Datenschutzbeauftragter wechseln – So gelingt der reibungslose Übergang

Inhalt in Kürze

• Ein DSB-Wechsel ist kein Kündigungsschreiben, sondern ein Projekt mit rechtlichen, organisatorischen und technischen Schritten.
• Bestellung und Dienstvertrag müssen getrennt beendet werden. Sonst bleibt der alte DSB formal im Amt.
• Die Aufsichtsbehörde muss informiert werden – Art. 37 Abs. 7 DSGVO schreibt die Meldung vor. Bei Versäumnis drohen Bußgelder bis 10 Mio. Euro.
• Die Übergabe entscheidet über die Qualität des neuen Datenschutzes. Zwei bis vier Wochen Überlappung sind Pflicht.
• Mit der richtigen Planung dauert der gesamte Wechsel acht bis zwölf Wochen.

---

Der bisherige Datenschutzbeauftragte antwortet seit Wochen nicht. Oder die letzte Prüfung hat ergeben, dass die Dokumentation Lücken hat. Vielleicht stimmt auch einfach die Chemie nicht mehr. Die Gründe für einen DSB-Wechsel sind vielfältig – der Ablauf ist immer derselbe.

Viele Unternehmen scheuen den Schritt, weil sie Wissensverlust und Behördenärger fürchten. Zu Recht: Ein schlecht geplanter Wechsel kann genau das verursachen. Aber ein gut geplanter Wechsel verbessert Ihren Datenschutz deutlich.

Dieser Artikel zeigt, wie Sie Ihren Datenschutzbeauftragten wechseln – rechtssicher, strukturiert und ohne Lücke im Datenschutz.

Wann ist der richtige Zeitpunkt, den Datenschutzbeauftragten zu wechseln?

Nicht jeder Anlass erfordert gleich einen Wechsel. Aber bestimmte Warnsignale sollten Sie ernst nehmen:

• Erreichbarkeit: Der DSB reagiert nicht innerhalb von 48 Stunden auf Anfragen.
• Veraltete Dokumentation: Verarbeitungsverzeichnis, TOMs oder AVVs sind älter als zwölf Monate.
• Fehlende Schulungen: Mitarbeitende wurden im letzten Jahr nicht geschult.
• Keine proaktive Beratung: Sie hören vom DSB nur, wenn Sie selbst anrufen.
• Unzureichende Fachkunde: Der DSB kennt sich mit branchenspezifischen Anforderungen nicht aus.

Treffen zwei oder mehr Punkte zu, ist ein Wechsel sinnvoll.

Die rechtliche Seite: Kündigung, Abberufung und Kündigungsfristen

Beim Wechsel des Datenschutzbeauftragten müssen Sie zwei Dinge trennen:

1. Die datenschutzrechtliche Bestellung (nach Art. 37 DSGVO und § 38 BDSG)
2. Den zivilrechtlichen Dienstvertrag (privatrechtliche Vereinbarung)

Die Bestellung endet nicht automatisch mit der Vertragskündigung. Beides muss separat und schriftlich erfolgen. Sonst bleibt der alte DSB formal bestellt – obwohl er nicht mehr arbeitet.

Externe Datenschutzbeauftragte

Bei einem externen Datenschutzbeauftragten richten sich die Kündigungsfristen nach dem Dienstvertrag. Üblich sind ein bis drei Monate zum Monats- oder Quartalsende. Der besondere Kündigungsschutz nach § 6 Abs. 4 BDSG greift bei externen DSBs in der Regel nicht – die Abberufung ist auch ohne wichtigen Grund möglich.

Interne Datenschutzbeauftragte

Bei internen DSBs gilt ein starker Kündigungsschutz. Eine Abberufung ist nach Art. 38 Abs. 3 DSGVO nur aus wichtigem Grund möglich. Das Arbeitsverhältnis bleibt davon unberührt. Ein Wechsel auf einen externen DSB erfordert sorgfältige arbeitsrechtliche Begleitung.

DSB-Wechsel in 6 Schritten

Schritt 1: Vertrag und Bestellung prüfen

Lesen Sie den bestehenden Dienstvertrag. Notieren Sie Kündigungsfrist, Laufzeit und Regelungen zur Herausgabe von Unterlagen. Prüfen Sie, ob die Bestellung schriftlich dokumentiert ist.

Schritt 2: Kündigung und Abberufung aussprechen

Kündigen Sie den Dienstvertrag schriftlich und widerrufen Sie gleichzeitig die datenschutzrechtliche Bestellung. Beides muss dokumentiert und dem bisherigen DSB nachweisbar zugehen.

Schritt 3: Neuen Datenschutzbeauftragten auswählen

Suchen Sie den neuen DSB, bevor die Kündigungsfrist abläuft. Achten Sie auf Fachkunde nach Art. 37 Abs. 5 DSGVO, Branchenerfahrung und Erreichbarkeit. Unser Datenschutz-Check zeigt Ihnen, wo Ihr Unternehmen steht.

Schritt 4: Übergabe durchführen

Planen Sie eine Überlappungsphase von zwei bis vier Wochen. In dieser Zeit übergibt der alte DSB alle Unterlagen und briefed den Nachfolger. Idealerweise findet mindestens ein gemeinsamer Termin statt.

Schritt 5: Aufsichtsbehörde informieren

Art. 37 Abs. 7 DSGVO verpflichtet Sie, die Kontaktdaten des neuen DSB der zuständigen Aufsichtsbehörde mitzuteilen. Die meisten Landesdatenschutzbehörden bieten dafür ein Online-Portal an. Melden Sie dort auch die Abmeldung des bisherigen DSB.

Schritt 6: Dokumentation und Kommunikation aktualisieren

Aktualisieren Sie alle Dokumente, in denen der DSB genannt wird: Datenschutzerklärung, Verarbeitungsverzeichnis, interne Richtlinien, Impressum und Aushänge. Informieren Sie Mitarbeitende über den neuen Ansprechpartner.

Checkliste: Übergabe-Dokumente beim DSB-Wechsel

Diese Unterlagen muss der bisherige DSB herausgeben bzw. der neue DSB erhalten:

• Verarbeitungsverzeichnis (Art. 30 DSGVO) – aktueller Stand
• Technisch-organisatorische Maßnahmen (TOMs) – dokumentiert nach Art. 32 DSGVO
• Auftragsverarbeitungsverträge (AVVs) – vollständige Sammlung aller Dienstleister
• Datenschutz-Folgenabschätzungen (DSFAs) – sofern durchgeführt
• Schulungsnachweise – wer wurde wann geschult
• Datenpannen-Dokumentation – gemeldete und nicht gemeldete Vorfälle
• Betroffenenanfragen – offene und abgeschlossene Vorgänge
• Löschkonzept – mit Aufbewahrungsfristen
• Korrespondenz mit Aufsichtsbehörden – sämtlicher Schriftverkehr
• Datenschutzerklärungen – Website, Bewerber, Mitarbeitende
• Einwilligungserklärungen – Vorlagen und Nachweise
• Ergebnisse bisheriger Audits oder Prüfungen

Fordern Sie alle Unterlagen schriftlich an und setzen Sie eine Frist von 14 Tagen. Der Dienstvertrag regelt in der Regel, dass die Dokumentation im Eigentum des Unternehmens verbleibt.

Was passiert, wenn die Übergabe nicht klappt?

“Fünf Tage vor der TÜV-Rezertifizierung ISO 9001 kam die E-Mail: Können Sie uns helfen? Zum Glück lag das Wochenende dazwischen. Der Auditor war am Ende begeistert.”

— Nils, frag.hugo

Nicht jeder Wechsel verläuft geordnet. Wenn der bisherige DSB keine Unterlagen herausgibt oder die Dokumentation unvollständig ist, wird es eng. Aber auch das lässt sich lösen:

Dokumentation fehlt komplett? Dann erstellt der neue DSB eine Bestandsaufnahme von Grund auf. Das ist aufwendiger, liefert aber oft ein besseres Ergebnis als veraltete Altdokumente.

Unterlagen werden zurückgehalten? Die Herausgabepflicht ergibt sich aus dem Dienstvertrag. Im Zweifel hilft eine anwaltliche Aufforderung.

Kein Übergabetermin möglich? Der neue DSB kann auch ohne persönliche Übergabe starten – vorausgesetzt, die Kernunterlagen liegen vor.

Meldung an die Aufsichtsbehörde: So funktioniert es

Die Meldepflicht nach Art. 37 Abs. 7 DSGVO wird oft vergessen. Das kann teuer werden: Bis zu 10 Millionen Euro Bußgeld oder 2 % des weltweiten Jahresumsatzes drohen bei Verstößen.

So melden Sie den Wechsel:

1. Rufen Sie das DSB-Meldeportal Ihrer Landesdatenschutzbehörde auf.
2. Tragen Sie die Kontaktdaten des neuen DSB ein.
3. Bestätigen Sie die Abmeldung des bisherigen DSB.
4. Laden Sie die Bestätigung als Nachweis herunter.

Die Meldung dauert fünf Minuten. Vergessen Sie sie nicht.

Externer vs. interner DSB: Was spricht für den Wechsel auf extern?

Viele Unternehmen nutzen den DSB-Wechsel, um von einem internen auf einen externen Datenschutzbeauftragten umzusteigen. Die Vorteile:

Kriterium	Interner DSB	Externer DSB
Kosten	Gehalt + Fortbildung + Freistellung	Fester Monatsbetrag
Fachkunde	Muss kontinuierlich aufgebaut werden	Bereits vorhanden
Haftung	Unternehmen haftet	DSB-Dienstleister haftet mit
Kündigungsschutz	Stark geschützt (§ 6 Abs. 4 BDSG)	Vertraglich geregelt
Unabhängigkeit	Interessenkonflikte möglich	Strukturell unabhängig

Einen ausführlichen Vergleich finden Sie in unserem Artikel Externer vs. interner Datenschutzbeauftragter. Wie die Bestellung konkret abläuft, beschreibt der Beitrag Datenschutzbeauftragter bestellen – Ablauf und Checkliste.

Typische Fehler beim DSB-Wechsel

1. Nur den Vertrag kündigen, nicht die Bestellung widerrufen. Der alte DSB bleibt formal im Amt.
2. Keine Überlappungsphase einplanen. Es entsteht eine Lücke ohne zuständigen DSB.
3. Aufsichtsbehörde nicht informieren. Verstoß gegen Art. 37 Abs. 7 DSGVO.
4. Unterlagen nicht einfordern. Wissen geht verloren, der neue DSB startet bei null.
5. Datenschutzerklärung nicht aktualisieren. Der falsche DSB steht weiterhin auf der Website.

Fazit und Takeaway

Ein DSB-Wechsel ist kein Risiko, sondern eine Chance. Richtig geplant, verbessert er Ihren Datenschutz und gibt Ihnen die Sicherheit, dass jemand wirklich hinschaut.

DSB-Wechsel in Hamburg: Meldung an die HmbBfDI

Beim DSB-Wechsel in Hamburg müssen Sie die Abmeldung des alten und die Neumeldung des neuen Datenschutzbeauftragten bei der HmbBfDI vornehmen. Das funktioniert über das Online-Formular der Behörde. Erfahrungsgemäß dauert die Bestätigung wenige Werktage. Wichtig: Lassen Sie keine Lücke entstehen — die Hamburger Aufsichtsbehörde dokumentiert den Zeitraum ohne benannten DSB, und das kann bei einer späteren Prüfung unangenehm werden. Wenn Sie den Wechsel reibungslos gestalten wollen, übernehmen wir als externer DSB in Hamburg auch die komplette Übergabe mit dem bisherigen Beauftragten.

Häufige Fragen (FAQ)

Welche Kündigungsfrist gilt beim Wechsel des Datenschutzbeauftragten?

Bei einem externen DSB gilt die vertraglich vereinbarte Kündigungsfrist. Bei einem internen DSB greift der besondere Kündigungsschutz nach § 6 Abs. 4 BDSG: Die Abberufung ist nur aus wichtigem Grund möglich, und der Kündigungsschutz wirkt ein Jahr nach.

Muss ich den DSB-Wechsel der Aufsichtsbehörde melden?

Ja. Nach Art. 37 Abs. 7 DSGVO müssen Sie die Kontaktdaten des neuen Datenschutzbeauftragten der zuständigen Aufsichtsbehörde mitteilen. Die Meldung erfolgt in der Regel online über das Portal der jeweiligen Landesbehörde.

Welche Unterlagen muss der alte DSB übergeben?

Verarbeitungsverzeichnis, TOM-Dokumentation, Datenschutz-Folgenabschätzungen, AVV-Übersicht, Datenschutzerklärungen, Schulungsnachweise und das Löschkonzept. Erstellen Sie eine vollständige Übergabe-Checkliste.

Kann ich von einem internen auf einen externen DSB wechseln?

Ja, das ist möglich und für KMU oft sinnvoll. Ein externer DSB bringt breitere Erfahrung mit und ist nicht in Interessenkonflikte verwickelt. Beachten Sie aber den nachwirkenden Kündigungsschutz des bisherigen internen DSB.

Was passiert, wenn zwischen altem und neuem DSB eine Lücke entsteht?

Ohne bestellten DSB verstoßen Sie gegen die Benennungspflicht nach Art. 37 DSGVO. Planen Sie den Übergang deshalb überlappend, sodass der neue DSB startet, bevor der alte aufhört.