¶ Rollen und Verantwortlichkeiten
Beispieldokument: Diese Seite beschreibt ein Datenschutz-Rollenmodell für die fiktive „Muster GmbH“. Konkrete Personen, Stellenanteile, Benennungen, Kontaktdaten, Vertretungen und Befugnisse wurden nicht erfunden.
Führungsgrundsatz: Aufgaben dürfen übertragen werden; die Verantwortung des Verantwortlichen und der Geschäftsleitung für eine rechtmäßige und nachweisbare Datenschutzorganisation wird dadurch nicht aufgehoben.
Unabhängigkeitsgrundsatz: Eine benannte Datenschutzbeauftragte oder ein benannter Datenschutzbeauftragter berät und überwacht unabhängig. Diese Rolle übernimmt nicht die operative Ergebnisverantwortung des Verantwortlichen und erhält keine Weisungen zur Wahrnehmung ihrer gesetzlichen Aufgaben.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-ORG-01-02 |
| Dokumentenart | Rollen-, Verantwortlichkeits- und Befugnisregister |
| Wiki.js-Pfad | /DSGVO/01-Governance-und-Organisation/Rollen-und-Verantwortlichkeiten |
| Verantwortlich | Geschäftsführung / festzulegender Verantwortlicher |
| Dokumentenpflege | Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt oder erforderlich, Rechtsfunktion, Personal, ISMS und betroffene Prozesseigner |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung des Verantwortlichen |
| Status | Entwurf – Rollenbesetzung, Stellvertretungen, Befugnisse und Eskalationswege nicht organisationsbezogen freigegeben |
| Version | 0.2 |
| Stand | 09.08.2026 |
| Gültig ab | Nach fachlicher Prüfung, Besetzung und formaler Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie bei Organisations-, Rollen- oder Anforderungsänderungen |
| Schutzklasse | Intern; Namen, Kontaktdaten, Benennungen und Vertretungen in geschützter Detailablage |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 2, 24 bis 32 sowie 35 bis 39 DSGVO |
| Nationaler Bezug | Insbesondere § 38 BDSG; weitere nationale und bereichsspezifische Vorgaben sind sachverhaltsbezogen zu prüfen |
| Schnittstellen | Geschäftsführung, Datenschutzbeauftragte, Recht, ISMS, IT, Personal, Einkauf, Prozesseigner, Incident- und Auditfunktionen |
Klare Trennung von Leitungs-, Beratungs-, Umsetzungs- und Kontrollaufgaben mit geregelten Übergaben und Eskalationen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Diese Seite legt fest, welche Datenschutzrollen erforderlich sind, welche Aufgaben und Befugnisse ihnen zugeordnet werden und wie sie zusammenarbeiten. Sie soll insbesondere sicherstellen, dass:
- für jede wesentliche Datenschutzaufgabe eine eindeutige Ergebnisverantwortung besteht,
- Beratung, operative Umsetzung, Freigabe und Kontrolle nachvollziehbar getrennt werden,
- Stellvertretungen, Eskalationswege und Entscheidungskompetenzen funktionieren,
- die oder der Datenschutzbeauftragte frühzeitig und unabhängig eingebunden wird,
- Prozesseigner tatsächliche Verarbeitungen und Änderungen fachlich verantworten,
- Datenschutz, Informationssicherheit, Recht und Fachbereiche abgestimmt handeln,
- Rollenbesetzung und Aufgabenerfüllung durch geschützte Nachweise belegt werden.
¶ 2. Geltungsbereich
Das Rollenmodell gilt nach Freigabe für alle im DSGVO-Geltungsbereich erfassten Rechtsträger, Organisationseinheiten, Standorte, Prozesse und Verarbeitungen. Einbezogen werden Beschäftigte, Führungskräfte, externe Personen und Dienstleister, soweit sie Datenschutzaufgaben wahrnehmen oder personenbezogene Daten verarbeiten.
Die datenschutzrechtliche Rolle einer Organisation wird je Verarbeitung bestimmt. Dieselbe Stelle kann in unterschiedlichen Verarbeitungskontexten Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter oder Empfänger sein.
¶ 3. Datenschutzrechtliche und interne Rollen unterscheiden
Nicht jede interne Funktionsbezeichnung ist eine eigenständige Rolle der DSGVO. Zuerst wird je Verarbeitung geklärt, welche Organisation Zwecke und wesentliche Mittel bestimmt. Erst danach werden interne Aufgaben, Befugnisse und Ansprechpartner zugeordnet.
| Rolle / Begriff | maßgebliches Merkmal | praktische Konsequenz |
|---|---|---|
| Verantwortlicher | entscheidet allein über Zwecke und wesentliche Mittel der Verarbeitung | muss Rechtmäßigkeit, Organisation, Maßnahmen und Nachweis sicherstellen |
| gemeinsam Verantwortliche | zwei oder mehr Stellen bestimmen Zwecke und wesentliche Mittel gemeinsam | transparente Vereinbarung nach Artikel 26; tatsächliche Funktionen müssen abgebildet werden |
| Auftragsverarbeiter | verarbeitet Daten im Auftrag und grundsätzlich nach dokumentierter Weisung | Vertrag nach Artikel 28, Kontroll- und Weisungsrahmen, eigene gesetzliche Pflichten |
| Empfänger / Dritter | erhält Daten, ohne allein deshalb Auftragsverarbeiter zu sein | Rolle, Rechtsgrundlage und Informationspflichten gesondert prüfen |
| Datenschutzbeauftragte/r | gesetzliche Beratungs- und Überwachungsfunktion | unabhängig einbinden; keine Übernahme der Verantwortung des Verantwortlichen |
| Vertretung nach Artikel 27 | Anlaufstelle in der Union für bestimmte nicht niedergelassene Verantwortliche oder Auftragsverarbeiter | ersetzt weder Verantwortlichen noch Datenschutzbeauftragte/n |
| interne Datenschutzkoordination | organisationsbezogene Unterstützungsfunktion | nur die formal übertragenen Aufgaben und Befugnisse; keine automatische gesetzliche Organstellung |
| Prozesseigner / System-Owner | interne Governance-Rolle für fachliche beziehungsweise technische Ergebnisse | Zuständigkeit muss mit tatsächlicher Entscheidungskompetenz, Zeit und Ressourcen hinterlegt sein |
Die vertragliche Bezeichnung allein entscheidet nicht über Verantwortlichkeit oder Auftragsverarbeitung. Ausschlaggebend sind die tatsächlichen Funktionen und Entscheidungsmöglichkeiten im konkreten Verarbeitungskontext.
¶ 3.1 Rollenklärung bei neuen oder geänderten Verarbeitungen
- Beteiligte Rechtsträger und Leistungen erfassen.
- Feststellen, wer Zweck, Datenarten, betroffene Personen, Dauer und wesentliche Mittel bestimmt.
- Weisungsgebundenheit und eigenen Entscheidungsspielraum externer Stellen prüfen.
- Verantwortlicher, gemeinsame Verantwortung, Auftragsverarbeitung oder sonstiger Empfänger begründet einordnen.
- Verträge, Informationen, VVT, technische Maßnahmen und Kontaktwege daraus ableiten.
- Bewertung bei wesentlichen Änderungen erneut durchführen.
¶ 4. Organisationsgrundsätze
- Eine Ergebnisverantwortung: Für jedes wesentliche Ergebnis ist eine befugte, eindeutig erkennbare Rolle verantwortlich.
- Funktion vor Person: Rollen werden unabhängig von der aktuellen personellen Besetzung beschrieben.
- Tatsächliche Befugnis: Eine Benennung ohne Zeit, Kompetenz, Informationszugang und Entscheidungsmöglichkeit ist nicht ausreichend.
- Angemessene Trennung: Entscheidung, operative Durchführung, Beratung und unabhängige Kontrolle werden soweit erforderlich getrennt.
- Frühzeitige Einbindung: Datenschutz wird vor Beginn oder wesentlicher Änderung einer Verarbeitung einbezogen.
- Vertretung: Kritische Rollen besitzen geregelte und befähigte Stellvertretungen.
- Keine stillschweigende Delegation: Dauerhafte informelle Zuständigkeiten werden formalisiert oder eskaliert.
- Minimierte Personendaten: Öffentliche oder breit lesbare Übersichten enthalten nur notwendige Funktionsangaben.
- Nachvollziehbarkeit: Entscheidung, Beratung, Abweichung und Freigabe werden mit Status und Datum dokumentiert.
- Keine Scheinunabhängigkeit: Interessenkonflikte werden geprüft, dokumentiert und vermieden oder wirksam behandelt.
¶ 5. Governance-Ebenen
| Ebene | Aufgabe | Typische Rollen |
|---|---|---|
| Leiten und entscheiden | Richtung, Ressourcen, Freigaben und wesentliche Risikoentscheidungen | Geschäftsführung, befugte Leitung des Verantwortlichen |
| Beraten und überwachen | unabhängige Beratung und Überwachung der Einhaltung | Datenschutzbeauftragte/r |
| Koordinieren | Verfahren, Termine, Register, Übergaben und Statusnachverfolgung | Datenschutzkoordination |
| Fachlich verantworten | Zweck, Ablauf, Rechtsgrundlage, Daten, Empfänger und Fristen der Verarbeitung | Prozesseigner, Fachverantwortliche |
| Technisch und organisatorisch umsetzen | Systeme, Berechtigungen, Sicherheit, Verträge, Schulungen und operative Verfahren | IT, ISMS, Personal, Einkauf, Recht, Fachbereiche |
| Unabhängig prüfen | objektive Bewertung und Berichterstattung | interne oder externe Auditfunktion |
| Anwenden und melden | Regeln beachten, Änderungen und Verdachtsfälle melden | alle Beschäftigten und externen Nutzenden |
¶ 6. Geschäftsführung und Verantwortlicher
Die Geschäftsführung beziehungsweise die befugte Leitung des Verantwortlichen:
- trägt die Gesamtverantwortung für eine angemessene Datenschutzorganisation,
- legt Geltungsbereich, Rollen, Befugnisse und Ressourcen fest,
- genehmigt Datenschutzleitlinie, wesentliche Verfahren und Ziele,
- sorgt für rechtzeitige Einbindung von Datenschutz, Recht und Informationssicherheit,
- stellt geeignete technische und organisatorische Maßnahmen sicher,
- entscheidet im festgelegten Befugnisrahmen über wesentliche Risiken und Prioritätskonflikte,
- stellt die Bearbeitung von Betroffenenrechten und Datenschutzverletzungen sicher,
- erhält Berichte über Risiken, Beschwerden, Vorfälle, Kontrollen und Verbesserungen,
- schützt die unabhängige Stellung einer oder eines benannten Datenschutzbeauftragten,
- veranlasst die regelmäßige Überprüfung und Verbesserung des Datenschutzmanagements.
Operative Vorbereitung darf delegiert werden. Die Leitung darf ihre eigene Rechenschaftspflicht nicht vollständig auf Datenschutzkoordination, IT oder Datenschutzbeauftragte übertragen.
¶ 7. Datenschutzbeauftragte/r
Sofern eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt ist, nimmt diese Rolle insbesondere die gesetzlichen Aufgaben nach Artikel 39 DSGVO wahr:
- Verantwortlichen, Auftragsverarbeiter und Beschäftigte informieren und beraten,
- Einhaltung der DSGVO, anderer Datenschutzvorschriften und interner Strategien überwachen,
- Sensibilisierung, Schulung und zugehörige Überprüfungen begleiten,
- auf Anfrage zur Datenschutz-Folgenabschätzung beraten und ihre Durchführung überwachen,
- mit der Aufsichtsbehörde zusammenarbeiten,
- als Anlaufstelle der Aufsichtsbehörde dienen,
- bei der Aufgabenerfüllung das mit den Verarbeitungsvorgängen verbundene Risiko berücksichtigen.
¶ 7.1 Stellung und Unabhängigkeit
Der Verantwortliche beziehungsweise Auftragsverarbeiter stellt sicher, dass die Rolle:
- frühzeitig und ordnungsgemäß in Datenschutzfragen eingebunden wird,
- die erforderlichen Ressourcen, Fachkenntnisse und Zugänge erhält,
- unmittelbar an die höchste Managementebene berichten kann,
- bei gesetzlichen Aufgaben keine Weisungen erhält,
- wegen der Aufgabenerfüllung nicht abberufen oder benachteiligt wird,
- andere Aufgaben nur wahrnimmt, wenn daraus kein Interessenkonflikt entsteht.
Die Datenschutzbeauftragtenrolle entscheidet nicht anstelle des Verantwortlichen über Zwecke und Mittel der Verarbeitung. Sie darf nicht zugleich operative Entscheidungen kontrollieren müssen, die sie selbst in verantwortlicher Funktion getroffen hat.
¶ 7.2 Benennungsprüfung
Die Erforderlichkeit einer Benennung wird nach Artikel 37 DSGVO und ergänzend nach § 38 BDSG geprüft. Das Ergebnis wird auch dann dokumentiert, wenn keine Benennungspflicht festgestellt wird. Eine freiwillige Benennung wird nicht nur als Titel vergeben; die gesetzlichen Anforderungen an Stellung, Aufgaben und Unabhängigkeit werden berücksichtigt.
¶ 7.3 Interessenkonflikte erkennen
Ein Interessenkonflikt kann insbesondere entstehen, wenn dieselbe Person als Datenschutzbeauftragte/r zugleich Zwecke oder wesentliche Mittel einer Verarbeitung festlegt oder die eigene operative Entscheidung überwachen müsste. Die Bewertung erfolgt nach tatsächlichen Aufgaben, Einfluss und Organisationsstruktur; eine Stellenbezeichnung allein reicht nicht.
| Prüffrage | mögliche Behandlung |
|---|---|
| entscheidet die Rolle über Zwecke oder wesentliche Mittel? | operative Entscheidungsbefugnis trennen oder andere DSB-Lösung wählen |
| kontrolliert die Rolle eigene Freigaben, Systeme oder Fachprozesse? | unabhängige Prüf- und Entscheidungswege festlegen |
| bestehen wirtschaftliche oder disziplinarische Abhängigkeiten? | unmittelbaren Berichtsweg, Schutz und unabhängige Ressourcen sichern |
| werden zusätzliche Aufgaben nur informell übertragen? | Aufgabenprofil, Kapazität und Konfliktprüfung dokumentieren |
| ist eine neutrale Vertretung gewährleistet? | befähigte, konfliktfreie Vertretungs- oder externe Unterstützungsregel festlegen |
¶ 8. Datenschutzkoordination
Die Datenschutzkoordination unterstützt die operative Organisation. Sie kann insbesondere:
- Register, Fristen, Termine und Maßnahmen nachhalten,
- VVT-Erhebungen und Qualitätsprüfungen koordinieren,
- Fachbereiche bei standardisierten Abläufen unterstützen,
- Betroffenenanfragen und Vorfälle an zuständige Rollen weiterleiten,
- Schulungs-, Kontroll- und Berichtstermine koordinieren,
- Dokumente, Entscheidungen und geschützte Ablagereferenzen pflegen,
- offene Punkte und überfällige Aufgaben eskalieren,
- Schnittstellen zu ISMS, Recht, Personal, Einkauf und IT organisieren.
Die Datenschutzkoordination ersetzt weder die Verantwortung der Geschäftsleitung noch die unabhängige Beratung und Überwachung durch eine benannte Datenschutzbeauftragte oder einen benannten Datenschutzbeauftragten.
¶ 9. Prozesseigner und Fachverantwortliche
Der Prozesseigner verantwortet die tatsächliche Verarbeitung in seinem Bereich. Dazu gehören insbesondere:
- Zweck, Ablauf, betroffene Personen und erforderliche Daten bestätigen,
- Rechtsgrundlage und Informationspflichten mit den zuständigen Fachrollen prüfen,
- Systeme, Empfänger, Dienstleister, Drittlandzugriffe und Fristen erfassen,
- Änderungen vor ihrer Umsetzung melden und bewerten lassen,
- Datenschutzrisiken und DSFA-Screening unterstützen,
- Betroffenenanfragen, Löschungen und Einschränkungen fachlich bearbeiten,
- geeignete Maßnahmen und Nachweise im Prozess sicherstellen,
- VVT-Einträge regelmäßig prüfen und freigabereif halten.
Der Prozesseigner darf Datenschutzfragen nicht allein deshalb an IT oder Datenschutzkoordination abgeben, weil ein IT-System verwendet wird.
¶ 10. System-, Service- und IT-Verantwortung
System- und Serviceverantwortliche sowie IT-Funktionen:
- dokumentieren Systemzweck, Nutzergruppen, Datenflüsse und Abhängigkeiten,
- setzen freigegebene Berechtigungen und datenschutzfreundliche Voreinstellungen um,
- unterstützen Datenminimierung, Berichtigung, Export, Einschränkung und Löschung,
- stellen Protokollierung, Datensicherung, Wiederherstellung und sichere Außerbetriebnahme sicher,
- liefern technische Angaben für VVT, Risiken, DSFA, TOM und Vorfälle,
- bewerten Änderungen, Schnittstellen, Cloud-Dienste und administrative Zugriffe,
- dokumentieren technische Prüfungen und bekannte Einschränkungen,
- arbeiten mit ISMS, Prozesseignern, Einkauf und Datenschutz zusammen.
Die technische Administration ist nicht automatisch befugt, Verarbeitungszwecke, Rechtsgrundlagen oder Aufbewahrungsfristen festzulegen.
¶ 11. Informationssicherheit und ISMS
Die Informationssicherheitsfunktion:
- stellt Sicherheitsrisiken, Maßnahmen und technische Nachweise bereit,
- unterstützt bei Vorfällen, Bedrohungen, Schwachstellen und Wiederanlauf,
- koordiniert geeignete Sicherheitskontrollen mit System- und Prozesseignern,
- berücksichtigt personenbezogene Daten in Schutzbedarf und Maßnahmenplanung,
- stimmt sich bei Datenschutzverletzungen mit Datenschutz- und Rechtsrollen ab.
Datenschutzrisiken richten sich auf Rechte und Freiheiten natürlicher Personen. ISMS-Risiken für Unternehmenswerte können eine wichtige Eingabe sein, ersetzen aber weder die Datenschutz-Risikobewertung noch eine erforderliche Datenschutz-Folgenabschätzung.
¶ 12. Recht und Compliance
Rechts- und Compliance-Funktionen unterstützen insbesondere bei:
- Rechtsgrundlagen, Zweckänderungen und besonderen Verarbeitungssituationen,
- Beschäftigtendatenschutz und kollektivrechtlichen Anforderungen,
- Verträgen, gemeinsamer Verantwortung und Auftragsverarbeitung,
- Drittlandübermittlungen und geeigneten Garantien,
- Beschwerden, Behördenanfragen und Rechtsstreitigkeiten,
- Aufbewahrungspflichten, Sperrung und Rechtsverteidigung,
- widersprüchlichen gesetzlichen, vertraglichen oder behördlichen Anforderungen.
Rechtliche Beratung ersetzt nicht die fachliche Bestätigung des tatsächlichen Prozesses durch den Prozesseigner.
¶ 13. Personal, Einkauf und Lieferantensteuerung
¶ 13.1 Personal
Die Personalfunktion unterstützt bei Rollenbesetzung, Vertraulichkeit, Schulungen, Eintritt, Wechsel, Abwesenheit und Austritt. Beschäftigtendaten und arbeitsrechtliche Besonderheiten werden nur innerhalb befugter und geschützter Prozesse verarbeitet.
¶ 13.2 Einkauf und Lieferantensteuerung
Einkauf und Lieferantenverantwortliche stellen sicher, dass Datenschutz-, Sicherheits- und Vertragsprüfungen vor Beauftragung und bei wesentlichen Änderungen erfolgen. Verträge, Unterauftragnehmer, TOM, Weisungswege, Drittlandbezug, Kontrollen und Exit-Anforderungen werden mit Prozesseigner, Recht, ISMS und Datenschutz abgestimmt.
¶ 14. Beschäftigte und externe Nutzende
Alle Beschäftigten und eingebundenen externen Personen:
- verarbeiten personenbezogene Daten nur für freigegebene dienstliche Zwecke,
- beachten Berechtigungen, Vertraulichkeit, Informationsklassifizierung und zulässige Kommunikationswege,
- erheben und teilen nur erforderliche Daten,
- melden Betroffenenanfragen, Beschwerden, Fehlversendungen, Verluste und Verdachtsfälle unverzüglich,
- verändern oder löschen mögliche Beweismittel nicht eigenmächtig,
- nehmen an zugewiesenen Schulungen und Unterweisungen teil,
- melden unklare oder widersprüchliche Anweisungen an die zuständige Rolle.
¶ 15. Audit- und Kontrollfunktion
Unabhängige Prüfrollen bewerten risikobasiert, ob Vorgaben angemessen gestaltet, umgesetzt und wirksam sind. Personen prüfen nicht ihre eigene Arbeit, soweit dadurch Objektivität beeinträchtigt wird. Feststellungen, Ursachen, Maßnahmen, Verantwortlichkeiten, Fristen und Wirksamkeitsprüfungen werden nachvollziehbar nachverfolgt.
Die Datenschutzbeauftragtenrolle überwacht im Rahmen ihrer gesetzlichen Aufgaben. Eine interne Auditfunktion kann zusätzliche systematische Prüfungen durchführen; beide Rollen stimmen Umfang und Informationsbedarf ab, ohne ihre jeweilige Unabhängigkeit aufzugeben.
¶ 16. RACI-Muster
Nicht freigegebenes Zuordnungsmuster: Die Matrix ist organisationsbezogen anzupassen.
Abezeichnet die Ergebnisverantwortung,Rdie Durchführung,Cdie einzubeziehende Beratung undIdie zu informierende Rolle.
| Aufgabe | Leitung / Verantwortlicher | DSB | Datenschutzkoordination | Prozesseigner | IT / ISMS | Recht / Einkauf |
|---|---|---|---|---|---|---|
| Datenschutzleitlinie freigeben | A | C | R | C | C | C |
| Geltungsbereich und Rollen festlegen | A | C | R | C | C | C |
| VVT-Eintrag erstellen und aktualisieren | I | C | R | A/R | C | C |
| neue oder geänderte Verarbeitung prüfen | I/A* | C | R | A/R | C | C |
| Rechtsgrundlage und Informationspflicht prüfen | A* | C | R | R | I | C/R |
| DSFA-Screening und DSFA durchführen | A | C | R | R | C | C |
| TOM auswählen und betreiben | A | C | C | R | R | C |
| Betroffenenanfrage bearbeiten | A | C | R | R | C | C |
| Datenschutzverletzung bewerten | A | C | R | R | R | C |
| Auftragsverarbeiter beauftragen | A | C | C | R | C | R |
| Datenschutzkontrolle durchführen | I | A/R oder C** | R | C | C | C |
| wesentliche Abweichung eskalieren | A | C | R | R | R | C |
* Die konkrete Entscheidungsbefugnis richtet sich nach dem freigegebenen Organisations- und Unterschriftenmodell.
** Die unabhängige Stellung und eine objektive Prüfung der eigenen Arbeit müssen gewahrt bleiben.
¶ 16.1 RACI richtig anwenden
- Pro Ergebnis soll grundsätzlich genau eine Rolle mit
Aeindeutig ergebnisverantwortlich sein. Rbezeichnet tatsächliche Durchführung und darf nicht ohne Zeit, Zugang und Kompetenz vergeben werden.Cbedeutet rechtzeitige Einbeziehung vor der Entscheidung, nicht nachträgliche Kenntnisgabe.Ierhält die für die Aufgabe erforderliche Information, aber nicht automatisch sensible Einzelfalldaten.- Eine RACI-Zelle ersetzt weder gesetzliche Verantwortlichkeit noch Vollmacht, Stellenbeschreibung oder Freigabenachweis.
- Bei mehreren Rechtsträgern wird die interne RACI erst nach der datenschutzrechtlichen Rollenklärung erstellt.
¶ 17. Interaktiver Rollenfinder
Der Rollenfinder zeigt für typische Datenschutzvorgänge eine mögliche organisatorische Erstzuordnung. Er ersetzt weder die Prüfung des konkreten Sachverhalts noch Geschäftsordnung, Vollmachten, Artikel-26-Vereinbarung oder Auftragsverarbeitungsvertrag. Die Auswahl wird nicht gespeichert.
¶ 17.1 Rollenfinder in den Arbeitsablauf übernehmen
- Vorgang und betroffenen Rechtsträger bestimmen.
- Vorschlag mit freigegebener RACI, Vollmacht und tatsächlicher Besetzung abgleichen.
- Stellvertretung und Frist prüfen.
- Benötigte Beratung vor der Entscheidung einholen.
- Ergebnis, Abweichung und geschützte Nachweisreferenz dokumentieren.
- Bei unklarer Befugnis oder Fristgefährdung eskalieren.
¶ 18. Rollen- und Vertretungsregister
Personenbezogene Besetzungs- und Kontaktdaten werden nicht in einer öffentlich lesbaren Musterseite geführt.
| Feld | Mindestinhalt |
|---|---|
| Rollen-ID und Rollenname | eindeutige Kennung und Funktionsbezeichnung |
| Rechtsträger und Geltungsbereich | Organisation, Prozesse, Standorte und Verarbeitungen |
| Aufgaben und Ergebnisse | konkrete Verantwortungen und erwartete Liefergegenstände |
| Befugnisse und Grenzen | Entscheidungen, Freigaben, Informations- und Eskalationsrechte |
| Rolleninhaber/in | geschützte Referenz auf formal zugewiesene Person |
| Stellvertretung | befähigte Vertretung und Aktivierungsfall |
| Kompetenz und Ressourcen | Fachkunde, Zeit, Budget, Zugang und Hilfsmittel |
| Interessenkonfliktprüfung | weitere Rollen, Bewertung, Maßnahmen und Freigabe |
| Benennung oder Beauftragung | Dokument, Datum, Laufzeit und befugte Freigabe |
| Kontakt- und Ausfallweg | geschützter operativer Kontakt und alternative Erreichbarkeit |
| Review | Status, prüfende Rolle, Datum und nächster Termin |
¶ 19. Entscheidungskompetenzen und Mindestnachweise
| Entscheidung / Ergebnis | mindestens zu klärende Befugnis | Mindestnachweis |
|---|---|---|
| neue Verarbeitung freigeben | wer darf Zweck, Budget, System und Restrisiko verbindlich entscheiden? | Entscheidung zur exakten Prozess-/Projektversion |
| Rechtsgrundlage festlegen | wer bestätigt Sachverhalt und wer bewertet rechtlich? | dokumentierte Bewertung mit Zweck, Daten, Betroffenen und Rechtsgrundlage |
| DSFA-Ergebnis und Restrisiko | wer entscheidet Maßnahmen und gegebenenfalls Konsultation? | freigegebene DSFA, DSB-Beratung und Maßnahmenstatus |
| Auftragsverarbeiter beauftragen | wer darf Anbieter, Vertrag, TOM und Drittlandbezug genehmigen? | Due-Diligence-, Vertrags- und Freigabereferenz |
| Datenschutzverletzung melden | wer trifft innerhalb der Frist die dokumentierte Meldeentscheidung? | Ereignisakte, Risikobewertung, Entscheidung und Versandnachweis |
| Betroffenenrecht beantworten | wer prüft Identität, Umfang, Ausnahmen und finale Antwort? | Vorgangsakte mit Fristen- und Versandnachweis |
| Aufbewahrung oder Löschung | wer löst Zielkonflikte zwischen Zweck, Pflicht, Sperrung und Rechtsverteidigung? | Fristenentscheidung und technischer Umsetzungsnachweis |
| Abweichung von DSB-Empfehlung | welche Leitungsrolle ist befugt, das Risiko begründet zu übernehmen? | Empfehlung, abweichende Entscheidung, Begründung und Folgemaßnahmen |
¶ 20. Eskalation und Entscheidung
Eine Eskalation erfolgt insbesondere, wenn:
- Verantwortlichkeit oder Befugnis unklar ist,
- eine gesetzliche oder interne Frist gefährdet ist,
- Datenschutz nicht rechtzeitig eingebunden wurde,
- ein hohes oder nicht akzeptables Risiko bestehen könnte,
- Ressourcen oder technische Möglichkeiten fehlen,
- ein Interessenkonflikt die objektive Aufgabenwahrnehmung beeinträchtigt,
- eine Empfehlung der oder des Datenschutzbeauftragten nicht umgesetzt werden soll,
- eine mögliche Datenschutzverletzung oder Behördenanfrage vorliegt.
Eskalationen enthalten Sachverhalt, Risiko, Frist, bereits ergriffene Maßnahmen, offene Entscheidung und zuständige Entscheidungsrolle. Weicht der Verantwortliche von einer dokumentierten Datenschutzempfehlung ab, wird die eigene Entscheidung mit Begründung und Risikobehandlung nachvollziehbar festgehalten.
¶ 21. Rollenlebenszyklus
- Rollenbedarf aus Recht, Organisation, Prozessen und Risiken bestimmen.
- Aufgaben, Befugnisse, Trennung und Eskalation beschreiben.
- Kompetenz, Ressourcen und mögliche Interessenkonflikte prüfen.
- Rolleninhaber und Stellvertretung formal zuweisen.
- Zugänge, Informationen, Schulung und Arbeitsmittel bereitstellen.
- Rolle und Kontaktwege zielgruppengerecht kommunizieren.
- Aufgabenerfüllung, Kapazität und Wirksamkeit regelmäßig überprüfen.
- Bei Wechsel oder Austritt Aufgaben, Zugänge, Register und offene Vorgänge geordnet übergeben.
¶ 22. Kompetenz, Kapazität und Wirksamkeit
Eine Rolle gilt nicht schon deshalb als wirksam eingerichtet, weil sie im Organigramm erscheint. Mindestens werden beurteilt:
| Prüffeld | Leitfrage | möglicher Nachweis |
|---|---|---|
| Fachkunde | kennt die Rolle Recht, Prozess, Systeme und interne Verfahren ausreichend? | Qualifikation, Einweisung, Fortbildung, fachliche Unterstützung |
| Zeit und Kapazität | kann sie Regel- und Spitzenlast fristgerecht bearbeiten? | Aufgabenvolumen, Vertretung, Rückstände, Kapazitätsentscheidung |
| Befugnis | darf sie Informationen anfordern, Entscheidungen treffen oder eskalieren? | Rollenprofil, Vollmacht, Geschäftsordnung, RACI |
| Zugang | erreicht sie Systeme, Register, Verträge und Entscheidungsgremien? | Berechtigungs- und Kommunikationsnachweis |
| Unabhängigkeit | kann sie beraten oder prüfen, ohne eigene Entscheidung kontrollieren zu müssen? | Konfliktprüfung und organisatorische Schutzmaßnahmen |
| Vertretung | bleibt die Aufgabe bei Urlaub, Krankheit, Austritt oder Großereignis funktionsfähig? | Vertretungs- und Übergabeprüfung |
| tatsächliche Leistung | werden Aufgaben fristgerecht, vollständig und fachlich geeignet erfüllt? | Stichprobe, Kennzahlen, Audit, Managementbewertung |
Mögliche Kennzahlen sind überfällige VVT-Reviews, offene Betroffenenanfragen, verspätete Datenschutzbeteiligungen, nicht besetzte Vertretungen, ungeklärte Interessenkonflikte und Maßnahmenrückstände. Kennzahlen liefern Hinweise; sie ersetzen keine qualitative Bewertung der Rollenwirksamkeit.
¶ 23. Nachweise und geschützte Ablage
Geeignete Nachweise sind beispielsweise:
- Organigramm und freigegebenes Rollenmodell,
- Benennungs- und Beauftragungsunterlagen,
- dokumentierte Benennungsprüfung,
- Stellen- und Funktionsbeschreibungen,
- RACI- und Befugnismatrizen,
- Stellvertretungs- und Ausfallregelungen,
- Fachkunde-, Schulungs- und Tätigkeitsnachweise,
- Interessenkonfliktprüfungen,
- Sitzungs-, Beratungs-, Eskalations- und Entscheidungsnachweise,
- Berichte, Kontrollen und dokumentierte Verbesserungen.
Die öffentliche Musterseite enthält keine Namen, direkten Kontaktdaten, Unterschriften oder vertraulichen Einzelfälle. Das Wiki verweist nur auf erforderliche Metadaten und kontrollierte Ablageorte.
¶ 24. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und dokumentierter Gesamtstatus |
| Geltungsbereich und Verantwortliche | Rechtsträger, räumlicher und sachlicher Scope sowie Rollenabgrenzung |
| Datenschutzleitlinie | Führungsgrundsätze und strategischer Rahmen |
| Datenschutzbeauftragte und Kontakte | Benennungsprüfung, Stellung, Funktionskontakte und geschützte operative Kontaktwege |
| Dokumenten- und Nachweislenkung | Rollen bei Prüfung, Freigabe, Nachweis, Aufbewahrung und Archivierung |
| Lesehilfe und Dokumentenstatus | Verbindlichkeit, Prüfung und Freigabestatus |
| Verzeichnis von Verarbeitungstätigkeiten | Prozesseigner und führende Verarbeitungsinformationen |
| ISMS-Rollen und Verantwortlichkeiten | Rollenabgleich und gemeinsame organisatorische Schnittstellen |
| ISMS-Prozesslandkarte | Zuordnung führender Prozesse und Prozesseigner |
¶ 25. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutzorganisation, Rollenklärung und dokumentierten Verantwortlichkeiten
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutzmanagement | Verantwortlichkeiten, Prozesse, Risiken, Maßnahmen und Kontrollen systematisch verbinden |
| Datenschutzbeauftragter | Hinweise zu Benennung, Stellung und organisatorischer Einbindung |
| Pflichten von Verantwortlichen und Auftragsverarbeitern | Einordnung unterschiedlicher Datenschutzrollen |
| Datenschutz-Leistungen | Beratung und Unterstützung beim Aufbau der Datenschutzorganisation |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT-Links sind ergänzende Fach- und Leistungsinformationen. Für verbindliche Bewertungen bleiben amtliche Rechtsquellen und die konkrete Organisations- und Verarbeitungssituation maßgeblich.
¶ 26. Offizielle Quellen
- Datenschutz-Grundverordnung – amtlicher Text bei EUR-Lex
- Bundesdatenschutzgesetz – Gesetze im Internet
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern – finale Fassung
- BfDI – DSGVO und BDSG
¶ 27. Freigabeprüfung
- Sind Verantwortlicher, Geltungsbereich und betroffene Rechtsträger bestätigt?
- Sind Ergebnisverantwortung, Durchführung, Beratung und Kontrolle klar getrennt?
- Sind Geschäftsleitung, Datenschutzkoordination, Prozesseigner und technische Rollen besetzt?
- Wurde die Benennungspflicht einer oder eines Datenschutzbeauftragten dokumentiert geprüft?
- Sind Stellung, Ressourcen, unmittelbarer Berichtsweg und Interessenkonflikte der DSB-Rolle bewertet?
- Sind Stellvertretungen und Ausfallwege festgelegt und erreichbar?
- Sind RACI, Befugnisse und Eskalationswege organisationsbezogen angepasst?
- Sind Rolleninhaber geschult und mit erforderlichen Informationen und Zugängen ausgestattet?
- Werden personenbezogene Rollen- und Kontaktdaten geschützt geführt?
- Sind Review, Freigabe, Bekanntgabe und Wirksamkeitsprüfung nachgewiesen?
- Wurden datenschutzrechtliche Außenrolle und interne Funktionsrolle je Verarbeitung getrennt bewertet?
- Sind Kompetenz, Kapazität, Zugänge und tatsächliche Aufgabenwahrnehmung stichprobenartig geprüft?
Ein ausgefülltes Rollenregister belegt allein noch keine wirksame Aufgabenwahrnehmung. Verbindlichkeit entsteht erst durch fachliche Prüfung, formale Zuordnung, ausreichende Ressourcen, Kommunikation und tatsächliche Umsetzung.
¶ 28. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.2 | 09.08.2026 | Datenschutzrechtliche und interne Rollen abgegrenzt, Rollenklärungsablauf, DSB-Interessenkonflikte, RACI-Anwendung, interaktiven Rollenfinder, Entscheidungskompetenzen, Kapazitäts- und Wirksamkeitsprüfung sowie aktuelle interne und amtliche Links ergänzt; veralteten Planungshinweis entfernt | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Musterfassung mit Governance-Ebenen, Geschäftsleitung, DSB-Stellung, Datenschutzkoordination, Fach- und Technikrollen, RACI, Rollenregister, Eskalation, SEO-Beschreibung, SVG sowie amtlichen und SMCT-Links | Datenschutzkoordination / Musterrolle | Ausstehend | – |