Datenschutzbeauftragter werden: Voraussetzungen, Aufgaben & Weiterbildung

Wer Datenschutzbeauftragter werden möchte, benötigt kein bestimmtes Studium und auch kein gesetzlich vorgeschriebenes Zertifikat. Entscheidend sind vielmehr ausreichendes Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie die Fähigkeit, die gesetzlichen Aufgaben eines Datenschutzbeauftragten tatsächlich wahrzunehmen. Welche Voraussetzungen gelten, wann Unternehmen einen Datenschutzbeauftragten benennen müssen und wie eine sinnvolle Qualifizierung aussehen kann, erklären wir in diesem Beitrag.

Was macht ein Datenschutzbeauftragter?

Datenschutzbeauftragte haben im Unternehmen eine besondere Stellung. Sie übernehmen nicht einfach die operative Verantwortung für sämtliche Datenschutzprozesse, sondern beraten, überwachen und begleiten das Unternehmen bei der Einhaltung der Datenschutzvorschriften.

Die rechtliche Grundlage bilden insbesondere die Artikel 37 bis 39 der Datenschutz-Grundverordnung. Zu den gesetzlichen Aufgaben gehören unter anderem die Beratung des Verantwortlichen und der Mitarbeiter, die Überwachung der Einhaltung datenschutzrechtlicher Anforderungen sowie die Zusammenarbeit mit der zuständigen Datenschutzaufsichtsbehörde.

Auch bei einem benannten Datenschutzbeauftragten verbleibt die Verantwortung für die Einhaltung der DSGVO beim Unternehmen beziehungsweise dessen Leitung. Der Datenschutzbeauftragte übernimmt also eine unabhängige Beratungs- und Kontrollfunktion und wird nicht selbst zum Verantwortlichen für sämtliche Datenverarbeitungen.

Wann muss ein Unternehmen einen Datenschutzbeauftragten benennen?

Die Pflicht zur Benennung ergibt sich in Deutschland aus einer Kombination aus der DSGVO und dem Bundesdatenschutzgesetz. Dabei existieren mehrere unterschiedliche Tatbestände.

Die 20-Personen-Regel nach dem BDSG

Besonders bekannt ist die deutsche Regelung aus § 38 BDSG. Danach müssen Verantwortliche und Auftragsverarbeiter in der Regel einen Datenschutzbeauftragten benennen, wenn sie mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Daneben kann eine Benennung unabhängig von dieser Personenzahl erforderlich sein. Das gilt beispielsweise bei Verarbeitungen, für die eine Datenschutz-Folgenabschätzung vorgeschrieben ist, oder bei bestimmten geschäftsmäßigen Verarbeitungen für Übermittlungs-, Markt- oder Meinungsforschungszwecke.

Benennungspflichten direkt aus der DSGVO

Art. 37 DSGVO enthält weitere Fälle. Eine Benennung kann insbesondere erforderlich sein, wenn die Kerntätigkeit eines Unternehmens eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordert oder in einer umfangreichen Verarbeitung besonders sensibler personenbezogener Daten besteht.

Unternehmen, die keiner gesetzlichen Benennungspflicht unterliegen, können grundsätzlich auch freiwillig einen Datenschutzbeauftragten benennen.

Welche Voraussetzungen muss ein Datenschutzbeauftragter erfüllen?

Die DSGVO schreibt keinen bestimmten Beruf, keinen bestimmten Hochschulabschluss und keinen festen Ausbildungsweg vor. Art. 37 Abs. 5 DSGVO stellt vielmehr auf die berufliche Qualifikation, das Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie die Fähigkeit zur Erfüllung der gesetzlichen Aufgaben ab.

Wie umfangreich das erforderliche Fachwissen sein muss, hängt deshalb auch von der jeweiligen Organisation, den Datenverarbeitungen und den bestehenden Datenschutzrisiken ab. Ein Datenschutzbeauftragter in einem Unternehmen mit hochsensiblen Gesundheitsdaten benötigt beispielsweise andere praktische Schwerpunkte als ein Datenschutzbeauftragter in einem kleinen Dienstleistungsunternehmen.

Typische Wissensbereiche

Zu einer belastbaren Grundqualifikation gehören insbesondere Kenntnisse in folgenden Bereichen:

• DSGVO und Bundesdatenschutzgesetz
• Grundsätze und Rechtsgrundlagen der Datenverarbeitung
• Informationspflichten und Betroffenenrechte
• Verzeichnis von Verarbeitungstätigkeiten
• Auftragsverarbeitung
• technische und organisatorische Maßnahmen
• Datenschutz-Folgenabschätzungen und Risikobewertung
• Beschäftigtendatenschutz
• Datenübermittlungen in Drittländer
• Datenschutzverletzungen
• Zusammenarbeit mit Datenschutzaufsichtsbehörden
• Rolle und Stellung des Datenschutzbeauftragten

Braucht ein Datenschutzbeauftragter ein Zertifikat?

Nein. Ein bestimmtes Zertifikat ist für die Benennung zum Datenschutzbeauftragten gesetzlich nicht vorgeschrieben. Entscheidend ist, ob die betreffende Person tatsächlich über das für ihre Aufgabe notwendige Fachwissen und die erforderlichen Fähigkeiten verfügt.

Eine unabhängige Personenzertifizierung kann jedoch dazu dienen, erworbene Kenntnisse nachvollziehbar zu dokumentieren. So bietet beispielsweise die DEKRA Certification GmbH die Personenzertifizierung „Fachkraft für Datenschutz“ an.

DEKRA beschreibt die Zertifizierung als Nachweis von Kompetenzen zur praktischen Umsetzung von Datenschutzanforderungen und nennt dabei unter anderem DSGVO und BDSG, Datenschutzgrundsätze, Datenübermittlung, Aufsichtsbehörden und Datenschutzpraxis als Themenbereiche.

Wichtig bleibt die Unterscheidung: Ein Zertifikat ersetzt nicht die formale Benennung zum Datenschutzbeauftragten. Umgekehrt schreibt das Gesetz auch keine bestimmte Zertifizierungsstelle vor.

Interner oder externer Datenschutzbeauftragter?

Die DSGVO erlaubt beide Modelle. Ein Datenschutzbeauftragter kann Beschäftigter des Unternehmens sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags als externer Datenschutzbeauftragter wahrnehmen.

Welches Modell besser passt, lässt sich deshalb nicht pauschal beantworten. Entscheidend sind Größe, Struktur, Risikoprofil und vorhandene interne Kompetenzen des Unternehmens.

Welche Aufgaben darf ein interner Datenschutzbeauftragter zusätzlich übernehmen?

Ein interner Datenschutzbeauftragter darf grundsätzlich weitere Aufgaben im Unternehmen wahrnehmen. Diese dürfen jedoch nicht zu einem Interessenkonflikt führen.

Kritisch wird es insbesondere dann, wenn der Datenschutzbeauftragte gleichzeitig selbst über Zwecke und Mittel einer Datenverarbeitung entscheidet und diese anschließend in seiner Kontrollfunktion überprüfen müsste. Der Datenschutzbeauftragte darf also nicht faktisch seine eigenen Entscheidungen kontrollieren.

Deshalb sollte bereits vor einer internen Benennung geprüft werden, ob die bestehende Position des Mitarbeiters mit der unabhängigen Funktion vereinbar ist.

Datenschutzbeauftragter werden: ein sinnvoller Weg in 6 Schritten

Warum regelmäßige Fortbildung wichtig ist

Mit einer Grundqualifikation ist die Entwicklung nicht abgeschlossen. Datenschutzbeauftragte müssen ihr Fachwissen erhalten und an neue rechtliche, technische und organisatorische Entwicklungen anpassen.

Aktuelle Rechtsprechung, der Einsatz künstlicher Intelligenz, IT-Sicherheitsfragen, neue Verarbeitungsprozesse oder Entwicklungen bei internationalen Datentransfers können unmittelbare Auswirkungen auf die tägliche Datenschutzarbeit haben.

Gerade beim Einsatz generativer KI entstehen in der Praxis neue Fragen: Welche personenbezogenen Daten dürfen verarbeitet werden, welche vertraglichen und organisatorischen Anforderungen gelten und wann sind beispielsweise VVT oder Datenschutz-Folgenabschätzung anzupassen? Einen ausführlichen Überblick dazu bietet unser Fachbeitrag ChatGPT im Unternehmen: Datenschutz & DSGVO richtig umsetzen .

Für die fachliche Vertiefung bietet mind4ward deshalb neben dem Grundlagenlehrgang auch Datenschutz-Fortbildungen und Rezertifizierungsseminare zu ausgewählten Praxisthemen an.

Häufige Fragen zum Beruf des Datenschutzbeauftragten

Fazit: Fachwissen ist wichtiger als die bloße Bezeichnung

Wer Datenschutzbeauftragter werden möchte, benötigt vor allem fundiertes Fachwissen, ein Verständnis für betriebliche Prozesse und die Fähigkeit, Datenschutzanforderungen unabhängig und praxisorientiert zu beurteilen.

Ein bestimmter Studienabschluss oder ein bestimmtes Zertifikat ist dafür gesetzlich nicht vorgeschrieben. Eine strukturierte Weiterbildung und ein unabhängiger Kompetenznachweis können jedoch dabei helfen, die erforderliche Qualifikation systematisch aufzubauen und gegenüber dem Unternehmen nachvollziehbar zu dokumentieren.

Ebenso wichtig ist, dass die spätere Funktion organisatorisch richtig ausgestaltet wird: Der Datenschutzbeauftragte muss frühzeitig eingebunden werden, ausreichende Ressourcen erhalten und seine gesetzlichen Aufgaben unabhängig von Weisungen ausüben können.