Externer Datenschutzbeauftragter: Compliance ohne eigene Personalstelle

Ein Datenschutzbeauftragter ist Pflicht, sobald mindestens 20 Personen in Ihrem Unternehmen regelmäßig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (§38 BDSG). Unabhängig von der Mitarbeiterzahl greift die Pflicht auch, wenn Ihr Kerngeschäft in der umfangreichen Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) oder in der systematischen Überwachung von Personen liegt (Art. 37 DSGVO).

Die gesetzliche Pflicht ergibt sich aus zwei Rechtsgrundlagen. Art. 37 DSGVO greift bei Behörden, bei umfangreicher Verarbeitung besonderer Datenkategorien und bei systematischer Überwachung. §38 BDSG ergänzt für Deutschland die 20-Personen-Schwelle. Zusätzlich besteht die Pflicht, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden.

Die externe Betreuung durch die SIKKER GmbH umfasst die offizielle Benennung als DSB inklusive Meldung an die Aufsichtsbehörde, Datenschutz-Audits, Pflege des Verzeichnisses von Verarbeitungstätigkeiten, Mitarbeiterschulungen, Begleitung von Datenschutz-Folgenabschätzungen, Prüfung von Auftragsverarbeitungsverträgen sowie die Anlaufstelle für Aufsichtsbehörden und Betroffenenanfragen. Der konkrete Leistungsumfang wird nach einer Erstanalyse auf Ihr Unternehmen abgestimmt.

Die Aufgaben sind in Art. 39 DSGVO definiert: Überwachung der DSGVO-Konformität, Beratung der Geschäftsführung und der Mitarbeitenden, Schulung des Personals, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für Betroffenenanfragen. In der Praxis kommen die Pflege des Verzeichnisses von Verarbeitungstätigkeiten, die Begleitung von Datenschutz-Folgenabschätzungen und die Prüfung von Auftragsverarbeitungsverträgen hinzu.

Ja. Art. 37 Abs. 6 DSGVO erlaubt ausdrücklich die Benennung eines externen Datenschutzbeauftragten auf Grundlage eines Dienstleistungsvertrags. Die externe Bestellung ist insbesondere für kleine und mittlere Unternehmen sinnvoll, die keine eigene Vollzeitstelle für Datenschutz rechtfertigen können. Der externe DSB muss die gleiche Fachkunde und Zuverlässigkeit nachweisen wie ein interner.

Der Datenschutzbeauftragte (DSB) überwacht die Einhaltung der DSGVO und des BDSG mit Fokus auf personenbezogene Daten. Der Informationssicherheitsbeauftragte (ISB) verantwortet das ISMS und schützt alle Informationswerte des Unternehmens, unabhängig vom Personenbezug. Der DSB ist gesetzlich weisungsfrei (Art. 38 Abs. 3 DSGVO), der ISB handelt im Auftrag der Geschäftsleitung. Beide Rollen ergänzen sich und können von einem externen Dienstleister koordiniert besetzt werden.