Top-Themen im Datenschutz:
Ein Datenschutzbeauftragter überwacht die DSGVO-Konformität im Unternehmen, berät zu Datenschutzfragen und arbeitet mit Aufsichtsbehörden zusammen. Die Aufgaben umfassen Beratung, Überwachung, Schulung und die Unterstützung bei DSFAs.
Ein Datenschutzbeauftragter (DSB) ist eine unabhängige Person oder Stelle, die die Einhaltung der DSGVO im Unternehmen überwacht. Die gesetzliche Grundlage bilden Art. 37 bis 39 DSGVO, die Benennungspflicht, Stellung und Aufgaben des DSB verbindlich regeln.
Unternehmen können zwischen einem internen oder externen Datenschutzbeauftragten wählen: Ein interner DSB ist ein Mitarbeiter, der diese Funktion zusätzlich oder hauptberuflich übernimmt. Ein externer DSB ist ein spezialisierter Dienstleister, der mehrere Unternehmen betreut. Beide Varianten sind nach DSGVO zulässig – die Wahl hängt von Unternehmensgröße, Budget und Komplexität der Datenverarbeitung ab.
Zentral für beide Varianten: Der DSB muss nach Art. 38 Abs. 3 DSGVO unabhängig agieren und darf keine Weisungen zu seinen Datenschutzaufgaben erhalten. Zudem genießt er Kündigungsschutz – eine Abberufung ist nur aus wichtigem Grund zulässig, nicht wegen der Erfüllung seiner Aufgaben.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG tritt in folgenden Fällen ein:
Auch ohne diese Voraussetzungen kann eine Benennungspflicht bestehen, wenn das Unternehmen Datenschutz-Folgenabschätzungen durchführen muss oder geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung oder Marktforschung verarbeitet. Unternehmen außerhalb der EU mit Bezug auf EU-Bürger unterliegen ebenfalls der Benennungspflicht.
Die Aufsichtsbehörden prüfen die Einhaltung dieser Pflichten und können bei Verstößen Bußgelder verhängen.
Art. 39 DSGVO definiert die Kernaufgaben des DSB abschließend. Sie lassen sich in drei Bereiche gliedern:
Der DSB berät das Unternehmen zu allen datenschutzrechtlichen Fragen – nicht theoretisch, sondern praxisnah. Typische Beratungsthemen sind die Einführung neuer IT-Systeme, die Gestaltung von Datenschutzerklärungen, die Bewertung von Drittlandtransfers und die datenschutzkonforme Umsetzung von Marketingmaßnahmen.
Wichtig: Der DSB berät, entscheidet aber nicht. Die Verantwortung für die Umsetzung liegt beim Unternehmen selbst. Der DSB entwickelt Lösungsansätze – die abschließende Entscheidung trifft die Geschäftsführung.
Der DSB überwacht die Einhaltung der DSGVO, anderer Datenschutzvorschriften und interner Datenschutzrichtlinien. Zur Überwachungsfunktion gehören:
Datenschutz funktioniert nur, wenn Mitarbeiter datenschutzrelevante Situationen erkennen und richtig handeln. Der DSB entwickelt Schulungskonzepte, erstellt Materialien und dokumentiert die Teilnahme.
Schulungsinhalte variieren je nach Abteilung: IT-Mitarbeiter erhalten andere Inhalte als Vertrieb oder HR. Typische Themen sind DSGVO-Grundlagen, Betroffenenrechte, sichere Passwörter, Umgang mit Datenpannen, E-Mail-Sicherheit und KI datenschutzkonform einsetzen. Nach Datenschutzvorfällen oder bei neuen Prozessen werden zusätzlich Ad-hoc-Schulungen organisiert.
Datenschutzschulungen für verschiedene Abteilungen effizient umsetzen mit den E-Learnings von Cortina Consult.
Neben den gesetzlichen Kernaufgaben übernimmt der DSB zahlreiche operative Tätigkeiten im Unternehmen:
Der DSB entwickelt verbindliche interne Richtlinien – gemeinsam mit den Fachabteilungen, damit sie praxistauglich sind. Typische Richtlinien umfassen:
Die Richtlinien werden bei Rechtsänderungen oder organisatorischen Änderungen regelmäßig aktualisiert.
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist eine zentrale Dokumentationspflicht. Der DSB erstellt und pflegt dieses Verzeichnis, in dem alle Datenverarbeitungsvorgänge erfasst werden: Zweck, Rechtsgrundlage, betroffene Kategorien, Löschfristen, technische und organisatorische Maßnahmen sowie Empfänger. Das VVT muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können.
Bei einem Data Breach übernimmt der DSB die Koordinationsrolle. Der typische Ablauf:
List NumberEntscheidung über Meldepflicht an die Aufsichtsbehörde – Frist: 72 Stunden nach Kenntnisnahme (Art. 33 DSGVO)
Wer externe Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt, benötigt nach Art. 28 DSGVO einen schriftlichen AVV. Der DSB prüft die Verträge auf Vollständigkeit, kontrolliert die TOM des Auftragsverarbeiters und überwacht Drittlandtransfers sowie den Einsatz von Unterauftragnehmern. Er führt eine Liste aller Auftragsverarbeiter und überwacht regelmäßig deren Compliance.
Der Tätigkeitsbericht ist ein zentrales Instrument der internen Rechenschaft. Der DSB erstellt ihn in der Regel jährlich und legt ihn der Geschäftsführung vor.
Inhalte eines typischen Tätigkeitsberichts:
Der Bericht informiert die Geschäftsführung über Datenschutzrisiken und ist gleichzeitig ein Nachweis für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Die Aufsichtsbehörde kann ihn im Rahmen von Prüfungen anfordern.
Wie häufig der Bericht erstellt wird, ist gesetzlich nicht vorgegeben – jährlich ist die gängige und empfohlene Praxis. In Unternehmen mit komplexer Datenverarbeitung oder nach schwerwiegenden Vorfällen empfehlen sich Zwischenberichte.
Art. 38 Abs. 6 DSGVO regelt, dass der DSB keine Aufgaben übernehmen darf, die zu einem Interessenkonflikt führen. Der DSB darf nicht in eine Position gebracht werden, in der er sich selbst überwachen müsste.
Klassische Konfliktpositionen (inkompatibel mit dem DSB-Amt):
Kompatible Positionen sind solche ohne Entscheidungsbefugnis über Datenverarbeitungen – etwa in der Buchhaltung, im Einkauf oder als Fachreferent.
Externe Datenschutzbeauftragte haben dieses Problem grundsätzlich nicht: Da sie außerhalb der Unternehmensorganisation stehen, überwachen sie keine eigenen Entscheidungen. Das ist ein wesentlicher struktureller Vorteil.
Der DSB und der Betriebsrat haben beide Berührungspunkte mit dem Datenschutz im Beschäftigungskontext – ihre Zuständigkeiten unterscheiden sich aber grundlegend.
Betriebsrat: Mitbestimmungsrechte nach BetrVG bei Einführung von Systemen zur Leistungs- und Verhaltenskontrolle von Mitarbeitern (§ 87 Abs. 1 Nr. 6 BetrVG)
DSB: Prüft dieselben Systeme auf DSGVO-Konformität, berät bei der datenschutzrechtskonformen Ausgestaltung und beurteilt, ob eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist.
Praxisbeispiele für die Zusammenarbeit:
Der DSB berät sowohl das Unternehmen als auch – auf Anfrage – den Betriebsrat zu datenschutzrechtlichen Fragen. In größeren Unternehmen kann ein Datenschutzkoordinator die Schnittstellenfunktion zwischen Betriebsrat, Fachabteilungen und DSB übernehmen. Eine enge Abstimmung stellt sicher, dass neue Systeme sowohl mitbestimmungsrechtlich als auch datenschutzrechtlich sauber umgesetzt werden.
Art. 37 Abs. 5 DSGVO fordert die Benennung auf Grundlage beruflicher Qualifikation und Fachwissen. Konkrete Mindestanforderungen:
Eine häufige Frage bei der DSB-Auswahl: juristischer oder technischer Hintergrund?
Volljurist: Stärke bei rechtlichen Fragestellungen, DSGVO-Auslegung, Vertragsrecht und der Kommunikation mit Aufsichtsbehörden. Schwäche bei technischen Umsetzungsfragen ohne IT-Zusatzqualifikation.
IT-Experte: Stärke bei technischen Schutzmaßnahmen, IT-Sicherheit und der Bewertung von Systemarchitekturen. Schwäche bei komplexen Rechtsfragen ohne juristische Ausbildung.
In der Praxis überwiegen Kandidaten mit einem Hybrid-Profil: juristisches Grundwissen kombiniert mit IT-Kenntnissen oder umgekehrt. Zertifizierungen (z.B. TÜV-zertifizierter Datenschutzbeauftragter, CIPP/E) sind kein gesetzliches Muss, aber ein verlässlicher Qualitätsnachweis. Der DSB muss sein Fachwissen durch regelmäßige Fortbildungen aktuell halten.
Die Entscheidung hängt von Unternehmensgröße, Risikostruktur und verfügbaren Ressourcen ab. Wesentliche Kriterien:
Wer einen externen Datenschutzbeauftragten auswählen möchte, sollte neben Fachqualifikation auch Branchenerfahrung und verfügbare Kapazitäten berücksichtigen.
So treffen Sie die richtige Wahl: mit klaren Auswahlkriterien und den wichtigsten Fragen für das Gespräch mit Ihrem zukünftigen Datenschutzbeauftragten.
Der Datenschutzbeauftragte ist die zentrale Instanz für DSGVO-Konformität im Unternehmen. Seine gesetzlich definierten Kernaufgaben nach Art. 39 DSGVO umfassen Beratung, Überwachung und Sensibilisierung – ergänzt durch zahlreiche operative Tätigkeiten: Datenschutzrichtlinien, VVT-Führung, AVV-Prüfung, Vorfallsmanagement und jährliche Tätigkeitsberichte.
Drei strukturelle Anforderungen sind entscheidend: Der DSB muss fachlich qualifiziert sein (Recht und Technik), muss unabhängig agieren (keine Interessenkonflikte) und muss ausreichend Ressourcen erhalten, um seine Aufgaben ordnungsgemäß zu erfüllen.
Unternehmen, die die Wahl zwischen internem und externem DSB abwägen, sollten neben Kosten und Verfügbarkeit vor allem die Interessenkonflikt-Frage und das Qualifikationsniveau berücksichtigen – die DSGVO setzt hier klare Anforderungen, die Aufsichtsbehörden zunehmend strenger prüfen.
Nein. Die Benennungspflicht setzt bestimmte Schwellenwerte voraus – insbesondere die Grenze von 20 Personen mit ständiger automatisierter Datenverarbeitung nach § 38 BDSG. Kleinere Unternehmen ohne besondere Risikoprofile sind nicht verpflichtet, können aber freiwillig einen DSB benennen. Öffentliche Stellen müssen grundsätzlich immer einen DSB benennen.
Ja, sofern keine Interessenkonflikte entstehen. Positionen mit Entscheidungsbefugnis über Datenverarbeitungen sind unvereinbar mit dem DSB-Amt nach Art. 38 Abs. 6 DSGVO. Tätigkeiten ohne diese Befugnis – etwa in der Buchhaltung oder als Fachreferent – sind zulässig.
Grundsätzlich haftet das Unternehmen als Verantwortlicher nach Art. 82 DSGVO. Der DSB hat beratende und überwachende Funktion – er entscheidet nicht über Verarbeitungen. Eine persönliche Haftung ist nur bei vorsätzlichen Rechtsverstößen oder grober Fahrlässigkeit denkbar. Externe DSBs sollten über eine Berufshaftpflicht verfügen.
Gesetzlich ist keine Frequenz vorgeschrieben. Die empfohlene und gängige Praxis ist ein jährlicher Bericht, mit optionalen Zwischenberichten bei schwerwiegenden Vorlällen oder großen Projektphasen wie der Einführung neuer IT-Systeme.
Ja. Der DSB genießt nach Art. 38 Abs. 3 DSGVO Kündigungsschutz – eine Abberufung wegen der Erfüllung seiner Aufgaben ist unzulässig. Zulässig ist ein Wechsel aus wichtigem Grund (mangelnde Fachkunde, Pflichtverletzungen). Der Wechsel ist der zuständigen Aufsichtsbehörde zu melden. Bei externen DSBs richtet sich die Kündigung nach dem Dienstleistungsvertrag.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen