Was macht ein Datenschutzbeauftragter? Aufgaben, Pflichten und Verantwortung

Ein Datenschutzbeauftragter unterstützt Unternehmen dabei, die Anforderungen des Datenschutzrechts einzuhalten und personenbezogene Daten verantwortungsvoll zu verarbeiten. Er berät die Geschäftsleitung und Beschäftigten, überwacht die Einhaltung datenschutzrechtlicher Vorgaben und begleitet das Unternehmen bei datenschutzrelevanten Projekten.

Dabei übernimmt der Datenschutzbeauftragte nicht die Verantwortung für die Einhaltung des Datenschutzes. Diese verbleibt beim Unternehmen beziehungsweise beim Verantwortlichen. Die Aufgabe des Datenschutzbeauftragten besteht vor allem in Beratung, Überwachung und Unterstützung.

Was sind die Aufgaben eines Datenschutzbeauftragten?

Die Aufgaben eines Datenschutzbeauftragten ergeben sich insbesondere aus der Datenschutz-Grundverordnung (DSGVO). Zu den wesentlichen Tätigkeiten gehören:

Beratung der Geschäftsleitung und der für die Verarbeitung verantwortlichen Personen
Information und Beratung der Beschäftigten zu ihren datenschutzrechtlichen Pflichten
Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften
Überwachung der internen Datenschutzrichtlinien und Datenschutzprozesse
Beratung bei Datenschutz-Folgenabschätzungen
Überwachung der Durchführung von Datenschutz-Folgenabschätzungen
Zusammenarbeit mit der zuständigen Datenschutzaufsichtsbehörde
Ansprechpartner für Datenschutzaufsichtsbehörden
Beratung bei datenschutzrelevanten Projekten und neuen Verarbeitungsvorgängen
Unterstützung bei der Bewertung von Datenschutzrisiken
Beratung im Zusammenhang mit Datenschutzverletzungen
Überwachung und Begleitung von Datenschutzschulungen

Der konkrete Umfang der Tätigkeit hängt von der Größe des Unternehmens, den verarbeiteten personenbezogenen Daten, der Branche und der Komplexität der Verarbeitungsvorgänge ab.

Wenn Sie wissen möchten, wie diese Aufgaben im Rahmen einer laufenden externen Betreuung umgesetzt werden, erfahren Sie auf der Seite Externer Datenschutzbeauftragter mehr über die konkrete Betreuung durch PRIOLAN.

Wann ist ein Datenschutzbeauftragter erforderlich?

Nicht jedes Unternehmen muss automatisch einen Datenschutzbeauftragten benennen. Ob eine Verpflichtung besteht, hängt unter anderem von der Art und dem Umfang der Verarbeitung personenbezogener Daten sowie von den gesetzlichen Voraussetzungen ab.

Eine wichtige Regelung findet sich in Artikel 37 DSGVO. Für Unternehmen in Deutschland ist außerdem § 38 BDSG relevant.

Insbesondere können besondere Anforderungen gelten, wenn die Kerntätigkeit eines Unternehmens in umfangreichen Verarbeitungen besteht oder wenn besondere Kategorien personenbezogener Daten in großem Umfang verarbeitet werden.

Darüber hinaus kann sich eine Verpflichtung zur Benennung aus weiteren gesetzlichen Vorgaben ergeben.

Ob ein Datenschutzbeauftragter im konkreten Fall erforderlich ist, sollte deshalb anhand der tatsächlichen Verarbeitungstätigkeiten des Unternehmens geprüft werden.

Welche Verantwortung hat der Datenschutzbeauftragte?

Der Datenschutzbeauftragte berät und überwacht – er trägt jedoch nicht die Verantwortung dafür, dass das Unternehmen sämtliche Datenschutzvorschriften einhält.

Die Verantwortung für die Verarbeitung personenbezogener Daten liegt grundsätzlich beim Verantwortlichen, also beispielsweise bei der Geschäftsführung beziehungsweise dem Unternehmen.

Der Datenschutzbeauftragte nimmt dabei eine unabhängige Beratungs- und Überwachungsfunktion ein. Er soll auf mögliche Risiken und Verstöße hinweisen und Empfehlungen zur Verbesserung des Datenschutzes geben.

Diese klare Trennung zwischen Verantwortung des Unternehmens und Aufgaben des Datenschutzbeauftragten ist für eine funktionierende Datenschutzorganisation besonders wichtig.

Muss ein Datenschutzbeauftragter unabhängig sein?

Ja. Ein Datenschutzbeauftragter muss seine Aufgaben unabhängig wahrnehmen können und darf bei der Erfüllung seiner Aufgaben keine Weisungen hinsichtlich der Ausübung seiner Aufgaben erhalten.

Gleichzeitig darf er bei der Erfüllung seiner gesetzlichen Aufgaben nicht benachteiligt werden.

Wichtig ist außerdem, dass keine Interessenkonflikte entstehen. Bestimmte Funktionen innerhalb eines Unternehmens können deshalb nicht ohne Weiteres gleichzeitig mit der Funktion des Datenschutzbeauftragten ausgeübt werden.

Welche Qualifikation muss ein Datenschutzbeauftragter haben?

Die DSGVO schreibt keine bestimmte Berufsbezeichnung oder einen einheitlichen Ausbildungsweg vor. Entscheidend sind die erforderlichen beruflichen Qualifikationen und insbesondere Fachwissen im Datenschutzrecht und in der Datenschutzpraxis.

Ein Datenschutzbeauftragter sollte unter anderem Kenntnisse in folgenden Bereichen besitzen:

Datenschutzrecht und DSGVO
Bundesdatenschutzgesetz
Datenschutzorganisation und Datenschutzmanagement
technische und organisatorische Maßnahmen
Datenschutzrisiken
Auftragsverarbeitung
Datenschutzverletzungen
Datenschutz-Folgenabschätzungen
Umgang mit Datenschutzaufsichtsbehörden

Darüber hinaus sind Kenntnisse über die technischen und organisatorischen Abläufe des jeweiligen Unternehmens wichtig.

Was darf ein Datenschutzbeauftragter nicht?

Der Datenschutzbeauftragte soll beraten und überwachen, nicht selbst die Entscheidungen des Verantwortlichen übernehmen.

Er sollte deshalb beispielsweise nicht eigenständig über die Zwecke und Mittel einer Verarbeitung personenbezogener Daten entscheiden, wenn dadurch ein Interessenkonflikt mit seiner Kontrollfunktion entsteht.

Die Verantwortung für datenschutzrechtliche Entscheidungen bleibt beim Unternehmen.

Was ist der Unterschied zwischen Datenschutzbeauftragtem und Unternehmen?

Der Unterschied lässt sich vereinfacht so darstellen:

Das Unternehmen beziehungsweise der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden und trägt die Verantwortung für die Einhaltung der Datenschutzvorschriften.

Der Datenschutzbeauftragte berät, informiert und überwacht die Einhaltung der datenschutzrechtlichen Vorgaben.

Diese Aufgabenteilung verhindert, dass der Datenschutzbeauftragte gleichzeitig seine eigenen Entscheidungen kontrollieren müsste.

Was macht ein Datenschutzbeauftragter im Alltag?

Die Tätigkeit besteht nicht nur aus der Prüfung von Dokumenten. Je nach Unternehmen kann der Datenschutzbeauftragte beispielsweise an Besprechungen teilnehmen, neue Projekte datenschutzrechtlich bewerten, Verarbeitungsvorgänge prüfen oder Beschäftigte beraten.

Typische Tätigkeiten können sein:

Prüfung neuer Verarbeitungsvorgänge
Beratung bei neuen Softwarelösungen
Prüfung von Auftragsverarbeitungen
Beratung bei Datenschutzverletzungen
Überprüfung von Datenschutzprozessen
Begleitung von Datenschutz-Folgenabschätzungen
Beratung der Beschäftigten
Vorbereitung oder Begleitung von Datenschutzschulungen
Kommunikation mit Datenschutzaufsichtsbehörden
regelmäßige Überprüfung des Datenschutzmanagements

Dadurch ist der Datenschutzbeauftragte in vielen Unternehmen eine kontinuierliche Anlaufstelle für datenschutzrechtliche Fragen.

Interner oder externer Datenschutzbeauftragter?

Ein Unternehmen kann die Datenschutzfunktion grundsätzlich intern oder extern organisieren. Welche Lösung sinnvoll ist, hängt unter anderem von den vorhandenen Fachkenntnissen, der Unternehmensgröße, der Komplexität der Datenverarbeitung und den erforderlichen Ressourcen ab.

Bei einer externen Betreuung übernimmt ein spezialisierter Dienstleister die gesetzlich vorgesehenen Aufgaben des Datenschutzbeauftragten. Die externe Lösung kann insbesondere für Unternehmen interessant sein, die internes Fachwissen ergänzen oder eine unabhängige Datenschutzbetreuung aufbauen möchten.

Wenn Sie sich über eine externe Datenschutzbetreuung informieren möchten, finden Sie auf unserer zentralen Seite „Externer Datenschutzbeauftragter“ einen umfassenden Überblick über Leistungen, Aufgaben, Ablauf und Vorteile einer externen Betreuung.

Häufige Fragen zum Datenschutzbeauftragten

Was ist die wichtigste Aufgabe eines Datenschutzbeauftragten?

Zu den wichtigsten Aufgaben gehören die Beratung des Unternehmens, die Information der Beschäftigten und die Überwachung der Einhaltung datenschutzrechtlicher Vorgaben.

Trägt der Datenschutzbeauftragte die Verantwortung für den Datenschutz?

Nein. Die datenschutzrechtliche Verantwortung verbleibt grundsätzlich beim Unternehmen beziehungsweise beim Verantwortlichen. Der Datenschutzbeauftragte berät und überwacht.

Muss jedes Unternehmen einen Datenschutzbeauftragten haben?

Nein. Ob eine gesetzliche Verpflichtung besteht, hängt von den jeweiligen Voraussetzungen ab. Für Unternehmen in Deutschland sind insbesondere die DSGVO und § 38 BDSG relevant.

Kann ein Datenschutzbeauftragter auch extern tätig sein?

Ja. Unternehmen können die Datenschutzfunktion unter den gesetzlichen Voraussetzungen durch einen externen Datenschutzbeauftragten wahrnehmen lassen.

Was ist der Unterschied zwischen Datenschutzbeauftragtem und Datenschutzberater?

Ein Datenschutzbeauftragter hat gesetzlich definierte Aufgaben nach der DSGVO. Ein Datenschutzberater unterstützt Unternehmen dagegen beispielsweise bei einzelnen Projekten, Audits oder der Umsetzung von Datenschutzmaßnahmen. Je nach konkreter Ausgestaltung können sich die Tätigkeiten überschneiden.

Professionelle Unterstützung beim Datenschutz

Datenschutz ist eine fortlaufende Aufgabe. Unternehmen müssen ihre Verarbeitung personenbezogener Daten regelmäßig überprüfen und auf neue gesetzliche, organisatorische und technische Anforderungen reagieren.

Wenn Sie prüfen möchten, wie eine professionelle externe Datenschutzbetreuung in der Praxis aussieht, finden Sie auf unserer zentralen Seite „Externer Datenschutzbeauftragter“ weitere Informationen zu Aufgaben, Leistungen, Ablauf und Vorteilen einer externen Betreuung.