SITTIG LAW

+49 40 808 125 550
SITTIG LAW Kanzlei Blog

Wer ist für die Einhaltung des Datenschutzes im Unternehmen verantwortlich?

Wer trägt die Verantwortung für den Datenschutz in Ihrem Unternehmen? Die klare Antwort der DSGVO: Das Unternehmen selbst, vertreten durch die Geschäftsführung oder den Inhaber. Ein Datenschutzbeauftragter (DSB) ist eine wichtige Kontrollinstanz, kann die Gesamtverantwortung jedoch nicht übernehmen. Unterschätzen Sie dieses Rechenschaftsprinzip nicht, denn Verstöße können erhebliche Bußgelder und strafrechtliche Konsequenzen nach sich ziehen. Sorgen Sie für klare interne Strukturen und schulen Sie Ihre Mitarbeiter.
Weiter lesen
Weiter lesen
Jetzt Kontakt aufnehmen
Inhaltsverzeichnis

Das Wichtigste im Überblick

  • Der Verantwortliche im Sinne der DSGVO ist das Unternehmen selbst – also die juristische oder natürliche Person, die über Zwecke und Mittel der Datenverarbeitung entscheidet. Bei Einzelunternehmen ist das der Inhaber persönlich, bei juristischen Personen das Vertretungsorgan.
  • Die Pflicht zur Benennung eines Datenschutzbeauftragten (DSB) hängt von Unternehmensgröße und Verarbeitungsart ab – ab 20 Personen, die regelmäßig mit personenbezogenen Daten umgehen, ist ein DSB erforderlich.
  • Datenschutzverstöße können zu erheblichen Bußgeldern und strafrechtlichen Konsequenzen führen – die Verantwortung für die Einhaltung liegt nicht delegierbar beim Unternehmen und seinen Führungspersonen.

Datenschutz im Unternehmen: Eine Frage der Verantwortung

Datenschutz ist kein abstraktes Compliance-Thema. Er betrifft jedes Unternehmen, das personenbezogene Daten verarbeitet – und das tut heute nahezu jedes. Kundendaten, Mitarbeiterdaten, Bewerberdaten, Lieferanteninformationen: Überall entstehen Berührungspunkte mit der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).

Die entscheidende Frage, die sich viele Unternehmen stellen, lautet: Wer ist eigentlich verantwortlich? Ist es die Geschäftsführung? Die IT-Abteilung? Der Datenschutzbeauftragte? Oder alle zusammen?

Die Antwort ist rechtlich eindeutig – und gleichzeitig komplex in der praktischen Umsetzung. Je nach Unternehmensform unterscheiden sich die Verantwortlichen und welche konkreten Pflichten daraus folgen.

Rechtliche Grundlagen: Was die DSGVO und das BDSG regeln

Der „Verantwortliche“ nach Art. 4 Nr. 7 DSGVO

Das Herzstück der Verantwortungsfrage findet sich in Art. 4 Nr. 7 DSGVO. Danach ist „Verantwortlicher“ jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

Das Rechenschaftsprinzip nach Art. 5 Abs. 2 DSGVO

Das sogenannte Accountability-Prinzip verpflichtet den Verantwortlichen nicht nur zur Einhaltung der Datenschutzgrundsätze, sondern auch dazu, diese Einhaltung nachweisen zu können.

Verantwortung nach Unternehmensform: Wer haftet konkret?

Die rechtliche Verantwortung für Datenschutz ist nicht für alle Unternehmen identisch. Sie richtet sich maßgeblich nach der Unternehmensform – ein Aspekt, der in der Praxis oft unterschätzt wird.

Einzelunternehmen

Beim Einzelunternehmen ist der Inhaber selbst der Verantwortliche im Sinne der DSGVO. Es gibt keine Trennung zwischen der Person des Unternehmers und dem Unternehmen als Rechtsträger. Das bedeutet: Der Einzelunternehmer trägt die datenschutzrechtliche Verantwortung persönlich und unmittelbar – er kann sie weder auf Mitarbeiter noch auf Dritte vollständig übertragen.

Juristische Personen: GmbH, AG, UG

Bei juristischen Personen – also GmbH, AG, UG oder auch eingetragenen Vereinen – ist die Gesellschaft selbst der Verantwortliche. Da juristische Personen nicht handlungsfähig sind, wird die Verantwortung durch die Geschäftsführung bzw. den Vorstand wahrgenommen.

Bei der GmbH trägt die Geschäftsführung nach § 43 GmbHG die allgemeine Sorgfaltspflicht, die auch den Datenschutz umfasst. Die Geschäftsführer müssen sicherstellen, dass im Unternehmen datenschutzkonforme Strukturen vorhanden sind. Eine Delegation an Mitarbeiter oder einen Datenschutzbeauftragten entbindet sie nicht von dieser Gesamtverantwortung – sie bleibt im Außenverhältnis beim Unternehmen.

Personengesellschaften: OHG, KG, GbR, PartGG

Bei Personengesellschaften ist die Rechtslage differenzierter. Rechtsfähige Personengesellschaften wie die OHG oder die KG können selbst Verantwortliche im Sinne der DSGVO sein. Die persönlich haftenden Gesellschafter – bei der OHG alle Gesellschafter, bei der KG die Komplementäre – können dabei auch persönlich in der Verantwortung stehen.

Bei der GbR, die keine eigene Rechtspersönlichkeit besitzt, sind die Gesellschafter gemeinsam verantwortlich. Das kann in der Praxis bedeuten, dass alle Gesellschafter einer Gemeinschaftspraxis oder einer Anwaltssozietät in der GbR-Form gemeinsam für Datenschutzverstöße haften.

Für Partnerschaftsgesellschaften (PartGG), die häufig von Freiberuflern – Ärzten, Anwälten, Architekten – genutzt werden, gilt: Die Partnerschaft selbst ist rechtsfähig und damit verantwortlich; die Partner tragen intern die Sorgfaltspflichten.

Die Rolle des Datenschutzbeauftragten: Verantwortung ≠ Delegation

Ein weit verbreitetes Missverständnis lautet: „Wir haben einen Datenschutzbeauftragten, also ist er verantwortlich.“

Der Datenschutzbeauftragte (DSB) ist keine Verantwortungsstelle, sondern eine Kontroll- und Beratungsinstanz. Nach Art. 39 DSGVO sind seine Aufgaben: Unterrichtung und Beratung der Verantwortlichen, Überwachung der Einhaltung der DSGVO, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für betroffene Personen.

Die Verantwortung für die tatsächliche Einhaltung des Datenschutzes bleibt stets beim Unternehmen selbst – also bei Geschäftsführung bzw. Vorstand.

Wann ist ein DSB Pflicht?

Nach § 38 BDSG müssen nicht-öffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die Zahl bezieht sich nicht auf die Gesamtbelegschaft, sondern konkret auf den Personenkreis, der regelmäßig Daten verarbeitet.

Unabhängig von dieser Schwelle besteht die Pflicht zur Benennung eines DSB, wenn:

  • eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist
  • die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht, etwa im Gesundheitswesen.

Intern oder extern?

Der DSB kann sowohl intern aus dem Kreis der Mitarbeiter als auch extern bestellt werden. Ein externer DSB bietet häufig Vorteile: Er bringt aktuelle Fachkenntnisse mit, unterliegt keinen internen Interessenkonflikten und ist unabhängiger in seiner Kontrollrolle.

Wir übernehmen für Unternehmen unter anderem die Funktion des externen Datenschutzbeauftragten – eine pragmatische Lösung gerade für mittelständische Unternehmen, die intern nicht die Kapazitäten für diese Aufgabe vorhalten können oder wollen.

Praktische Tipps für Unternehmen

Tipp 1: Verantwortlichkeit intern klar zuordnen: Auch wenn die rechtliche Verantwortung beim Unternehmen liegt, braucht es intern einen „Datenschutz-Owner“ – eine konkrete Person oder Stelle, die Datenschutzprozesse koordiniert und den Überblick behält.

Tipp 2: Verarbeitungsverzeichnis führen: Art. 30 DSGVO verpflichtet Verantwortliche zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten.

Tipp 3: Auftragsverarbeitungsverträge systematisch abschließen: Wer personenbezogene Daten durch Dienstleister verarbeiten lässt, muss einen AVV nach Art. 28 DSGVO schließen. Ohne diesen Vertrag liegt ein Datenschutzverstoß vor, unabhängig davon, ob ein Schaden entsteht.

Tipp 4: Datenpannen kennen und melden: Art. 33 DSGVO verpflichtet zur Meldung von Datenpannen an die Aufsichtsbehörde innerhalb von 72 Stunden. Viele Unternehmen sind sich nicht sicher, was eine meldepflichtige Datenpanne überhaupt ist. Eine interne Richtlinie und klare Eskalationswege helfen, im Ernstfall richtig zu reagieren.

Tipp 5: Mitarbeiter schulen: Der häufigste Ausgangspunkt für Datenpannen ist menschliches Versagen. Regelmäßige Schulungen der Mitarbeiter – besonders in datensensitiven Bereichen wie HR, Vertrieb oder IT – sind kein Nice-to-have, sondern Teil der Rechenschaftspflicht.

Sie fragen sich, ob Ihr Unternehmen alle datenschutzrechtlichen Anforderungen erfüllt? Wir beraten Unternehmen bundesweit in allen Fragen des Datenschutzrechts – von der ersten Bestandsaufnahme bis zur laufenden Begleitung als externer Datenschutzbeauftragter. Nehmen Sie Kontakt auf.

Checkliste: Datenschutz-Verantwortung im Unternehmen

  • ☐ Verantwortlichen identifiziert: Ist klar, wer im Unternehmen (Inhaber, Geschäftsführung, Vorstand) rechtlich verantwortlich ist?
  • ☐ DSB-Pflicht geprüft: Haben mehr als 20 Personen regelmäßig Zugang zu personenbezogenen Daten? Wenn ja, ist ein DSB bestellt?
  • ☐ Verarbeitungsverzeichnis geführt: Existiert ein aktuelles Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 DSGVO?
  • ☐ AVV mit allen Dienstleistern geschlossen: Wurden mit allen externen Auftragsverarbeitern (Cloud, IT, Lohnabrechnung etc.) Verträge nach Art. 28 DSGVO abgeschlossen?
  • ☐ Technisch-organisatorische Maßnahmen dokumentiert: Sind die TOMs nach Art. 32 DSGVO schriftlich festgelegt und aktuell?
  • ☐ Datenpannen-Prozess etabliert: Gibt es eine interne Meldekette für Datenpannen mit klaren Zuständigkeiten?
  • ☐ Mitarbeiter geschult: Werden Mitarbeiter regelmäßig zum Thema Datenschutz sensibilisiert?
  • ☐ Datenschutzhinweise aktuell: Sind die Datenschutzerklärungen auf der Website und in Verträgen aktuell und vollständig?
  • ☐ Datenschutz-Folgenabschätzung: Wurden neue, risikoreiche Verarbeitungen vorab einer DSFA nach Art. 35 DSGVO unterzogen?

Handlungsempfehlung

Die Frage, wer für die Einhaltung des Datenschutzes im Unternehmen verantwortlich ist, hat eine klare rechtliche Antwort: das Unternehmen selbst – in der Person seiner Vertretungsorgane, bei Einzelunternehmen der Inhaber persönlich. Je nach Rechtsform ergeben sich dabei unterschiedliche Haftungsszenarien, die in der Praxis sehr konkrete Konsequenzen haben können.

Ein Datenschutzbeauftragter – intern oder extern – ist ein wichtiges Instrument der Compliance, ersetzt aber nicht die unternehmerische Gesamtverantwortung. Wer diese Verantwortung ernst nimmt, schützt nicht nur die personenbezogenen Daten seiner Kunden und Mitarbeiter, sondern auch das Unternehmen selbst vor erheblichen Bußgeldern und – in schwerwiegenden Fällen – strafrechtlichen Konsequenzen.

Wenn Sie Fragen zur Datenschutz-Verantwortung in Ihrem Unternehmen haben oder rechtliche Unterstützung bei der Umsetzung benötigen, stehen wir Ihnen gern zur Verfügung – telefonisch, per Video oder persönlich.

Häufig gestellte Fragen
Nein. Der Datenschutzbeauftragte hat eine beratende und kontrollierende Funktion. Die rechtliche Verantwortung für die Einhaltung der DSGVO verbleibt stets beim Unternehmen, also bei der Geschäftsführung. Eine Delegation im rechtlichen Sinne ist nicht möglich.
In der Regel nicht. Der DSB haftet nur dann persönlich, wenn er selbst gegen seine Pflichten verstoßen hat – etwa durch falsche Beratung oder Unterlassen gebotener Maßnahmen. Die primäre Haftung liegt beim Unternehmen.
Nach § 38 BDSG ab 20 Personen, die regelmäßig automatisiert personenbezogene Daten verarbeiten. Zusätzlich gibt es anlassbezogene Pflichten, etwa bei der Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheitsdaten, biometrische Daten etc.).
Ja. Die DSGVO gilt für jede natürliche oder juristische Person, die personenbezogene Daten verarbeitet – unabhängig von der Unternehmensgröße. Kleinunternehmer und Einzelunternehmer sind in gleichem Maße betroffen wie Großkonzerne.
Das Unterlassen der Bestellung stellt einen eigenständigen Datenschutzverstoß dar und kann mit Bußgeldern sanktioniert werden.
Mindestens: Verarbeitungsverzeichnis, technisch-organisatorische Maßnahmen, Auftragsverarbeitungsverträge, Einwilligungsnachweise sowie ggf. Datenschutz-Folgenabschätzungen.
Ja. § 42 BDSG stellt besonders schwere Datenschutzverstöße unter Strafe – etwa die unbefugte Übermittlung personenbezogener Daten gegen Entgelt oder in Bereicherungsabsicht. In solchen Fällen empfiehlt sich frühzeitig rechtlicher Beistand.
Intern muss sofort eine Bewertung erfolgen, ob eine meldepflichtige Datenpanne vorliegt. Wenn ja, muss die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informiert werden. Sind betroffene Personen in ihrer Freiheit oder in ihren Rechten erheblich gefährdet, ist auch eine Benachrichtigung der Betroffenen erforderlich. Frühzeitige rechtliche Beratung hilft, den Schaden zu begrenzen.

Weitere Beiträge

SITTIG LAW
Standort Hamburg
Hauptsitz
Martinistraße 11
20251 Hamburg
Tel.: +49 (0) 40 808 125 550
Fax: +49 (0) 40 808 125 559​
Standort Kassel
Zweigstelle
Motzstraße 1
34117 Kassel
Tel.: +49 (0) 561 510 053 80
Fax: +49 (0) 561 510 053 99
Standort Frankfurt
Zweigstelle
Oeder Weg 11
60318 Frankfurt am Main
Tel.: +49 (0) 69 710 471 070
Fax: +49 (0) 69 710 471 079
Kanzlei
Strafverteidigung
Weitere Kompetenzen
SITTIG LAW
Rechtsanwalt.
Fachanwalt für Strafrecht.
Fachanwalt für IT-Recht.

[email protected]​
Standort Hamburg
Hauptsitz
Martinistr. 11
20251 Hamburg
Tel.: +49 (0) 40 808 125 550
Fax: +49 (0) 40 808 125 559​

Kontaktformular