Interner oder externer Datenschutzbeauftragter? Der Vergleich

Die DSGVO lässt offen, ob die Aufgabe von einer beschäftigten Person oder von außen wahrgenommen wird. Beides ist ausdrücklich zulässig (Art. 37 Abs. 6). Die Entscheidung hat aber Folgen, die über die Kosten hinausgehen. Dieser Vergleich ordnet die wesentlichen Kriterien ein.

Fachkunde ist keine Formsache

Die benannte Person muss über die erforderliche Fachkunde verfügen, juristisch wie technisch, und im Umfang passend zur Komplexität der Verarbeitungen. Bei einem Handwerksbetrieb bedeutet das etwas anderes als bei einem Klinikverbund.

Fachkunde ist außerdem nichts Einmaliges. Rechtsprechung, Behördenpraxis und Technik ändern sich laufend. Wer intern benennt, muss den Aufbau und die dauerhafte Pflege dieser Kenntnisse einplanen, inklusive Zeit für Fortbildung neben dem eigentlichen Job.

Der Interessenkonflikt ist die häufigste Stolperfalle

Die oder der Datenschutzbeauftragte darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Wer über Zwecke und Mittel der Verarbeitung mitentscheidet, kann sich nicht selbst kontrollieren.

Damit scheiden in der Praxis genau die Personen aus, die zuerst vorgeschlagen werden: Geschäftsführung, IT-Leitung, Personalleitung, Vertriebsleitung. Übrig bleiben häufig Personen ohne die nötige Nähe zu den Verarbeitungen oder ohne Standing, um Beanstandungen durchzusetzen.

Der besondere Schutz vor Abberufung und Kündigung

Eine intern benannte Person darf wegen der Erfüllung ihrer Aufgaben nicht abberufen oder benachteiligt werden. Nach § 6 Abs. 4 BDSG ist die Abberufung zudem nur in entsprechender Anwendung des § 626 BGB möglich, und die Kündigung des Arbeitsverhältnisses ist grundsätzlich unzulässig. Dieser Schutz wirkt noch ein Jahr nach dem Ende der Benennung fort.

Das ist gesetzgeberisch gewollt und schützt die Unabhängigkeit. Für die Organisation bedeutet es aber eine dauerhafte Bindung, die bei der Benennung häufig unterschätzt wird.

Vertretung, Verfügbarkeit, Kosten

Datenschutz macht keine Urlaubspause. Eine Datenpanne am Freitagnachmittag löst eine 72-Stunden-Frist aus, unabhängig davon, ob die benannte Person erreichbar ist. Intern braucht es dafür eine Vertretung mit gleicher Fachkunde, was den Aufwand faktisch verdoppelt.

Die externe Bestellung erfolgt im Rahmen eines Dienstvertrages. Sie ist regulär beendbar, bringt Fachkunde und Werkzeuge sofort mit und verteilt die Verfügbarkeit auf ein Team. Aus diesen Gründen ist sie für viele kleine und mittlere Organisationen die kostengünstigere und zugleich sicherere Alternative.

Wann die interne Lösung sinnvoll bleibt

In größeren Organisationen mit eigener Rechts- und Compliance-Abteilung, vielen Verarbeitungen und hoher Änderungsfrequenz kann eine interne Benennung sinnvoll sein, dann aber als echte Stelle mit ausreichend Zeitbudget, klarer Unterstellung direkt unter die Leitung und geregelter Vertretung.

Häufig anzutreffen ist auch die Mischform: intern benannt, extern fachlich begleitet. Auch das ist zulässig und in der Praxis oft der pragmatischste Weg.

Fazit

Die Entscheidung sollte nicht am Monatsbeitrag hängen, sondern an drei Fragen: Haben wir jemanden mit belastbarer Fachkunde? Ist diese Person frei von Interessenkonflikten? Und können wir Verfügbarkeit und Vertretung dauerhaft sicherstellen? Wer eine davon mit Nein beantwortet, fährt extern besser.