Aufgaben eines Datenschutzbeauftragten.
Die DSGVO definiert in Art. 39 fünf Kern-Aufgaben für den DSB. In der Praxis ergeben sich daraus rund ein Dutzend konkrete Tätigkeiten, die regelmäßig auf den Tisch kommen. Hier die vollständige Liste — und was außerhalb der Verantwortung des DSB liegt.
Die fünf Kern-Aufgaben nach Art. 39 DSGVO
- Unterrichtung und Beratung des Verantwortlichen, der Auftragsverarbeiter und der Mitarbeitenden über deren Pflichten nach DSGVO und BDSG.
- Überwachung der Einhaltung der Datenschutzvorschriften, einschließlich der internen Strategien, Zuweisung von Verantwortlichkeiten, Schulung und Sensibilisierung.
- Beratung bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und Überwachung ihrer Durchführung.
- Zusammenarbeit mit der Aufsichtsbehörde als Anlaufstelle für Anfragen und Konsultationen.
- Anlaufstelle für Betroffene — Auskunftsersuchen, Löschungen, Beschwerden gehen über den DSB.
Zwölf praktische Tätigkeiten aus dem Alltag
1. Verzeichnis der Verarbeitungstätigkeiten pflegen
Die zentrale Dokumentation aller Datenverarbeitungen im Unternehmen — wer verarbeitet welche Daten zu welchem Zweck auf welcher Rechtsgrundlage. Pflicht nach Art. 30 DSGVO. Der DSB führt das Verzeichnis und aktualisiert es, wenn neue Verarbeitungen hinzukommen. Detaillierte Anleitung im Ratgeber Verarbeitungsverzeichnis.
2. AVV-Verträge prüfen und freigeben
Wann immer Sie einen Dienstleister einsetzen, der personenbezogene Daten für Sie verarbeitet — Cloud-Speicher, Newsletter-Tool, CRM, Webhoster, Buchhaltungs-Software — muss ein Auftragsverarbeitungsvertrag her. Der DSB prüft, ob der vom Anbieter vorgelegte AVV ausreicht oder ergänzt werden muss. Hintergrund: AVV-Vertrag erklärt.
3. Datenschutz-Folgenabschätzung (DSFA)
Bei besonders riskanten Verarbeitungen — etwa Einführung einer KI-gestützten Profilbildung oder umfangreichem Tracking — verlangt Art. 35 DSGVO eine schriftliche Risikobewertung vor der Einführung. Der DSB führt diese Bewertung durch oder begleitet sie.
4. Jährliche Mitarbeiter-Schulung
Mindestens einmal jährlich werden Mitarbeitende geschult — was sind personenbezogene Daten, wie reagiere ich auf Auskunftsersuchen, was tun bei einer entdeckten Datenpanne. Der DSB führt die Schulung selbst durch oder stellt die Inhalte bereit. Bei dataschild. machen wir ein 90-minütiges Online-Webinar oder einen Vor-Ort-Termin nach Wunsch.
5. Auskunftsersuchen bearbeiten
Jede Person hat nach Art. 15 DSGVO das Recht zu erfahren, welche Daten Sie über sie verarbeiten. Bei Anfragen prüft der DSB den rechtlichen Rahmen, beschafft die nötigen Informationen aus dem Unternehmen und formuliert die Antwort. Frist: einen Monat, verlängerbar auf drei Monate bei komplexen Fällen.
6. Löschkonzepte aufstellen und überwachen
Daten dürfen nicht ewig gespeichert werden. Der DSB legt fest, welche Datenkategorie wann gelöscht werden muss — basierend auf gesetzlichen Aufbewahrungsfristen (HGB, AO) und Datenschutzgrundsätzen.
7. Datenpannen melden
Bei Datenpannen läuft die 72-Stunden-Uhr für die Meldung an die Aufsichtsbehörde. Der DSB übernimmt die Meldung, entscheidet über Information der Betroffenen und dokumentiert den Vorfall. Anleitung: Datenpanne — 72-Stunden-Anleitung.
8. Behördenkommunikation
Wenn die Aufsichtsbehörde nachfragt — wegen Beschwerde, Routineprüfung oder Folgefrage zu einer Meldung — antwortet der DSB. Das schützt Sie vor laienhaft formulierten Schreiben, die ungewollt Bußgelder auslösen.
9. Datenschutzerklärung pflegen
Jede Website braucht eine Datenschutzerklärung, die alle eingesetzten Trackingsysteme, Tools und Datenverarbeitungen abbildet. Der DSB hält die Erklärung aktuell, sobald sich der Einsatz auf der Website ändert.
10. Cookie-Banner und Consent-Management
Das richtige Setup des Cookie-Banners ist eine der häufigsten Abmahnungsfallen. Der DSB prüft, ob Ihre Einwilligung den BGH-Anforderungen entspricht und ob die Tools im Banner korrekt abgebildet sind.
11. Tool-Freigaben (neue Software)
Wenn Sie ein neues CRM einführen, einen neuen Newsletter-Anbieter wählen oder eine Personalsoftware migrieren — der DSB bewertet vorab die DSGVO-Konformität und gibt schriftliche Freigabe. Vermeidet teure Rückwärts-Migrationen.
12. Awareness-Kampagnen intern
Kurze Hinweise, Phishing-Tests, Plakate, Intranet-Posts — der DSB sorgt dafür, dass Datenschutz im Bewusstsein bleibt, nicht nur einmal jährlich in der Schulung.
Was der DSB nicht macht — häufige Missverständnisse
- Keine operative IT-Sicherheit. Der DSB berät zu IT-Sicherheit, baut aber keine Firewalls auf. Das ist Aufgabe von Admin oder externem IT-Dienstleister.
- Keine Vertretung vor Gericht. Bei Klagen vertritt ein Anwalt, nicht der DSB. Wir koordinieren mit Ihrem Anwalt, falls es soweit kommt.
- Keine inhaltliche Entscheidung für die Geschäftsführung. Der DSB berät — entscheidet aber nicht, ob das Unternehmen ein riskantes Tool einsetzen will. Das bleibt Aufgabe der Geschäftsleitung.
- Kein Compliance-Officer im weiteren Sinn. Geldwäsche, Korruption, Steuerrecht — alles nicht DSB-Thema. Reiner Fokus auf Datenschutz.
Wie viel Zeit kostet ein DSB pro Monat?
Bei einem mittelständischen Unternehmen mit 30 bis 80 Mitarbeitenden liegt der typische Zeitaufwand zwischen vier und zehn Stunden pro Monat. Davon entfällt der größte Teil auf Beratung (Anfragen vom Geschäftsführer, AVV-Prüfungen, Tool-Freigaben). Schulung und Audit kommen einmalig oder jährlich hinzu.
In unserem Festpreis-Modell merken Sie diesen Aufwand nicht — Sie zahlen monatlich 100 €, egal ob wir im Mai drei Stunden oder zwölf für Sie arbeiten.