Externer Datenschutzbeauftragter in Leipzig & Sachsen

Die Pflicht ergibt sich aus Art. 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG. Sie müssen einen Datenschutzbeauftragten bestellen, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – dazu zählt bereits ein geschäftlicher E-Mail-Account. Unabhängig von dieser Schwelle besteht die Pflicht außerdem, wenn Ihre Kerntätigkeit in der umfangreichen Verarbeitung sensibler Daten (Art. 9 DSGVO) besteht, Sie Personen umfangreich und systematisch überwachen oder eine Datenschutz-Folgenabschätzung erforderlich ist. Auch ohne gesetzliche Pflicht ist die freiwillige Bestellung oft sinnvoll und stärkt das Vertrauen von Kunden und Geschäftspartnern.

Die DSGVO regelt dies nicht abschließend, verlangt in Art. 37 Abs. 5 DSGVO aber ausreichendes Fachwissen im Datenschutzrecht und in der Datenschutzpraxis. Die Aufsichtsbehörden verlangen zusätzlich persönliche Eignung: Der Datenschutzbeauftragte muss unabhängig und frei von Interessenkonflikten sein – Geschäftsführer, IT-Leiter oder Personalleiter kommen daher in der Regel nicht infrage. Fachlich sind unter anderem Kenntnisse im Datenschutzrecht, in der IT-Sicherheit und im praktischen Datenschutzmanagement erforderlich, die auf Nachfrage der Aufsichtsbehörde nachweisbar sein müssen. Die Bestellung einer ungeeigneten Person kann ebenso geahndet werden wie eine unterlassene Bestellung.

Nach Art. 39 DSGVO gehören zu den gesetzlichen Mindestaufgaben: die Beratung und Unterrichtung von Verantwortlichen und Beschäftigten zu ihren datenschutzrechtlichen Pflichten, die Überwachung der Einhaltung der DSGVO, die Überwachung von Datenschutz-Folgenabschätzungen, die Zusammenarbeit mit der Aufsichtsbehörde sowie die Funktion als Anlaufstelle für betroffene Personen. Nicht automatisch umfasst sind dagegen Themen wie die Erstellung des Verarbeitungsverzeichnisses oder die Schulung der Beschäftigten – diese liegen eigentlich in der Verantwortung des Unternehmens selbst, werden dem Datenschutzbeauftragten aber häufig vertraglich zusätzlich übertragen.

Eine bestimmte Form schreibt das Gesetz nicht vor, mit Blick auf die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) sollte die Bestellung aber schriftlich erfolgen. Bei einem externen Datenschutzbeauftragten empfiehlt sich ein kurzes Benennungsschreiben, ergänzt um einen separaten Dienstleistungsvertrag mit den Details zu Tätigkeit, Vergütung und Haftung. Entscheidend ist zudem, die gesetzlich vorgeschriebene Unabhängigkeit (Art. 38 Abs. 3 DSGVO) sicherzustellen. Nach der Bestellung sind die Kontaktdaten des Datenschutzbeauftragten in der Datenschutzerklärung zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO).

Beide Varianten haben Vor- und Nachteile. Ein interner Datenschutzbeauftragter kennt die betrieblichen Abläufe bereits, verursacht aber Kosten für Ausbildung, Fortbildung und Vertretungsregelungen und genießt besonderen Kündigungsschutz – zudem ist der Betriebsrat bei seiner Bestellung mitbestimmungspflichtig. Ein externer Datenschutzbeauftragter bringt dagegen sofort einschlägige Fachexpertise und in der Praxis erprobte Prozesse mit, arbeitet zu kalkulierbaren Festpreisen und trägt das Haftungsrisiko selbst – ohne zusätzlichen Kündigungsschutz oder Mitbestimmungsaufwand für Ihr Unternehmen. Für die meisten mittelständischen Unternehmen überwiegen daher die Vorteile eines externen Datenschutzbeauftragten.

Die individuellen Kosten richten sich nach Unternehmensgröße, Branche sowie Art und Umfang der Datenverarbeitung. In der Regel berechne ich für meine Tätigkeit als externer Datenschutzbeauftragter einen festen, monatlichen Pauschalpreis, mit dem Sie von Anfang an kalkulieren können. Dieser beginnt aktuell ab 190,- EUR zzgl. USt. Entsteht in einzelnen Monaten besonders viel Arbeit, wird diese nach konkretem Zeitaufwand berechnet.

Ein regional ansässiger Datenschutzbeauftragter kennt die zuständige Aufsichtsbehörde für Sachsen, ist auf Wunsch kurzfristig persönlich vor Ort verfügbar und kombiniert Datenschutzpraxis mit juristischer Expertise im Datenschutzrecht – eine Kombination, die nicht jeder Anbieter mitbringt.