Top Themen im Datenschutz:
Die Bestellung eines Datenschutzbeauftragten ist für viele Unternehmen gesetzliche Pflicht. Ein externer Datenschutzbeauftragter entlastet die Geschäftsleitung, sichert DSGVO-Konformität und vermeidet Bußgelder.
Die Benennungspflicht eines Datenschutzbeauftragten (DSB) ergibt sich aus zwei Rechtsquellen: der europäischen Datenschutz-Grundverordnung (DSGVO) und dem nationalen Bundesdatenschutzgesetz (BDSG). Unternehmen müssen einen DSB benennen, wenn mindestens eine der folgenden Voraussetzungen erfüllt ist.
Pflicht nach Art. 37 DSGVO:
Pflicht nach § 38 BDSG (nur in Deutschland):
Die DSGVO-Vorgaben gelten EU-weit, während die BDSG-Regelungen spezifisch für deutsche Unternehmen sind. Sobald eine dieser Voraussetzungen zutrifft, besteht die unverzügliche Pflicht zur Benennung – unabhängig von Branche oder Unternehmensgröße.
Die 20-Mitarbeiter-Schwelle nach § 38 BDSG ist eine der häufigsten Auslöser für die DSB-Benennungspflicht in Deutschland. Entscheidend ist, dass mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Was zählt als „Person“?
Mitgezählt werden alle Beschäftigten, die regelmäßig mit personenbezogenen Daten arbeiten – unabhängig vom Beschäftigungsverhältnis. Dazu gehören:
Was bedeutet „ständig“?
Ständig bedeutet nicht „durchgehend“ oder „ausschließlich“, sondern regelmäßig und wiederkehrend. Wer seine E-Mails liest, Kundendaten in ein CRM-System einpflegt oder Personalakten digital verwaltet, arbeitet ständig mit personenbezogenen Daten.
Was ist „automatisierte Verarbeitung“?
Jede IT-gestützte Verarbeitung gilt als automatisiert – also nahezu jede moderne Bürotätigkeit. Dazu zählen:
In der Praxis erreichen die meisten Unternehmen ab etwa 25-30 Gesamtbeschäftigten die 20-Personen-Schwelle, da fast alle Mitarbeiter E-Mails nutzen und damit personenbezogene Daten verarbeiten. Die rein analoge Papierakte ohne IT-Unterstützung ist heute die absolute Ausnahme.
Der Datenschutzbeauftragte erfüllt eine beratende und überwachende Funktion – trägt aber keine persönliche Haftung für Datenschutzverstöße. Diese Verantwortung verbleibt bei der Geschäftsleitung. Die Aufgaben des Datenschutzbeauftragten ergeben sich aus Art. 39 DSGVO.
Laut Leitfaden des BfDI ist der DSB kein „Datenschutzpolizist“, sondern ein interner Berater, der das Unternehmen bei der rechtskonformen Umsetzung unterstützt. Er hat kein Weisungsrecht gegenüber der Geschäftsleitung, sondern eine beratende Stellung mit direktem Zugang zur obersten Leitungsebene.
Die Geschäftsleitung muss den DSB rechtzeitig und umfassend in alle datenschutzrelevanten Fragen einbeziehen, seinen Empfehlungen nachkommen oder dokumentiert abweichen. Ignoriert die Geschäftsleitung die Hinweise des DSB, haftet sie persönlich für entstehende Datenschutzverstöße.
Die DSGVO schreibt keine spezifische Ausbildung oder Zertifizierung vor, sondern verlangt lediglich „berufliche Qualifikation“ und „Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis“ (Art. 37 Abs. 5 DSGVO). Die Praxishilfe der GDD konkretisiert diese Anforderungen.
Erforderliches Fachwissen umfasst:
Fachkunde wird erreicht durch:
Realitätscheck: Die meisten internen Mitarbeiter verfügen nicht über diese umfassende Qualifikation, weshalb oft Datenschutzschulungen erforderlich sind – oder die Benennung eines externen Spezialisten sinnvoller ist.
Die Fachkunde muss sich zudem an der Komplexität der Datenverarbeitung orientieren: Ein Konzern mit internationalen Datenflüssen, Cloud-Diensten und sensiblen Daten benötigt einen DSB mit deutlich höherer Expertise als ein kleines lokales Handelsunternehmen.
Unternehmen können zwischen einem internen Mitarbeiter oder einem externen Datenschutzbeauftragten wählen. Beide Optionen erfüllen die gesetzliche Pflicht, unterscheiden sich aber erheblich in Kosten, Verfügbarkeit und Haftungsrisiken.
Interner DSB | Externer DSB |
|---|---|
✔ Keine extra Lohnkosten Ein interner DSB kann auch weitere Aufgaben für das Unternehmen erledigen. | ✔ Transparente und planbare Kosten Pauschalpakete bieten Kostentransparenz. Die Auslagerung der Arbeit spart intern Zeit. |
✔ Vertrauen der Angestellten Das Vertrauen auf die Qualität der Leistung muss nicht erst gewonnen werden. | ✔ Expertise & langjährige Erfahrung Vertrauen wird durch Qualität geschaffen. Die langjährige Erfahrung unserer DSB und DSK schafft effiziente Prozesse. |
✘ Gefahr der Betriebsblindheit Internen Mitarbeitern stecken oft tief in den Unternehmensstrukturen und haben Schwierigkeiten objektiv auf diese zu schauen. | ✔ Objektive Außenperspektive Ein objektiver Blickwinkel und persönliche Distanz zu Mitarbeitern sind für die Findung & Umsetzung der Maßnahmen von Vorteil. |
✘ Haftungsrisiko für das Unternehmen Das Unternehmen haftet für das Handeln der eigenen Mitarbeiter. Im Falle eines Datenschutzvorfalls oder eines Verstoßes kann dies sehr teuer werden. | ✔ Kein Risiko für das Unternehmen Durch die Umsetzung der DSGVO mithilfe eines externen Experten sind Sie auf der sicheren Seite und schützen sich vor hohen Bußgeldern. |
✘ Kündigungsschutz Interne Mitarbeiter unterliegen dem Kündigungsschutz (§38 BDSG). | ✔ Variable Vertragslaufzeit Der Vertrag mit einem externen Datenschutzbeauftragten kann jederzeit zur vereinbarten Frist gekündigt werden. |
✘ Zusatzkosten Das Erwerben von Qualifikationen für einen Datenschutzbeauftragten bringt Kosten für das Unternehmen mit sich (Schulungen kosten 3.000–8.000€). | ✔ Keine Ausbildungskosten Der DSB trägt alle Kosten für seine Fort- und Weiterbildungen. |
✔ IT-Sicherheit inklusive Manche Datenschutzberater verfügen außerdem über die Qualifikation zum IT-Sicherheitsbeauftragten und können diesen Bereich gleichzeitig abdecken. |
Empfehlung: Für die meisten KMU ist ein externer oder interner Datenschutzbeauftragter die wirtschaftlichere Lösung. Der externe DSB bringt Spezialistenwissen, haftet mit Versicherung und kann bei Bedarf jederzeit gewechselt werden.
Die Benennung eines Datenschutzbeauftragten folgt einem klar definierten Verfahren. Eine Checkliste zur DSB-Bestellung unterstützt bei der strukturierten Umsetzung.
Schritt 1: Prüfung der Benennungspflicht
Schritt 2: Auswahl des Datenschutzbeauftragten
Schritt 3: Schriftliche Bestellung
Schritt 4: Meldung an die Aufsichtsbehörde
Das Kurzpapier Nr. 12 der Datenschutzkonferenz gibt zusätzliche Orientierung zum gesamten Bestellungsverfahren und beantwortet häufige Praxisfragen.
Prüfen Sie mit einer kompakten Checkliste, ob und wie Sie einen Datenschutzbeauftragten korrekt bestellen – inklusive aller DSGVO-Pflichten und typischer Fehlerquellen, kostenlos als Download.
Ein Datenschutzbeauftragter muss unabhängig und weisungsfrei agieren können. Personen, die aufgrund ihrer Position die Zwecke und Mittel der Datenverarbeitung bestimmen, dürfen nicht gleichzeitig Datenschutzbeautragte sein – das wäre ein Interessenkonflikt.
Besonderheit: Der besondere Kündigungsschutz nach § 38 Abs. 2 BDSG gilt auch nach Abberufung noch für ein Jahr. Die Kündigung eines Datenschutzbeauftragten ist daher nur aus wichtigem Grund möglich – selbst nach Ende der DSB-Tätigkeit. Das macht die Personalplanung bei internen DSB schwierig.
Bei externen Datenschutzbeauftragten entfällt diese Problematik vollständig, da der Dienstleistervertrag jederzeit ordentlich kündbar ist.
Nach Art. 37 Abs. 7 DSGVO müssen Unternehmen die Kontaktdaten des Datenschutzbeauftragten der zuständigen Aufsichtsbehörde mitteilen. Diese Meldung ist unverzüglich nach der Bestellung vorzunehmen.
Jede Aufsichtsbehörde stellt ein eigenes Online-Formular bereit. Die Meldung ist in der Regel kostenlos und innerhalb weniger Minuten erledigt:
Veröffentlichungspflicht:
Zusätzlich zur Behördenmeldung müssen die Kontaktdaten des DSB öffentlich gemacht werden (Art. 37 Abs. 7 DSGVO). Das erfolgt typischerweise:
Wichtig: Bei einem Wechsel des Datenschutzbeauftragten muss auch die Aufsichtsbehörde unverzüglich informiert werden. Eine unterlassene oder verspätete Meldung kann als Ordnungswidrigkeit mit Bußgeld geahndet werden.
Die unterlassene oder fehlerhafte Bestellung eines Datenschutzbeauftragten ist eine Ordnungswidrigkeit nach Art. 83 Abs. 4 lit. a DSGVO. Die Aufsichtsbehörden verhängen bei Verstößen empfindliche Bußgelder.
Bußgeldrahmen:
Praxisbeispiele (reale Fälle):
Zusätzliche Risiken:
Die Aufsichtsbehörden haben in den letzten Jahren ihre Kontrollen verschärft. Insbesondere nach Datenpannen oder Beschwerden Betroffener prüfen sie als erstes, ob ein Datenschutzbeauftragter bestellt wurde. Fehlt dieser, drohen Bußgelder selbst dann, wenn die ursprüngliche Beschwerde unbegründet war.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenKlarstellung: Eine Anfrage für einen externen Datenschutzbeauftragten ist wesentlich günstiger als jedes Bußgeld und sichert sofortige Rechtskonformität.
Ja, die Benennung mehrerer Datenschutzbeauftragter ist ausdrücklich zulässig (Art. 37 Abs. 3 DSGVO). Das kann in verschiedenen Konstellationen sinnvoll sein.
Wichtig bei mehreren DSB:
Konzerndatenschutzbeauftragter:
Bei Unternehmensgruppen kann ein zentraler Konzern-DSB für mehrere Tochtergesellschaften tätig sein. Voraussetzung ist, dass der DSB von jeder einzelnen Gesellschaft leicht erreichbar ist – also beispielsweise nicht nur in der Konzernzentrale in Deutschland sitzt, während Tochtergesellschaften in Spanien und Polen operieren.
Eine zentrale Koordination durch einen Konzerndatenschutzbeauftragten mit lokalen Ansprechpartnern ist die gängige Praxis bei Unternehmensgruppen.
Nein. Die DSGVO verlangt keine juristische Ausbildung, sondern „Fachwissen auf dem Gebiet des Datenschutzrechts“. Das kann durch Zertifizierungen, Fortbildungen oder Berufserfahrung nachgewiesen werden. IT-Experten mit Datenschutz-Zusatzqualifikation sind genauso geeignet wie Juristen.
Ja, das ist ausdrücklich zulässig. Externe DSB können gleichzeitig für mehrere Mandanten arbeiten. Wichtig ist nur, dass keine Interessenkonflikte bestehen (z.B. darf ein externer DSB nicht gleichzeitig für zwei direkte Wettbewerber tätig sein, wenn dadurch Geschäftsgeheimnisse offengelegt werden könnten).
Unverzüglich nach Aufnahme der Datenverarbeitung, die die Benennungspflicht auslöst. Bei Unternehmensgründung sollte der DSB spätestens mit dem ersten Mitarbeiter benannt werden. Bei bestehenden Unternehmen gilt: Sobald die 20-Personen-Schwelle erreicht ist, muss die Bestellung ohne schuldhaftes Zögern erfolgen.
Der besondere Kündigungsschutz nach § 38 Abs. 2 BDSG erschwert die Kündigung erheblich. Bei Ausfall durch Krankheit oder Kündigung muss unverzüglich ein Nachfolger bestellt werden. Bis dahin entsteht eine rechtliche Lücke mit Bußgeldrisiko. Externe DSB haben immer eine Vertretungsregelung.
Nein. Betriebsratsmitglieder haben eigene Datenschutzpflichten nach § 79a BetrVG und können nicht gleichzeitig DSB sein. Das wäre ein klarer Interessenkonflikt, da der Betriebsrat selbst personenbezogene Daten verarbeitet und überwachen müsste.
Nein, der DSB hat nur eine beratende Funktion. Die Verantwortung für die Umsetzung und Einhaltung der Datenschutzgesetze liegt bei der Geschäftsleitung. Der DSB kann nur bei grober Fahrlässigkeit oder Vorsatz in Haftung genommen werden – aber auch dann haftet primär das Unternehmen.
Das hängt von der Unternehmensgröße und Komplexität ab. Faustregel: 20-50% einer Vollzeitstelle für KMU mit 50-200 Mitarbeitern. Bei größeren Unternehmen oder komplexen IT-Strukturen kann eine Vollzeitstelle erforderlich sein. Diese Zeit muss der Mitarbeiter von seinen sonstigen Aufgaben freigestellt werden – ein häufig unterschätzter Kostenfaktor.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Registrieren Sie sich für unseren kostenlosen Newsletter mit lesenswerten Neuigkeiten zum Datenschutz und Best-Practices zur Umsetzung.
* Pflichtfeld. Mit der Registrierung erklären Sie Ihr Einverständnis zum Erhalt des Cortina Legal-Updates mit Mailchimp sowie zur Interessen-Analyse durch Auswertung individueller Öffnungs- und Klickraten. Zu Ihrer und unserer Sicherheit senden wir Ihnen vorab noch eine E-Mail mit einem Bestätigungs-Link (sog. Double-Opt-In); die Anmeldung wird erst mit Klick auf diesen Link aktiv. Dadurch stellen wir sicher, dass kein Unbefugter Sie in unser Newsletter-System eintragen kann. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft und ohne Angabe von Gründen widerrufen; z. B. durch Klick auf den Abmeldelink am Ende jedes Newsletters. Nähere Informationen zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen