Datenschutz als Führungsaufgabe: Welche Informationen die Leitung braucht

Welche Fragen ein Datenschutzbericht beantworten sollte

Die Geschäftsführung muss nicht jede Vertragsklausel oder Systemeinstellung selbst prüfen. Sie braucht eine Übersicht darüber, welche Themen für das Unternehmen wesentlich sind, was bereits bearbeitet wurde und wo Unterstützung oder eine Entscheidung der Leitung fehlt.

Ein Beispiel: Bei einem neuen Bewerberportal ist die Löschung noch nicht geklärt. Im Bericht sollte dann nicht nur „Löschkonzept fehlt“ stehen. Hilfreich sind die betroffenen Daten, die empfohlene Maßnahme, die zuständige Person und der Termin. Muss die Geschäftsführung Budget bereitstellen oder über den Start entscheiden, gehört auch das ausdrücklich dazu.

• Welche wichtigen Systeme, Prozesse oder Dienstleister haben sich geändert?
• Welche Risiken und offenen Vorgänge benötigen Aufmerksamkeit?
• Welche Maßnahmen sind abgeschlossen, welche verzögert und warum?
• Was muss die Geschäftsführung entscheiden oder bereitstellen?
• Wer übernimmt die nächsten Schritte und bis wann?

Neue Vorhaben frühzeitig einbeziehen

Unternehmen müssen geeignete technische und organisatorische Maßnahmen treffen, Datenschutzrisiken beherrschen und die Einhaltung der Vorgaben nachweisen können. Diese Rechenschaftspflicht hängt nicht davon ab, ob allein die Zahl der Beschäftigten eine Benennung auslöst.

Datenschutzfragen können in verschiedenen Fachbereichen entstehen: bei einer neuen Personalplattform, einer zusätzlichen Cloud-Funktion, der Nutzung von Kundendaten im Vertrieb oder einem KI-Werkzeug. Ein festgelegter Prüf- und Freigabeweg hilft, die zuständigen Personen einzubeziehen, bevor Daten verarbeitet werden.

Deshalb braucht auch ein kleineres Unternehmen mindestens eine belastbare Datenschutzorganisation. Sie darf schlank sein. Sie darf aber nicht nur auf dem Papier existieren.

• ein aktuelles Verzeichnis der relevanten Verarbeitungen
• ein geregelter Umgang mit Dienstleistern und neuen Systemen
• klare Meldewege für Auskünfte, Beschwerden und Datenpannen
• nachvollziehbare Lösch- und Berechtigungskonzepte
• regelmäßige Berichte über Risiken und offene Maßnahmen

Warum das für angestellte Geschäftsführungen besonders wichtig ist

Ein angestellter Geschäftsführer oder Prokurist handelt nicht mit dem eigenen Unternehmen, sondern im Auftrag einer Gesellschaft und ihrer Eigentümer. Er muss Entscheidungen deshalb häufig gegenüber Gesellschaftern, Beirat, Konzern oder Nachfolger erklären können. Eine dokumentierte Organisation ist dabei kein Selbstzweck. Sie zeigt, welche Risiken bekannt waren, welche Priorität sie erhielten und wer mit der Umsetzung beauftragt wurde.

Das bedeutet nicht, dass jeder Datenschutzverstoß automatisch zu einer persönlichen Haftung führt. Ebenso wenig übernimmt ein externer Datenschutzbeauftragter die Verantwortung der Geschäftsleitung. Er berät und kontrolliert unabhängig, berichtet und macht Handlungsbedarf sichtbar. Entscheiden, priorisieren und Ressourcen bereitstellen muss die Leitung.

Gerade diese Rollenverteilung kann entlasten: Nicht durch eine pauschale Haftungsfreistellung, sondern weil Entscheidungen auf einer besseren Informationsgrundlage getroffen und später nachvollzogen werden können.

Wer vorbereitet, berät und entscheidet

Datenschutz funktioniert am besten als Zusammenspiel. Die Geschäftsführung setzt Prioritäten und entscheidet bei Zielkonflikten. Ein interner Datenschutzkoordinator hält Informationen zusammen, organisiert Termine und verfolgt Maßnahmen. Die Fachbereiche bringen ihr Prozesswissen ein und setzen um. Der externe Datenschutzbeauftragte berät, überwacht und berichtet unabhängig.

Der interne Ansprechpartner ist dabei unverzichtbar. Ein externer Beauftragter kann nicht wissen, dass nächste Woche ein neues Bewerberportal, eine Kameraanlage oder eine KI-Funktion eingeführt wird, wenn ihm niemand davon erzählt. Der Datenschutzkoordinator muss keine zusätzliche Vollzeitstelle sein. Er braucht aber ein klares Mandat, Zeit und Zugang zu den relevanten Personen.

• feste Ansprechpartner und Vertretungsregeln
• ein einfacher Freigabeweg für neue Verfahren und Dienstleister
• ein gemeinsamer Maßnahmenstatus mit Verantwortlichen und Terminen
• regelmäßige, verständliche Berichte an die Geschäftsführung
• direkter Zugang des Datenschutzbeauftragten zur Leitung

Wann eine freiwillige Benennung sinnvoll sein kann

Auch ohne eindeutige Pflicht kann eine freiwillige Benennung sinnvoll sein – etwa bei vielen Beschäftigtendaten, sensiblen Kundeninformationen, komplexen Cloud-Landschaften, regelmäßig neuen digitalen Produkten oder hohen Anforderungen von Auftraggebern. Sie schafft eine unabhängige Kontroll- und Beratungsfunktion und macht die Rolle gegenüber Beschäftigten, Kunden und Aufsicht klar.

Sie ist allerdings nicht die einzige mögliche Lösung. Für ein Unternehmen mit überschaubaren Verarbeitungen kann auch eine laufende Datenschutzberatung mit klarer interner Verantwortung passen. Die Entscheidung sollte sich an Risiko, Organisation und Geschäftsmodell orientieren, nicht nur an einer Zahl im Gesetz.

Eine Änderung der Benennungspflicht würde eine erneute Prüfung der Rollen erfordern. Die Aufgaben im Unternehmen verschwinden dadurch nicht: Dienstleister prüfen, Auskünfte bearbeiten, Vorfälle bewerten und Entscheidungen dokumentieren bleibt notwendig.

Die Benennungspflicht getrennt prüfen

Nach § 38 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die Vorschrift nennt außerdem Fälle, in denen die Personenzahl nicht entscheidend ist, etwa Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen. Daneben enthält Art. 37 DSGVO eigene Benennungstatbestände.

Ob eine Benennung erforderlich ist, muss daher anhand der konkreten Verarbeitung und der geltenden Vorschriften geprüft werden. Unabhängig vom Ergebnis braucht die Geschäftsführung klare Zuständigkeiten und Informationen über wesentliche Datenschutzthemen.