Datenschutzbeauftragter: intern oder extern bestellen – was passt für Ihr Unternehmen?

Die Pflicht zur Bestellung eines Datenschutzbeauftragten (DSB) ergibt sich in Deutschland aus Art. 37 DSGVO und § 38 BDSG. Die Regelungen greifen in drei Konstellationen: Erstens, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zweitens, wenn das Kerngeschäft in der Verarbeitung besonderer Kategorien personenbezogener Daten besteht (Gesundheit, biometrische Daten, politische Meinungen, religiöse Überzeugungen etc.). Drittens, wenn das Kerngeschäft die umfangreiche, systematische Überwachung von Personen beinhaltet.

Die 20-Personen-Schwelle gilt nicht für alle Mitarbeiter im Unternehmen, sondern nur für jene, die tatsächlich mit der automatisierten Datenverarbeitung befasst sind. Auch Teilzeitkräfte und externe Dienstleister zählen dazu, wenn sie regelmäßig mit Kundendaten, Personalakten oder ähnlichen Informationen arbeiten.

Selbst wenn keine gesetzliche Pflicht besteht, kann eine freiwillige Bestellung sinnvoll sein – sie signalisiert Kunden und Geschäftspartnern Datenschutzreife und kann bei Ausschreibungen und Audits entscheidend sein.

Der DSB ist kein Kontrolleur, der die Arbeit blockiert, sondern ein interner Berater, der Verarbeitungstätigkeiten datenschutzkonform gestaltet. Seine Kernaufgaben nach Art. 39 DSGVO umfassen die Unterrichtung und Beratung der Verantwortlichen und der Mitarbeiter über ihre Datenschutzpflichten, die Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften, die Beratung bei Datenschutz-Folgenabschätzungen (DSFA) sowie die Zusammenarbeit mit der Aufsichtsbehörde.

Darüber hinaus ist der DSB Anlaufstelle für Betroffene, also für Kunden, Mitarbeiter oder andere Personen, deren Daten verarbeitet werden. Er beantwortet Auskunftsersuchen, begleitet Löschanfragen und vermittelt bei Beschwerden. Eine zentrale, gut zugängliche Kontaktmöglichkeit für den DSB ist nicht nur gesetzlich vorgeschrieben, sondern auch aus Sicht des Kundenvertrauens wertvoll.

Der DSB muss außerdem Schulungen planen und durchführen, um das Datenschutzbewusstsein im gesamten Unternehmen auf einem aktuellen Stand zu halten. Gerade bei der Einführung neuer Software, Prozesse oder Dienstleister ist seine frühzeitige Einbindung entscheidend, um teure Nachbesserungen zu vermeiden.

Die Wahl des externen DSB ist eine Entscheidung mit langfristiger Wirkung. Wichtigste Kriterien: Der DSB muss die notwendige Fachkunde besitzen (Art. 37 Abs. 5 DSGVO) – das umfasst juristisches Datenschutzwissen ebenso wie Kenntnisse der eingesetzten Technologien und der Branche. Ein Zertifikat allein ist kein Qualitätsmerkmal; entscheidend ist nachweisliche Praxiserfahrung.

Der Vertrag mit dem externen DSB sollte die konkreten Leistungspflichten (Beratungsstunden, Reaktionszeiten, regelmäßige Audits, Schulungsangebote), die Haftungsregelung, die Verschwiegenheitspflicht, die Vergütung und die Kündigungsmodalitäten präzise regeln. Ein pauschaler Dienstleistungsvertrag ohne messbare Leistungsindikatoren ist erfahrungsgemäß eine schlechte Basis.

Fragen Sie bei der Auswahl: Wie viele Mandate betreut der DSB gleichzeitig? Wie schnell reagiert er auf dringende Anfragen? Hat er Erfahrung in Ihrer Branche? Kann er Referenzen vorweisen? Bietet er auch Mitarbeiterschulungen an? Ein guter externer DSB ist kein Briefkasten für Datenschutzfragen, sondern ein aktiver Partner.