Brauchen wir einen Datenschutzbeauftragten? Und warum extern oft besser passt

    Ja, wenn die Verarbeitung von Gesundheitsdaten oder anderen besonders geschützten Daten zum Kern Ihrer Arbeit gehört. Das gilt für Pflegedienste, Einrichtungen der Eingliederungshilfe, Beratungsstellen und Kliniken unabhängig von ihrer Größe. In Deutschland kommt eine zweite Schwelle hinzu: Ab 20 Personen, die ständig mit personenbezogenen Daten am Rechner arbeiten, ist ein Datenschutzbeauftragter Pflicht. Extern lohnt er sich, wenn in Ihrer Organisation niemand die Fachkunde hat, ohne sich dabei selbst zu kontrollieren.

    Wann die Pflicht greift

    Es gibt zwei Wege in die Pflicht, einen europäischen und einen deutschen.

    • Kerntätigkeit mit besonderen Daten (Art. 37 DSGVO)

      Wer als Kern seiner Arbeit in großem Umfang Gesundheitsdaten oder andere besonders geschützte Daten verarbeitet, braucht einen Datenschutzbeauftragten. Pflege, Betreuung, Beratung und Behandlung gehören dazu.

    • Systematische Überwachung (Art. 37 DSGVO)

      Wer Personen regelmäßig und systematisch in großem Umfang beobachtet, etwa über Ortung oder Verhaltensauswertung, ebenfalls.

    • Öffentliche Stellen (Art. 37 DSGVO)

      Behörden und öffentliche Stellen immer.

    • 20 Personen (§ 38 BDSG, nur Deutschland)

      In der Regel mindestens 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Unabhängig davon auch bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung brauchen.

    Die beiden Wege gelten unabhängig voneinander. Für Pflegedienste, Sozialträger und Kliniken folgt die Pflicht schon aus den Gesundheitsdaten, egal wie viele Personen am Rechner arbeiten.

    Was ein Datenschutzbeauftragter tut und was nicht

    Er tut:

    • die Leitung und die Beschäftigten beraten, bevor neue Software, ein neuer Ablauf oder ein KI-Werkzeug eingeführt wird
    • prüfen, ob die Regeln eingehalten werden, und darüber berichten
    • bei Datenschutz-Folgenabschätzungen beraten
    • Beschäftigte schulen und sensibilisieren
    • Anlaufstelle sein für Betroffene, die Auskunft wollen oder sich beschweren, und für die Aufsichtsbehörde

    Er tut nicht:

    • die Verantwortung übernehmen. Die liegt bei der Leitung der Organisation.
    • das Verzeichnis und die Verträge allein schreiben. Er berät und prüft, die Fachbereiche liefern.
    • Entscheidungen treffen, die der Geschäftsführung zustehen. Er sagt, was rechtlich geht; die Leitung entscheidet.

    Intern oder extern?

    Viele Organisationen benennen jemanden aus den eigenen Reihen, oft die IT-Leitung oder die Personalleitung. Das ist meist keine gute Wahl: Wer über die Systeme oder die Personaldaten entscheidet, kann sich nicht selbst kontrollieren. Der Europäische Gerichtshof hat dazu klargestellt, dass ein solcher Interessenkonflikt die Benennung angreifbar macht.

    • Intern

      Fachkunde

      muss erst aufgebaut werden, mit Fortbildung

      Interessenkonflikt

      häufig, wenn die Person auch IT, Personal oder Leitung verantwortet

      Arbeitszeit

      fehlt in der eigentlichen Aufgabe, oft mehr als geplant

      Kündigungsschutz

      besonderer Schutz während und ein Jahr nach der Tätigkeit

      Vertretung

      oft niemand

      Kenntnis der Organisation

      kennt Abläufe und Menschen

    • Extern

      Fachkunde

      ist vom ersten Tag an da

      Interessenkonflikt

      keiner

      Arbeitszeit

      fester Monatsbetrag

      Kündigungsschutz

      entfällt, Vertrag mit fester Laufzeit

      Vertretung

      im Team geregelt

      Kenntnis der Organisation

      muss sie sich erarbeiten, deshalb die Einrichtung am Anfang

    Ein interner Beauftragter kann gut funktionieren, wenn die Person Zeit, Fachkunde und keine Doppelrolle hat. In kleinen und mittelgroßen Organisationen ist das selten gleichzeitig der Fall.

    So läuft der Start mit einem externen Beauftragten

    1. Bestandsaufnahme: Welche Verarbeitungen gibt es, gibt es ein Verzeichnis, welche Verträge mit Dienstleistern, welche offenen Baustellen?
    2. Benennung: Die Leitung benennt den Beauftragten schriftlich, die Kontaktdaten werden veröffentlicht und der Aufsichtsbehörde gemeldet.
    3. Ansprechperson bei Ihnen: Eine Person, die Fragen sammelt und Änderungen meldet. Das spart Zeit auf beiden Seiten.
    4. Erste Prioritäten: Was zuerst geklärt werden muss, etwa fehlende Verträge oder ein veraltetes Verzeichnis.
    5. Laufender Betrieb: Beratung bei neuen Vorhaben, Anfragen von Betroffenen, Schulung, Bericht an die Leitung einmal im Jahr.

    In großen und regulierten Organisationen

    • Ein Beauftragter für den Verbund. Ein Verein mit mehreren gGmbHs darf einen gemeinsamen Datenschutzbeauftragten benennen, wenn er von allen Einrichtungen aus leicht erreichbar ist. Benannt wird er trotzdem von jedem Rechtsträger.
    • Kirchliche Träger. Katholische und evangelische Einrichtungen haben eigenes Datenschutzrecht mit eigenen Regeln zur Benennung. Die Aufgaben sind weitgehend gleich.
    • Krankenhäuser. Hier kommen Landesgesetze und die Anforderungen an die Informationssicherheit hinzu. Datenschutz und IT-Sicherheit müssen eng zusammenarbeiten, ohne dass eine Person beides kontrolliert.
    • Gremien. Vorstand und Aufsicht sollten den Jahresbericht des Datenschutzbeauftragten sehen. Er zeigt, wo die Organisation steht, ohne dass die Gremien in Einzelheiten gehen müssen.

    Wie Sie mit uns starten

    Wir übernehmen die Rolle als externer Datenschutzbeauftragter in unserer Linie Struktur & Compliance. Die Einrichtung kostet einmalig 1.900 €, danach 290 € im Monat bis 50 Beschäftigte und 490 € bis 250 Beschäftigte, darüber auf Anfrage. Die Laufzeit beträgt zwölf Monate. Fehlt noch ein Verzeichnis von Verarbeitungstätigkeiten oder ein Löschkonzept, erarbeiten wir beides im Modul Verarbeitungsverzeichnis und Löschkonzept zum Festpreis nach Größe.

    → Mehr zu Struktur & Compliance

    Häufige Fragen

    Vom Team der addonware GmbH, Bereich Struktur & Compliance. Stand: Oktober 2026.