Gesetzliche Benennungspflicht und Bestellung des DSB
Viele Unternehmen stellen sich die Frage nach dem Datenschutzbeauftragten erst, wenn der erste Brief von der Aufsichtsbehörde ins Haus flattert. Zu spät. Denn DSGVO und Bundesdatenschutzgesetz (BDSG) regeln klar, ab wann die Bestellung eines DSB nicht mehr optional ist – und der Begriff ist im rechtlichen Sinne präzise definiert. Die Datenschutzgrundverordnung legt Stellung, Aufgaben und Rolle des Datenschutzbeauftragten verbindlich fest. Sobald die Verarbeitung personenbezogener Daten zur Kerntätigkeit gehört oder mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, gilt die Benennungspflicht – branchenunabhängig, auf jeder organisatorischen Ebene.
Früher oder später stellt sich jeder Geschäftsführung dieselbe Frage: selbst jemanden aufbauen oder einen externen Datenschutzbeauftragten beauftragen? Das Datenschutzgesetz lässt hier beide Varianten zu. Erfüllt ein Betrieb die Kriterien, muss die Bestellung innerhalb eines Monats nach Aufnahme der Tätigkeit abgeschlossen sein. Die Schriftform ist dabei zwingend vorgeschrieben; zudem muss die verantwortliche Stelle die Benennung der zuständigen Aufsichtsbehörde melden.
Wer die Benennung ignoriert, zahlt. Die Aufsichtsbehörden haben bei versäumter Bestellung wenig Spielraum für Kulanz – und die Sanktionen sind empfindlich: bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ausfällt.
Bei Fragen schreiben Sie uns bitte zwecks kostenfreier telefonischer Ersteinschätzung über unser Kontaktformular unter aid24.de/kontakt
Die Basis: Grundsätze der Datenschutz-Grundverordnung (Art. 5 DSGVO)
Art. 5 DSGVO ist gewissermaßen das Herzstück der Datenschutzgrundverordnung – fünf Grundsätze, an denen sich die gesamte Tätigkeit des DSB orientiert. Für den Verantwortlichen im Unternehmen bedeutet das konkret: Die folgenden Datenschutzanforderungen sind keine abstrakten Leitlinien, sondern operative Vorgaben, die je nach Ebene der Aufsicht eine Anpassung interner Prozesse erfordern und gleichzeitig die Rechte betroffener Personen absichern.
• Rechtmäßigkeit und Transparenz: Keine Verarbeitung personenbezogener Daten ohne gesetzliche Grundlage – das ist keine Empfehlung, sondern eine harte Grenze. Betroffene haben außerdem das Recht zu verstehen, was mit ihren Informationen passiert und warum. Das gilt auch dort, wo es unbequem wird: bei Cookies, Website-Tracking oder automatisierten Analysen. Diese Transparenzpflicht zieht sich durch jede Abteilung, jede Seite des Unternehmens, die mit Daten in Berührung kommt.
• Zweckbindung: Was einmal für einen bestimmten Zweck erhoben wurde, bleibt daran gebunden. Eine spätere Nutzung derselben Daten für andere Zwecke ist grundsätzlich nicht zulässig – unabhängig davon, ob es technisch machbar wäre.
• Datenminimierung: So wenig wie nötig, nicht so viel wie möglich. Personenbezogene Daten werden nur in dem Umfang erhoben, den der jeweilige Zweck tatsächlich verlangt.
• Speicherbegrenzung und Löschung: Sobald der Zweck erreicht ist, haben die Daten im System nichts mehr zu suchen. In der Praxis hapert es hier oft – nicht am Willen, sondern an fehlenden Löschkonzepten. Dabei trifft diese Pflicht das gesamte Unternehmen, nicht nur die IT-Abteilung.
• Rechenschaftspflicht: Das Unternehmen muss die Einhaltung dieser Datenschutzbestimmungen und Datenschutzregelungen jederzeit belegen können – durch eine aktuelle Datenschutzerklärung auf der Website, durch lückenlose Dokumentation aller Verarbeitungstätigkeiten mit personenbezogenen Daten und durch nachvollziehbare interne Prozesse.
Qualifikationsprofil und Fachkunde des DSB
Die Wahl des passenden DSB ist für ein Unternehmen weit mehr als das bloße Abhaken einer gesetzlichen Liste – es ist eine Weichenstellung, die über die digitale Sicherheit des gesamten Betriebs entscheidet. Laut Art. 37 Abs. 5 DSGVO gibt die fachliche Qualifikation den Ausschlag bei der Bestellung. Wer diese Rolle ausfüllt, darf sich nicht darauf beschränken, Paragrafen auswendig zu lernen. Die Qualifikationen eines DSB umfassen fundierte rechtliche Kenntnisse, IT-Verständnis und Kommunikationsfähigkeit. Ein moderner Datenschutzbeauftragter muss die Theorie in die Praxis übersetzen und je nach Bereich die relevanten Anforderungen sicher einordnen können.
Natürlich bildet die juristische Präzision im Datenschutzrecht – insbesondere die Datenschutzgrundverordnung, das BDSG und das ergänzende Datenschutzgesetz der Landes- und Bundesebene – das unverzichtbare Fundament. Doch in einer Welt, in der die Datenverarbeitung fast ausnahmslos digital stattfindet, bleibt reines Paragrafenwissen ohne tiefes Verständnis für IT-Sicherheit und moderne Systeme wirkungslos. Wer nicht versteht, wie personenbezogene Daten durch eine Organisation fließen und an welchen Punkten sie verarbeitet werden, kann technische Schutzmaßnahmen in diesem Bereich nicht sinnvoll beurteilen.
Neben der fachlichen Qualifikation spielt die menschliche Seite eine oft unterschätzte Rolle. Die Datenschutzbeauftragte agiert als zentrale Schnittstelle zwischen der Führungsebene und der Belegschaft. Hier ist Fingerspitzengefühl gefragt, um komplexe Datenschutzfragen so zu vermitteln, dass sie im Arbeitsalltag akzeptiert werden. Da sich Regelungen der EU und Urteile der Behörden auf Landes-, Bundes- und EU-Ebene in einem rasanten Tempo wandeln, darf die Fachkunde niemals stagnieren – die laufende Aktualisierung des eigenen Wissens ist Pflicht.
Wer auf externe Datenschutzexperten setzt, schützt das eigene Unternehmen nicht nur vor empfindlichen Bußgeldern, sondern sorgt auch für eine rechtssichere Umsetzung aller Vorgaben. Für angehende DSB halten übrigens diverse Institutionen ein breites Spektrum an passenden Weiterbildungen bereit. Qualifizierte Ausbildungsangebote decken zentrale Themen ab – etwa bei Seminaren oder Prüfungen beim TÜV. Nach bestandener TÜV-Prüfung schließt die Ausbildung mit einem offiziellen Zertifikat ab, das gegenüber Behörden als Nachweis der Fachkunde gilt. Eine solche Ausbildung kann inklusive TÜV-Gebühren 3.254,65 € kosten. Dabei müssen Unternehmen ihre Prozesse bei neuen Datenschutzvorschriften und gesetzlichen Vorgaben durch laufende Aktualisierung stets auf dem aktuellen Stand halten.
Beratung und Information (Art. 39 Abs. 1 lit. a, c DSGVO)
Die zentrale Aufgabe des DSB besteht darin, rechtskonformen Datenschutz im Unternehmen zu ermöglichen. Seine konkreten Aufgaben sind in Artikel 39 DSGVO sowie in § 7 BDSG präzise bestimmt; Artikel 38 DSGVO regelt ergänzend seine Stellung. Dabei muss er an erster Stelle die Verantwortlichen und Beschäftigten hinsichtlich ihrer Pflichten im Datenschutzrecht beraten – insbesondere überall dort, regelmäßig in die IT-gestützte Datenverarbeitung eingebunden sind. Solche Beratungsleistungen sind kein einmaliges Projekt, sondern ein fortlaufender Prozess. Ein guter Datenschutzbeauftragter behält aktuelle Urteile und Gesetzesänderungen permanent im Blick und gibt wichtige Neuerungen direkt ans Team weiter. Das funktioniert allerdings nur, wenn er die internen Abläufe in- und auswendig kennt – schließlich muss er genau wissen, an welchen Punkten im Unternehmen überhaupt personenbezogene Daten fließen. Gleichzeitig dient er Betroffenen jederzeit als Ansprechpartner (Art. 38 Abs. 4 DSGVO). Praktisch nutzt er hierfür oft softwaregestützte Managementsysteme sowie Schulungen per E-Mail oder Online-Plattformen.
Überwachung der Einhaltung und IT-Sicherheit (Art. 39 Abs. 1 lit. b DSGVO)
Mit einem bloßen Hinweis auf den Datenschutz ist den gesetzlichen Anforderungen noch nicht genüge getan. Daher fungiert der DSB gleichzeitig als Wächter, der firmenintern die Einhaltung der Datenschutzbestimmungen überwacht und Empfehlungen zur Kontrolle gibt. Diese Überwachung muss sich konsequenterweise auch auf geplante Strategien der Organisation zur Datenverarbeitung erstrecken – einschließlich der Kontrolle von Cookies, Website-Tracking und IT-Sicherheit.
Als zentraler Ansprechpartner für alle rechtlichen Fragen wacht der DSB darüber, dass die Unternehmensführung alle nötigen Schutzmaßnahmen auch wirklich in die Praxis umsetzt. Fordert die Geschäftsleitung neue Datenschutzkonzepte oder Richtlinien an, arbeitet er diese aus und hält sie künftig aktuell. Darüber hinaus packt er aktiv mit an, wenn es darum geht, die Belegschaft zu schulen und Zuständigkeiten zu klären. Das betrifft ganz besonders die IT-Abteilung, in der sensible Personendaten ohnehin zum Tagesgeschäft gehören.
Wahlmöglichkeit: Interner vs. Externer Datenschutzbeauftragter
Die Bestellung eines Datenschutzbeauftragten ist für Unternehmen verbindlich, die regelmäßig besonders sensible personenbezogene Daten verarbeiten. Dabei hat die Firmenleitung gemäß Art. 37 Abs. 6 DSGVO die Wahl, wie sie die Stelle des DSB besetzt. Rein rechtlich macht es keinen Unterschied, für welchen Weg Sie sich am Ende entscheiden, denn die Gesetzgebung macht hier keine Ausnahmen. Die Aufgaben eines internen und externen Datenschutzbeauftragten sind identisch. Ihre jeweiligen Befugnisse und die nötigen Qualifikationen sind in Art. 39 DSGVO starr vorgegeben. Intern sieht das allerdings ganz anders aus, denn die Wahl beeinflusst sowohl Ihre Budgetplanung als auch die interne Organisation enorm. Ob eine Inhouse-Lösung oder externe Hilfe sinnvoller ist, richtet sich meist nach der Größe des Betriebs und dem tatsächlichen Arbeitspensum.
Der interne Datenschutzbeauftragte
Ein interner DSB ist ein fest angestellter Mitarbeiter des Unternehmens.
• Vorteile: Ein eigener Mitarbeiter kennt die Firmenprozesse aus dem Effeff und sitzt für schnelle Rückfragen direkt im Nachbarbüro.
• Nachteile: Gemäß § 38 Abs. 2 BDSG stehen interne DSB unter einem besonderen Kündigungsschutz. Gefährlich wird es zudem bei Doppelrollen: Wer gleichzeitig die IT oder Personalabteilung leitet, gerät schnell in einen handfesten Interessenkonflikt. Nicht zu vergessen sind die Kosten – sämtliche Aus- und Weiterbildungen (etwa beim TÜV) gehen zu 100 Prozent auf die Kappe des Arbeitgebers.
Der externe Datenschutzbeauftragte
Ein externer Datenschutzbeauftragter wird im Rahmen eines Dienstleistungsverhältnisses beauftragt.
• Vorteile: Ein externer Datenschutzbeauftragter kann eine transparentere Kostenstruktur bieten. Hohe fachliche Qualifikation und Routine durch die Betreuung verschiedener Mandate. Die Haftung für Beratungsfehler liegt beim Dienstleister. Zudem gibt es einen entscheidenden arbeitsrechtlichen Unterschied: Externe Datenschutzbeauftragte sind vom Kündigungsschutz ausgeschlossen. Sie bringen branchenübergreifende Best Practices mit, die einem reinen Inhouse-Mitarbeiter oft fehlen, und belasten die Personalplanung nicht mit juristischen Hürden. Die Kosten sind zudem durch Pauschalhonorare besser planbar. Wer viele verschiedene Unternehmen betreut, baut automatisch ein breiteres Fachwissen auf – genau hier punkten externe DSB. Sie bringen branchenübergreifende Best Practices mit, die einem reinen Inhouse-Mitarbeiter oft fehlen. Egal ob es um eine wasserdichte Datenschutzerklärung, knifflige Cookie-Banner oder komplexe IT-Sicherheitsfragen geht: Der Externe hat solche Themen meist schon dutzende Male gelöst.
• Nachteile: Der Externe benötigt eine gewisse Einarbeitungszeit, um die spezifische Datenverarbeitung des Betriebs zu durchdringen, und ist physisch seltener im Haus präsent. Die Kommunikation erfolgt primär via E-Mail, Telefon oder Videocall.
Kosten des Datenschutzbeauftragten
Schaut man sich den Unternehmensalltag an, rechnet sich die Vergabe an Dienstleister fast immer besser. Die Praxis zeigt ganz klar: Ein externer Datenschutzbeauftragter ist in der Regel günstiger als ein interner Datenschutzbeauftragter. Der große Pluspunkt ist die finanzielle Planungssicherheit durch feste Pauschalen – unerwartete Budgetlöcher bleiben in der Regel aus. Wie hoch diese Pauschale ausfällt, hängt vorrangig davon ab, wie viele Beschäftigte im Arbeitsalltag wirklich IT-gestützt mit Personendaten umgehen. Ein kleiner Handwerksbetrieb mit etwa zehn Angestellten kann sich beispielsweise oft schon für rund 100,00 € im Monat extern absichern. Bei einem mittelständischen Dienstleister mit komplexeren Prozessen und umfangreicherer Datenverarbeitung sollte man eher mit monatlichen Kosten ab 230,00 € rechnen.
Entscheidet man sich stattdessen für einen eigenen Mitarbeiter, sieht die finanzielle Realität oft weitaus unberechenbarer aus. Das bloße Monatsgehalt deckt nämlich nur einen Bruchteil der tatsächlichen Ausgaben ab. Die Kosten für einen internen Datenschutzbeauftragten können durch Zeitaufwände, Aus- und Weiterbildung, Reisekosten und personelle Unterstützung erheblich steigen. Wer hier nicht von Anfang an großzügig kalkuliert, zahlt am Ende oft drauf. Schon die Grundausbildung – etwa beim TÜV – schlägt mit bis zu 3.254,65 € inklusive Prüfungsgebühren zu Buche. Dazu kommen laufende Ausgaben für Seminare, Fachliteratur zu aktuellen Datenschutzregelungen und Reisen, die der Betrieb vollständig tragen muss.
Oft unterschätzt werden zudem die indirekten Kosten: Die Zeit, die der Mitarbeiter für Datenschutzfragen, Anpassung von Datenschutzrichtlinien und die Aktualisierung der Datenschutzerklärung auf der Website aufwendet, fehlt im Kerngeschäft. Ein externer DSB bringt nicht nur branchenübergreifende Routine mit, sondern schont auch die internen Personalressourcen.
Mitwirkung und Beratung bei der Datenschutz-Folgenabschätzung (DSFA)
Nicht jede Datenverarbeitung löst eine DSFA aus – aber wenn sie es tut, ist der DSB gesetzlich zur Mitwirkung verpflichtet. § 38 Abs. 1 S. 2 BDSG ist hier eindeutig: Sobald eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte natürlicher Personen zur Folge hat, muss er eingebunden werden. Besonders häufig ist das im Gesundheitswesen der Fall, wo sensible Gesundheitsdaten routinemäßig verarbeitet werden.
Seine Rolle dabei ist beratend, aber gewichtig. Er klärt, ob eine DSFA überhaupt erforderlich ist, begleitet die Durchführung und bewertet auf Grundlage seiner Expertise, ob die getroffenen Maßnahmen den gesetzlichen Anforderungen standhalten. Reichen sie nicht aus, muss nachgebessert werden – der DSB sagt das auch dann, wenn es unbequem ist.
Die Datenschutzfolgenabschätzung ist damit weit mehr als eine Pflichtübung. Sie ist ein zentrales Instrument der Kontrolle und gehört zu den anspruchsvollsten Bereichen der Erfüllung seiner Aufgaben als DSB.
Wann eine DSFA im Gesundheitswesen notwendig wird, lesen Sie hier weiter in unserem Datenschutzblog.
Zusammenarbeit mit Aufsichtsbehörden (Art. 39 Abs. 1 lit. d, e DSGVO)
Kommt es zur Kontrolle, ist der DSB derjenige, der das Gespräch führt. Als offizielle Anlaufstelle gegenüber den Aufsichtsbehörden auf Landes- und Bundesebene vertritt er das Unternehmen nach außen – beantwortet Fragen, begleitet Prüfungen und sorgt dafür, dass die Kommunikation fachlich trägt.
Allerdings gilt: Wer es erst so weit kommen lässt, hat schon verloren. Gutes Datenschutzmanagement arbeitet präventiv – Datenschutzrichtlinien werden laufend geprüft, Prozesse bei neuen Datenschutzvorschriften rechtzeitig angepasst, Schwachstellen intern geschlossen. Artikel 83 DSGVO gibt den Rahmen vor, und die Sanktionen dort sind kein Papiertiger.
Was diese Kontrollfunktion erst möglich macht, ist die gesetzlich garantierte Unabhängigkeit des DSB. Er agiert weisungsfrei – die Geschäftsführung kann ihm keine Anweisungen erteilen, die seiner gesetzlichen Rolle widersprechen. Umgekehrt hat er selbst keine Weisungsbefugnis gegenüber der Führungsebene. Diese Konstruktion mag auf den ersten Blick ungewöhnlich wirken, ist aber bewusst so gewählt: Nur ein unabhängiger DSB kann seine Aufgaben glaubwürdig erfüllen – unter keinen Umständen sollte das durch interne Hierarchien untergraben werden.
Datenschutzerklärung und Website: Pflichten des Verantwortlichen
Die Bestellung eines DSB ist jedoch nicht die einzige Pflichtbaustelle: Jeder Webauftritt braucht zwingend eine soweit möglich wasserdichte Datenschutzerklärung. Dort muss lückenlos stehen, was mit Nutzerdaten passiert, wie Cookies eingesetzt werden und welche Rechte die Website-Besucher haben. Genau das ist ein klassisches Heimspiel für den Datenschutzbeauftragten. Er kontrolliert die Texte und schlägt sofort Anpassungen vor, sobald neue EU-Richtlinien oder aktuelle Gerichtsurteile das erfordern. Eine Datenschutzerklärung ist schließlich kein Text, den man einmal schreibt und dann vergisst – sie lebt und wächst mit den Prozessen im Unternehmen mit.
Fazit: Datenschutz als strategische Notwendigkeit
Sobald in einem Unternehmen mindestens 20 Leute an Rechnern mit personenbezogenen Daten hantieren, führt gesetzlich kein Weg mehr an einem Datenschutzbeauftragten vorbei. Ob man dafür lieber einen eigenen Mitarbeiter aufbaut oder sich für einen flexiblen, externen Experten ohne besonderen Kündigungsschutz entscheidet, muss am Ende jede Geschäftsführung für sich selbst abwägen. Meistens ist es ein klassischer Kompromiss zwischen der Nähe zum Betriebsgeschehen und den laufenden Kosten. Entscheidend bleibt die Qualifikation: Ein DSB muss sich fortlaufend weiterbilden, um rechtssicher zu beraten – von IT-Sicherheit über Datenschutzfragen zur Website bis hin zur Aktualisierung von Datenschutzrichtlinien auf allen Ebenen. Ein offizielles Zertifikat, etwa vom TÜV, dient dabei als notwendiger Nachweis gegenüber den Behörden.
Das Thema einfach auszusitzen, kann extrem teuer werden: Bei Verstößen drohen Strafen von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Ein fähiger DSB ist also weit mehr als nur ein Pflichtposten. Indem er die internen Strategien laufend überwacht und anpasst, schützt er nicht nur fremde Daten, sondern schirmt das komplette Unternehmen vor existenziellen finanziellen Risiken ab – natürlich immer im möglichts perfekten Einklang mit der DSGVO und dem Bundesdatenschutzgesetz (BDSG).
Bei Fragen schreiben Sie uns bitte zwecks kostenfreier telefonischer Ersteinschätzung über unser Kontaktformular unter aid24.de/kontakt
