Was macht ein Datenschutzbeauftragter?

Unabhängiger Berater und Kontrollinstanz im Unternehmen

Personenbezogene Daten werden heute nahezu in jedem Unternehmen verarbeitet, etwa in der Personalverwaltung, der Kundenbetreuung, im Vertrieb, auf der Internetseite oder beim Einsatz externer IT-Dienstleister. Damit gehen zahlreiche gesetzliche Anforderungen einher.

Ein Datenschutzbeauftragter unterstützt das Unternehmen dabei, diese Anforderungen systematisch zu berücksichtigen. Seine Tätigkeit beschränkt sich dabei nicht auf die Prüfung von Datenschutzerklärungen oder Auftragsverarbeitungsverträgen. Vielmehr begleitet er die gesamte Datenschutzorganisation des Unternehmens.

Wann muss ein Datenschutzbeauftragter benannt werden?

Nach Art. 37 Abs. 1 DSGVO ist ein Datenschutzbeauftragter insbesondere zu benennen, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen oder in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht. In Deutschland ergänzt § 38 Abs. 1 BDSG diese Pflicht: Nichtöffentliche Stellen müssen einen Datenschutzbeauftragten benennen, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von der Beschäftigtenzahl besteht die Pflicht etwa, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen.

Die Bundesregierung hat im Programm des Koalitionsausschusses vom 2. Juli 2026 angekündigt, die Zahl der verpflichtend zu benennenden betrieblichen Datenschutzbeauftragten bei kleinen und mittleren Unternehmen zu reduzieren. Dabei handelt es sich um eine politische Absicht; ein Gesetzentwurf liegt bislang nicht vor. Bis zu einer Gesetzesänderung gilt § 38 BDSG unverändert.

Welche Stellung hat der Datenschutzbeauftragte?

Der Datenschutzbeauftragte ist eine fachkundige und unabhängige Beratungs- und Überwachungsstelle. Er kann ein Beschäftigter des Unternehmens sein oder auf Grundlage eines Dienstleistungsvertrags extern beauftragt werden (Art. 37 Abs. 6 DSGVO).

Das Unternehmen muss ihn ordnungsgemäß und frühzeitig in alle Angelegenheiten einbinden, die den Schutz personenbezogener Daten betreffen (Art. 38 Abs. 1 DSGVO). Bei der Wahrnehmung seiner Aufgaben darf er keine Weisungen erhalten und berichtet unmittelbar der höchsten Managementebene (Art. 38 Abs. 3 DSGVO). Wegen der Erfüllung seiner Aufgaben darf er weder abberufen noch benachteiligt werden; § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG sieht für intern benannte Pflicht-Datenschutzbeauftragte zusätzlich einen besonderen Abberufungs- und Kündigungsschutz vor.

Wichtig ist jedoch: Der Datenschutzbeauftragte übernimmt nicht die datenschutzrechtliche Gesamtverantwortung des Unternehmens. Verantwortlich für die rechtmäßige Verarbeitung personenbezogener Daten bleibt weiterhin die Unternehmensleitung beziehungsweise der datenschutzrechtlich Verantwortliche.

Die wesentlichen Aufgaben im Überblick

Die Mindestaufgaben ergeben sich aus Art. 39 Abs. 1 DSGVO.

1. Unternehmen und Beschäftigte beraten

Der Datenschutzbeauftragte informiert und berät die Unternehmensleitung sowie die mit der Verarbeitung personenbezogener Daten befassten Beschäftigten über ihre datenschutzrechtlichen Pflichten (Art. 39 Abs. 1 lit. a DSGVO).

Das betrifft beispielsweise:

• die Einführung neuer Software,
• digitale Personalakten,
• Videoüberwachung,
• Newsletter und Werbemaßnahmen,
• den Einsatz von Cloud-Diensten,
• die Zusammenarbeit mit externen Dienstleistern,
• den Einsatz künstlicher Intelligenz,
• die Verarbeitung sensibler personenbezogener Daten.

Ziel ist es, Datenschutzrisiken möglichst frühzeitig zu erkennen und rechtmäßige Lösungen zu entwickeln.

2. Einhaltung der Datenschutzvorschriften überwachen

Zu den Kernaufgaben gehört die Überwachung, ob die DSGVO, das Bundesdatenschutzgesetz und die internen Datenschutzregelungen eingehalten werden (Art. 39 Abs. 1 lit. b DSGVO).

Dabei kann der Datenschutzbeauftragte unter anderem prüfen:

• ob eine Rechtsgrundlage für die Verarbeitung besteht,
• ob nur erforderliche Daten erhoben werden,
• ob Löschfristen eingehalten werden,
• ob Zugriffsrechte angemessen vergeben sind,
• ob Informationspflichten erfüllt werden,
• ob technische und organisatorische Schutzmaßnahmen ausreichen,
• ob Datenschutzprozesse wirksam dokumentiert sind.

Der Datenschutzbeauftragte arbeitet dabei risikoorientiert (Art. 39 Abs. 2 DSGVO). Verarbeitungsvorgänge mit besonders hohen Risiken sollten entsprechend vorrangig betrachtet werden.

3. Beschäftigte sensibilisieren und schulen

Viele Datenschutzverletzungen entstehen nicht durch fehlende Technik, sondern durch Unkenntnis, Fehlbedienung oder unklare Zuständigkeiten.

Der Datenschutzbeauftragte kann deshalb Schulungen und Sensibilisierungsmaßnahmen begleiten oder durchführen; die Sensibilisierung und Schulung der Beschäftigten ist in Art. 39 Abs. 1 lit. b DSGVO ausdrücklich genannt. Typische Themen sind:

• sicherer Umgang mit E-Mails,
• Erkennen von Phishing-Nachrichten,
• Schutz von Kunden- und Beschäftigtendaten,
• Umgang mit Auskunftsersuchen,
• sichere Nutzung mobiler Geräte,
• Meldewege bei Datenschutzverletzungen.

Regelmäßige Schulungen tragen dazu bei, Datenschutz als Bestandteil der betrieblichen Abläufe zu verankern.

4. Bei Datenschutz-Folgenabschätzungen beraten

Kann eine Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten betroffener Personen führen, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich.

Der Datenschutzbeauftragte berät das Unternehmen auf Anfrage insbesondere dazu (Art. 35 Abs. 2, Art. 39 Abs. 1 lit. c DSGVO),

• ob eine Datenschutz-Folgenabschätzung notwendig ist,
• welche Risiken untersucht werden müssen,
• welche Schutzmaßnahmen vorgesehen werden sollten,
• ob die Bewertung ordnungsgemäß durchgeführt wurde.

Die eigentliche Durchführung und Verantwortung verbleiben jedoch beim Unternehmen.

5. Ansprechpartner für betroffene Personen sein

Kunden, Beschäftigte, Bewerber oder andere betroffene Personen können sich mit Fragen zur Verarbeitung ihrer Daten und zur Wahrnehmung ihrer Rechte an den Datenschutzbeauftragten wenden (Art. 38 Abs. 4 DSGVO).

Dies betrifft beispielsweise:

• Auskunft über gespeicherte Daten,
• Berichtigung unrichtiger Angaben,
• Löschung personenbezogener Daten,
• Einschränkung der Verarbeitung,
• Widerspruch gegen bestimmte Verarbeitungen.

Der Datenschutzbeauftragte muss bei diesen Kontakten die erforderliche Vertraulichkeit wahren (Art. 38 Abs. 5 DSGVO, § 6 Abs. 5 Satz 2 in Verbindung mit § 38 Abs. 2 BDSG).

6. Mit der Aufsichtsbehörde zusammenarbeiten

Der Datenschutzbeauftragte ist außerdem Ansprechpartner für die zuständige Datenschutzaufsichtsbehörde. Er arbeitet mit ihr zusammen und kann bei datenschutzrechtlichen Fragestellungen konsultiert werden.

Die Kommunikation kann etwa bei Beschwerden, Prüfungen, Datenschutzverletzungen oder geplanten risikoreichen Verarbeitungsvorgängen erforderlich werden. Art. 39 Abs. 1 lit. d und e DSGVO nennen die Zusammenarbeit mit der Aufsichtsbehörde und die Funktion als Anlaufstelle ausdrücklich als gesetzliche Aufgaben.

Was macht ein Datenschutzbeauftragter nicht?

In der betrieblichen Praxis wird die Funktion teilweise missverstanden. Der Datenschutzbeauftragte ist weder Geschäftsführer für Datenschutz noch alleiniger Bearbeiter sämtlicher Datenschutzaufgaben.

Er muss insbesondere nicht selbst:

• sämtliche Verzeichnisse von Verarbeitungstätigkeiten führen,
• alle Betroffenenanfragen operativ beantworten,
• Löschungen in IT-Systemen durchführen,
• Datenschutzverletzungen technisch untersuchen,
• sämtliche Datenschutzverträge erstellen,
• über Zwecke und Mittel der Datenverarbeitung entscheiden.

Diese Aufgaben liegen grundsätzlich beim Unternehmen und den jeweils zuständigen Fachbereichen. Der Datenschutzbeauftragte berät, kontrolliert und gibt Empfehlungen. Eine zu starke Übernahme operativer Entscheidungsbefugnisse kann sogar zu einem Interessenkonflikt führen. Nach Art. 38 Abs. 6 DSGVO darf der Datenschutzbeauftragte andere Aufgaben nur wahrnehmen, wenn diese nicht zu einem Interessenkonflikt führen. Der EuGH hat mit Urteil vom 9. Februar 2023 (C-453/21, X-FAB Dresden) klargestellt, dass ein solcher Konflikt insbesondere dann vorliegen kann, wenn dem Datenschutzbeauftragten andere Aufgaben übertragen werden, die ihn dazu veranlassen, die Zwecke und Mittel der Verarbeitung personenbezogener Daten festzulegen. Ob das der Fall ist, ist nach dem EuGH im Einzelfall zu prüfen.

Datenschutzbeauftragter als Frühwarnsystem

Ein wirksam eingebundener Datenschutzbeauftragter kann Risiken erkennen, bevor daraus Beschwerden, Datenschutzverletzungen oder behördliche Verfahren entstehen.

Besonders sinnvoll ist seine frühzeitige Beteiligung bei:

• neuen IT-Systemen,
• neuen digitalen Geschäftsmodellen,
• KI-Anwendungen,
• umfangreichen Datenanalysen,
• internationalen Datenübermittlungen,
• neuen Dienstleistern,
• Änderungen von Personalprozessen,
• Marketing- und Trackingmaßnahmen.

Wird der Datenschutzbeauftragte erst nach Abschluss eines Projekts hinzugezogen, lassen sich datenschutzrechtliche Fehler häufig nur noch mit erheblichem Aufwand korrigieren.

Fazit

Der Datenschutzbeauftragte unterstützt das Unternehmen als unabhängiger Berater, Prüfer und Ansprechpartner. Er informiert über datenschutzrechtliche Pflichten, überwacht die Einhaltung der Vorschriften, begleitet risikoreiche Verarbeitungsvorgänge und arbeitet mit der Aufsichtsbehörde zusammen.

Die Verantwortung für den Datenschutz verbleibt jedoch bei der Unternehmensleitung. Ein Datenschutzbeauftragter kann diese Verantwortung nicht übernehmen, sondern hilft dem Unternehmen, sie sachgerecht und nachweisbar wahrzunehmen.

Praxisempfehlung: Unternehmen sollten den Datenschutzbeauftragten nicht nur formal benennen, sondern ihn frühzeitig in Projekte und Entscheidungen einbinden. Dafür benötigt er ausreichende Informationen, zeitliche Ressourcen, Zugang zu den relevanten Bereichen und eine unmittelbare Berichtsmöglichkeit an die Leitungsebene (Art. 38 Abs. 2 und 3 DSGVO).

Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall.