Externer Datenschutzbeauftragter – Anwalt als DSB

Viele Unternehmen sind verpflichtet, einen Datenschutzbeauftragten zu benennen, und noch mehr profitieren davon, auch ohne Pflicht. Als externer Datenschutzbeauftragter verbinden wir die gesetzlichen Aufgaben nach Art. 39 DSGVO mit anwaltlicher Beratung: Sie erhalten einen Ansprechpartner, der nicht nur Prozesse prüft, sondern Rechtsfragen verbindlich beantworten und Sie im Konfliktfall vertreten kann.

Wann ist ein Datenschutzbeauftragter Pflicht?

Die Pflicht ergibt sich aus Art. 37 DSGVO und ergänzend aus § 38 BDSG. Ein Datenschutzbeauftragter ist zu benennen, wenn

• in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG) – mitgezählt werden alle, die regelmäßig mit Daten am Rechner arbeiten, auch Teilzeitkräfte, Auszubildende und Freie,
• Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen – unabhängig von der Beschäftigtenzahl,
• personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder der Markt- oder Meinungsforschung verarbeitet werden,
• die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten (Art. 9, 10 DSGVO) – etwa bei Arztpraxen mit großem Patientenstamm, Pflegediensten oder Detekteien (Art. 37 Abs. 1 lit. b, c DSGVO),
• es sich um eine Behörde oder öffentliche Stelle handelt.

Auch ohne Benennungspflicht gelten alle Pflichten der DSGVO; die Verantwortung liegt dann allein bei der Geschäftsleitung. Die Grundlagen erläutern wir auf der Seite Datenschutzbeauftragte: wer braucht einen?

Aufgaben des Datenschutzbeauftragten

Nach Art. 39 DSGVO unterrichtet und berät der Datenschutzbeauftragte die Unternehmensleitung und die Beschäftigten, überwacht die Einhaltung des Datenschutzrechts, berät bei Datenschutz-Folgenabschätzungen und ist Anlaufstelle für die Aufsichtsbehörde und für Betroffene. In der Praxis heißt das:

• Bestandsaufnahme und Aufbau bzw. Pflege des Verzeichnisses der Verarbeitungstätigkeiten (Art. 30),
• Prüfung neuer Tools, Dienstleister und Projekte – von der Cloud-Software bis zum KI-Assistenten,
• Prüfung von AV-Verträgen und Drittlandübermittlungen,
• Schulung und Sensibilisierung der Beschäftigten,
• Begleitung bei Datenpannen und Auskunftsersuchen,
• regelmäßige Berichte an die Geschäftsleitung.

Intern oder extern?

Der Datenschutzbeauftragte kann ein Beschäftigter sein oder ein externer Dienstleister (Art. 37 Abs. 6 DSGVO). Er muss über ausreichende Fachkunde verfügen (Art. 37 Abs. 5) und darf keinen Interessenkonflikten unterliegen (Art. 38 Abs. 6). Der EuGH hat entschieden, dass ein Interessenkonflikt vorliegen kann, wenn der Datenschutzbeauftragte zugleich Zwecke und Mittel von Verarbeitungen festlegt (Urteil vom 9. Februar 2023, C-453/21, X-FAB). IT-Leitung, Personalleitung oder Geschäftsführung scheiden daher regelmäßig aus.

Ein interner Datenschutzbeauftragter genießt in Deutschland einen besonderen Kündigungs- und Abberufungsschutz (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG), den der EuGH als mit der DSGVO vereinbar angesehen hat (Urteil vom 22. Juni 2022, C-534/20, Leistritz). Hinzu kommen Fortbildungskosten und Freistellung. Ein externer Datenschutzbeauftragter bringt dagegen:

• sofort verfügbare Fachkunde und Erfahrung aus vielen Branchen,
• keine Interessenkonflikte und keinen Sonderkündigungsschutz,
• vertraglich kalkulierbare Kosten und eine Vertretungsregelung,
• bei einer Anwaltskanzlei: anwaltliche Verschwiegenheit und die Möglichkeit, Sie gegenüber Behörden und Gerichten zu vertreten.

Was kostet ein externer Datenschutzbeauftragter?

Die Kosten hängen vom Aufwand ab – also von der Zahl der Beschäftigten und Standorte, der Branche, der Sensibilität der Daten und dem Reifegrad Ihres Datenschutzmanagements. Typisch ist ein Modell aus einer einmaligen Bestandsaufnahme und einem laufenden monatlichen oder jährlichen Honorar, das ein festes Leistungspaket abdeckt. Nach einem kurzen Erstgespräch erhalten Sie von uns ein verbindliches Angebot, damit Sie die Kosten vorab kennen.

So läuft die Benennung ab

1. Erstgespräch und Angebot,
2. Vertrag und schriftliche Benennung,
3. Veröffentlichung der Kontaktdaten (z. B. in der Datenschutzerklärung) und Mitteilung an die zuständige Aufsichtsbehörde (Art. 37 Abs. 7 DSGVO),
4. Bestandsaufnahme mit Maßnahmenplan,
5. laufende Betreuung mit festen Ansprechpartnern.

Häufige Fragen

Was droht, wenn kein Datenschutzbeauftragter benannt ist?

Ein Verstoß gegen Art. 37 DSGVO kann nach Art. 83 Abs. 4 DSGVO mit einer Geldbuße geahndet werden. Häufig fällt das Fehlen bei Prüfungen nach Beschwerden oder Datenpannen auf.

Haftet der Datenschutzbeauftragte für Verstöße?

Verantwortlich gegenüber Behörden und Betroffenen bleibt das Unternehmen. Der Datenschutzbeauftragte berät und überwacht; er trifft die Entscheidungen nicht.

Kann ein Konzern einen gemeinsamen Datenschutzbeauftragten benennen?

Ja, eine Unternehmensgruppe kann einen gemeinsamen Datenschutzbeauftragten benennen, wenn er von jeder Niederlassung aus leicht erreicht werden kann (Art. 37 Abs. 2 DSGVO).