Checkliste Datenschutzbeauftragter

Die Bestellung eines Datenschutzbeauftragten ist kein einzelner Vorgang, sondern eine Kette von Entscheidungen und Formalien. Diese Checkliste Datenschutzbeauftragter führt Sie in acht Schritten hindurch – von der Frage, ob überhaupt eine Pflicht besteht, bis zur laufenden Dokumentation im Regelbetrieb.

Schritt 1 – Benennungspflicht feststellen

Zuerst klären Sie, ob die Pflicht Sie trifft. Prüfen Sie vier Punkte:

  • Personenzahl. Ermitteln Sie, wie viele Personen ständig automatisiert personenbezogene Daten verarbeiten. Zählen Sie dabei nicht nur die IT: Buchhaltung, Personalwesen, Marketing und Vertrieb gehören dazu. Ab 20 Personen greift § 38 BDSG.
  • Kerntätigkeit. Prüfen Sie, ob Ihr Geschäftsmodell auf umfangreicher, regelmäßiger und systematischer Überwachung von Personen beruht (Art. 37 Abs. 1 lit. b DSGVO).
  • Datenart. Prüfen Sie, ob Sie besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO in großem Umfang verarbeiten (Art. 37 Abs. 1 lit. c DSGVO).
  • Weitere Auslöser. Prüfen Sie, ob Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.

Auch ohne gesetzliche Pflicht kann die Bestellung sinnvoll sein – etwa bei Cloud-Nutzung, internationalen Datentransfers, hohem Bußgeldrisiko oder fehlendem Fachwissen im Haus. Ausführlich ist die Rechtslage unter Wegfall der Bestellpflicht dargestellt.

Schritt 2 – Interne oder externe Besetzung entscheiden

Wägen Sie Kosten, verfügbares Fachwissen und Haftungsfragen gegeneinander ab.

Bei einer internen Besetzung prüfen Sie zusätzlich drei Punkte:

  • Interessenkonflikt. Geschäftsleitung, IT-Leitung, Personalverantwortliche und IT-Administratorinnen und -Administratoren scheiden aus, weil sie sich selbst kontrollieren müssten.
  • Qualifizierung. Kalkulieren Sie 3.000 bis 8.000 € für die Ausbildung und rund 2.000 € jährlich für Fortbildung ein. Rechnen Sie mit 3 bis 6 Monaten Einarbeitung.
  • Rückabwicklung. Bedenken Sie, dass interne Beauftragte besonderen Kündigungsschutz nach § 38 BDSG genießen und die Bestellung entsprechend schwer zu widerrufen ist.

Die Gesamtkosten einer internen Lösung liegen bei rund 14.800 € jährlich. Ein externer Beauftragter beginnt bei 137 € im Monat. Eine ausführliche Gegenüberstellung finden Sie unter extern oder intern.

Schritt 3 – Fachkunde und Unabhängigkeit prüfen

Art. 37 Abs. 5 DSGVO verlangt Fachkunde und Zuverlässigkeit. Klären Sie:

  • Beherrscht die Person das Datenschutzrecht einschließlich der Sondervorschriften Ihrer Branche?
  • Versteht sie IT-Sicherheit und die technischen Schutzvorkehrungen?
  • Hat sie Datenschutzkonzepte bereits praktisch aufgebaut?
  • Bildet sie sich fortlaufend zu Rechtsprechung und Behördenpraxis fort?
  • Liegen Nachweise vor – etwa Zertifizierungen von TÜV, GDD, IHK oder ULD, eine juristische oder informationstechnische Ausbildung, Referenzen und Branchenerfahrung?
  • Ist die Unabhängigkeit gesichert und die Verschwiegenheit zugesagt? Art. 38 Abs. 3 DSGVO verlangt Weisungsfreiheit bei der Wahrnehmung der Aufgaben.

Schritt 4 – Bestellung vornehmen

Halten Sie die Bestellung schriftlich fest. Regeln Sie im Vertrag, welche Aufgaben und Tätigkeiten übernommen werden und in welchem zeitlichen Umfang. Bei einer externen Lösung legen Sie zusätzlich Laufzeit und Kündigungsfrist fest; üblich sind 3 Monate.

Schritt 5 – Meldung und Veröffentlichung erledigen

Drei Formalien schließen sich unmittelbar an:

  • Melden Sie die Bestellung der zuständigen Aufsichtsbehörde.
  • Veröffentlichen Sie die Kontaktdaten, wie Art. 37 Abs. 7 DSGVO es vorschreibt.
  • Ergänzen Sie die Nennung in der Datenschutzerklärung Ihrer Website.

Für Unternehmensgruppen erlaubt Art. 37 Abs. 2 DSGVO eine gemeinsame Funktion über mehrere Niederlassungen, solange der Beauftragte von jedem Standort aus leicht erreichbar bleibt.

Schritt 6 – Bestandsaufnahme durchführen

Jetzt beginnt die inhaltliche Arbeit:

  • Erfassen Sie sämtliche Verarbeitungstätigkeiten.
  • Erstellen oder aktualisieren Sie das Verzeichnis von Verarbeitungstätigkeiten.
  • Führen Sie eine Gap-Analyse durch und halten Sie den Handlungsbedarf fest.
  • Prüfen Sie die Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
  • Dokumentieren Sie die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

Wie ein solches Erstaudit im Einzelnen abläuft, lesen Sie auf der zugehörigen Seite.

Schritt 7 – Regelbetrieb aufsetzen

Damit der Datenschutz nicht nach dem Projekt einschläft, legen Sie fünf Abläufe fest:

  • Terminieren Sie regelmäßige Überprüfungen.
  • Planen Sie Schulungen und sichern Sie den Nachweis der Teilnahme.
  • Legen Sie einen Ablauf für Betroffenenanfragen nach Art. 15 bis 21 DSGVO fest.
  • Legen Sie einen Ablauf für die Meldung von Datenschutzverletzungen fest. Ohne festgelegtes Verfahren ist die Frist von 72 Stunden nach Art. 33 und Art. 34 DSGVO praktisch nicht einzuhalten.
  • Sehen Sie vor, dass der Beauftragte bei neuen Vorhaben früh eingebunden wird – etwa bei Softwareeinführungen oder Marketingkampagnen.

Schritt 8 – Dokumentation und Nachweise führen

Zuletzt sorgen Sie dafür, dass sich alles belegen lässt: Erstellen Sie einen jährlichen Tätigkeitsbericht, dokumentieren Sie sämtliche Maßnahmen so, dass sie einer Prüfung standhalten, und halten Sie die Nachweise für die Aufsichtsbehörde bereit.

Was passiert, wenn Sie keinen Datenschutzbeauftragten bestellen

Wird trotz Pflicht niemand bestellt, liegt eine Ordnungswidrigkeit vor. Zwei Rahmen sind dabei zu unterscheiden:

  • Nach Art. 83 Abs. 4 DSGVO reicht der Bußgeldrahmen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – maßgeblich ist der höhere Betrag.
  • Nach § 43 Abs. 1 Nr. 2 in Verbindung mit § 43 Abs. 3 BDSG droht ein Bußgeld bis 25.000 €, wenn kein geeigneter Datenschutzbeauftragter bestellt wird.

Beide Vorschriften betreffen unterschiedliche Tatbestände und stehen nebeneinander.

Häufige Fragen zur Checkliste für Datenschutzbeauftragte

Muss die Bestellung schriftlich erfolgen? Ja. Halten Sie zusätzlich Aufgaben, Tätigkeiten und zeitlichen Umfang vertraglich fest.

Wem ist die Bestellung zu melden? Der für Ihren Sitz zuständigen Aufsichtsbehörde.

Müssen die Kontaktdaten veröffentlicht werden? Ja, Art. 37 Abs. 7 DSGVO schreibt die Veröffentlichung vor.

Wer darf im Unternehmen nicht Datenschutzbeauftragter sein? Alle, die sich dadurch selbst kontrollieren müssten – insbesondere Geschäftsleitung, IT-Leitung, Personalverantwortliche und IT-Administration.

Wie schnell kann ein externer Beauftragter starten? Innerhalb von 1 bis 2 Wochen. Eine interne Besetzung benötigt 3 bis 6 Monate für Schulung und Zertifizierung.

Kontakt

Sie sind sich bei einem der acht Schritte unsicher? Wir gehen die Checkliste mit Ihnen durch – das Erstgespräch ist kostenlos.