Datenschutzbeauftragter: Ein Datenschutzbeauftragter überwacht die Einhaltung der DSGVO im Unternehmen, berät Geschäftsführung und Beschäftigte und ist zentraler Ansprechpartner für Aufsichtsbehörden und betroffene Personen.
Die Bestellpflicht ergibt sich aus Art. 37 DSGVO in Verbindung mit § 38 BDSG: verpflichtend etwa, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, oder wenn die Kerntätigkeit eine umfangreiche Verarbeitung besonderer Datenkategorien umfasst. Die Bestellung kann intern oder extern erfolgen, muss aber unabhängig und weisungsfrei ausgeübt werden können.
Zu den Aufgaben zählen die Führung des Verzeichnisses von Verarbeitungstätigkeiten, Schulungen der Belegschaft, die Beratung bei Auftragsverarbeitungsverträgen sowie die Unterstützung bei der Meldung von Datenschutzverletzungen an die Aufsichtsbehörde. Der Datenschutzbeauftragte ist rechtlich strikt vom Informationssicherheitsbeauftragten zu unterscheiden, auch wenn beide Rollen eng zusammenarbeiten sollten.
Eine besondere Herausforderung für kleinere Unternehmen ist die geforderte Unabhängigkeit: Wer die Rolle intern übernimmt, darf keine Aufgaben haben, die er später selbst kontrollieren müsste, etwa in der IT-Leitung. Deshalb entscheiden sich viele KMU für einen externen Datenschutzbeauftragten, der diese Interessenkonflikte von vornherein vermeidet.
Bei einer Bestellung sollte zudem klar dokumentiert werden, über welche Kontaktwege Betroffene und Aufsichtsbehörden den Datenschutzbeauftragten erreichen können – eine Angabe, die häufig im Impressum fehlt.
- Bestellpflicht meist ab 20 Personen mit automatisierter Datenverarbeitung
- Unabhängige Stellung, direkte Berichtslinie an die Geschäftsführung
- Zusammenarbeit mit IT und Informationssicherheit essenziell
- Erreichbarkeit des Datenschutzbeauftragten muss öffentlich zugänglich dokumentiert sein
Relevanz für die Zertifizierung
Ein ISO-27001-Zertifikat ersetzt weder die gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten noch dessen Aufgaben – Informationssicherheit schützt technisch-organisatorisch alle Informationswerte, Datenschutz schützt rechtlich personenbezogene Daten. Beide Bereiche überschneiden sich stark bei technisch-organisatorischen Maßnahmen und sollten im ISMS aufeinander abgestimmt, aber als getrennte Verantwortlichkeiten dokumentiert werden. Beide Rollen sollten insbesondere bei der Meldung von Sicherheitsvorfällen eng abgestimmt vorgehen, da hier oft parallele Melde- und Dokumentationspflichten bestehen. Fehlende oder veraltete Kontaktangaben zum Datenschutzbeauftragten fallen bei Prüfungen der Aufsichtsbehörden regelmäßig negativ auf.
Häufige Fragen zu Datenschutzbeauftragter
Nach Art. 37 DSGVO in Verbindung mit § 38 BDSG verpflichtend, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, oder wenn die Kerntätigkeit eine umfangreiche Verarbeitung besonderer Datenkategorien umfasst. Die Bestellung kann intern oder extern erfolgen.
Wer die Rolle intern übernimmt, darf keine Aufgaben haben, die er später selbst kontrollieren müsste, etwa in der IT-Leitung, das schränkt die Auswahl in kleineren Unternehmen oft stark ein. Deshalb entscheiden sich viele KMU für einen externen Datenschutzbeauftragten, der diese Interessenkonflikte von vornherein vermeidet.
Nein. Informationssicherheit nach ISO 27001 schützt technisch-organisatorisch alle Informationswerte, die gesetzliche Pflicht zum Datenschutzbeauftragten betrifft speziell personenbezogene Daten und bleibt davon unberührt. Beide Bereiche überschneiden sich stark bei technisch-organisatorischen Maßnahmen und sollten im ISMS abgestimmt, aber getrennt dokumentiert werden. Insbesondere bei der Meldung von Sicherheitsvorfällen ist eine enge Abstimmung beider Rollen sinnvoll.