Datenschutzbeauftragter
Datenpannen, DSFA, AV-Prüfungen, Verarbeitungsverzeichnisse, Datenschutzerklärungen. Extern bestellt oder im eigenen Team geführt, die 72-Stunden-Frist läuft immer.
Art. 37 DSGVO · § 38 BDSG
Datenschutzbeauftragter: Mit uns sprechen
Drei Zeilen und Sie sind in unserem Posteingang. Antwort innerhalb eines Werktags.
Was macht ein Datenschutzbeauftragter?
Der Datenschutzbeauftragte (DSB) überwacht die Einhaltung der DSGVO und des BDSG im Unternehmen. Er ist die Schnittstelle zwischen Geschäftsleitung, Betroffenen und der Aufsichtsbehörde. Nach Art. 39 DSGVO umfasst sein Aufgabenkatalog die Unterrichtung und Beratung der Verantwortlichen, die Überwachung der Einhaltung datenschutzrechtlicher Vorschriften, die Beratung bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO sowie die Zusammenarbeit mit der Aufsichtsbehörde.
Der DSB ist keine entscheidende Instanz, sondern eine beratende und kontrollierende Funktion. Die datenschutzrechtliche Verantwortung verbleibt bei der Geschäftsleitung als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Trotzdem ist die Position weisungsfrei: Art. 38 Abs. 3 DSGVO untersagt es dem Arbeitgeber ausdrücklich, dem DSB Anweisungen zur Erfüllung seiner Aufgaben zu erteilen.
In der Praxis erledigt der Datenschutzbeauftragte konkrete Aufgaben: Pflege des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO, Prüfung von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO, Erstellung und Aktualisierung von Datenschutzerklärungen, Schulung der Mitarbeiter, Bearbeitung von Datenpannen innerhalb der 72-Stunden-Frist nach Art. 33 DSGVO und Begleitung von Betroffenenanfragen nach Art. 15 bis 22 DSGVO. Bei größeren Unternehmen kommen Audits von Dienstleistern, Tool-Bewertungen und die Mitwirkung an Datenschutz-Folgenabschätzungen hinzu.
Die Bestellung selbst folgt zwei Normen nebeneinander. Art. 37 Abs. 1 DSGVO knüpft an die Art der Tätigkeit an, § 38 Abs. 1 BDSG an die Zahl der Beschäftigten, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen, was in der Praxis regelmäßig vergessen wird und bei einer Prüfung sofort auffällt. Art. 38 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die zur Aufgabenerfüllung erforderlichen Ressourcen und den Zugang zu den Verarbeitungsvorgängen bereitzustellen. Art. 38 Abs. 6 DSGVO erlaubt weitere Aufgaben nur, solange daraus kein Interessenkonflikt entsteht, was Leitungsfunktionen in IT, Personal oder Marketing praktisch ausschließt. Der Abberufungsschutz folgt aus Art. 38 Abs. 3 DSGVO und über § 38 Abs. 2 BDSG aus § 6 Abs. 4 BDSG; bei nichtöffentlichen Stellen greift er nur, wenn die Benennung verpflichtend ist, und der Kündigungsschutz setzt ein Arbeitsverhältnis voraus. Nach Art. 39 Abs. 2 DSGVO arbeitet der DSB risikoorientiert, er priorisiert also nach dem Risiko der Verarbeitung und nicht nach Zuruf.
Aufgaben des Datenschutzbeauftragten
- Unterrichtung und Beratung der Verantwortlichen sowie aller datenverarbeitenden Beschäftigten (Art. 39 Abs. 1 lit. a DSGVO).
- Überwachung der Einhaltung von DSGVO, BDSG und internen Datenschutzrichtlinien.
- Unterstützung des Verantwortlichen bei Aufbau und Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten, das nach Art. 30 Abs. 1 DSGVO der Verantwortliche führt.
- Prüfung von Auftragsverarbeitungsverträgen (AVV) nach Art. 28 DSGVO und Beratung des Verantwortlichen, bei dem die Freigabe bleibt.
- Beratung bei Datenschutz-Folgenabschätzungen (DSFA) für risikobehaftete Verarbeitungen nach Art. 35 DSGVO.
- Begleitung von Datenpannen einschließlich der Meldung, die nach Art. 33 Abs. 1 DSGVO der Verantwortliche binnen 72 Stunden an die Aufsichtsbehörde abgibt.
- Überwachung der Bearbeitung von Betroffenenrechten nach Art. 15 bis 22 DSGVO (Auskunft, Berichtigung, Löschung, Widerspruch).
- Durchführung regelmäßiger Datenschutz-Schulungen für alle Mitarbeiter mit Zugriff auf personenbezogene Daten.
- Anlaufstelle für die zuständige Aufsichtsbehörde und Begleitung behördlicher Prüfungen.
- Jährlicher Tätigkeitsbericht an die Geschäftsleitung mit Risikolage und Verbesserungsempfehlungen.
Bestellung und Voraussetzungen
Die Bestellung eines Datenschutzbeauftragten ergibt sich aus zwei parallelen Normen. Art. 37 Abs. 1 DSGVO verpflichtet zur Bestellung, wenn die Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht oder umfangreich besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden. § 38 Abs. 1 BDSG erweitert die Pflicht: Sobald in einem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ist die Benennung verpflichtend. § 38 Abs. 1 Satz 2 BDSG greift unabhängig von der Beschäftigtenzahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
Eine Form schreibt die DSGVO für die Benennung nicht vor; in der Praxis wird sie schriftlich dokumentiert und benennt Position und Aufgabenbereich. Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Der DSB kann intern aus dem eigenen Personal benannt werden oder extern auf Basis eines Dienstleistungsvertrags. Art. 37 Abs. 6 DSGVO lässt beide Modelle ausdrücklich zu. Die berufliche Qualifikation muss dem Risiko der Verarbeitung angemessen sein: nachweisbare Fachkenntnisse im Datenschutzrecht und in IT-Sicherheit sind zwingend, Zertifikate wie der TÜV-DSB oder GDDcert sind branchenüblich, aber keine gesetzliche Voraussetzung.
- Ab 20 Personen, die beim Verantwortlichen oder Auftragsverarbeiter ständig mit automatisierter Verarbeitung personenbezogener Daten befasst sind (§ 38 Abs. 1 Satz 1 BDSG).
- Bei Kerntätigkeit umfangreiche regelmäßige Überwachung von Betroffenen (Art. 37 Abs. 1 lit. b DSGVO).
- Wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 oder strafrechtlicher Daten nach Art. 10 DSGVO besteht (Art. 37 Abs. 1 lit. c DSGVO).
- Bei öffentlichen Stellen unabhängig von Größe (Art. 37 Abs. 1 lit. a DSGVO).
- Unabhängig von der Beschäftigtenzahl bei Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung sowie bei geschäftsmäßiger Übermittlung oder Markt- und Meinungsforschung (§ 38 Abs. 1 Satz 2 BDSG).
- Auf freiwilliger Basis sinnvoll für jedes Unternehmen mit substanziellem Datenschutzrisiko.
Typische Branchen mit DSB-Pflicht
- Gesundheitswesen (Praxen, Krankenhäuser, Pflege)
- Banken, Versicherungen, Finanzdienstleister
- Personalvermittlung, HR-Tech, Recruiting
- Online-Marketing, AdTech, Marktforschung
- Telekommunikation und Internetdienste
- E-Commerce und Online-Plattformen
- Mittelstand mit zentraler IT (Industrie, Handel, Logistik)
- Öffentliche Verwaltung und kommunale Betriebe
- Bildungseinrichtungen ab Schulträger-Ebene
- SaaS- und Cloud-Anbieter (typischerweise als Auftragsverarbeiter)
Wie CIVAC den Datenschutzbeauftragten unterstützt
CIVAC bietet beide Modelle in einer Plattform: externe DSB-Bestellung oder Lizenzierung des Workspaces für Ihren internen Datenschutzbeauftragten. Innerhalb von 48 Stunden ist Ihr Mandat aufgenommen, die schriftliche Bestellung dokumentiert und der Workspace produktiv.
Der Workspace deckt jede Pflichtaufgabe ab: Verzeichnis von Verarbeitungstätigkeiten mit Versionierung, AVV-Vorlagen nach Art. 28 DSGVO, geführte DSFA nach Art. 35 DSGVO, Datenpannen-Workflow mit der 72-Stunden-Frist und automatischen Meldepfaden, Schulungs-Bibliothek mit Nachweisführung sowie ein Append-Only-Audit-Trail, der jedem Inspektor standhält. Die Meldung der Kontaktdaten an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO wird als Aufgabe angelegt und dokumentiert, statt nach der Bestellung liegen zu bleiben. Betroffenenanfragen laufen mit der Monatsfrist des Art. 12 Abs. 3 DSGVO als terminierte Vorgänge, und der Jahresbericht an die Geschäftsleitung entsteht aus demselben Datenbestand.
Häufige Fragen zum Datenschutzbeauftragten
Diese Rolle für Ihr Unternehmen besetzen?
Bestellen Sie unsere Experten als externe Beauftragten oder lizenzieren Sie CIVAC für Ihr eigenes Team. Wir besprechen mit Ihnen, was zu Ihrem Aufbau passt.