Der Datenschutzkoordinator: Aufgaben und Abgrenzung zum DSB

Der Begriff Datenschutzkoordinator taucht weder in der DSGVO noch im BDSG auf. Es gibt keine Bestellpflicht, keine Qualifikationsvorgabe, keine Bußgeldnorm, die die Rolle direkt adressiert. Der Koordinator ist eine rein betrieblich geschaffene Funktion, die Unternehmen freiwillig einrichten, um ihre Datenschutzorganisation zu skalieren. Genau diese Freiwilligkeit ist der Vorteil und die Falle zugleich: Wer die Rolle ohne klare Abgrenzung zum Datenschutzbeauftragten einführt, schafft Rechtsunsicherheit statt Entlastung.

Der rechtliche Anknüpfungspunkt existiert trotzdem. Art. 38 Abs. 2 DSGVO verpflichtet den Verantwortlichen, den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben zu unterstützen: durch die erforderlichen Ressourcen, ausreichend Personal, den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie Mittel zur Erhaltung des Fachwissens. Datenschutzkoordinatoren sind die praktische Umsetzung dieser Unterstützungspflicht. Sie sind personelle Ressource, nicht gesetzliches Organ.

Ein DSB, der allein für zwanzig Fachbereiche, mehrere Standorte und drei Landesgesellschaften zuständig ist, wird zum Einzelkämpfer. Die Praxis zeigt: Je größer und dezentraler die Organisation, desto dringender die Frage nach Koordinatoren in den Fachbereichen. In großen Unternehmen und Unternehmensgruppen ist es sogar sinnvoll, mehrere Datenschutzkoordinatoren zu benennen, um Aufgaben zu verteilen und Vorgaben intern zu kommunizieren. Und beim Einsatz eines externen Datenschutzbeauftragten sind Koordinatoren als notwendige Schnittstelle zwischen Unternehmen und DSB anzusehen.

Der Datenschutzbeauftragte hat eine gesetzliche Rolle mit definierten Rechten und Pflichten. Der Koordinator hat keine. Diese Asymmetrie ist keine Formalie, sie entscheidet über Haftung, Weisungsgebundenheit und Kündigungsschutz. Wer die beiden Rollen vermischt, riskiert im Streitfall sowohl arbeitsrechtliche Auseinandersetzungen als auch Beanstandungen der Aufsichtsbehörde.

Die Weisungsfreiheit nach Art. 38 Abs. 3 DSGVO, das Benachteiligungsverbot und der Sonderkündigungsschutz gelten ausschließlich für den DSB. Der Koordinator handelt weisungsgebunden und ohne diesen Schutz. Umgekehrt gilt: Der Koordinator darf nicht stillschweigend zum DSB werden. Das LAG Niedersachsen (Az. 9 Sa 608/19) hat entschieden, dass sich die DSB-Stellung nicht allein durch die eigenverantwortliche Wahrnehmung datenschutzrechtlicher Aufgaben begründet. Erforderlich ist, dass sämtliche Aufgaben mit der damit verbundenen Rechtsstellung, auch gegenüber der Aufsichtsbehörde, übernommen werden. Wer einem Mitarbeiter schleichend DSB-Aufgaben überlässt, ohne ihn zu bestellen, schafft eine faktische Rolle ohne rechtlichen Rahmen.

Die Konsequenz für die Praxis: Jede Aufgabe, die der Koordinator übernimmt, braucht eine schriftliche Zuordnung. Die Rechtsstellung des DSB bleibt unantastbar. Details zur gesetzlichen Rolle finden Sie in unserer Übersicht zum Datenschutzbeauftragten.

Die Grundregel lautet: Alles, was Umsetzung und Standardprozess ist, kann wandern. Die Verantwortung für die Einhaltung der DSGVO bleibt beim Verantwortlichen, nicht beim DSB und nicht beim Koordinator. Art. 24 Abs. 1 DSGVO stellt ausdrücklich klar, dass der Verantwortliche sicherzustellen und nachzuweisen hat, dass die Verarbeitung den Vorschriften entspricht. Der Koordinator entlastet also den DSB operativ, die Rechenschaftspflicht verschiebt sich dadurch nicht.

Diese Aufgabenliste ist kein Mangel an Verantwortung, sondern deren Voraussetzung. Der Koordinator kennt die Prozesse, Systeme und Ansprechpartner seines Fachbereichs. Der DSB kann diese Detailtiefe bei zwanzig Abteilungen nicht leisten. Die Arbeitsteilung funktioniert nur, wenn der Koordinator die Informationen beschafft und der DSB sie fachlich einordnet.

Die Überwachungs- und Beratungsfunktion bleibt beim DSB. Sie ist der Kern seiner Unabhängigkeit und der Grund, warum das Gesetz ihn weisungsfrei gestellt hat. Artikel 39 DSGVO zählt die Aufgaben abschließend auf, die beim bestellten Beauftragten verbleiben. Eine ausführliche Einordnung der einzelnen Pflichten finden Sie in unserem Beitrag zu den Aufgaben nach Art. 39 DSGVO.

Bei Datenschutzvorfällen gilt eine klare Trennung: Der Koordinator erfasst den Sachverhalt und sammelt intern die Informationen. Die Risikobewertung im Einzelfall obliegt dem DSB. Der Koordinator liefert Fakten, bewertet nicht. Diese Linie darf auch zeitlich nicht weich werden: Wenn der Koordinator unter Druck die Schwere eines Vorfalls selbst einschätzt und Meldungen zurückhält, hat die Organisation effektiv einen zweiten, weisungsgebundenen DSB geschaffen. Das ist genau die Konstellation, die Art. 38 DSGVO ausschließen will.

Der Koordinator darf den DSB entlasten, aber nicht einschränken. Art. 38 Abs. 6 DSGVO erlaubt dem Verantwortlichen, dem DSB zusätzliche Aufgaben zu übertragen, schließt aber Interessenkonflikte aus. Die zu Kontrollierenden dürfen nicht zu Kontrolleuren werden. Das gilt erst recht für eine Koordinatorenstruktur, die dem DSB Aufgaben abnimmt: Sie darf ihm nie die Kontrolle über seine eigenen Prüfgegenstände geben.

Diese Konfliktfelder nennt die Aufsichtsaufsicht ausdrücklich: Wer Verarbeitungen bestimmt oder wesentlich beeinflusst, kann sie nicht zugleich überwachen. Auf Koordinatoren übertragen heißt das: Ein Koordinator darf in seinem Fachbereich umsetzen und dokumentieren, aber der DSB behält die Prüfungskompetenz über genau diesen Bereich. Wird der Koordinator selbst zum Bestimmer von Zwecken und Mitteln der Verarbeitung, braucht es eine dokumentierte Lösung, wie der DSB ihn dennoch kontrolliert.

Zweite harte Grenze: der Berichtsweg. Der DSB berichtet unmittelbar an die höchste Managementebene, Art. 38 Abs. 3 Satz 3 DSGVO. Dieser Weg darf nicht über den Koordinator geführt oder gefiltert werden. Ein Koordinator, der DSB-Berichte redaktioniert, kürzt oder priorisiert, verletzt die Organisationsverfassung der DSGVO. Koordinatoren berichten an den DSB, nicht umgekehrt.

Was nicht schriftlich getrennt ist, gilt vor der Aufsichtsbehörde als nicht getrennt. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt, dass der Verantwortliche die Einhaltung der Datenschutzprinzipien nachweisen kann. Dazu gehört auch der Nachweis, wer im Unternehmen welche Aufgabe trägt und wie die Aufgabenteilung zwischen DSB und Koordinatoren funktioniert. Die DSK empfiehlt ohnehin, jede Benennung dokumentiert abzulegen, aus Beweisgründen und zur Rechtssicherheit.

Die Rolle muss verankert und beschrieben sein, sonst wird sie im Streitfall zur offenen Frage: Werden Stellung und Aufgaben nicht eindeutig verteilt, landet die Abgrenzung schnell im Kündigungsprozess. Und die DSB-Bestellung bleibt ein eigener Akt: namentlich, dokumentiert, der Aufsichtsbehörde gemeldet. Verstöße gegen die Vorschriften zu Art. 37 bis 39 DSGVO, etwa die unzureichende Unterstützung des DSB, sind nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbuße bedroht. Die Aufsichtsbehörde liest im Prüfverfahren keine Organisationscharts, sondern Dokumente. Eine saubere Rollenbeschreibung ist das billigste Bußgeld-Präventivmittel, das es gibt.

Die Schnittstelle lebt vom Takt, nicht vom Organigramm. Eine Rollenbeschreibung im Ordner rettet keine Datenschutzorganisation, die im Tagesgeschäft untergeht. Was trägt, ist ein fester Rhythmus zwischen DSB und Koordinatoren und ein Kanal, der die Anfragen aus den Fachbereichen bündelt, statt sie im Postfach des DSB zu sammeln. Genau das ist der Alltag der Rolle: Betroffenen- und Auskunftsanfragen koordinieren, Datenschutzvorfälle erfassen und begleiten, Anfragen der Fachabteilungen beantworten und sich dabei frühzeitig mit dem DSB abstimmen.

Gerade bei einem externen DSB ist der Koordinator unverzichtbar. Der externe Beauftragte kennt das Recht, der Koordinator kennt das Unternehmen. Ohne dieses Bindeglied bleiben Empfehlungen liegen. Ob Sie den DSB intern besetzen oder extern bestellen, hängt von Größe, Struktur und Ressourcen ab; die Abwägung zwischen internem und externem DSB haben wir separat aufbereitet.

Beide Rollen brauchen dieselbe Grundlage: Aufgaben, Fristen und Nachweise an einem Ort. Genau dafür ist der CIVAC Workspace gebaut. Er hält die Aufgaben der Koordinatoren, die Fristen des DSB und die Dokumentation der Aufgabenteilung in einer Oberfläche, auditfest ablegbar. Wenn die Aufsichtsbehörde im Zweifel die Schnittstelle lesen will, liegt sie unterschrieben und datiert vor. Datenschutzorganisation ist kein Organigramm, sondern ein Betrieb. Und ein Betrieb braucht ein System.

Nein. Weder die DSGVO noch das BDSG kennen den Begriff. Die Rolle ist eine unternehmensintern geschaffene Ergänzung zum Datenschutzbeauftragten. Ihr rechtlicher Anknüpfungspunkt ist die Unterstützungspflicht aus Art. 38 Abs. 2 DSGVO: Der Verantwortliche muss dem DSB die erforderlichen Ressourcen, auch personelle, zur Verfügung stellen.

Nein. Nach § 38 Abs. 1 BDSG muss eine Stelle, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, einen Datenschutzbeauftragten benennen. Der Koordinator übernimmt operative Umsetzung, aber keine Überwachungs- und Beratungsfunktion nach Art. 39 DSGVO.

Delegierbar sind Standardprozesse und Umsetzungsaufgaben: Pflege des Verzeichnisses von Verarbeitungstätigkeiten, Vorfilterung von Betroffenenanfragen nach festgelegten Verfahren, AVV-Management, Werbewiderspruch, Verpflichtung auf das Datengeheimnis, Schulungskoordination und regelmäßiges Reporting an den DSB.

Nicht delegierbar sind die Kernpflichten aus Art. 39 Abs. 1 DSGVO: Unterrichtung und Beratung, Überwachung der Einhaltung inklusive der diesbezüglichen Überprüfungen, Beratung zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sowie Zusammenarbeit mit der Aufsichtsbehörde und Tätigkeit als deren Anlaufstelle. Auch die Risikobewertung von Datenschutzvorfällen bleibt beim DSB.

Ja. Der Koordinator ist eine weisungsgebundene betriebliche Rolle ohne Sonderkündigungsschutz. Das LAG Niedersachsen (Az. 9 Sa 608/19) hat klargestellt, dass die DSB-Stellung nicht allein durch die eigenverantwortliche Wahrnehmung datenschutzrechtlicher Aufgaben entsteht - entscheidend ist die Übernahme der gesamten Rechtsstellung inklusive der Funktion gegenüber der Aufsichtsbehörde.

Der Koordinator darf liefern und vorfiltern, aber nicht bestimmen. Wer Verarbeitungen wesentlich beeinflusst, scheidet als DSB aus (Art. 38 Abs. 6 DSGVO). Der unmittelbare Berichtsweg des DSB an die höchste Managementebene nach Art. 38 Abs. 3 Satz 3 DSGVO darf nicht über den Koordinator geführt oder gefiltert werden.

Schriftlich und getrennt: eine interne Rollenbeschreibung mit Aufgabenkatalog, Melde- und Eskalationswegen für den Koordinator, die separate Bestellurkunde für den DSB. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt Nachweisbarkeit der Aufgabenteilung - und Verstöße gegen Art. 37 bis 39 DSGVO sind nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt.

In großen Unternehmen und Unternehmensgruppen mit vielen Abteilungen oder Standorten. Der DSB kann nicht in jeder Teambesprechung von HR, IT, Marketing und Sales sitzen. Ein fester Ansprechpartner pro Fachbereich kanalisiert Anfragen, leitet relevante Themen weiter und wird in die Aufklärung von Datenpannen eingebunden - das entlastet den DSB und verkürzt die Reaktionszeiten.