Betrieblicher Datenschutzbeauftragter

Was ist ein betrieblicher Datenschutzbeauftragter?

Ein betrieblicher Datenschutzbeauftragter ist eine fachkundige Person, die in einem Unternehmen oder einer Organisation die Einhaltung der datenschutzrechtlichen Vorschriften überwacht. Die Rechtsgrundlage ergibt sich aus Art. 37 DSGVO in Verbindung mit § 38 BDSG. Der betriebliche Datenschutzbeauftragte fungiert als zentrale Anlaufstelle für alle datenschutzrelevanten Fragestellungen — sowohl gegenüber der Geschäftsleitung, den Beschäftigten als auch gegenüber Aufsichtsbehörden und betroffenen Personen.

Die Rolle des betrieblichen Datenschutzbeauftragten hat seit Inkrafttreten der DSGVO im Mai 2018 erheblich an Bedeutung gewonnen. Unternehmen stehen vor der Wahl: Sollen sie einen internen Mitarbeiter zum Datenschutzbeauftragten bestellen oder einen externen Datenschutzbeauftragten beauftragen? Beide Varianten haben ihre Berechtigung — wichtig sind Unternehmensgröße, Branche und die Art der verarbeiteten Daten.

Der betriebliche DSB ist dabei weisungsfrei in seiner Fachkompetenz. Er berichtet unmittelbar der höchsten Managementebene und genießt einen besonderen Abberufungs- und Kündigungsschutz. Diese Unabhängigkeit ist zentral, damit der Datenschutzbeauftragte seine Kontrollfunktion wirksam ausüben kann, ohne Interessenkonflikten ausgesetzt zu sein.

Die DATUREX GmbH bundesweit unterstützt Unternehmen sachsenweit und bundesweit bei der professionellen Umsetzung aller datenschutzrechtlichen Anforderungen — von der Erstberatung bis zur dauerhaften Betreuung als externer Datenschutzbeauftragter.

Wann ist ein betrieblicher Datenschutzbeauftragter Pflicht?

Die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten ergibt sich aus mehreren Rechtsgrundlagen. In Deutschland gelten dabei strengere Anforderungen als in anderen EU-Mitgliedstaaten, da das BDSG die europäischen Vorgaben erweitert.

Pflicht nach Art. 37 DSGVO (europaweit)

Unabhängig von der Unternehmensgröße ist ein betrieblicher Datenschutzbeauftragter zwingend zu bestellen, wenn:

• Kerntätigkeit in der Überwachung: Die Kerntätigkeit des Unternehmens in der umfangreichen, regelmäßigen und systematischen Überwachung von betroffenen Personen besteht (z. B. Tracking-Unternehmen, Auskunfteien, Bewachungsgewerbe).
• Besondere Datenkategorien: Die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO besteht (z. B. Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen).
• Strafrechtliche Daten: Eine umfangreiche Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO erfolgt.
• Behörden und öffentliche Stellen: Es sich um eine Behörde oder öffentliche Stelle handelt (mit Ausnahme von Gerichten im Rahmen ihrer justiziellen Tätigkeit).

Pflicht nach § 38 BDSG (nur Deutschland)

Das deutsche Bundesdatenschutzgesetz verschärft die europäischen Vorgaben. Ein betrieblicher Datenschutzbeauftragter muss zusätzlich bestellt werden, wenn:

• Mindestens 20 Beschäftigte ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Hierzu zählen Festangestellte, Teilzeitkräfte, Leiharbeiter, Praktikanten und freie Mitarbeiter.
• Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist.
• Personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

Praxistipp: Auch wenn Ihr Unternehmen unter der 20-Personen-Schwelle liegt, kann die freiwillige Bestellung eines Datenschutzbeauftragten sinnvoll sein. Die DSGVO-Pflichten bestehen schließlich unabhängig davon — ein DSB hilft, diese strukturiert umzusetzen und Bußgelder zu vermeiden.

Aufgaben des betrieblichen Datenschutzbeauftragten

Die Aufgaben des betrieblichen Datenschutzbeauftragten sind in Art. 39 DSGVO definiert und umfassen ein breites Spektrum an Kontroll-, Beratungs- und Informationspflichten. Im Einzelnen gehören dazu:

Unterrichtung und Beratung

Der betriebliche DSB unterrichtet und berät den Verantwortlichen (Geschäftsführung), den Auftragsverarbeiter und die Beschäftigten über ihre datenschutzrechtlichen Pflichten. Dies umfasst:

• Beratung bei der Einführung neuer Verarbeitungstätigkeiten und IT-Systeme
• Schulung der Mitarbeiter im Umgang mit personenbezogenen Daten
• Unterstützung bei der Erstellung und Pflege des Verzeichnisses der Verarbeitungstätigkeiten
• Beratung bei Auftragsverarbeitungsverträgen nach Art. 28 DSGVO
• Empfehlungen zur datenschutzkonformen Gestaltung von Geschäftsprozessen (Privacy by Design)

Überwachung der Einhaltung

Der betriebliche Datenschutzbeauftragte überwacht die Einhaltung der DSGVO, des BDSG und weiterer Datenschutzvorschriften. Dazu gehören:

• Regelmäßige Datenschutz-Audits und Bestandsaufnahmen
• Prüfung der technischen und organisatorischen Maßnahmen (TOM)
• Kontrolle der Betroffenenrechte-Prozesse (Auskunft, Löschung, Berichtigung)
• Überwachung der Löschkonzepte und Aufbewahrungsfristen
• Prüfung der Datenschutzerklärungen auf Webseiten und in Apps

Datenschutz-Folgenabschätzung

Bei Verarbeitungstätigkeiten mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen berät der DSB auf Anfrage im Rahmen der Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Er bewertet die Risiken und empfiehlt geeignete Schutzmaßnahmen.

Zusammenarbeit mit der Aufsichtsbehörde

Der betriebliche Datenschutzbeauftragte ist Anlaufstelle für die Aufsichtsbehörde — in Deutschland ist dies der zuständige Datenschutzbehörde. Er koordiniert Anfragen, unterstützt bei Prüfungen und dient als Vermittler zwischen Unternehmen und Behörde.

Anlaufstelle für Betroffene

Betroffene Personen können sich jederzeit an den betrieblichen DSB wenden — sei es für Auskunftsersuchen, Beschwerden oder allgemeine Datenschutzfragen. Die Kontaktdaten des Datenschutzbeauftragten müssen öffentlich zugänglich sein und der Aufsichtsbehörde mitgeteilt werden.

Interner vs. externer betrieblicher Datenschutzbeauftragter — Vor- und Nachteile

Unternehmen stehen bei der Bestellung eines betrieblichen Datenschutzbeauftragten vor der grundsätzlichen Entscheidung: interner Mitarbeiter oder externer Dienstleister? Beide Modelle sind rechtlich gleichwertig — die DSGVO trifft hier keine Unterscheidung. Wichtig sind praktische und wirtschaftliche Erwägungen.

Interner betrieblicher Datenschutzbeauftragter

Vorteile:

• Kennt die internen Abläufe, Strukturen und die Unternehmenskultur
• Ist vor Ort präsent und jederzeit ansprechbar
• Kann Datenschutz direkt in laufende Projekte einbringen

Nachteile:

• Besonderer Kündigungsschutz — selbst nach Abberufung (§ 6 Abs. 4 BDSG: 1 Jahr nachwirkend)
• Hohe Fortbildungskosten (1.500–5.000 € jährlich für Seminare, Fachliteratur, Zertifizierungen)
• Mögliche Interessenkonflikte — IT-Leiter, Geschäftsführer oder HR-Verantwortliche dürfen nicht gleichzeitig DSB sein
• Arbeitszeit geht für Datenschutz-Aufgaben verloren (mind. 20–40 % der regulären Arbeitszeit)
• Haftungsrisiko verbleibt vollständig beim Unternehmen
• Bei Ausfall (Krankheit, Urlaub, Kündigung) entsteht eine Lücke

Externer betrieblicher Datenschutzbeauftragter

Vorteile:

• Kein Kündigungsschutz-Risiko — Vertrag ist regulär kündbar
• Branchenübergreifende Erfahrung und aktuelles Fachwissen
• Berufshaftpflichtversicherung schützt das Unternehmen zusätzlich
• Keine Interessenkonflikte durch Unabhängigkeit
• Kalkulierbare monatliche Kosten ab 150 €
• Vertretungsregelung im Team gewährleistet Kontinuität
• Sofort verfügbar — keine Einarbeitung oder Fortbildung nötig

Nachteile:

• Nicht ständig vor Ort (durch digitale Tools und regelmäßige Termine aber gut kompensierbar)
• Einarbeitung in unternehmensspezifische Prozesse erforderlich

Gerade für kleine und mittlere Unternehmen ist ein externer betrieblicher Datenschutzbeauftragter häufig die wirtschaftlichere und risikoärmere Lösung. Die DATUREX GmbH bietet als erfahrener externer DSB passende Lösungen für Unternehmen jeder Größe.

Qualifikationsanforderungen an den betrieblichen Datenschutzbeauftragten

Art. 37 Abs. 5 DSGVO verlangt, dass der betriebliche Datenschutzbeauftragte auf Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis benannt wird. Die genauen Voraussetzungen für Datenschutzbeauftragte sind gesetzlich geregelt. Die konkreten Anforderungen hängen von der Komplexität der Datenverarbeitung ab.

Fachliche Qualifikation

Ein betrieblicher DSB benötigt fundierte Kenntnisse in folgenden Bereichen:

• Datenschutzrecht: DSGVO, BDSG, TTDSG, einschlägige Landesdatenschutzgesetze und branchenspezifische Vorschriften
• IT-Sicherheit: Technische und organisatorische Maßnahmen, Verschlüsselung, Zugriffskonzepte, Netzwerksicherheit
• Datenschutzmanagement: Aufbau und Pflege eines Datenschutz-Managementsystems (DSMS)
• Risikobewertung: Durchführung von Datenschutz-Folgenabschätzungen und Risikoanalysen
• Branchenkenntnisse: Spezifische Anforderungen der jeweiligen Branche (z. B. Gesundheitswesen, E-Commerce, Finanzsektor)

Anerkannte Zertifizierungen

Obwohl keine bestimmte Zertifizierung gesetzlich vorgeschrieben ist, belegen folgende Qualifikationsnachweise die Fachkunde:

• TÜV-Zertifizierung zum Datenschutzbeauftragten (DSB-TÜV)
• DEKRA-zertifizierter Datenschutzbeauftragter
• IHK-Zertifikatslehrgang Datenschutzbeauftragter
• Udis-Zertifizierung (GDD)
• CIPP/E (Certified Information Privacy Professional/Europe)

Die Experten der DATUREX GmbH verfügen über einschlägige Zertifizierungen und bilden sich kontinuierlich fort — so stellen wir sicher, dass Ihr Datenschutz laufend aktualisiert ist.

Bestellung und Abberufung des betrieblichen Datenschutzbeauftragten

Die Bestellung eines betrieblichen Datenschutzbeauftragten ist ein formaler Akt mit weitreichenden rechtlichen Konsequenzen. Unternehmen sollten den Prozess daher sorgfältig dokumentieren.

Bestellungsprozess

Die Bestellung erfolgt in mehreren Schritten:

1. Prüfung der Bestellpflicht: Liegt eine Pflicht nach Art. 37 DSGVO oder § 38 BDSG vor?
2. Auswahl der geeigneten Person: Prüfung der Fachkunde und Zuverlässigkeit, Ausschluss von Interessenkonflikten
3. Schriftliche Bestellung: Formale Bestellungsurkunde mit Aufgabenbeschreibung und Ressourcenzusage
4. Meldung an die Aufsichtsbehörde: Veröffentlichung der Kontaktdaten und Mitteilung an die zuständige Datenschutzbehörde
5. Interne Bekanntmachung: Information aller Mitarbeiter über den DSB und seine Erreichbarkeit

Besonderer Kündigungsschutz

Der interne betriebliche Datenschutzbeauftragte genießt einen besonderen Abberufungs- und Kündigungsschutz gemäß § 6 Abs. 4 BDSG und § 38 Abs. 2 BDSG:

• Die Abberufung ist nur aus wichtigem Grund möglich (analog § 626 BGB)
• Die Kündigung des Arbeitsverhältnisses ist während der Amtszeit und bis zu einem Jahr nach Abberufung nur aus wichtigem Grund zulässig
• Eine Benachteiligung wegen der Ausübung der DSB-Tätigkeit ist unzulässig

Wichtig: Dieser Kündigungsschutz entfällt bei der Beauftragung eines externen Datenschutzbeauftragten. Der Dienstleistungsvertrag kann unter Einhaltung der vereinbarten Kündigungsfristen regulär beendet werden — ein wesentlicher Vorteil für Unternehmen, die flexibel bleiben möchten.

Kosten-Vergleich: Interner vs. externer betrieblicher DSB

Die Kosten eines betrieblichen Datenschutzbeauftragten variieren erheblich je nach Modell. Ein realistischer Vergleich für ein mittelständisches Unternehmen mit 50–200 Mitarbeitern:

Interner DSB — Jährliche Kosten

Kostenposition	Betrag/Jahr
Anteiliges Gehalt (30 % Arbeitszeit)	15.000–25.000 €
Fortbildungen und Zertifizierungen	2.000–5.000 €
Fachliteratur und Tools	500–1.500 €
Haftungsrisiko (nicht versicherbar)	unkalkulierbar
Gesamtkosten pro Jahr	17.500–31.500 €

Externer DSB — Jährliche Kosten

Leistungspaket	Betrag/Monat
Basis (bis 20 MA)	ab 150 €
Standard (20–100 MA)	ab 450 €
Premium (100+ MA)	ab 750 €
Gesamtkosten pro Jahr (Basis)	ab 3.000 €

Ersparnis mit externem DSB: Unternehmen sparen im Durchschnitt 60–80 % der Kosten eines internen Datenschutzbeauftragten — bei gleichzeitig höherer Fachkompetenz und Haftungsabsicherung durch die Berufshaftpflichtversicherung des externen Dienstleisters.

Haftung des betrieblichen Datenschutzbeauftragten

Ein häufiges Missverständnis: Der betriebliche Datenschutzbeauftragte ist nicht für die Einhaltung des Datenschutzes verantwortlich — das bleibt laufend Aufgabe des Verantwortlichen (in der Regel der Geschäftsführung). Der DSB berät und überwacht, aber er entscheidet nicht über Mittel und Zwecke der Datenverarbeitung.

Haftung des Unternehmens

Das Unternehmen als Verantwortlicher haftet für Datenschutzverstöße. Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor (Art. 83 DSGVO). Zusätzlich können Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO geltend gemacht werden.

Haftung des internen DSB

Ein interner betrieblicher DSB haftet nach den allgemeinen arbeitsrechtlichen Grundsätzen. Bei einfacher Fahrlässigkeit haftet er in der Regel nicht — bei grober Fahrlässigkeit oder Vorsatz kann eine Innenhaftung gegenüber dem Arbeitgeber bestehen. Das Risiko trägt letztlich das Unternehmen.

Haftung des externen DSB

Ein externer betrieblicher Datenschutzbeauftragter haftet auf Grundlage des Dienstleistungsvertrags. Professionelle Anbieter wie die DATUREX GmbH verfügen über eine Berufshaftpflichtversicherung, die Vermögensschäden durch fehlerhafte Beratung abdeckt. Dies bietet dem Unternehmen eine zusätzliche Absicherung, die ein interner DSB nicht leisten kann.

Persönliche Haftung bei Pflichtverletzungen

In schwerwiegenden Fällen kann der DSB auch persönlich haftbar gemacht werden — etwa wenn er:

• Bekannte Datenschutzverstöße verschweigt oder aktiv vertuscht
• Seine Überwachungspflichten grob vernachlässigt
• Vorsätzlich falsch berät, um eigene Vorteile zu erzielen

Solche Fälle sind in der Praxis selten, unterstreichen aber die Bedeutung einer professionellen DSB-Tätigkeit.

Betrieblicher Datenschutzbeauftragter in der Praxis

Die tägliche Arbeit eines betrieblichen Datenschutzbeauftragten ist verschieden und geht weit über die gesetzlichen Mindestanforderungen hinaus. In der Praxis umfasst sie unter anderem:

Regelmäßige Tätigkeiten

• Monatliche Datenschutz-Reviews: Prüfung neuer Verarbeitungstätigkeiten und Änderungen
• Mitarbeiterschulungen: Regelmäßige Datenschutz-Schulungen für alle Beschäftigten
• Dokumentationspflege: Aktualisierung des Verarbeitungsverzeichnisses, der TOM und des Datenschutzkonzepts
• Bearbeitung von Betroffenenanfragen: Koordination von Auskunfts-, Löschungs- und Berichtigungsersuchen
• Datenschutz-Vorfälle: Management und Meldung von Datenpannen nach Art. 33/34 DSGVO

Projektbezogene Tätigkeiten

• Datenschutz-Folgenabschätzungen bei neuen Systemen oder Prozessen
• Prüfung und Verhandlung von Auftragsverarbeitungsverträgen
• Begleitung von IT-Projekten (neue Software, Cloud-Migration, KI-Einführung)
• Vorbereitung auf Audits und Zertifizierungen
• Jährlicher Datenschutzbericht für die Geschäftsleitung

Häufig gestellte Fragen zum betrieblichen Datenschutzbeauftragten

Ab wie vielen Mitarbeitern braucht man einen betrieblichen Datenschutzbeauftragten?

In Deutschland ist ein betrieblicher Datenschutzbeauftragter Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Mitarbeiterzahl besteht die Pflicht auch bei besonders risikoreichen Verarbeitungen nach Art. 37 DSGVO — etwa bei der Verarbeitung von Gesundheitsdaten oder umfangreicher Verhaltensüberwachung.

Was passiert, wenn kein betrieblicher Datenschutzbeauftragter bestellt wird?

Die Nicht-Bestellung trotz bestehender Pflicht stellt einen Verstoß gegen Art. 37 DSGVO bzw. § 38 BDSG dar. Die Aufsichtsbehörde kann Bußgelder von bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes verhängen (Art. 83 Abs. 4 DSGVO). Zudem fehlt dem Unternehmen die fachkundige Beratung — Datenschutzverstöße werden wahrscheinlicher und damit auch weitere Bußgelder.

Kann der Geschäftsführer selbst betrieblicher Datenschutzbeauftragter sein?

Nein. Der Geschäftsführer darf nicht gleichzeitig als betrieblicher Datenschutzbeauftragter fungieren, da ein unauflösbarer Interessenkonflikt besteht. Der DSB müsste sich selbst kontrollieren — das widerspricht dem Unabhängigkeitsgebot des Art. 38 Abs. 6 DSGVO. Gleiches gilt für IT-Leiter, HR-Leiter und andere Führungskräfte, die über Mittel und Zwecke der Datenverarbeitung entscheiden.

Was kostet ein externer betrieblicher Datenschutzbeauftragter?

Die Kosten für einen externen betrieblichen DSB beginnen bei der DATUREX GmbH ab 150 € pro Monat für kleine Unternehmen. Die genauen Kosten hängen von Unternehmensgröße, Branche und Umfang der Datenverarbeitung ab. Im Vergleich zu einem internen DSB sparen Unternehmen durchschnittlich 60–80 % — bei gleichzeitig höherer Fachkompetenz und Haftungsabsicherung. Eine kostenlose Erstberatung hilft, den individuellen Bedarf zu ermitteln.

Welche Qualifikation braucht ein betrieblicher Datenschutzbeauftragter?

Die DSGVO verlangt „berufliche Qualifikation und Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis“ (Art. 37 Abs. 5 DSGVO). In der Praxis bedeutet dies: fundierte Kenntnisse in DSGVO, BDSG, IT-Sicherheit und Datenschutzmanagement. Anerkannte Zertifizierungen wie DSB-TÜV, DEKRA oder CIPP/E belegen die Fachkunde. Die erforderliche Qualifikation richtet sich nach der Komplexität der Datenverarbeitung im jeweiligen Unternehmen.