Datenschutzbeauftragter: intern oder extern bestellen?
Kurz gesagt
Wer mindestens 20 Personen regelmäßig mit automatisierter Datenverarbeitung beschäftigt oder im Kerngeschäft sensible Daten verarbeitet, braucht einen Datenschutzbeauftragten. Für die meisten KMU ist ein externer Datenschutzbeauftragter die wirtschaftlich und rechtlich sicherere Wahl.
Wann die Pflicht greift
Die Bestellpflicht ergibt sich aus Art. 37 DSGVO und § 38 BDSG und greift in drei Fällen: bei mindestens 20 Personen in der automatisierten Datenverarbeitung, bei einem Kerngeschäft mit besonderen Datenkategorien wie Gesundheits- oder biometrischen Daten, oder bei umfangreicher, systematischer Überwachung von Personen. Auch ohne gesetzliche Pflicht kann eine freiwillige Bestellung sinnvoll sein — sie signalisiert Datenschutzreife gegenüber Kunden und ist bei Ausschreibungen oft ein Vorteil.
Was der Datenschutzbeauftragte tatsächlich tut
Der Datenschutzbeauftragte ist kein Kontrolleur, der die Arbeit blockiert, sondern berät Verantwortliche und Mitarbeitende zu ihren Pflichten, überwacht die Einhaltung der DSGVO, unterstützt bei Folgenabschätzungen und ist Ansprechpartner für die Aufsichtsbehörde. Ebenso wichtig: Er ist Anlaufstelle für Betroffene — beantwortet Auskunftsersuchen, begleitet Löschanfragen und vermittelt bei Beschwerden. Bei der Einführung neuer Software oder Prozesse ist seine frühzeitige Einbindung entscheidend, um teure Nachbesserungen zu vermeiden.
Interner Datenschutzbeauftragter — Vor- und Nachteile
- Vorteil: Kenntnis der internen Abläufe und Unternehmenskultur.
- Vorteil: unmittelbare Verfügbarkeit und kurze Kommunikationswege.
- Vorteil: geringere laufende Kosten bei ausreichender interner Kapazität.
- Risiko: Interessenkonflikt bei unvereinbaren Funktionen, etwa wenn die IT-Leitung gleichzeitig Datenschutzbeauftragte wird.
- Risiko: Haftung des Unternehmens bei Fehlern des internen Datenschutzbeauftragten.
- Risiko: Kapazitätsprobleme, wenn Datenschutz zur Nebenbei-Aufgabe wird.
- Risiko: besonderer Abberufungsschutz gilt auch intern und kann organisatorisch unbequem sein.
Externer Datenschutzbeauftragter — Vor- und Nachteile
- Vorteil: vollständige Unabhängigkeit, kein interner Interessenkonflikt möglich.
- Vorteil: spezialisiertes Fachwissen und aktuelle Rechtskenntnisse.
- Vorteil: eigene Haftungsversicherung schützt das Unternehmen.
- Vorteil: skalierbar, der Leistungsumfang lässt sich flexibel anpassen.
- Nachteil: höhere laufende Kosten als ein nebenbei tätiger interner Datenschutzbeauftragter.
- Nachteil: anfangs weniger Kenntnis der spezifischen Unternehmensabläufe.
Worauf bei der Auswahl zu achten ist
Der Datenschutzbeauftragte muss über die notwendige Fachkunde verfügen — juristisches Datenschutzwissen ebenso wie Kenntnis der eingesetzten Technologien. Ein Zertifikat allein ist dabei kein Qualitätsmerkmal, entscheidend ist nachweisliche Praxiserfahrung. Der Vertrag sollte konkrete Leistungspflichten regeln: Beratungsstunden, Reaktionszeiten, regelmäßige Audits und Schulungsangebote. Sinnvolle Fragen bei der Auswahl sind: Wie viele Mandate betreut die Person parallel? Wie schnell erfolgt eine Reaktion auf dringende Anfragen? Gibt es Erfahrung in der eigenen Branche? Bietet die Person auch Mitarbeiterschulungen an?
Formale Anforderungen an die Bestellung
Die Bestellung muss schriftlich erfolgen und die Aufgaben klar definieren — eine formlose E-Mail reicht nicht. Der Datenschutzbeauftragte muss der zuständigen Aufsichtsbehörde gemeldet werden, und seine Kontaktdaten gehören ins Impressum sowie in die Datenschutzerklärung der Website, damit Betroffene ihn direkt erreichen können. Ein bestellter Datenschutzbeauftragter darf wegen der Ausübung seiner Aufgaben nicht abberufen oder benachteiligt werden — das gilt intern wie extern.