Datenschutzbeauftragter: Aufgaben 2026 und wer was erledigt

Inhalt in Kürze

• Art. 39 DSGVO nennt fünf Mindestaufgaben des Datenschutzbeauftragten: beraten, überwachen, bei der Datenschutz-Folgenabschätzung beraten, mit der Aufsichtsbehörde zusammenarbeiten und ihr Ansprechpartner sein.
• Die Verantwortung bleibt beim Unternehmen. Verarbeitungsverzeichnis, Verträge mit Dienstleistern und die Meldung von Datenpannen sind Pflichten der Geschäftsführung, auch wenn der DSB dabei hilft.
• Der DSB entscheidet nicht über Verarbeitungen. Das verbietet ihm der EuGH ausdrücklich (C-453/21).
• Die Tipparbeit kann heute ein KI-Assistent übernehmen. Sie sagen Claude oder ChatGPT, was zu tun ist, frag.hugo trägt es ein, und Ihr Datenschutzbeauftragter prüft das Ergebnis.

Sie haben einen Datenschutzbeauftragten benannt. Trotzdem liegen das Verarbeitungsverzeichnis halb leer und die Liste der Dienstleister in einer alten Excel-Datei. Das ist kein Versäumnis des DSB. Die Aufgaben eines Datenschutzbeauftragten sind im Gesetz enger gefasst, als viele Geschäftsführer annehmen.

Dieser Beitrag ordnet die Arbeit in drei Spalten: was der DSB macht, was bei Ihnen bleibt und was Ihnen ein KI-Assistent abnehmen kann.

Datenschutzbeauftragter: Aufgaben nach Art. 39 DSGVO

Art. 39 Abs. 1 DSGVO beginnt mit dem Satz „Dem Datenschutzbeauftragten obliegen zumindest folgende Aufgaben“. Es folgen fünf Punkte:

Dazu kommt Abs. 2: Der DSB richtet seine Arbeit nach dem Risiko der Verarbeitungen aus. Eine Lohnabrechnung mit Gesundheitsdaten verdient mehr Aufmerksamkeit als die Besucherliste am Empfang.

Art. 38 DSGVO regelt seine Stellung. Sie müssen ihn rechtzeitig einbinden und ihm die nötigen Mittel geben. Er ist weisungsfrei, berichtet direkt an die höchste Managementebene und darf wegen seiner Aufgaben nicht benachteiligt werden. Beschäftigte, Kunden und Bewerber können sich direkt an ihn wenden.

Was bei Ihnen bleibt

Hier entsteht das häufigste Missverständnis. Die DSGVO legt die Verantwortung beim Unternehmen ab (Art. 24). Diese Pflichten erledigt der Datenschutzbeauftragte nicht für Sie, er berät Sie dabei:

• Verarbeitungsverzeichnis führen. Art. 30 verpflichtet den Verantwortlichen. Wie das aussieht, zeigt unsere Anleitung zum Verarbeitungsverzeichnis.
• Verträge mit Dienstleistern abschließen. Den Auftragsverarbeitungsvertrag unterschreibt die Geschäftsführung.
• Technische und organisatorische Maßnahmen umsetzen. Der DSB bewertet sie, einrichten muss sie Ihre IT.
• Datenpannen melden. Die 72-Stunden-Frist aus Art. 33 läuft für das Unternehmen.
• Kontaktdaten des DSB veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7).

Der Grund für diese Trennung steht in einem Urteil des Europäischen Gerichtshofs. Im Verfahren X-FAB Dresden entschied er am 9. Februar 2023, dass ein DSB keine Aufgaben wahrnehmen darf, bei denen er Zwecke und Mittel einer Verarbeitung festlegt (Urteil C-453/21). Wer prüft, darf das Geprüfte nicht selbst gebaut haben. Deshalb scheiden Geschäftsführer und IT-Leiter meist aus. Welche Lösung dann passt, vergleicht unser Beitrag externer oder interner Datenschutzbeauftragter.

Aus der Praxis

Bei unseren Mandanten scheitert Datenschutz selten am Wissen. Es scheitert an den Abenden, an denen jemand 40 Programme, 15 Dienstleister und die Mitarbeiterliste in Formulare abtippen soll. Genau diese Arbeit liegt laut Gesetz beim Unternehmen.

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Was Ihr KI-Assistent heute übernimmt

Bei frag.hugo können Sie Ihr Claude, ChatGPT oder Microsoft Copilot mit der Plattform verbinden. Der Assistent darf dann eintragen, was Sie in der App selbst eintragen dürfen. Er arbeitet mit Ihren Rechten, nicht mit mehr. So läuft das ab:

1. Erzählen: „Hier ist unsere Software-Liste. Trag alle Dienstleister ein und sag mir, wo der Vertrag fehlt.“ Sie können auch sprechen statt tippen, die Apps von Claude und ChatGPT haben eine Spracheingabe.
2. frag.hugo trägt ein: Verarbeitungen ins Verzeichnis, Dienstleister, TOMs aus Vorlagen, Mitarbeitende aus Ihrer Liste. Bevor eine Mail an Menschen rausgeht, etwa eine Schulungseinladung, zeigt der Assistent eine Vorschau und wartet auf Ihr Ja.
3. Ihr Datenschutzbeauftragter prüft: Was Sie zur Prüfung einreichen, landet bei ihm wie bisher. Seinen Kommentar kann der Assistent lesen und gleich umsetzen.

Jede Änderung steht in einem Protokoll in der App. Sie können sie dort oder im Gespräch 90 Tage lang rückgängig machen.

Die Aufgaben nach Art. 39 bleiben dabei bei einem Menschen. Der Assistent berät nicht, prüft nicht und spricht nicht mit der Aufsichtsbehörde. Er erledigt die Tipparbeit aus der zweiten Spalte, damit Ihr DSB etwas Vollständiges zu prüfen hat.

Fazit: Ihr nächster Schritt

Prüfen Sie zuerst, ob Sie überhaupt einen DSB benennen müssen. Unser Beitrag Datenschutzbeauftragter: ab wann Pflicht erklärt die Schwellen. Danach lohnt der Blick auf die Arbeitsteilung: Was soll der DSB übernehmen, und was erledigt Ihr Team mit Unterstützung?

Bei frag.hugo bekommen Sie beides zusammen. Ein externer Datenschutzbeauftragter aus Hamburg übernimmt die Aufgaben aus Art. 39, und die Datenschutz-Plattform Hugo DSB hält Verzeichnis, Verträge und Schulungen an einem Ort. Was das kostet, steht in unserem Überblick zu den Kosten eines externen Datenschutzbeauftragten.

Häufige Fragen (FAQ)

Welche Aufgaben hat ein Datenschutzbeauftragter?

Art. 39 DSGVO nennt fünf Mindestaufgaben: das Unternehmen und die Beschäftigten beraten, die Einhaltung des Datenschutzes überwachen (einschließlich Schulung und Überprüfungen), bei der Datenschutz-Folgenabschätzung beraten, mit der Aufsichtsbehörde zusammenarbeiten und ihr Ansprechpartner sein.

Muss der Datenschutzbeauftragte das Verarbeitungsverzeichnis führen?

Nein. Das Verzeichnis von Verarbeitungstätigkeiten ist nach Art. 30 DSGVO Pflicht des Unternehmens. Der Datenschutzbeauftragte prüft es und berät dazu. Viele Unternehmen lassen den DSB trotzdem mitschreiben, rechtlich bleibt die Verantwortung bei der Geschäftsführung.

Haftet der Datenschutzbeauftragte für Datenschutzverstöße?

Für die Einhaltung der DSGVO ist nach Art. 24 DSGVO das Unternehmen verantwortlich. Bußgelder treffen das Unternehmen. Der DSB berät und überwacht, entscheidet aber nicht über die Verarbeitung und darf das nach der Rechtsprechung des EuGH auch nicht.

Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten?

Nach § 38 BDSG ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern, und bei geschäftsmäßiger Datenübermittlung oder Markt- und Meinungsforschung.

Kann ein KI-Assistent die Aufgaben des Datenschutzbeauftragten übernehmen?

Nein. Die Aufgaben aus Art. 39 DSGVO liegen bei einer benannten Person. Ein KI-Assistent wie Claude oder ChatGPT kann aber die Tipparbeit übernehmen, die beim Unternehmen liegt: Verarbeitungen, Dienstleister, Mitarbeitende und Schulungen eintragen. Der Datenschutzbeauftragte prüft danach, was eingetragen wurde.