Ein Datenschutzbeauftragter (DSB) ist eine Person, die in einem Unternehmen oder einer Behörde die Einhaltung des Datenschutzrechts überwacht, berät und als Ansprechpartner für Betroffene und Aufsichtsbehörden dient. Die Benennungspflicht ergibt sich aus Art. 37 DSGVO und ergänzend aus § 38 BDSG — in Deutschland unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Welche Aufgaben hat ein Datenschutzbeauftragter?
Der DSB unterrichtet und berät die Geschäftsführung und die Mitarbeitenden in Datenschutzfragen, überwacht die Einhaltung der DSGVO und interner Richtlinien, wirkt an Datenschutz-Folgenabschätzungen mit und ist Anlaufstelle für betroffene Personen und die Aufsichtsbehörde. Er kontrolliert, entscheidet aber nicht selbst — die Verantwortung für den Datenschutz bleibt bei der Unternehmensleitung.
Der DSB kann intern benannt werden (ein geschulter Mitarbeitender) oder extern als Dienstleister. Wichtig sind Fachkunde, Zuverlässigkeit und die Vermeidung von Interessenkonflikten: Personen, die über Zwecke und Mittel der Verarbeitung entscheiden — etwa Geschäftsführer oder IT-Leiter — kommen in der Regel nicht in Frage.
Wer muss einen Datenschutzbeauftragten benennen?
Nach der DSGVO besteht die Pflicht unter anderem, wenn die Kerntätigkeit in umfangreicher regelmäßiger Überwachung von Personen oder in umfangreicher Verarbeitung sensibler Daten besteht. Das deutsche BDSG ergänzt eine Schwelle: Beschäftigen in der Regel mindestens 20 Personen ständig automatisierte Datenverarbeitung — was in Büroumgebungen schnell erreicht ist — muss ein DSB benannt werden.
Auch unterhalb dieser Schwellen kann eine Benennung sinnvoll sein, etwa für Kanzleien und Steuerberatungsgesellschaften, die durchgehend sensible Mandatsdaten verarbeiten. Ob im Einzelfall eine Pflicht besteht, sollte fachlich geprüft werden — die Kriterien sind auslegungsbedürftig.
Datenschutzbeauftragter in der Praxis
Der benannte DSB muss der Aufsichtsbehörde gemeldet und seine Kontaktdaten müssen veröffentlicht werden — üblicherweise in der Datenschutzerklärung der Website. Im Marketing-Alltag ist der DSB ein wichtiger Sparringspartner: Er prüft neue Tracking-Setups, bewertet Tools vor der Einführung und unterstützt bei Betroffenenanfragen, etwa Auskunfts- oder Löschersuchen.
Externe DSB werden häufig im Rahmen von Monats- oder Jahrespauschalen beauftragt; die Kosten variieren je nach Unternehmensgröße und Komplexität erheblich. Entscheidend ist weniger die Frage intern oder extern, sondern dass der DSB früh eingebunden wird — nachträgliche Korrekturen an Tracking oder Newsletter-Prozessen sind aufwendiger als eine Prüfung vor dem Start.