¶ Eigene Daten oder Datenschutzrechte
Erstkontakt: veröffentlichter Datenschutz- beziehungsweise DSB-Funktionskontakt.
Die operative Bearbeitung erfolgt im Verfahren für Betroffenenrechte; der DSB bleibt direkt erreichbar, berät und überwacht.
¶ Datenschutzbeauftragte und Kontakte
Beispieldokument: Diese Seite beschreibt das Verfahren zur Prüfung, Benennung und organisatorischen Einbindung einer oder eines Datenschutzbeauftragten für die fiktive „Muster GmbH“. Sie bestätigt weder eine Benennungspflicht noch eine tatsächlich erfolgte Benennung.
Datenschutzregel: Reale Namen, persönliche Telefonnummern, Unterschriften, Vertragsdaten und interne Ausfallkontakte werden nicht in der öffentlich lesbaren Musterseite geführt. Veröffentlicht werden nach Freigabe nur die erforderlichen Funktionskontaktdaten.
Rollenabgrenzung: Die Datenschutzbeauftragtenrolle berät und überwacht unabhängig. Entscheidungen über Zwecke, Mittel, Rechtsgrundlagen und Umsetzung verbleiben beim Verantwortlichen und den befugten Fachrollen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-ORG-01-03 |
| Dokumentenart | Benennungs-, Stellungs- und Kontaktregelung |
| Wiki.js-Pfad | /DSGVO/01-Governance-und-Organisation/Datenschutzbeauftragte-und-Kontakte |
| Verantwortlich | Geschäftsführung / festzulegender Verantwortlicher oder Auftragsverarbeiter |
| Dokumentenpflege | Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Personal und betroffene Rechtsträger |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung des jeweiligen Rechtsträgers |
| Status | Entwurf – Benennungspflicht, DSB-Modell, Person, Aufsichtsbehörde und Kontaktwege nicht organisationsbezogen bestätigt |
| Version | 0.4 |
| Stand | 09.08.2026 |
| Gültig ab | Nach Prüfung, formaler Entscheidung, erforderlicher Meldung und Freigabe der Kontaktwege |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; veröffentlichte Funktionskontakte und geschützte Detailkontakte werden getrennt geführt |
| DSGVO-Bezug | Artikel 37 bis 39 DSGVO; zusätzlich Artikel 35 und weitere aufgabenspezifische Anforderungen |
| Nationaler Bezug | Insbesondere § 38 BDSG; Zuständigkeit und weitere Vorgaben sachverhaltsbezogen prüfen |
| Schnittstellen | Rollenmodell, Geltungsbereich, VVT, DSFA, Betroffenenrechte, Datenschutzverletzungen, Aufsichtsbehörden und Schulung |
Von der dokumentierten Benennungsprüfung über die formale Benennung bis zu erreichbaren, geschützten Kontaktwegen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Diese Seite regelt, wie die Organisation:
- die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten prüft,
- interne, externe oder gemeinsame DSB-Modelle bewertet,
- Fachkunde, Ressourcen, Stellung und Interessenkonflikte prüft,
- Benennung und Mitteilung an die zuständige Aufsichtsbehörde dokumentiert,
- veröffentlichte, interne und ausfallsichere Kontaktwege trennt,
- frühzeitige Einbindung, Beratung, Überwachung und Berichterstattung organisiert,
- Änderungen, Vertretungen und Beendigungen kontrolliert nachführt.
¶ 2. Geltungsbereich und Prüfobjekt
Die Prüfung erfolgt je Rechtsträger und Rolle im festgelegten DSGVO-Geltungsbereich. Eine Konzernzugehörigkeit, gemeinsame Marke oder ein zentraler Dienst führt nicht automatisch zu einem einheitlichen Ergebnis.
Mindestens werden geprüft:
- Verantwortliche und Auftragsverarbeiter,
- öffentliche oder nichtöffentliche Stelle,
- Kerntätigkeiten, Verarbeitungsumfang und besondere Datenarten,
- regelmäßige und systematische Überwachung,
- DSFA-pflichtige Verarbeitungen,
- nationale Benennungstatbestände,
- länder- oder branchenspezifische Besonderheiten,
- Erreichbarkeit bei einem gemeinsamen oder externen DSB-Modell.
¶ 3. Benennungsprüfung
¶ 3.1 Prüfung nach Artikel 37 DSGVO
Eine Benennung ist insbesondere zu prüfen, wenn:
- die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt, soweit keine gesetzliche Ausnahme greift,
- die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erfordert,
- die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten nach Artikel 10 DSGVO besteht.
Begriffe wie „Kerntätigkeit“, „umfangreich“ oder „regelmäßig und systematisch“ werden anhand der tatsächlichen Verarbeitung und nicht nur anhand der Unternehmensgröße bewertet.
¶ 3.2 Ergänzende Prüfung nach § 38 BDSG
Für nichtöffentliche Stellen in Deutschland wird ergänzend dokumentiert, ob:
- in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind,
- Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen,
- personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
Die Personenzahl ist nur ein Prüfkriterium. Auch unterhalb des Schwellenwerts kann aus anderen Tatbeständen eine Benennungspflicht entstehen.
¶ 3.3 Ergebnisdokumentation
| Feld | Erforderliche Angabe |
|---|---|
| Rechtsträger und Rolle | Verantwortlicher oder Auftragsverarbeiter, Sitz und betroffener Bereich |
| Tatsächliche Verarbeitungen | Kerntätigkeiten, Umfang, Überwachung, besondere Kategorien und Artikel-10-Daten |
| Beschäftigtenkriterium | nachvollziehbare Ermittlung der ständig automatisiert verarbeitenden Personen |
| DSFA-Bezug | vorhandene oder erwartete DSFA-pflichtige Verarbeitungen |
| weitere Tatbestände | Übermittlung, Markt- oder Meinungsforschung sowie bereichsspezifische Regeln |
| Ergebnis | Benennung erforderlich, freiwillig vorgesehen oder derzeit nicht erforderlich |
| Begründung und Annahmen | Kriterien, Datenstand, offene Punkte und fachliche Bewertung |
| Prüfung und Entscheidung | prüfende, beratende und entscheidende Rollen sowie Datum |
| nächster Review | regelmäßiger Termin und konkrete Änderungsanlässe |
Auch ein negatives Ergebnis wird freigegeben, versioniert und bei Änderungen erneut geprüft.
¶ 3.4 Entscheidungsmatrix für die Erstprüfung
| Prüfsignal | Bedeutung | Nächster Schritt |
|---|---|---|
| 🔴 gesetzlicher Tatbestand erfüllt | Benennung ist erforderlich | Rechtsprüfung abschließen, DSB-Modell wählen, Benennung dokumentieren und Kontaktdaten melden beziehungsweise veröffentlichen |
| 🟠 Tatbestand oder Datengrundlage unklar | Eine belastbare Entscheidung ist noch nicht möglich | VVT, Beschäftigtenkriterium, Kerntätigkeiten, Überwachung, besondere Daten und DSFA-Pflichten nachermitteln |
| 🟡 keine Pflicht, freiwillige Benennung erwogen | Eine freiwillige Benennung ist eine Organisationsentscheidung | Nutzen, Ressourcen und Rechtsfolgen bewusst bewerten; freiwillig benannte DSB erfüllen grundsätzlich ebenfalls die Anforderungen an Stellung und Aufgaben |
| 🟢 keine Pflicht und keine Benennung vorgesehen | Negatives Prüfergebnis ist dokumentiert | alternative Datenschutzorganisation, fachkundige Beratung, Zuständigkeiten und regelmäßigen Review festlegen |
Die Ampelfarbe bewertet den Entscheidungsstatus, nicht die Datenschutzqualität der Organisation. „Grün“ bedeutet daher nicht, dass keine Datenschutzaufgaben bestehen.
¶ 4. Wahl des DSB-Modells
| Modell | Prüfpunkte | Typische Risiken |
|---|---|---|
| interne/r Datenschutzbeauftragte/r | Fachkunde, Zeit, Ressourcen, unmittelbarer Berichtsweg, Kündigungs- und Benachteiligungsschutz, weitere Aufgaben | Interessenkonflikt, unzureichende Kapazität, fehlende Vertretung |
| externe/r Datenschutzbeauftragte/r | Fachkunde, Verfügbarkeit, Vertrag, Vertraulichkeit, Informationszugang, Reaktionszeiten, Vertretung und Exit | fehlende Organisationskenntnis, Abhängigkeit, unklare Erreichbarkeit |
| gemeinsame/r Datenschutzbeauftragte/r | tatsächliche leichte Erreichbarkeit für jede Niederlassung, Sprache, lokale Anforderungen, Ressourcen und Berichtswege | zu großer Scope, unklare Rechtsträgerzuordnung, verzögerte Einbindung |
| DSB-Team mit zentraler Ansprechperson | eindeutige Benennung, Aufgabenverteilung, Vertretung, Zugriff und Vertraulichkeit | diffuse Verantwortung, widersprüchliche Beratung, Kontaktlücken |
Die Entscheidung richtet sich nach tatsächlichem Geltungsbereich, Komplexität, Risiken, Organisation und erforderlicher Erreichbarkeit. Kosten allein sind kein ausreichendes Auswahlkriterium.
¶ 5. Fachkunde und Befähigung
Die Auswahl berücksichtigt insbesondere:
- Kenntnisse des Datenschutzrechts und der Datenschutzpraxis,
- Verständnis der tatsächlichen Geschäftsprozesse und Verarbeitungsvorgänge,
- angemessene Kenntnisse von IT, Informationssicherheit und Risikomanagement,
- Fähigkeit zur unabhängigen Beratung, Überwachung und adressatengerechten Kommunikation,
- Erfahrung mit DSFA, Betroffenenrechten, Datenschutzverletzungen und Aufsichtsbehörden,
- Verfügbarkeit, Fortbildung und belastbare Vertretungsregelung.
Die erforderliche Fachkunde orientiert sich an Sensibilität, Umfang, Komplexität und Risiko der Verarbeitungen. Ein Zertifikat allein belegt weder ausreichende Fachkunde für den konkreten Scope noch wirksame Aufgabenwahrnehmung.
¶ 6. Formale Benennung und Vertragsgrundlage
Die Benennung wird je betroffenen Rechtsträger nachvollziehbar dokumentiert. Mindestens werden festgelegt:
- benennender Verantwortlicher oder Auftragsverarbeiter,
- interne oder externe Rolleninhaberin beziehungsweise Rolleninhaber,
- Geltungsbereich und Beginn der Benennung,
- gesetzliche Aufgaben, unmittelbarer Berichtsweg und Zugang zu Informationen,
- Ressourcen, Fortbildung, Vertraulichkeit und Vertretung,
- Behandlung anderer Aufgaben und möglicher Interessenkonflikte,
- veröffentlichte Funktionskontaktdaten,
- Meldung an die zuständige Aufsichtsbehörde,
- Änderungs-, Kündigungs-, Übergabe- und Exit-Regelungen.
Bei externen Leistungen werden Benennung und Dienstleistungsvertrag inhaltlich abgestimmt. Vertragliche Leistungspflichten dürfen die gesetzliche Unabhängigkeit nicht beeinträchtigen.
¶ 7. Stellung und Unabhängigkeit
Der Verantwortliche oder Auftragsverarbeiter stellt sicher, dass die oder der Datenschutzbeauftragte:
- ordnungsgemäß und frühzeitig in alle Datenschutzfragen eingebunden wird,
- Zugang zu personenbezogenen Daten, Verarbeitungsvorgängen und erforderlichen Informationen erhält,
- ausreichende Zeit, Budget, technische Mittel, Unterstützung und Fortbildung erhält,
- unmittelbar an die höchste Managementebene berichtet,
- bei der Erfüllung gesetzlicher Aufgaben keine Weisungen erhält,
- wegen der Aufgabenerfüllung nicht abberufen oder benachteiligt wird,
- bei anderen Aufgaben keinem Interessenkonflikt ausgesetzt ist,
- vertraulich arbeiten und von betroffenen Personen direkt kontaktiert werden kann.
Unabhängigkeit bedeutet nicht organisatorische Isolation. Die DSB-Rolle wird frühzeitig beteiligt, ohne operative Entscheidungen des Verantwortlichen selbst zu übernehmen.
¶ 8. Interessenkonflikte
Andere Aufgaben sind nur zulässig, wenn sie nicht dazu führen, dass die DSB-Rolle Zwecke und wesentliche Mittel einer Verarbeitung bestimmt oder die eigene verantwortliche Entscheidung überwachen müsste.
Die Prüfung berücksichtigt:
- hierarchische Stellung und tatsächliche Entscheidungsbefugnisse,
- Budget-, Personal-, System- und Prozessverantwortung,
- Verantwortung für Zwecke, Datenarten, Empfänger oder Aufbewahrungsfristen,
- Beteiligung an Auswahl, Betrieb oder Freigabe wesentlicher Verarbeitungen,
- wirtschaftliche oder persönliche Abhängigkeiten,
- Umfang der DSB-Aufgaben und verbleibende Kapazität.
Jobtitel allein entscheiden nicht. Die tatsächlichen Aufgaben und Befugnisse werden bewertet. Ergebnis, Begründung, Kompensationsmaßnahmen und Freigabe werden dokumentiert.
¶ 9. Aufgaben und Einbindung
Die DSB-Rolle wird insbesondere eingebunden bei:
- neuen oder wesentlich geänderten Verarbeitungen,
- Datenschutzleitlinien, Verfahren und Rollenmodellen,
- Rechtsgrundlagen, Informationspflichten und Betroffenenrechten,
- Datenschutzrisiken und Datenschutz-Folgenabschätzungen,
- technischen und organisatorischen Maßnahmen,
- Auftragsverarbeitung, gemeinsamer Verantwortung und Drittlandtransfers,
- Datenschutzverletzungen, Beschwerden und Behördenanfragen,
- Schulungen, Kontrollen, Audits und Verbesserungen.
Beratung, Empfehlung und gegebenenfalls abweichende Entscheidung des Verantwortlichen werden nachvollziehbar dokumentiert. Die DSB-Rolle erteilt keine operative Freigabe anstelle der hierfür befugten Organisation.
¶ 9.1 Wer entscheidet, wer berät und wer bearbeitet?
| Aufgabe | Geschäftsleitung / Verantwortlicher | DSB | Datenschutzkoordination | Fachbereich / IT / ISMS |
|---|---|---|---|---|
| Zwecke, Mittel und Rechtsgrundlage festlegen | entscheidet und verantwortet | berät und überwacht | koordiniert | liefert Sachverhalt und setzt um |
| Benennungspflicht bewerten | entscheidet auf belastbarer Grundlage | kann fachlich beraten; eigene Unabhängigkeit beachten | bereitet Prüfdaten vor | liefert Beschäftigten-, Prozess- und Systemdaten |
| DSB benennen und Ressourcen bereitstellen | entscheidet und dokumentiert | nimmt Rolle unabhängig wahr | unterstützt organisatorisch | ermöglicht Zugang und Mitwirkung |
| Betroffenenanfrage bearbeiten | trägt Frist- und Rechtmäßigkeitsverantwortung | ist erreichbar, berät und überwacht | steuert Vorgang und Nachweis | recherchiert und setzt Entscheidung um |
| Datenschutzverletzung bewerten und melden | trifft verantwortliche Entscheidung | wird frühzeitig beteiligt und berät | koordiniert Datenschutzbewertung | Incident Response sichert Fakten und Maßnahmen |
| DSFA durchführen | verantwortet Durchführung und Entscheidung | berät und überwacht Durchführung | moderiert und dokumentiert | beschreibt Verarbeitung, Risiken und Maßnahmen |
| Datenschutzkontrollen durchführen | schafft Rahmen und behandelt Ergebnisse | überwacht unabhängig | unterstützt Nachverfolgung | stellt Nachweise bereit und beseitigt Abweichungen |
¶ 9.2 Verbindliche Beteiligungsereignisse
Die Organisation definiert auslösende Ereignisse, bei denen die DSB-Rolle nicht erst am Ende, sondern vor der Entscheidung beteiligt wird:
- Projektidee oder Beschaffung mit neuen personenbezogenen Daten, neuen Empfängern oder neuer Technologie,
- wesentliche Änderung von Zweck, Rechtsgrundlage, Datenkategorien, Speicherfrist oder Betroffenengruppe,
- Einführung von Überwachung, Profiling, KI-Unterstützung oder automatisierten Entscheidungen,
- Verarbeitung besonderer Kategorien, Beschäftigtendaten, Kinder- oder Standortdaten,
- Auswahl oder Wechsel eines Auftragsverarbeiters, Unterauftragnehmers oder Drittlandtransfers,
- vermutete Datenschutzverletzung, Beschwerde, behördliche Anfrage oder gerichtliches Verfahren,
- geplante Abweichung von einer dokumentierten DSB-Empfehlung.
Für jeden Auslöser sind Eingangskanal, Mindestinformationen, verantwortliche Rolle, Rückmeldezeit und Nachweisort festgelegt. Eine reine Verteiler-E-Mail ohne fachliche Befassung gilt nicht als frühzeitige Einbindung.
¶ 10. Kontaktkonzept
¶ 10.1 Drei getrennte Kontaktstufen
| Kontaktstufe | Zweck | Inhalt |
|---|---|---|
| veröffentlichter Funktionskontakt | direkte Kontaktaufnahme betroffener Personen | funktionsbezogene E-Mail- oder Postadresse; nur erforderliche Angaben |
| interner Arbeitskontakt | Beratung, Projekte, Vorfälle und Vertretung | dienstliche Kontaktdaten, Erreichbarkeiten und gesicherte Übergabewege |
| geschützter Notfall- und Ausfallkontakt | fristkritische Vorfälle und technische Ausfälle | Vertretung, alternative Kanäle, Ruf- oder Eskalationsinformationen in geschützter Ablage |
Artikel 37 Absatz 7 DSGVO verlangt die Veröffentlichung der Kontaktdaten der oder des Datenschutzbeauftragten und deren Mitteilung an die zuständige Aufsichtsbehörde. Eine funktionsbezogene Kontaktadresse kann den erforderlichen direkten Zugang unterstützen und unnötige Veröffentlichung personenbezogener Daten vermeiden. Welche Angaben konkret erforderlich sind, wird organisations- und aufsichtsbezogen geprüft.
¶ 10.2 Anforderungen an Kontaktwege
- verständlich auffindbar in Datenschutzhinweisen und relevanten Kommunikationskanälen,
- ohne unnötige Hürden nutzbar,
- regelmäßig auf Zustellung, Weiterleitung und Bearbeitung geprüft,
- gegen unbefugten Zugriff und Fehlleitung geschützt,
- bei Abwesenheit oder Ausfall vertreten,
- für vertrauliche Kommunikation geeignet,
- bei Änderungen unverzüglich an allen führenden Stellen aktualisiert.
¶ 10.3 Kontaktweg-Navigator
Der folgende Wegweiser dient ausschließlich der Orientierung. Er nimmt keine Daten entgegen, versendet nichts und ersetzt weder die veröffentlichte DSB-Kontaktadresse noch den internen Meldeprozess. Die tatsächlichen Funktionskontakte werden erst nach organisationsbezogener Freigabe eingesetzt.
Worum geht es? Wählen Sie ein Thema. Angezeigt werden passende Erstkontakte und die notwendige Abgrenzung. Vertrauliche Inhalte gehören ausschließlich in den dafür freigegebenen Kommunikationskanal.
6 passende Kontaktwege werden angezeigt.
¶ Vertrauliche Beratung oder interne Beschwerde
Erstkontakt: direkter, geschützter DSB-Kanal ohne vorgeschaltete Fachabteilung.
Keine vertraulichen Inhalte an Sammelpostfächer senden, auf die unbeteiligte Rollen zugreifen.
¶ Verdacht auf Datenschutzverletzung
Erstkontakt: interner fristkritischer Meldeweg beziehungsweise Incident Response; DSB unverzüglich beteiligen.
Nicht auf eine Antwort des DSB warten, wenn Sicherungs- oder Eindämmungsmaßnahmen sofort erforderlich sind.
¶ Neues Projekt, Dienstleister oder Vertrag
Erstkontakt: zuständiger Prozess- oder Projektverantwortlicher und Datenschutzkoordination; DSB frühzeitig zur Beratung einbinden.
Die DSB-Rolle ersetzt weder Einkauf, Recht, Informationssicherheit noch die verantwortliche Projektfreigabe.
¶ Beschwerde bei einer Aufsichtsbehörde
Wahlrecht: Betroffene können sich an den DSB wenden oder ihr Beschwerderecht bei einer zuständigen Aufsichtsbehörde nutzen.
¶ Meldung oder Rückfrage einer Behörde
Erstkontakt intern: freigegebener Behördenprozess mit Geschäftsleitung, Datenschutzkoordination und DSB.
Die Meldung wird vom verantwortlichen Rechtsträger über den bestätigten Behördenkanal abgegeben; die DSB-Kontaktdatenmeldung ist davon getrennt.
Für diese Auswahl ist noch kein Kontaktweg hinterlegt. Bitte Datenschutzkoordination oder Seitenverantwortliche informieren.
¶ 11. Kontakt- und Melderegister
Strukturmuster: Reale Einträge gehören in eine geschützte Ablage. Die öffentliche Seite zeigt nur das erforderliche Schema.
| Feld | Mindestinhalt |
|---|---|
| DSB-ID | eindeutige Referenz |
| Rechtsträger und Scope | betroffene Organisationen, Standorte und Verarbeitungsbereiche |
| DSB-Modell | intern, extern, gemeinsam oder Teammodell |
| Benennungsstatus | Prüfung, Entscheidung, Benennung, Beginn und Review |
| veröffentlichter Kontakt | freigegebene Funktionsadresse und Veröffentlichungsorte |
| interner Kontakt | geschützte dienstliche Erreichbarkeit |
| Vertretung und Ausfallweg | befähigte Vertretung und Aktivierungsregel |
| zuständige Aufsichtsbehörde | sachverhaltsbezogen bestätigte Behörde |
| Behördenmeldung | Verfahren, Referenz, Datum und Änderungsstatus |
| Fachkunde und Ressourcen | geschützte Nachweise und aktueller Review |
| Interessenkonfliktprüfung | Ergebnis, Maßnahmen, Freigabe und nächster Termin |
| Änderungen | Version, Anlass, Verantwortlichkeit und Abschluss |
¶ 12. Mitteilung an die Aufsichtsbehörde
Vor einer Meldung wird die zuständige Datenschutzaufsichtsbehörde anhand von Rechtsträger, Sitz, Tätigkeit und gegebenenfalls besonderer Zuständigkeit festgestellt. Privatunternehmen werden in Deutschland in der Regel durch Landesaufsichtsbehörden beaufsichtigt; für bestimmte Bereiche können andere Zuständigkeiten gelten.
Die Organisation:
- verwendet das aktuelle Meldeverfahren der zuständigen Behörde,
- meldet die erforderlichen Kontaktdaten nach Artikel 37 Absatz 7 DSGVO,
- bewahrt Eingangs- oder Übermittlungsnachweis geschützt auf,
- aktualisiert Änderungen, Vertretungen oder Beendigungen ohne vermeidbare Verzögerung,
- gleicht Behördendaten mit veröffentlichten und internen führenden Kontakten ab.
Ein ausgefülltes Wiki-Feld ist kein Nachweis einer Behördenmeldung.
¶ 13. Direkter Kontakt betroffener Personen
Betroffene Personen dürfen die DSB-Rolle zu Fragen der Verarbeitung ihrer personenbezogenen Daten und zur Wahrnehmung ihrer Rechte kontaktieren. Der Kontaktweg:
- wird nicht als allgemeiner Vertriebskanal missbraucht,
- behandelt Anfragen vertraulich und zugriffsgeschützt,
- bestätigt den Eingang angemessen,
- leitet operative Bearbeitung kontrolliert an befugte Rollen weiter,
- wahrt die unabhängige Beratung und Vertraulichkeit,
- dokumentiert nur notwendige Bearbeitungs- und Nachweisdaten.
Die DSB-Rolle ersetzt nicht den operativen Prozess für Betroffenenanfragen. Sie bleibt jedoch erreichbar und überwacht die angemessene Bearbeitung im Rahmen ihrer Aufgaben.
¶ 14. Berichts- und Eskalationsweg
Die oder der Datenschutzbeauftragte berichtet unmittelbar an die höchste Managementebene des jeweiligen Verantwortlichen oder Auftragsverarbeiters. Regelberichte können insbesondere enthalten:
- wesentliche Datenschutzrisiken und Veränderungen,
- Status von VVT, DSFA, Betroffenenrechten und Datenschutzverletzungen,
- wiederkehrende Abweichungen oder Beschwerden,
- Stand von Schulungen, Kontrollen und Maßnahmen,
- Ressourcen-, Zugangs- oder Unabhängigkeitsprobleme,
- priorisierte Empfehlungen und offene Managemententscheidungen.
Dringende oder wesentliche Sachverhalte werden außerhalb des Regelturnus eskaliert. Wenn der Verantwortliche einer dokumentierten Empfehlung nicht folgt, hält er seine eigene Entscheidung, Begründung, Risikobewertung und Maßnahmen nachvollziehbar fest.
¶ 15. Vertretung, Abwesenheit und Exit
Für Abwesenheit oder Ausfall werden Vertretung, Zugriff, Übergabe und Kommunikationsweg vorab geregelt. Die Vertretung verfügt über ausreichende Fachkunde, Vertraulichkeit und Befugnisse für den festgelegten Umfang.
Bei Wechsel oder Beendigung werden mindestens kontrolliert:
- laufende Anfragen, Vorfälle, Beratungen und Fristen,
- geschützte Unterlagen, Zugänge und Kommunikationskanäle,
- veröffentlichte Kontaktdaten und Datenschutzhinweise,
- Meldedaten bei der zuständigen Aufsichtsbehörde,
- Benennungs- und Vertragsdokumente,
- Information der Geschäftsleitung und betroffener interner Rollen,
- nachvollziehbare Übergabe an Nachfolge oder Zwischenvertretung.
¶ 16. Wirksamkeitsprüfung
Mindestens regelmäßig wird geprüft, ob:
- die Benennungsentscheidung noch aktuell ist,
- alle betroffenen Rechtsträger korrekt abgedeckt sind,
- die DSB-Rolle frühzeitig eingebunden wird,
- Ressourcen, Fachkunde und Zugang ausreichend sind,
- veröffentlichte und interne Kontakte funktionieren,
- Vertretung und Ausfallweg praktisch nutzbar sind,
- Interessenkonflikte erneut bewertet wurden,
- Meldedaten der Aufsichtsbehörde aktuell sind,
- Empfehlungen, Berichte und offene Maßnahmen nachverfolgt werden.
Eine vorhandene Kontaktadresse belegt allein weder Erreichbarkeit noch wirksame Aufgabenwahrnehmung.
¶ 16.1 Prüfplan und Kennzahlen
| Prüffeld | Beispielkennzahl | Prüfmethode | Warnsignal |
|---|---|---|---|
| Erreichbarkeit | Anteil erfolgreich zugestellter Testnachrichten | kontrollierter Funktionstest ohne Echtdaten | Rückläufer, unklare Weiterleitung oder nicht befugter Zugriff |
| Einbindung | Anteil relevanter Projekte mit dokumentierter DSB-Beteiligung vor Entscheidung | Stichprobe aus Projekt-, Beschaffungs- und Änderungsregister | Beteiligung erst nach Vertrag, Go-live oder Freigabe |
| Reaktionsfähigkeit | Zeit bis qualifizierte Ersteinschätzung | Vorgangsmetadaten im geschützten Register | Fristkritische Fälle bleiben unbearbeitet oder ohne Vertretung |
| Ressourcen | offene Beratungsvorgänge, Überlastindikator und Fortbildungsstand | Quartalsreview mit DSB und Management | dauerhaft wachsender Rückstand oder fehlende Fortbildung |
| Unabhängigkeit | dokumentierte Weisungs-, Zugangs- oder Konfliktfälle | vertraulicher DSB-Bericht an höchste Managementebene | DSB wird von Informationen ausgeschlossen oder soll eigene Entscheidungen prüfen |
| Aktualität | Übereinstimmung von Website, Datenschutzhinweisen, Behörde und internem Register | halbjährlicher Vier-Stellen-Abgleich | abweichende oder veraltete Kontaktangaben |
Kennzahlen werden nicht als Leistungsdruck auf die unabhängige DSB-Tätigkeit verwendet. Sie zeigen Prozesslücken, Ressourcenbedarf und Handlungsbedarf des Verantwortlichen.
¶ 16.2 Praktischer Funktionstest
Mindestens halbjährlich und nach jeder Änderung wird mit einem kennzeichnungsfreien Testsachverhalt geprüft:
- Ist der Kontakt von außen und intern auffindbar?
- Erreicht die Nachricht ausschließlich befugte Empfänger?
- Funktioniert die Vertretung ohne Offenlegung unnötiger Inhalte?
- Wird ein fristkritischer Sachverhalt korrekt an den operativen Prozess übergeben?
- Bleibt der DSB unabhängig erreichbar und ist die Übergabe nachvollziehbar?
- Stimmen veröffentlichte Kontaktdaten, internes Register und Behördenmeldung überein?
Das Testprotokoll enthält Datum, Prüfumfang, Ergebnis, Abweichung, Maßnahme und Abschluss. Es enthält keine realen Beschwerden oder personenbezogenen Fallinhalte.
¶ 17. Nachweise und geschützte Ablage
Geschützt geführt werden insbesondere:
- Benennungsprüfung und Managemententscheidung,
- Benennungsurkunde beziehungsweise dokumentierte Zuweisung,
- Vertrag und Leistungsbeschreibung bei externer DSB-Leistung,
- Fachkunde-, Fortbildungs- und Tätigkeitsnachweise,
- Ressourcen- und Kapazitätsbewertung,
- Interessenkonfliktprüfung,
- Behördenmeldung und Änderungsnachweise,
- Kontakt-, Vertretungs- und Ausfallregister,
- Beratungen, Berichte, Empfehlungen und abweichende Entscheidungen,
- Übergabe- und Exit-Nachweise.
Das öffentliche Wiki enthält nur Verfahren, Status, erforderliche Funktionskontakte und kontrollierte Referenzen. Personenbezogene oder vertrauliche Originalunterlagen werden nicht frei veröffentlicht.
¶ 18. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und Gesamtstatus |
| Geltungsbereich und Verantwortliche | Rechtsträger, Rollen und räumlicher beziehungsweise sachlicher Scope |
| Datenschutzleitlinie | übergeordnete Führungs- und Datenschutzgrundsätze |
| Rollen und Verantwortlichkeiten | Aufgaben, Befugnisse, RACI, Vertretung und Eskalation |
| Verzeichnis von Verarbeitungstätigkeiten | Verarbeitungskontext und Einbindung der DSB-Rolle |
| Datenschutz-Folgenabschätzung | Rat des DSB, Überwachung der Durchführung und dokumentierter Umgang mit Empfehlungen |
| ISMS-Rollen und Verantwortlichkeiten | Schnittstellen zu Geschäftsleitung, ISMS, IT und Audit |
Geplante operative Detailseiten werden bis zu ihrer Anlage nur als Pfad angegeben:
/DSGVO/03-Betroffenenrechte/Betroffenenanfragen-und-Identitaetspruefung- Meldeweg für Datenschutzverletzungen
- Kontakt- und Eskalationslisten
- Meldung an die Aufsichtsbehörde
- Aufsichtsbehördenanfragen
¶ 19. Weiterführende Informationen von SMCT MANAGEMENT
SMCT MANAGEMENT
Unterstützung bei Benennungsprüfung, DSB-Modell, Datenschutzorganisation und Kontaktkonzept
Unterstützung bei Benennungsprüfung, DSB-Modell, Datenschutzorganisation und Kontaktkonzept
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutzbeauftragter | Benennung, Stellung und organisatorische Einbindung |
| Datenschutzmanagement | Rollen, Verfahren, Risiken, Maßnahmen und Kontrollen systematisch verbinden |
| Datenschutz-Leistungen | Unterstützung bei Aufbau und Weiterentwicklung der Datenschutzorganisation |
| Pflichten von Verantwortlichen und Auftragsverarbeitern | Abgrenzung der gesetzlichen Verantwortung von der DSB-Beratung |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT-Links sind ergänzende Fach- und Leistungsinformationen. Maßgeblich bleiben die amtlichen Rechtsquellen, die zuständige Aufsichtsbehörde und die konkrete Organisations- und Verarbeitungssituation.
¶ 20. Offizielle Quellen
- Datenschutz-Grundverordnung – amtlicher Text bei EUR-Lex
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- BfDI – Rolle der Datenschutzbeauftragten und Meldeprozess nach Artikel 37 DSGVO
- BfDI – Kontaktfinder für die zuständige Datenschutzaufsicht
- BfDI – INFO 4: Die Datenschutzbeauftragten
¶ 21. Freigabeprüfung
- Wurde die Benennungspflicht je Rechtsträger und Rolle nachvollziehbar geprüft?
- Sind Artikel 37 DSGVO, § 38 BDSG und weitere einschlägige Regeln berücksichtigt?
- Ist das gewählte interne, externe oder gemeinsame DSB-Modell begründet?
- Sind Fachkunde, Ressourcen, Fortbildung, unmittelbarer Berichtsweg und Vertretung angemessen?
- Wurden andere Aufgaben und mögliche Interessenkonflikte anhand tatsächlicher Befugnisse bewertet?
- Ist die Benennung formal dokumentiert und dem richtigen Rechtsträger zugeordnet?
- Wurden die Kontaktdaten der zuständigen Aufsichtsbehörde mitgeteilt und Änderungen nachgeführt?
- Sind veröffentlichter Funktionskontakt, interner Kontakt und Ausfallkontakt getrennt geregelt?
- Wurden Zustellung, Weiterleitung, Vertraulichkeit und Vertretung praktisch geprüft?
- Sind laufende Beratung, Überwachung, Berichterstattung und Wirksamkeitsprüfung organisiert?
Die Seite gilt erst nach organisationsbezogener Prüfung, formaler Entscheidung und Freigabe als verbindlich. Eine technische Veröffentlichung bestätigt weder die Benennung noch die Meldung an eine Aufsichtsbehörde.
¶ 22. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.4 | 09.08.2026 | Benennungs-Ampel, Rollenabgrenzung, verbindliche Beteiligungsereignisse, interaktiver Kontaktweg-Navigator ohne Datenerfassung sowie messbarer Wirksamkeits- und Funktionstest ergänzt; SEO-Beschreibung erweitert und amtliche Rechtsgrundlagen erneut abgeglichen | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.3 | 08.08.2026 | Meldeweg, Eskalationslisten und Behördenmeldung als operative DSB- und Kontakt-Schnittstellen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.2 | 08.08.2026 | Datenschutz-Folgenabschätzung mit Beratung, Überwachung und Umgang mit DSB-Empfehlungen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Musterfassung mit Benennungsprüfung, DSB-Modellen, Fachkunde, Stellung, Interessenkonflikten, Kontaktkonzept, Behördenmeldung, Vertretung, Wirksamkeitsprüfung, SEO-Beschreibung, SVG sowie amtlichen und SMCT-Links | Datenschutzkoordination / Musterrolle | Ausstehend | – |