Datenschutzbeauftragter: Fünf Annahmen, die im Prüffall nicht tragen

Rund um den Datenschutzbeauftragten hört man immer wieder dieselben Sätze. Sie klingen plausibel, halten aber einer genaueren Prüfung nicht stand. Fünf davon begegnen uns besonders oft.

„Wir sind zu klein dafür.“

Das kann stimmen, aber prüfen Sie die Zahl. Ab 20 Personen, die regelmäßig personenbezogene Daten automatisiert verarbeiten, besteht die Pflicht zur Benennung. Mitgezählt wird jede Person am Rechner, die mit Daten von Kunden, Bewerbern oder Mitarbeitenden arbeitet. In vielen Unternehmen mit 30 Beschäftigten ist die Schwelle deshalb längst erreicht.

Unabhängig von der Pflicht gilt: Die Aufgaben verschwinden nicht, wenn niemand zuständig ist. Sie bleiben nur ungetan. Auch wer unter der Schwelle liegt, muss die DSGVO einhalten, und Kunden fragen zunehmend nach, wer im Haus dafür verantwortlich ist.

„Das macht unsere IT mit.“

Die IT ist ein wichtiger Partner, aber die Rolle passt nicht. Der Datenschutzbeauftragte muss die Verarbeitung personenbezogener Daten überwachen, auch die der IT selbst. Wer die eigenen Systeme betreibt, kann sie nicht unabhängig kontrollieren. Dieser Interessenkonflikt führt im Prüffall häufig zur Beanstandung.

Das gilt ähnlich für die Geschäftsführung sowie die Leitung von IT und Personal. Wer über die Verarbeitung entscheidet, sollte sie nicht zugleich kontrollieren.

„Wir haben eine Datenschutzerklärung, damit ist das Wesentliche erledigt.“

Die Datenschutzerklärung ist der sichtbare Teil und zugleich der kleinste. Es fehlen regelmäßig die Unterlagen, nach denen eine Behörde zuerst fragt: das Verzeichnis der Verarbeitungstätigkeiten, Verträge zur Auftragsverarbeitung mit allen Dienstleistern, Schulungsnachweise, dokumentierte Löschfristen und ein Ablauf für Betroffenenanfragen.

Diese Dinge entstehen nicht von selbst. Es braucht jemanden, der sie aufbaut und laufend pflegt. Ein neues Tool, ein neuer Dienstleister oder eine neue Bewerbungsplattform verändern das Verzeichnis sofort. Wird es nur einmal angelegt und dann vergessen, stimmt es beim nächsten Prüfungstermin nicht mehr.

„Ein interner Datenschutzbeauftragter ist günstiger.“

Auf dem Papier oft ja. Gerechnet wird aber selten vollständig. Zur Rechnung gehören Arbeitszeit, Fachkundeschulungen, laufende Fortbildung, Fachliteratur, eine Vertretung und die Zeit, die an anderer Stelle fehlt. Dazu kommt der besondere Kündigungsschutz, der die Rolle langfristig an die Person bindet.

Eine feste Monatspauschale ist nicht automatisch günstiger. Sie ist aber kalkulierbar, und die Leistung ist klar definiert.

„Wenn etwas passiert, kümmern wir uns dann.“

Bei einem meldepflichtigen Datenschutzvorfall bleiben 72 Stunden für die Meldung an die Aufsichtsbehörde. In dieser Zeit muss klar sein, was passiert ist, wer betroffen ist, welche Daten abgeflossen sind und wer die Meldung abgibt.

Ohne vorbereitete Zuständigkeit ist das kaum zu schaffen. Und der Ernstfall ist nicht der Moment, in dem man Grundlagen aufbaut. Wer vorher geklärt hat, wer entscheidet, wer dokumentiert und wer die Behörde informiert, gewinnt in diesen Stunden die Ruhe, die es braucht.

Was stattdessen hilft

Klären Sie zuerst, ob die Pflicht besteht. Falls ja, besetzen Sie die Rolle sauber und melden Sie die Benennung. Bauen Sie dann die Pflichtdokumente auf und halten Sie sie aktuell. Schulen Sie Ihre Mitarbeitenden, damit Datenschutz im Alltag ankommt. Das ist unspektakulär und funktioniert.