Beauftragtenwechsel: Übergabe, Anzeige und kritische Fristen

Ein Beauftragtenwechsel ist kein Verwaltungsakt. Er ist ein Haftungsereignis. § 130 Abs. 1 Satz 2 OWiG nennt die Bestellung, die sorgfältige Auswahl und die Überwachung von Aufsichtspersonen ausdrücklich als erforderliche Aufsichtsmaßnahmen der Geschäftsleitung. Steht eine bestellpflichtige Rolle auch nur wenige Tage leer, fehlt diese Aufsichtsmaßnahme. Kommt es in dieser Lücke zu einer bußgeldbewehrten Zuwiderhandlung, die gehörige Aufsicht verhindert hätte, droht gegen den Inhaber eine Geldbuße, im Straffall bis zu einer Million Euro. Die Aufsichtsbehörde liest keine Ausreden. Sie liest Bestellurkunden.

Zweitens ist die Bestellung öffentlich-rechtlich, der Dienstvertrag privatrechtlich. Das sind zwei getrennte Rechtsakte. Kündigt Ihr externer Dienstleister den Vertrag, endet damit nicht automatisch die Bestellung. Umgekehrt beendet die Abberufung aus der Bestellurkunde nicht den Vergütungsanspruch aus dem laufenden Vertrag. Sie müssen beide Ebenen getrennt abwickeln, mit getrennten Dokumenten und getrennten Zeitpunkten.

Drittens gilt die Bestellpflicht ab einer klaren Schwelle: Wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss einen Datenschutzbeauftragten benennen, zusätzlich in den Fallgruppen der Datenschutz-Folgenabschätzung und der geschäftsmäßigen Datenübermittlung. Prüfen Sie Ihre Pflichtrollen vor dem Wechsel, nicht danach. Der Beauftragten-Pflichtencheck liefert Ihnen diese Prüfung je Branche und Unternehmensgröße.

Die Übergabe ist ein Projekt mit Liste, Termin und Unterschrift. Jedes Dokument, das der scheidende Beauftragte nicht übergibt, müssen Sie später rekonstruieren. Rekonstruierte Nachweise sind vor einer Prüfung kaum verteidigbar. Vereinbaren Sie daher eine schriftlich bestätigte Übergabeliste je Rolle, mit Dokument, Stand und Anzahl.

Systemzugänge verdienen eigenen Blick. Jede Berechtigung des scheidenden Beauftragten wird am Übergabetag entzogen, der Entziehungszeitpunkt wird dokumentiert. Gleichzeitig erhält der Nachfolger seine Zugänge, ebenfalls dokumentiert. So entsteht eine lückenlose Zuordnung, wer wann auf welche Compliance-Daten zugreifen konnte. Genau diese Nachweiskette führt eine Beauftragtenmanagement-Software strukturiert, statt sie aus Postfächern und Laufwerken zusammenzusuchen.

Die Grundregel lautet: Der neue Beauftragte ist bestellt, bevor der alte ausscheidet. Nicht am selben Tag. Davor. Planen Sie eine vertragliche Überlappung von zwei bis vier Wochen, in der beide Seiten verfügbar sind. In dieser Zeit laufen Übergabeliste, Erstgespräche und Systemzugänge. Erst dann endet die Bestellung des Vorgängers formal.

Bei Betriebsärzten und Fachkräften für Arbeitssicherheit kommt eine Mitbestimmungshürde hinzu: Sie sind mit Zustimmung des Betriebsrats zu bestellen und abzuberufen. Vor der Verpflichtung oder Entpflichtung eines freiberuflich tätigen Arztes, einer freiberuflich tätigen Fachkraft für Arbeitssicherheit oder eines überbetrieblichen Dienstes ist der Betriebsrat zu hören. Ohne diese Zustimmung ist die Bestellung des Nachfolgers unwirksam. Beginnen Sie die Betriebsratsverfahren deshalb im Vorfeld, nicht am Ausscheidungstag.

Beim Datenschutzbeauftragten gilt ein besonderes Abberufungsverbot: Der Verantwortliche darf den Datenschutzbeauftragten wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligen. Bei internen Beauftragten greift zusätzlich ein besonderer Kündigungsschutz. Bei externen Beauftragten bestimmt die Vertragslaufzeit das Ende. Der Wechsel läuft dort über die ordentliche Vertragsbeendigung plus Neuvergabe, nicht über eine Abberufung.

Jeder Rollenwechsel löst eigene Anzeigepflichten aus. Diese Pflichten unterscheiden sich je Rolle in Adressat, Frist und Form. Wer sie überspringt, liefert der Aufsichtsbehörde den ersten Befund frei Haus: Die veröffentlichten Kontaktdaten führen ins Leere.

Beachten Sie beim Datenschutzbeauftragten die Reihenfolge: Erst neue Bestellurkunde, dann Veröffentlichung und Behördenmitteilung, dann Entzug der alten Kontaktdaten. Eine Webseite, die wochenlang einen ausgeschiedenen DSB zeigt, ist ein selbstanzeigender Mangel. Legen Sie die Aktualisierung von Website, Impressum und Behördenmeldung als festen Schritt in den Wechselplan.

Der Nachfolger muss am ersten Tag handlungsfähig sein. Nicht nach drei Monaten. Drei Dinge entscheiden über das Tempo: geprüfte Qualifikation vor der Bestellung, weiterlaufende Verfahren und ein Einarbeitungsplan mit Terminen.

Wer die Meldestelle extern betreibt, kauft sich diese Übergaberisiken teilweise ab: Ein externer Dritter führt den Meldekanal, die Fristüberwachung und die Dokumentation eigenständig weiter, unabhängig von Personalwechseln in Ihrem Haus. Diese Rolle lässt sich als externer Meldestellenbeauftragter nach dem HinSchG vollständig auslagern.

Während einer Vakanz oder Übergabe steht keine Frist still. Die folgenden Fristen laufen unabhängig davon, wer die Rolle gerade innehat. Wer sie im Kopf des alten Beauftragten lässt, verliert sie.

Diese Karte gehört in den Übergabeordner, nicht in den Kopf des scheidenden Beauftragten. Jede offene Frist erhält einen Verantwortlichen, einen Stand und einen Termin beim Nachfolger.

Ein Wechsel gelingt, wenn Bestellurkunde, Übergabeprotokoll, Behördenanzeigen und Fristenkalender an einem Ort liegen. Genau dort endet der Excel-Ordner und beginnt die Frage nach dem System. Eine geeignete Plattform führt Aufgaben, Schulungen, Audits und Dokumentation je Beauftragten-Rolle in einer Oberfläche. Wiederkehrende Zyklen sorgen dafür, dass aus der Arbeit des letzten Quartals der Startpunkt für das nächste wird. Beim Wechsel heißt das: Der Nachfolger übernimmt keinen Schreibtisch voller Papier, sondern einen laufenden, dokumentierten Aufgabenbestand.

Sie haben zwei Wege, beide auf derselben Plattform. Sie lizenzieren den CIVAC Workspace für Ihre eigenen Beauftragten. Oder Sie bestellen über das Modell Externe Beauftragte zertifizierte Fachleute, die das Mandat auf der Plattform führen. Bei diesem Weg bleibt die Rolle ohne Vakanz besetzt, weil Bestellung und Plattform aus einer Hand kommen. Die Abdeckung umfasst 77 Beauftragten-Rollen, von Datenschutz und Informationssicherheit bis Gefahrgut und Meldestelle. Der Workspace startet bei 49 € pro Officer-Rolle und Monat.

Das Ergebnis ist eine lückenlose Nachweiskette: Bestellurkunde, Übergabeprotokoll, Anzeigen und Fristen liegen belegbar abgelegt vor. Bei einer Prüfung legen Sie sie vor. Sie rekonstruieren sie nicht. Das ist der Unterschied zwischen Compliance betreiben und Compliance behaupten. Wir übernehmen die Beauftragten-Rollen. Sie führen Ihr Unternehmen.

Bei der Datenschutzbeauftragten ja: Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen, in der Regel über das Online-Formular der Landesbehörde. NIS-2-betroffene Unternehmen übermitteln Änderungen wie den Wechsel der Kontaktperson spätestens nach zwei Wochen über das BSI-Portal. Beim Gefahrgutbeauftragten genügt die Bekanntgabe des Namens auf Verlangen der zuständigen Behörde nach § 9 Abs. 4 GbV.

Der neue Beauftragte muss bestellt sein, bevor der alte ausscheidet. In der Praxis bewährt sich eine vertragliche Überlappung von zwei bis vier Wochen für die Übergabe. Wichtig: Die Kündigung des Dienstleistungsvertrags beendet die datenschutzrechtliche Bestellung nicht automatisch, beide Akte sind formal getrennt zu beenden.

Verarbeitungsverzeichnis, technisch-organisatorische Maßnahmen, Datenschutz-Folgenabschätzungen, Auftragsverarbeitungsverträge, Datenschutzerklärungen sowie alle Protokolle zu Datenpannen und Betroffenenanfragen. Die im Rahmen der Tätigkeit erstellten Dokumente gehören dem Unternehmen, nicht dem Beauftragten; eine Herausgabeverweigerung ist durchsetzbar.

Bei Betriebsärzten und Fachkräften für Arbeitssicherheit ja: Nach § 9 Abs. 3 ASiG sind sie nur mit Zustimmung des Betriebsrats zu bestellen und abzuberufen; vor der Verpflichtung oder Entpflichtung externer Dienstleister ist der Betriebsrat zu hören. Bei der Bestellung eines externen DSB besteht in der Regel kein Mitbestimmungsrecht.

Alle: Datenpannen sind binnen 72 Stunden nach Art. 33 DSGVO zu melden, NIS-2-Vorfälle an das BSI in 24 und 72 Stunden mit Abschlussmeldung nach 30 Tagen, und die interne Meldestelle bestätigt Hinweise nach § 17 HinSchG binnen sieben Tagen mit Rückmeldung binnen drei Monaten. Diese Fristen ruhen nicht, weil gerade gewechselt wird.

Die Bestellung erfolgt in Textform nach § 3 GbV, der Name ist allen Mitarbeitern bekannt zu geben. Der Nachfolger muss Inhaber eines gültigen IHK-Schulungsnachweises sein, der fünf Jahre gilt. Aufzeichnungen und Jahresberichte des Vorgängers sind vom Unternehmer fünf Jahre aufzubewahren und der Behörde auf Verlangen vorzulegen.

Nein. Ein Unternehmen mit Benennungspflicht nach Art. 37 DSGVO oder § 38 Abs. 1 Satz 1 BDSG darf zu keinem Zeitpunkt ohne Datenschutzbeauftragten sein. Die Benennung hat unverzüglich mit Entstehung der Pflicht zu erfolgen; eine gesetzliche Nachfrist für die Neubenennung existiert nicht.

Planen Sie eine Überlappung von zwei bis vier Wochen ein, in der alter und neuer Beauftragter gemeinsam übergeben. Der Nachfolger braucht am ersten Tag den vollständigen Fristenkalender, die offenen Vorgänge und die Systemzugänge, nicht eine Einführung in drei Monaten. Laufende Verfahren wie HinSchG-Meldungen mit Sieben-Tage- und Drei-Monats-Fristen dulden keine Einarbeitungsphase.