniger Betreuung als ein Pflegedienst mit Gesundheitsdaten. Am Anfang ist der Aufwand höher, weil Dokumentation aufgebaut werden muss.

Fazit

Ein Datenschutzbeauftragter ist in Deutschland meist ab 20 Personen Pflicht, bei riskanten Verarbeitungen auch früher. Er berät, kontrolliert und ist Ansprechpartner nach innen und außen, die Verantwortung bleibt aber beim Unternehmen. Ob intern oder extern, entscheidend sind Fachkunde, Unabhängigkeit und genug Zeit für die Aufgabe.

Verwandte Begriffe im Glossar

• Auftragsverarbeitungsvertrag (AV-Vertrag)
• Verzeichnis von Verarbeitungstätigkeiten (VVT)
• Datenschutz-Folgenabschätzung (DSFA)
• Auskunftsrecht nach Art. 15 DSGVO
• Löschkonzept
• Pseudonymisierung und Anonymisierung
• Drittlandübermittlung und EU-US Data Privacy Framework

Quellen und Rechtsgrundlagen

• Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 37–39, EUR-Lex
• Bundesdatenschutzgesetz, § 38 und § 6, gesetze-im-internet.de
• EuGH, Urteil vom 9. Februar 2023, C-453/21
• Landesbeauftragte für Datenschutz und Informationsfreiheit NRW