Datenschutzbeauftragter Bestellung Deutschland

Die Bestellung eines Datenschutzbeauftragten in Deutschland ist in DSGVO Art. 37 (Benennung eines Datenschutzbeauftragten) und BDSG § 38 geregelt. Der Datenschutzbeauftragte ist keine Kontrollinstanz für die Einhaltung der DSGVO (diese Aufgabe obliegt den Aufsichtsbehörden), sondern ein interner Berater und Anlaufstelle. Nach Art. 39 DSGVO umfassen die Aufgaben des DSB: Unterrichtung und Beratung des Verantwortlichen und seiner Mitarbeiter über die Datenschutzpflichten; Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften sowie der internen Datenschutzrichtlinien; Beratung bei der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO; Zusammenarbeit mit der Aufsichtsbehörde (zuständige Landesdatenschutzbehörde, LfDI oder LDA); Anlaufstelle für die Aufsichtsbehörde in allen datenschutzbezogenen Fragen; und Anlaufstelle für Betroffene, die ihre Rechte nach Art. 15–22 DSGVO wahrnehmen möchten. Der DSB ist der Aufsichtsbehörde zu melden (Art. 37 Abs. 7 DSGVO) und seine Kontaktdaten sind zu veröffentlichen.

Das Bundesverwaltungsgericht (BVerwG) und die Datenschutzaufsichtsbehörden der Länder — in Bayern: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), in NRW: Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW), auf Bundesebene: Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI) — haben in Leitlinien und Entscheidungen die Anforderungen an die Bestellung präzisiert. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien WP 243 rev. 01 (2017) und späteren Updates umfangreiche Empfehlungen zu Benennung, Stellung und Aufgaben des DSB veröffentlicht.

Der DSB kann ein Mitarbeiter des Unternehmens (interner DSB) oder eine externe Fachkraft (externer DSB) sein. Art. 37 Abs. 5 DSGVO verlangt, dass der DSB auf der Grundlage seiner beruflichen Qualifikation, insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis, sowie seiner Fähigkeit zur Erfüllung seiner Aufgaben benannt wird. Eine formale Zertifizierung ist gesetzlich nicht vorgeschrieben, wird aber von Aufsichtsbehörden und Berufsverbänden (z.B. GDD — Gesellschaft für Datenschutz und Datensicherheit) empfohlen. Der DSB muss nach Art. 38 Abs. 3 DSGVO frühzeitig in alle datenschutzrelevanten Fragen eingebunden werden und genießt besonderen Kündigungsschutz nach Art. 38 Abs. 3 Satz 2 DSGVO i.V.m. §6 BDSG.

Eine Datenschutzbeauftragter-Bestellung nach DSGVO Art. 37 und BDSG §38 ist in Deutschland in folgenden Situationen gesetzlich vorgeschrieben oder dringend empfohlen.

Gesetzliche Pflicht nach BDSG §38 (20-Personen-Schwelle): §38 Abs. 1 BDSG verpflichtet nichtöffentliche Stellen in Deutschland, einen DSB zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Maßgeblich ist die Zahl der ständig mit automatisierter Verarbeitung beschäftigten Personen — nicht die Gesamtzahl der Mitarbeiter. In der Praxis verarbeiten heute fast alle Mitarbeiter in Büros und Dienstleistungsunternehmen personenbezogene Daten automatisiert (E-Mail, CRM-Systeme, Zeiterfassung), sodass die 20-Personen-Schwelle rasch erreicht ist.

Gesetzliche Pflicht nach DSGVO Art. 37 Abs. 1 (drei Fallgruppen): Unabhängig von der Mitarbeiterzahl sind Verantwortliche und Auftragsverarbeiter nach Art. 37 Abs. 1 DSGVO zur DSB-Benennung verpflichtet, wenn (a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird; (b) die Kerntätigkeit des Verantwortlichen in der Durchführung von Verarbeitungsvorgängen besteht, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordern (z.B. Telekommunikationsunternehmen, Banken, Versicherungen); oder (c) die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheitsdaten, Rassedaten, religiöse Überzeugungen etc.) oder von Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO besteht.

Pflicht für Auftragsverarbeiter nach DSGVO Art. 37 Abs. 1: Auch Auftragsverarbeiter (z.B. Cloud-Anbieter, IT-Dienstleister, Marketingagenturen, die personenbezogene Daten im Auftrag verarbeiten) können zur DSB-Benennung nach Art. 37 DSGVO verpflichtet sein, wenn die genannten Voraussetzungen vorliegen.

Freiwillige Benennung nach Art. 37 Abs. 4 DSGVO: Verantwortliche und Auftragsverarbeiter, die gesetzlich nicht zur Benennung verpflichtet sind, können freiwillig einen DSB benennen. Diese Praxis wird von Aufsichtsbehörden ausdrücklich empfohlen, da ein DSB das Datenschutz-Compliance-Niveau erhöht und das Risiko von Bußgeldern nach Art. 83 DSGVO reduziert.

Nach Fusionen, Unternehmensumstrukturierungen oder Aufnahme neuer Geschäftstätigkeiten: Wenn ein Unternehmen durch Wachstum, Fusion oder Akquisition die 20-Personen-Schwelle des §38 BDSG überschreitet oder neue datenschutzintensive Tätigkeiten aufnimmt (z.B. Einführung eines CRM-Systems, Direktmarketing, Personalanalytik), ist unverzüglich ein DSB zu benennen. Die Bestellung ist der zuständigen Landesdatenschutzbehörde zu melden.

Eine rechtswirksame Datenschutzbeauftragter-Bestellung nach DSGVO Art. 37 und BDSG §38 muss folgende Kernelemente enthalten, die der Europäische Datenschutzausschuss (EDSA) in seinen Leitlinien WP 243 rev. 01 präzisiert hat.

Angaben zum Verantwortlichen (Unternehmen): Die Bestellung beginnt mit vollständigen Angaben zum Verantwortlichen im Sinne des Art. 4 Nr. 7 DSGVO: vollständige Firmierung (wie im Handelsregister des Amtsgerichts eingetragen, z.B. Müller Software GmbH, HRB 12345, AG München), Unternehmenssitz, vertretungsberechtigte Personen (Geschäftsführer) und ggf. Umsatzsteuer-Identifikationsnummer (USt-IdNr). Der Verantwortliche ist nach Art. 37 Abs. 7 DSGVO verpflichtet, die Kontaktdaten des DSB der zuständigen Aufsichtsbehörde zu melden und zu veröffentlichen.

Angaben zum bestellten DSB: Vollständiger Name und Titel, Geburtsdatum, Kontaktdaten (dienstliche Anschrift, E-Mail-Adresse, Telefonnummer — die Kontaktdaten des DSB müssen nach Art. 37 Abs. 7 DSGVO veröffentlicht werden), Art der Bestellung (intern / extern), und — bei externem DSB — Name und Anschrift des beauftragten Unternehmens oder der beauftragten Kanzlei.

Fachliche Qualifikation des DSB: Art. 37 Abs. 5 DSGVO schreibt vor, dass der DSB auf der Grundlage seiner beruflichen Qualifikation benannt wird. Das Dokument sollte die Qualifikationsgrundlage festhalten: einschlägige rechtliche Ausbildung (Jurist, Datenschutzrecht), technische Ausbildung (Informatik, Informationssicherheit), Datenschutzzertifizierungen (z.B. GDD-Datenschutzfachmann, CIPP/E, TÜV-Datenschutzauditor), Berufserfahrung im Datenschutz und Fortbildungen. Das Portal forms-legal.com stellt Felder für alle qualifikationsrelevanten Angaben bereit. Verwandte Dokumente: Auftragsverarbeitungsvertrag nach DSGVO Art. 28 und Datenschutzerklärung nach DSGVO Art. 13.

Aufgaben des DSB nach Art. 39 DSGVO: Die Bestellung sollte die gesetzlichen Aufgaben des DSB nach Art. 39 DSGVO ausdrücklich benennen: Beratung und Unterrichtung des Verantwortlichen und der Mitarbeiter; Überwachung der DSGVO-Einhaltung; Beratung bei Datenschutz-Folgenabschätzungen (DSFA, Art. 35 DSGVO); Zusammenarbeit mit der Aufsichtsbehörde; Anlaufstelle für Aufsichtsbehörde und Betroffene. Ohne klare Aufgabenzuweisung besteht die Gefahr, dass der DSB seine Funktion nicht wirksam ausüben kann.

Unabhängigkeit und Ressourcen: Art. 38 DSGVO garantiert dem DSB: Einbindung in alle datenschutzrelevanten Entscheidungen; ausreichende Ressourcen (Zeit, Budget, Zugang zu Informationen); keine Interessenkonflikte (der DSB darf keine anderen Aufgaben übernehmen, die mit seiner DSB-Funktion kollidieren — Art. 38 Abs. 6 DSGVO); und besonderen Kündigungsschutz (§6 BDSG i.V.m. Art. 38 Abs. 3 Satz 2 DSGVO: Kündigung nur aus wichtigem Grund).

Meldepflicht an die Aufsichtsbehörde: Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten des DSB der zuständigen Aufsichtsbehörde zu melden (in den meisten Bundesländern über ein Online-Portal). Das Datum der Meldung und die Bestätigung durch die Behörde sollten in der Bestellungsakte vermerkt werden.

Das korrekte Ausfüllen der Datenschutzbeauftragter-Bestellung nach DSGVO Art. 37 und BDSG §38 sichert die rechtliche Wirksamkeit der Bestellung und erfüllt die Meldepflicht gegenüber der zuständigen Landesdatenschutzbehörde.

Schritt 1 — Unternehmensangaben: Tragen Sie die vollständige Firmenbezeichnung wie im Handelsregister eingetragen, den Unternehmenssitz, die Handelsregisternummer (z.B. HRB 12345, AG München) und die Namen der Geschäftsführer ein. Diese Angaben sind auch für die Meldung des DSB an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO erforderlich.

Schritt 2 — DSB-Angaben: Tragen Sie den vollständigen Namen (ggf. mit akademischem Titel), die Kontaktdaten des DSB in seiner DSB-Funktion (dienstliche E-Mail-Adresse, Telefonnummer, Postanschrift) ein. Beachten Sie: Die Kontaktdaten müssen nach Art. 37 Abs. 7 DSGVO veröffentlicht werden — z.B. im Impressum der Website und in der Datenschutzerklärung. Wenn ein externer DSB bestellt wird, tragen Sie auch das externe Unternehmen oder die Kanzlei ein.

Schritt 3 — Qualifikationsnachweis: Beschreiben Sie die fachliche Qualifikation des DSB nach Art. 37 Abs. 5 DSGVO: rechtliche Ausbildung, technische Kenntnisse, Datenschutzzertifizierungen (z.B. GDD-Datenschutzfachmann/frau, CIPP/E, TÜV-zertifizierter Datenschutzbeauftragter), relevante Berufserfahrung. Bei externen DSBs fügen Sie Lebensläufe und Zertifikate als Anlage bei.

Schritt 4 — Aufgaben und Weisungsfreiheit: Bestätigen Sie in der Bestellung die Weisungsfreiheit des DSB nach Art. 38 Abs. 3 DSGVO und die Pflicht, ihn in alle datenschutzrelevanten Entscheidungen frühzeitig einzubeziehen. Legen Sie fest, welche Ressourcen (Stunden pro Woche, Budget, Zugriffsrechte auf Systeme) dem DSB zur Verfügung stehen.

Schritt 5 — Interessenkonflikte ausschließen: Prüfen Sie, ob der bestellte DSB andere Funktionen im Unternehmen hat, die zu Interessenkonflikten führen könnten. Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte; ein interner DSB darf keine Aufgaben übernehmen, die er als DSB überwachen müsste (z.B. darf der IT-Leiter nicht gleichzeitig DSB sein, wenn er über Verarbeitungssysteme entscheidet). Die Aufsichtsbehörden kontrollieren dies.

Schritt 6 — Unterschriften beider Parteien: Die Bestellung wird vom Verantwortlichen (Geschäftsführer oder Vorstand) unterzeichnet. Der DSB bestätigt durch seine Unterschrift die Annahme der Bestellung und seiner Aufgaben. Ohne Annahme fehlt der Bestellung die personalrechtliche Verbindlichkeit.

Schritt 7 — Meldung an die Aufsichtsbehörde: Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten des DSB der zuständigen Landesdatenschutzbehörde zu melden. In den meisten Bundesländern erfolgt die Meldung digital über das Online-Portal der jeweiligen Aufsichtsbehörde. Notieren Sie Datum der Meldung und Bestätigungsnummer. Die Kontaktdaten sind zusätzlich im Impressum und in der Datenschutzerklärung der Website zu veröffentlichen.

Die gesetzlichen Anforderungen an die Datenschutzbeauftragter-Bestellung in Deutschland sind durch die DSGVO, das BDSG und ergänzende Leitlinien des Europäischen Datenschutzausschusses (EDSA) geregelt.

DSGVO Art. 37 (Benennung): Art. 37 Abs. 1 DSGVO definiert drei Fallgruppen, in denen eine Benennung zwingend ist: öffentliche Stellen, Kerntätigkeit mit umfangreicher regelmäßiger und systematischer Überwachung von Personen, Kerntätigkeit mit umfangreicher Verarbeitung besonderer Kategorien nach Art. 9 oder Art. 10. Art. 37 Abs. 5 verlangt Benennung auf Grundlage beruflicher Qualifikation. Art. 37 Abs. 7 schreibt Meldung an die Aufsichtsbehörde und Veröffentlichung der Kontaktdaten vor.

BDSG §38 (Nichtöffentliche Stellen): §38 Abs. 1 BDSG senkt die Benennungsschwelle für deutsche Unternehmen auf 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. §38 Abs. 2 erstreckt die Benennungspflicht auf nichtöffentliche Stellen, die Datenverarbeitung nach Art. 9 Abs. 1 DSGVO (besondere Kategorien) vornehmen oder Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder im Rahmen eines Bestellungs- oder Kundenverhältnisses für Daten Dritter verarbeiten (Marktforschung, Adresshandel, Scoring).

DSGVO Art. 38 (Stellung des DSB): Art. 38 Abs. 3 sichert dem DSB Weisungsfreiheit bei der Aufgabenerfüllung und besonderen Kündigungsschutz — Kündigung oder Abberufung sind nur aus wichtigem Grund zulässig (i.V.m. §6 BDSG und §626 BGB). Kündigung wegen der Erfüllung der DSB-Aufgaben ist ausdrücklich verboten. Der Arbeitgeber darf den DSB nicht sanktionieren, weil er seine Aufgaben erfüllt. Art. 38 Abs. 6 verbietet Interessenkonflikte.

DSGVO Art. 83 (Bußgelder): Verstöße gegen Art. 37–39 DSGVO — insbesondere das Fehlen eines pflichtgemäßen DSB oder die Bestellung einer ungeeigneten Person — können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes geahndet werden (je nachdem, welcher Betrag höher ist). Die deutschen Landesdatenschutzbehörden haben bereits Bußgelder für das Fehlen eines DSB verhängt.

Meldepflicht nach Art. 37 Abs. 7 DSGVO: Die Kontaktdaten des DSB sind der zuständigen Aufsichtsbehörde zu melden und zu veröffentlichen. Für Bayern ist die Aufsichtsbehörde das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), für NRW die LDI NRW, auf Bundesebene der BfDI für öffentliche Bundesbehörden. Die Nicht-Meldung stellt einen eigenständigen Verstoß dar und kann separat sanktioniert werden.

Besonderer Kündigungsschutz des DSB: §6 Abs. 4 BDSG i.V.m. Art. 38 Abs. 3 Satz 2 DSGVO schützt interne DSBs vor Kündigung und sonstigen Benachteiligungen wegen ihrer DSB-Tätigkeit. Nach Abberufung als DSB besteht der Kündigungsschutz nach §6 Abs. 4 BDSG für weitere ein Jahr fort. Die Bestellung als DSB begründet keinen eigenständigen Beschäftigungsanspruch; bei Wegfall des Arbeitsvertrags kann auch die DSB-Funktion enden.

Bei der Bestellung des Datenschutzbeauftragten in Deutschland werden regelmäßig Fehler gemacht, die die Wirksamkeit der Bestellung gefährden und zu Bußgeldern nach Art. 83 DSGVO führen können.

Bestellung einer ungeeigneten Person ohne ausreichende Fachkenntnisse: Art. 37 Abs. 5 DSGVO schreibt vor, dass der DSB auf der Grundlage seiner beruflichen Qualifikation benannt wird. Die Benennung des Inhabers, des Buchhalters oder eines IT-Mitarbeiters ohne datenschutzrechtliche Kenntnisse allein aufgrund ihrer Betriebszugehörigkeit ist unzulässig. Aufsichtsbehörden prüfen die Qualifikation bei Beschwerden und Prüfungen; eine fehlqualifizierte Bestellung kann als Verstoß gegen Art. 37 Abs. 5 DSGVO mit Bußgeldern nach Art. 83 DSGVO geahndet werden.

Interessenkonflikt durch Doppelfunktion des internen DSB: Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte. Ein interner DSB darf keine anderen Funktionen ausüben, die mit seiner Überwachungsaufgabe unvereinbar sind. In der Praxis häufige Fehler: IT-Leiter als DSB (überwacht eigene Systeme); Personalleiter als DSB (überwacht eigene Verarbeitungen von Mitarbeiterdaten nach BDSG §26); Geschäftsführer als DSB (kontrolliert sich selbst). Die Aufsichtsbehörden (z.B. BayLDA, LDI NRW) haben in Entscheidungen Doppelfunktionen von GmbH-Geschäftsführern als DSBs für unzulässig erklärt.

Nicht-Meldung an die Aufsichtsbehörde: Art. 37 Abs. 7 DSGVO verpflichtet zur Meldung der DSB-Kontaktdaten an die zuständige Landesdatenschutzbehörde. Viele Unternehmen benennen einen DSB, vergessen jedoch die Meldung. Die Nicht-Meldung stellt einen eigenständigen Verstoß gegen Art. 37 Abs. 7 DSGVO dar und kann separat sanktioniert werden.

Nicht-Veröffentlichung der DSB-Kontaktdaten: Art. 37 Abs. 7 DSGVO verlangt nicht nur die Meldung an die Aufsichtsbehörde, sondern auch die Veröffentlichung der DSB-Kontaktdaten — üblicherweise im Impressum der Website und in der Datenschutzerklärung (Art. 13 Abs. 1 lit. b DSGVO). Fehlen diese Angaben, sind gleichzeitig Art. 13 und Art. 37 DSGVO verletzt; Betroffene können keine Anfragen an den DSB stellen.

Abberufung des internen DSB ohne wichtigen Grund: §6 Abs. 4 BDSG i.V.m. Art. 38 Abs. 3 DSGVO schützt interne DSBs vor Kündigung und Abberufung ohne wichtigen Grund. Unternehmen, die einen internen DSB aus Unzufriedenheit oder wegen Umstrukturierungen abberufen, ohne einen wichtigen Grund nach §626 BGB vorweisen zu können, riskieren arbeitsrechtliche Klagen und Schadensersatzansprüche. Die Abberufung muss ordnungsgemäß begründet und mit dem Betriebsrat (§87 Abs. 1 Nr. 1 BetrVG) abgestimmt werden.

Uzureichende Ressourcenausstattung des DSB: Art. 38 Abs. 2 DSGVO verpflichtet Verantwortliche, dem DSB ausreichend Ressourcen zur Verfügung zu stellen — Zeit, finanzielle Mittel, Zugang zu Daten und Verarbeitungsvorgängen, und Zugang zu Fortbildungen. Aufsichtsbehörden haben Fälle beanstandet, in denen DSBs nur wenige Stunden pro Monat für ihre Aufgaben aufwenden konnten oder keinen Zugang zu wichtigen Systemen hatten. Ein DSB ohne ausreichende Ressourcen kann seine gesetzliche Aufgabe nicht erfüllen, was die Wirksamkeit der gesamten DSGVO-Compliance des Unternehmens untergräbt.