Datenschutzbeauftragter: Bestellung und Aufgaben

Ob Behörde, öffentlicher Auftraggeber oder IT-Dienstleister für die öffentliche Hand: Die Frage, ob und wie ein Datenschutzbeauftragter zu bestellen ist, taucht bei uns in Seminaren ständig auf. Gleichzeitig ist das Haftungsrisiko hoch, wenn du die Vorgaben aus DSGVO und BDSG ignorierst oder den DSB nur „auf dem Papier“ hast.

Wann ein Datenschutzbeauftragter Pflicht ist

Die Pflicht zur Benennung eines Datenschutzbeauftragten ergibt sich in Deutschland aus Art. 37 DSGVO und ergänzend aus § 5 BDSG.

Du musst einen DSB benennen, wenn mindestens einer der folgenden Punkte erfüllt ist:

1. Behörde oder öffentliche Stelle Alle Behörden und öffentlichen Stellen im Sinne der DSGVO brauchen einen DSB, ausgenommen sind nur Gerichte, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln. Das ergibt sich unmittelbar aus Art. 37 Abs. 1 Buchst. a DSGVO.

2. Kerntätigkeit: umfangreiche regelmäßige Überwachung Beispiel:

• Verkehrsüberwachung mit Kennzeichenerfassung
• Videoüberwachung in großem Umfang
• Auswertung von Nutzungsdaten in Bürgerportalen
• umfassende Monitoring‑Funktionen in Fachverfahren Dann greift Art. 37 Abs. 1 Buchst. b DSGVO.

3. Kerntätigkeit: umfangreiche Verarbeitung besonderer Kategorien von Daten Etwa Gesundheitsdaten, Daten zur politischen Meinung oder zur Gewerkschaftszugehörigkeit. Typisch sind Gesundheitsämter, Sozialleistungsträger oder bestimmte Forschungseinrichtungen. Rechtsgrundlage ist Art. 37 Abs. 1 Buchst. c DSGVO.

4. Spezialfall Deutschland: § 38 BDSG für Unternehmen Hier wird die EU‑Vorgabe verschärft:

• Regelmäßig mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt oder
• Verarbeitung, die einer Datenschutz‑Folgenabschätzung nach Art. 35 DSGVO unterliegt oder
• geschäftsmäßige Verarbeitung für Zwecke der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt‑ oder Meinungsforschung.

Für Behörden und öffentliche Stellen ist die Pflicht also praktisch immer gegeben. Für Unternehmen, die für öffentliche Auftraggeber tätig sind, musst du genau prüfen, ob einer der BDSG‑Tatbestände erfüllt ist. In der Praxis ist das häufig der Fall, sobald ein gewisser Organisationsgrad und IT‑Einsatz erreicht ist.

Typische Fehler in der Praxis

• Es wird kein DSB benannt, obwohl die Behörde eindeutig unter Art. 37 Abs. 1 DSGVO fällt.
• Ein Unternehmen geht davon aus, dass „20 Personen“ die gesamte Belegschaft meint. Entscheidend sind aber die Beschäftigten, die ständig mit automatisierter Verarbeitung arbeiten.
• Man meint, ein externer Dienstleister „zählt mit“, um auf 20 Personen zu kommen. Die Grenze bezieht sich aber auf dein eigenes Unternehmen.

Im Zweifel solltest du die Pflicht zur Benennung eher bejahen. Fehlende Benennung kann eine eigenständige Ordnungswidrigkeit sein.

Interner oder externer Datenschutzbeauftragter?

Hast du festgestellt, dass ein DSB nötig ist, stellt sich die nächste Frage: intern benennen oder extern beauftragen. Beide Varianten sind nach Art. 37 Abs. 6 DSGVO zulässig.

Interner DSB

Der interne DSB ist Beschäftigter deiner Behörde oder deines Unternehmens.

Vorteile:

• Gute Kenntnis der Strukturen, Prozesse und IT‑Landschaft
• Leichte Einbindung in laufende Projekte
• Besseres Verständnis für politische und organisatorische Zwänge

Nachteile:

• Konflikt mit anderen Aufgaben möglich, etwa bei IT‑Leitung, Personal oder Compliance
• Schulungs‑ und Fortbildungsbedarf liegt bei dir
• Persönliche Abhängigkeit von Vorgesetzten kann die Unabhängigkeit beeinträchtigen

Wichtig: Bestimmte Funktionen sind mit der Rolle des DSB nicht vereinbar, weil sonst ein Interessenkonflikt droht. Das betrifft zum Beispiel:

• IT‑Leitung oder CISO, die über Mittel und Zwecke der Datenverarbeitung entscheiden
• Personalchefin oder Personalleiter
• Mitglieder der Geschäftsführung oder Behördenleitung
• Leiter Fachbereich Bürgerbüro, Sozialamt, Gesundheitsamt, wenn dort die Datenverarbeitung gesteuert wird

Externer DSB

Der externe DSB wird als Dienstleister vertraglich beauftragt.

Vorteile:

• Hohe Spezialisierung, aktuelles Fachwissen
• Geringeres Risiko von Interessenkonflikten
• Vertretungsregelungen und Kontinuität bei Krankheit oder Fluktuation intern

Nachteile:

• Weniger spontane Präsenz vor Ort
• Notwendigkeit klarer Kommunikationswege und Zuständigkeiten
• Vertrautheit mit internen Abläufen muss erst aufgebaut werden

Gerade kleinere Kommunen und Unternehmen nutzen häufig externe DSB, weil sie die Rolle intern nicht konfliktfrei besetzen können. Wichtig ist dann ein klarer Vertrag über Aufgaben, Verfügbarkeit, Dokumentation und Berichtspflichten.

Passende Seminare und Termine zu DSGVO, BDSG und Datenschutzorganisation findest du bei uns auf cmt.de.

Formale Bestellung und Abberufung

Die Bestellung muss nach Art. 37 Abs. 7 DSGVO dokumentiert und der Aufsichtsbehörde mitgeteilt werden. Die Behörde veröffentlicht zudem die Kontaktdaten des DSB, etwa auf der Website.

Wichtige Punkte bei der Bestellung:

• Schriftliche Bestellurkunde oder Vertrag
• Beschreibung der Aufgaben nach Art. 39 DSGVO
• Festlegung der organisatorischen Zuordnung, meist direkt zur Behördenleitung oder Geschäftsführung
• Regelung von Vertretung und Stellvertretung
• Vertraulichkeitsverpflichtung und Zugang zu Informationen
• Regelmäßige Fortbildung

Für Beschäftigte im öffentlichen Dienst und Arbeitnehmer gilt ein besonderer Kündigungs‑ und Abberufungsschutz nach § 6 Abs. 4 und 5 BDSG. Eine Abberufung ist nur aus wichtigem Grund möglich. Wer als DSB abberufen wird, genießt in der Regel noch ein Jahr nach Abberufung Kündigungsschutz.

Du solltest die Bestellung daher nicht „leichtfertig“ auf eine Person legen, die nur „irgendwie IT kann“. Fachkunde und persönliche Eignung sind entscheidend.

Aufgaben des Datenschutzbeauftragten

Die Aufgaben sind in Art. 39 DSGVO geregelt und werden durch nationale Vorgaben konkretisiert. In der Praxis hat sich folgende Struktur bewährt:

1. Unterrichtung und Beratung

• Beratung der Leitungsebene und Fachbereiche zu Datenschutzfragen
• Bewertung neuer Projekte und Verfahren
• Prüfung von Verträgen zur Auftragsverarbeitung

2. Überwachung der Einhaltung von DSGVO, BDSG und internen Richtlinien

• Stichproben und Audits
• Prüfung von Verarbeitungsverzeichnissen
• Kontrolle von Löschkonzepten und Berechtigungskonzepten

3. Beratung bei Datenschutz‑Folgenabschätzungen (DSFA)

• Prüfung, ob eine DSFA erforderlich ist
• Unterstützung bei der Durchführung
• Überwachung der Abhilfemaßnahmen

4. Schulung und Sensibilisierung

• Einführungs‑ und Auffrischungsschulungen für Beschäftigte
• Spezielle Trainings für IT, Fachbereiche, Leitung
• Informationsmaterial und Leitfäden

5. Anlaufstelle für Betroffene und Aufsichtsbehörden

• Bearbeitung von Auskunfts‑, Berichtigungs‑ und Löschersuchen
• Kommunikation mit der Aufsichtsbehörde, etwa bei Datenpannen nach Art. 33 DSGVO
• Unterstützung bei Beschwerden von Bürgerinnen und Bürgern

Wichtig ist die Abgrenzung: Der DSB ist nicht für jede Einzelfallentscheidung verantwortlich. Er berät und überwacht. Die Verantwortung für die Rechtmäßigkeit der Verarbeitung bleibt bei der verantwortlichen Stelle, also bei Behörde oder Unternehmen.

Stellung und Unabhängigkeit des DSB

Art. 38 DSGVO schreibt die Stellung des DSB vor. Zentrale Punkte:

• Direkte Berichterstattung an die höchste Managementebene Der DSB muss sich mit der Behördenleitung oder Geschäftsführung austauschen können, nicht nur mit der IT‑Leitung.

• Keine Weisungen in fachlichen Fragen Der DSB darf bei der Erfüllung seiner Aufgaben keinen Weisungen unterliegen. Die Leitung darf also nicht „verordnen“, wie der DSB eine Rechtsfrage zu bewerten hat.

• Ressourcen und Zugang zu Informationen Du musst sicherstellen, dass der DSB Zugang zu allen relevanten Informationen erhält und über genügend Zeit, Budget und Unterstützung verfügt.

• Keine Benachteiligung Dem DSB darf aus seiner Tätigkeit kein Nachteil entstehen. Das umfasst Karrierechancen, Beurteilungen und Vergütung.

Gerade in Behörden kommt es häufig vor, dass der DSB zwar formal benannt ist, aber faktisch kaum eingebunden wird. Das widerspricht der DSGVO und schwächt die eigene Rechtsposition.

Zusammenspiel mit der Geschäftsführung bzw. Behördenleitung

Datenschutz ist Leitungsaufgabe. Der DSB unterstützt, entlastet aber nicht von der Verantwortung. Damit das Zusammenspiel funktioniert, haben sich einige Grundsätze bewährt:

1. Klare Zuständigkeiten

• Die Leitung verantwortet Strategie, Ressourcen und Entscheidung über Risiken.
• Der DSB berät, bewertet, dokumentiert und überwacht.

2. Regelmäßige Berichte

• Mindestens einmal jährlich ein Datenschutzbericht an die Leitung
• Darin: Stand der Umsetzung, Risiken, Vorfälle, Maßnahmen, Schulungen
• Gelegenheit für die Leitung, Prioritäten zu setzen und Ressourcen freizugeben

3. Frühe Einbindung Neue IT‑Projekte, Fachverfahren oder Digitalisierungsinitiativen sollten frühzeitig mit dem DSB besprochen werden. Das reduziert spätere Korrekturschleifen und Kosten.

4. Klare Kommunikationswege Der DSB benötigt eine direkte Kommunikationslinie zur Leitungsebene. Zwischenstufen über mehrere Hierarchieebenen hinweg schwächen seine Rolle.

Eine einfache Praxisregel: Wenn der DSB nur bei Datenpannen oder Beschwerden eingebunden wird, läuft organisatorisch etwas falsch.

Besonderheiten nach BDSG und im öffentlichen Bereich

Das Bundesdatenschutzgesetz ergänzt die DSGVO in mehreren Punkten mit Relevanz für den DSB:

• Erweiterte Bestellpflicht in Unternehmen (§ 38 BDSG) Wie oben beschrieben, ist die Schwelle zur Benennung in Deutschland niedriger als nach der reinen DSGVO.

• Abberufungs‑ und Kündigungsschutz (§ 6 BDSG) Dieser Schutz ist strenger als in vielen anderen EU‑Staaten. Du solltest das in der Personalplanung und bei internen Besetzungen berücksichtigen.

• Behörden und öffentliche Stellen Für den öffentlichen Bereich gelten je nach Bundesland zusätzliche Vorschriften in den Landesdatenschutzgesetzen. Diese können die Rolle und Stellung des behördlichen DSB konkretisieren, etwa zur Berichtspflicht gegenüber dem behördlichen Datenschutzbeauftragten des Landes oder zu Mitbestimmungsrechten.

• Protokollierungs‑ und Dokumentationspflichten Öffentliche Stellen stehen häufig unter besonderer Beobachtung der Aufsichtsbehörden. Saubere Dokumentation der Beratung durch den DSB, der Risikoabwägungen und der getroffenen Entscheidungen ist hier besonders wichtig.

Kurze Checkliste: DSB rechtssicher aufstellen

Zum Abschluss eine kompakte Übersicht. Nutze sie als Einstieg in deine eigene Prüfung:

Prüffrage	Ja	Nein	Anmerkung
Fällt deine Stelle unter Art. 37 Abs. 1 DSGVO oder § 38 BDSG?			Pflicht zur Benennung prüfen
Ist der DSB schriftlich bestellt und der Aufsichtsbehörde gemeldet?			Kontaktdaten veröffentlicht?
Liegt ein Profil zu Fachkunde und Eignung des DSB vor?			Qualifikation dokumentieren
Besteht ein möglicher Interessenkonflikt mit anderen Funktionen?			Ggf. Rolle neu zuschneiden
Berichtet der DSB direkt an die Leitungsebene?			Regeltermine festlegen
Gibt es einen Aufgaben‑ und Maßnahmenplan für den DSB?			Art. 39 DSGVO abbilden
Werden Beschäftigte regelmäßig geschult?			Schulungskonzept erstellen
Sind Kommunikationswege bei Datenpannen klar geregelt?			Meldeprozess definieren

Wenn du diese Punkte sauber geregelt hast, bist du in Sachen Datenschutzbeauftragter organisatorisch deutlich stabiler aufgestellt. Die eigentliche Herausforderung bleibt dann, Datenschutz in die täglichen Abläufe zu integrieren, statt ihn als reines Compliance‑Thema „nebenher“ laufen zu lassen. Genau dabei kann ein gut positionierter, unabhängiger DSB einen spürbaren Unterschied machen.