Datenschutz bleibt Führungsaufgabe – auch wenn sich die Benennungspflicht ändert

Die Debatte dreht sich oft um die falsche Frage

Nach der derzeit geltenden Fassung des § 38 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben enthält Art. 37 DSGVO eigene, risikobezogene Benennungstatbestände. Politische Vorschläge können die nationale Schwelle verändern. Solange eine Änderung aber nicht in Kraft getreten ist, sollte ein Unternehmen nicht mit einer angekündigten Rechtslage planen.

Wichtiger ist ohnehin eine andere Frage: Wer sorgt dafür, dass Risiken erkannt, Entscheidungen dokumentiert und vereinbarte Maßnahmen umgesetzt werden? Die Antwort darauf kann nicht lauten: niemand, weil eine gesetzliche Schwelle nicht erreicht wird.

Datenschutz besteht nicht aus der Person des Datenschutzbeauftragten. Er besteht aus vielen Entscheidungen im Unternehmen: Welche Dienstleister dürfen eingesetzt werden? Wer vergibt Berechtigungen? Wann werden Daten gelöscht? Wie reagieren wir auf eine Auskunft oder eine Datenpanne? Diese Entscheidungen bleiben.

Was unabhängig von einer Schwelle bleibt

Unternehmen müssen geeignete technische und organisatorische Maßnahmen treffen, Datenschutzrisiken beherrschen und die Einhaltung der Vorgaben nachweisen können. Diese Rechenschaftspflicht hängt nicht davon ab, ob allein die Zahl der Beschäftigten eine Benennung auslöst.

In der Praxis sehe ich selten ein isoliertes Datenschutzproblem. Meist hängt es an einer Schnittstelle: Die Personalabteilung beschafft eine neue Plattform, die IT aktiviert eine zusätzliche Cloud-Funktion, der Vertrieb möchte Kundendaten anders nutzen oder ein Fachbereich testet ein KI-Werkzeug. Ohne geklärten Prüf- und Freigabeweg erfährt die verantwortliche Stelle davon zu spät.

Deshalb braucht auch ein kleineres Unternehmen mindestens eine belastbare Datenschutzorganisation. Sie darf schlank sein. Sie darf aber nicht nur auf dem Papier existieren.

• ein aktuelles Verzeichnis der relevanten Verarbeitungen
• ein geregelter Umgang mit Dienstleistern und neuen Systemen
• klare Meldewege für Auskünfte, Beschwerden und Datenpannen
• nachvollziehbare Lösch- und Berechtigungskonzepte
• regelmäßige Berichte über Risiken und offene Maßnahmen

Warum das für angestellte Geschäftsführungen besonders wichtig ist

Ein angestellter Geschäftsführer oder Prokurist handelt nicht mit dem eigenen Unternehmen, sondern im Auftrag einer Gesellschaft und ihrer Eigentümer. Er muss Entscheidungen deshalb häufig gegenüber Gesellschaftern, Beirat, Konzern oder Nachfolger erklären können. Eine dokumentierte Organisation ist dabei kein Selbstzweck. Sie zeigt, welche Risiken bekannt waren, welche Priorität sie erhielten und wer mit der Umsetzung beauftragt wurde.

Das bedeutet nicht, dass jeder Datenschutzverstoß automatisch zu einer persönlichen Haftung führt. Ebenso wenig übernimmt ein externer Datenschutzbeauftragter die Verantwortung der Geschäftsleitung. Er berät und kontrolliert unabhängig, berichtet und macht Handlungsbedarf sichtbar. Entscheiden, priorisieren und Ressourcen bereitstellen muss die Leitung.

Gerade diese Rollenverteilung kann entlasten: Nicht durch eine pauschale Haftungsfreistellung, sondern weil Entscheidungen auf einer besseren Informationsgrundlage getroffen und später nachvollzogen werden können.

Das Arbeitsmodell, das sich in der Praxis bewährt

Datenschutz funktioniert am besten als Zusammenspiel. Die Geschäftsführung setzt Prioritäten und entscheidet bei Zielkonflikten. Ein interner Datenschutzkoordinator hält Informationen zusammen, organisiert Termine und verfolgt Maßnahmen. Die Fachbereiche bringen ihr Prozesswissen ein und setzen um. Der externe Datenschutzbeauftragte berät, überwacht und berichtet unabhängig.

Der interne Ansprechpartner ist dabei unverzichtbar. Ein externer Beauftragter kann nicht wissen, dass nächste Woche ein neues Bewerberportal, eine Kameraanlage oder eine KI-Funktion eingeführt wird, wenn ihm niemand davon erzählt. Der Datenschutzkoordinator muss keine zusätzliche Vollzeitstelle sein. Er braucht aber ein klares Mandat, Zeit und Zugang zu den relevanten Personen.

• feste Ansprechpartner und Vertretungsregeln
• ein einfacher Freigabeweg für neue Verfahren und Dienstleister
• ein gemeinsamer Maßnahmenstatus mit Verantwortlichen und Terminen
• regelmäßige, verständliche Berichte an die Geschäftsführung
• direkter Zugang des Datenschutzbeauftragten zur Leitung

Wann eine freiwillige Benennung sinnvoll sein kann

Auch ohne eindeutige Pflicht kann eine freiwillige Benennung sinnvoll sein – etwa bei vielen Beschäftigtendaten, sensiblen Kundeninformationen, komplexen Cloud-Landschaften, regelmäßig neuen digitalen Produkten oder hohen Anforderungen von Auftraggebern. Sie schafft eine unabhängige Kontroll- und Beratungsfunktion und macht die Rolle gegenüber Beschäftigten, Kunden und Aufsicht klar.

Sie ist allerdings nicht die einzige mögliche Lösung. Für ein Unternehmen mit überschaubaren Verarbeitungen kann auch eine laufende Datenschutzberatung mit klarer interner Verantwortung passen. Die Entscheidung sollte sich an Risiko, Organisation und Geschäftsmodell orientieren, nicht nur an einer Zahl im Gesetz.

Mein Rat: Die mögliche Änderung einer Benennungsschwelle ist ein guter Anlass, die eigene Organisation anzusehen. Wer nur die Benennung streicht, ohne Aufgaben neu zuzuordnen, spart kein System – er entfernt eine Rolle und lässt deren Arbeit liegen.