Auf den Punkt: Ein Hamburger Unternehmen muss einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG) – unabhängig von der Mitarbeiterzahl außerdem dann, wenn umfangreiche Risikoverarbeitungen mit Datenschutz-Folgenabschätzung stattfinden. Gerade IT-Dienstleister erreichen die 20-Personen-Schwelle schnell, weil bei ihnen praktisch jeder am Rechner mit Daten arbeitet. Ein externer DSB übernimmt diese Pflicht ohne Festanstellung, ohne internen Interessenkonflikt und mit gebündelter Fachkompetenz.
Komplettservice
EDV & Telefonie aus einer Hand
Wer in Hamburg einen IT-Betrieb, ein Systemhaus oder eine Agentur führt, kommt am Thema Datenschutzbeauftragter kaum vorbei. Die Aufsichtsbehörde ist hier der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Dieser Beitrag klärt, ab wann die Pflicht greift, was die Aufgabe konkret umfasst und wie der Ablauf mit einem externen DSB in der Praxis funktioniert.
Wann ist ein Datenschutzbeauftragter Pflicht?
Die maßgebliche Norm ist § 38 Abs. 1 Bundesdatenschutzgesetz (BDSG). Danach muss ein nichtöffentliches Unternehmen einen Datenschutzbeauftragten benennen, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. Drei Punkte sind dabei wichtig:
- 20 Personen, nicht 20 Vollzeitstellen: Gezählt wird nach Köpfen, einschließlich Teilzeitkräften, Aushilfen, Werkstudenten und Geschäftsführung, sofern sie mit Datenverarbeitung befasst sind.
- „Ständig“ und „automatisiert“: Erfasst ist, wer regelmäßig am Rechner personenbezogene Daten verarbeitet – also in einem IT-Betrieb nahezu jeder.
- Unabhängig von der Personenzahl besteht die Pflicht außerdem, wenn das Unternehmen Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder personenbezogene Daten geschäftsmäßig zur Übermittlung verarbeitet.
Für IT-Dienstleister hat das eine praktische Konsequenz: Selbst ein kleineres Systemhaus überschreitet die 20-Personen-Marke oft schneller als gedacht, weil dort fast die gesamte Belegschaft am Bildschirm mit Kundendaten, Ticketsystemen und Monitoring-Tools arbeitet. Und wer als Auftragsverarbeiter umfangreiche Kundendaten betreut, gerät zusätzlich über die Risiko-Klausel in die Pflicht.
Was ist ein externer Datenschutzbeauftragter?
Ein Datenschutzbeauftragter überwacht im Unternehmen die Einhaltung der Datenschutzvorschriften und berät die Geschäftsführung. Diese Rolle kann intern (ein eigener Mitarbeiter) oder extern (ein beauftragter Dienstleister) besetzt werden. Beim externen DSB übernimmt eine fachlich qualifizierte Person oder Kanzlei die Funktion auf Basis eines Dienstleistungsvertrags.
Der Vorteil gegenüber der internen Lösung liegt auf der Hand: Es entstehen keine Lohnnebenkosten, kein Aufwand für Fortbildung und kein besonderer Kündigungsschutz, den ein interner DSB nach § 38 BDSG genießt. Gerade in IT-Betrieben vermeidet der externe DSB außerdem einen typischen Interessenkonflikt – wer selbst die Systeme administriert oder die Geschäftsführung innehat, darf seine eigene Arbeit nicht datenschutzrechtlich kontrollieren. Ein erfahrener externer Datenschutzbeauftragter Hamburg bringt zudem den Praxisblick aus vielen Mandaten mit, statt das Rad im eigenen Haus neu zu erfinden.
Welche Aufgaben hat der DSB?
Die Aufgaben sind in Art. 39 DSGVO abschließend benannt. Dazu gehören insbesondere:
- Unterrichtung und Beratung der Geschäftsführung und der Beschäftigten über ihre datenschutzrechtlichen Pflichten
- Überwachung der Einhaltung der DSGVO, des BDSG und der internen Datenschutzrichtlinien
- Sensibilisierung und Schulung der Mitarbeiter
- Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung
- Zusammenarbeit mit der Aufsichtsbehörde und Funktion als deren Anlaufstelle
Wichtig: Der DSB überwacht und berät – verantwortlich für die Einhaltung des Datenschutzes bleibt die Geschäftsführung. Der DSB nimmt der Leitung die Verantwortung nicht ab, sondern stellt sie kompetent auf eine belastbare Grundlage.
Der Ablauf für einen Hamburger IT-Betrieb
In der Praxis läuft die Zusammenarbeit mit einem externen DSB meist in klar abgegrenzten Schritten ab:
- Bestandsaufnahme: Der DSB erfasst, welche personenbezogenen Daten wie verarbeitet werden – Kundendaten, Mitarbeiterdaten, Ticketsysteme, Cloud-Dienste, Auftragsverarbeitungen.
- Verzeichnis der Verarbeitungstätigkeiten: Aufbau oder Überprüfung des Verzeichnisses nach Art. 30 DSGVO, das jeder pflichtige Betrieb führen muss.
- Verträge prüfen: Auftragsverarbeitungsverträge (AVV) mit Subdienstleistern und mit Kunden werden gesichtet und ergänzt.
- Maßnahmen ableiten: Technische und organisatorische Maßnahmen, Löschkonzepte, Mitarbeiterschulungen und der Umgang mit Betroffenenrechten.
- Benennung und Meldung: Der DSB wird offiziell benannt und der Aufsichtsbehörde gemeldet. Der HmbBfDI stellt dafür ein eigenes Online-Meldeformular bereit.
- Laufender Betrieb: Regelmäßige Audits, Ansprechpartner bei Datenpannen und Aktualisierung bei neuen Tools oder Prozessen.
Intern oder extern? Eine schnelle Gegenüberstellung
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Kosten | Gehalt + Fortbildung + Freistellung | planbare monatliche Pauschale |
| Fachwissen | muss laufend aufgebaut werden | aus vielen Mandaten vorhanden |
| Interessenkonflikt | bei IT-/Leitungsrollen problematisch | strukturell ausgeschlossen |
| Kündigungsschutz | besonderer Schutz nach § 38 BDSG | normales Vertragsverhältnis |
| Haftung/Vertretung | Urlaub/Krankheit als Lücke | durchgehende Erreichbarkeit |
FAQ
Ab wie vielen Mitarbeitern brauche ich in Hamburg einen Datenschutzbeauftragten?
Sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig davon kann die Pflicht früher greifen, wenn risikoreiche Verarbeitungen mit Datenschutz-Folgenabschätzung stattfinden.
Muss ich den DSB der Behörde melden?
Ja. Die Kontaktdaten des nach Art. 37 DSGVO benannten DSB sind der Aufsichtsbehörde mitzuteilen – in Hamburg dem HmbBfDI, der dafür ein Online-Formular bereitstellt.
Lohnt sich ein externer DSB auch für kleine IT-Betriebe?
Häufig ja. Schon kleine Systemhäuser erreichen die 20-Personen-Schwelle, und der externe DSB ist meist günstiger und konfliktfreier als eine interne Lösung, weil IT- und Leitungsrollen den Posten oft nicht besetzen dürfen.
Bleibt die Geschäftsführung verantwortlich?
Ja. Der DSB berät und überwacht, die datenschutzrechtliche Verantwortung trägt weiterhin die Unternehmensleitung. Der DSB ersetzt die Verantwortung nicht, er stützt sie fachlich ab.
Fazit
Für Hamburger IT-Betriebe ist der Datenschutzbeauftragte selten eine Frage des „ob“, sondern des „wie“. Die 20-Personen-Schwelle aus § 38 BDSG ist schneller erreicht, als viele denken, und die Risiko-Klausel kann die Pflicht sogar unabhängig von der Belegschaftsgröße auslösen. Ein externer DSB löst das pragmatisch: ohne Festanstellung, ohne Interessenkonflikt, mit gebündelter Erfahrung und einer klaren Anlaufstelle gegenüber dem HmbBfDI. So wird aus einer lästigen Pflicht ein planbarer Baustein der Betriebssicherheit.
