Datenschutzbeauftragter intern oder extern

Die Frage, ob ein Datenschutzbeauftragter intern oder extern besetzt wird, wird meist als Kostenfrage gestellt und ist selten eine. Sie entscheidet sich an drei Punkten, die vor jeder Rechnung stehen: ob die Person überhaupt geeignet ist, ob sie die Fachkunde halten kann und ob die Rolle auch im August besetzt ist.

Der Ausschlussgrund, der zuerst greift

Der Interessenkonflikt. Art. 38 Abs. 6 DSGVO lässt weitere Aufgaben nur zu, soweit sie nicht zu einem Konflikt führen. Wer über Zwecke und Mittel der Verarbeitung mitentscheidet, darf sich nicht selbst überwachen.

Damit scheiden regelmäßig aus: Geschäftsführung, IT-Leitung, Personalleitung, Marketingleitung, Vertriebsleitung und – in vielen Häusern – auch die Rechtsabteilung, soweit sie die Verträge gestaltet, die zu prüfen wären.

In einem Unternehmen mit dreißig Beschäftigten bleibt nach dieser Prüfung häufig niemand übrig, der die Rolle ausfüllen könnte, ohne dass sie angreifbar wird. Das ist der Punkt, an dem die interne Lösung in der Praxis am häufigsten scheitert – nicht am Budget.

Was intern tatsächlich kostet

Die naheliegende Rechnung lautet: eine halbe Stelle sparen. Sie geht nicht auf, weil die interne Besetzung Kosten erzeugt, die auf keiner Rechnung stehen.

Der letzte Punkt wird bei der Einführung nie bedacht und bei der Trennung immer. Wer intern benennt, bindet sich – und zwar deutlich fester, als ein Dienstleistungsvertrag bindet.

Extern steht dem eine feste monatliche Zahl gegenüber: Kosten ab 137 € im Monat, mit Vertretung, Fortbildung, Werkzeugen und Haftpflicht im Preis.

Die drei Punkte im Vergleich

Fachkunde. Art. 37 Abs. 5 DSGVO verlangt Fachkunde, die zum Umfang der Verarbeitungen passt – fortlaufend. Eine interne Person, die den Datenschutz neben ihrer eigentlichen Aufgabe betreut, hält das erfahrungsgemäß zwei Jahre durch. Danach hängt es an der Person, nicht an der Organisation.

Vertretung. Fristen laufen im Urlaub weiter. Eine Auskunftsanfrage hat einen Monat, eine Datenpanne 72 Stunden. Wer intern besetzt, braucht eine zweite eingearbeitete Person – womit der Aufwand sich nicht halbiert, sondern verdoppelt.

Unabhängigkeit. Der externe Beauftragte steht außerhalb der Hierarchie. Er kann Feststellungen treffen, die intern niemand gern ausspricht – und er muss danach nicht mit demjenigen Mittagessen gehen, dessen Prozess er beanstandet hat.

Wann intern trotzdem die bessere Wahl ist

Es gibt sie, und wir sagen es Interessenten auch:

Bei sehr großen Organisationen. Ab einer gewissen Größe rechnet sich eine eigene Stelle, und die Nähe zum Betrieb wird zum Vorteil. Dann allerdings als Vollzeitrolle, nicht als Zusatzaufgabe.

Bei hoher Verarbeitungsdichte im Kerngeschäft. Wer täglich datenschutzrechtliche Entscheidungen im Produkt trifft, braucht jemanden im Haus, der in den Entwicklungsprozess eingebunden ist.

Bei besonderen Geheimhaltungsanforderungen. In einzelnen Branchen ist der Zugang Externer zu Unterlagen selbst ein Problem.

Der häufigste Grund, den wir hören, ist ein anderer: „Der kennt unser Haus.” Das stimmt – und es ist zugleich das Risiko. Betriebsblindheit ist der Zustand, in dem gewachsene Abläufe nicht mehr hinterfragt werden. Genau dafür ist die Rolle da.

Der dritte Weg

In der Praxis am häufigsten tragfähig ist die Kombination: extern benannt, intern koordiniert. Der externe Beauftragte trägt Rolle, Fachkunde, Vertretung und Haftung. Im Haus sitzt ein Datenschutzkoordinator, der Veränderungen meldet und die Fachbereiche kennt – wenige Stunden im Monat, ohne Interessenkonflikt, weil er umsetzt statt zu überwachen.

Wer die interne Rolle dennoch aufbauen will, findet Unterstützung im Coaching; für eine Übergangszeit gibt es den Interim-Datenschutzbeauftragten.

Kontakt

Sie wollen wissen, ob in Ihrem Haus überhaupt jemand geeignet wäre? Diese Prüfung dauert zehn Minuten und spart oft die ganze Diskussion.

• Telefon: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Kontaktformular: Anfrage senden
• Angebot berechnen