Externer Datenschutzbeauftragter für kleine und mittlere Unternehmen

Zertifizierter VdS- und TÜV-Datenschutzbeauftragter – mit der GM-Methode (Gesunder Menschenverstand) sorgen wir für Datenschutz, der im Alltag funktioniert statt Aktenordner zu füllen.

Wann ein Datenschutzbeauftragter Pflicht ist

Ein Datenschutzbeauftragter ist nicht überall Pflicht. Nach Art. 37 Abs. 1 DSGVO ist er zu benennen, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen besteht oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten erfolgt. Für die meisten privaten Unternehmen in Deutschland kommt die nationale Regelung hinzu: Nach § 38 Abs. 1 BDSG ist ein DSB zu bestellen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Unabhängig von der Pflicht kann eine externe Betreuung sinnvoll sein, wenn:

• die Zahl der Beschäftigten die Schwelle in absehbarer Zeit erreicht oder überschreitet,
• Datenschutz bisher ohne Struktur läuft und Sie rechtssicher dokumentieren wollen,
• Sie besondere Daten verarbeiten (Gesundheit, Mandanten- oder Kundendaten),
• eine Systemprüfung, ein Audit oder eine Aufsichtsanfrage ins Haus steht,
• im Unternehmen niemand die nötige Zeit oder das Fachwissen dafür hat.

Ob eine Pflicht besteht, hängt vom Einzelfall ab (Art. 37 DSGVO, § 38 BDSG, ggf. Landesdatenschutzgesetze für öffentliche Stellen). Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.

Aufgaben des Datenschutzbeauftragten

Die Aufgaben sind in Art. 39 DSGVO beschrieben und gelten für interne wie externe DSB gleichermaßen:

• Unterrichten und beraten – Geschäftsführung, Fachbereiche und Beschäftigte zu ihren Pflichten aus DSGVO und BDSG.
• Überwachen – Einhaltung der Vorschriften, der Datenschutzstrategie und interner Vorgaben; dazu gehören Verzeichnis der Verarbeitungstätigkeiten, Einwilligungen und Auftragsverarbeitung.
• Schulen und sensibilisieren – Beschäftigte und Auftragsverarbeiter, damit Datenschutz im Tagesgeschäft ankommt.
• Beraten – bei der Datenschutz-Folgenabschätzung (Art. 35 DSGVO), bei neuen Verfahren und bei Projekten, die personenbezogene Daten berühren.
• Zusammenarbeiten – Ansprechpartner für die Aufsichtsbehörde sein und bei Fragen zu Meldungen und Beratungen mitwirken.

Extern oder intern?

• Extern – in der Regel kostengünstiger als eine eigene Stelle, unmittelbar verfügbar, bringt Sicht auf viele Unternehmen mit und ist nicht in die eigene Betriebsstruktur verstrickt.
• Intern – einfacher im direkten Alltagszugriff und bei tiefen Spezialkenntnissen im eigenen Haus; dafür braucht es Qualifikation, Unabhängigkeit von eigenen Interessen und dauerhaft Zeit.

Wichtig ist in beiden Fällen, dass die Rolle mit ausreichend Ressourcen ausgestattet ist und die Meldung an die höchste Managementebene gewährleistet ist (Art. 38 DSGVO).

Wie die Zusammenarbeit abläuft

• Start: kurze Aufnahme, was vorhanden ist – Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, Datenschutzhinweise, interne Abläufe.
• Bestellung: formale Benennung (extern) inklusive Veröffentlichung der Kontaktdaten, wo dies erforderlich ist.
• Laufende Betreuung: feste Ansprechbarkeit für Fachfragen, Unterstützung bei Meldungen und Vorfällen sowie Schulung der Beschäftigten.
• Dokumentation: nachvollziehbare Unterlagen für Prüfungen, ohne dass Sie vorab Aktenberge aufbauen müssen.

Was eine Betreuung kostet

Der Aufwand hängt von der Zahl der Beschäftigten, der Art der verarbeiteten Daten, der Zahl der Verfahren und vom gewünschten Betreuungsumfang ab. Statt pauschaler Preislisten macht ein kurzes Erstgespräch mehr Sinn: Danach steht ein konkreter Rahmen, den Sie bewerten können.