Datenschutzbeauftragter

Was die Prüfung erwartet

Der Rahmenplan verlangt im Modul Datenschutzrecht (Sachgebiet 2) ausdrücklich Wissen zu DS-GVO, BDSG und den Datenschutzbeauftragten. Die IHK prüft vor allem die Benennungsschwelle: ab wie vielen Beschäftigten ein Sicherheitsunternehmen einen Datenschutzbeauftragten braucht, und dass diese Pflicht bei Behörden und öffentlichen Stellen unabhängig von der Betriebsgröße gilt.

So funktioniert es

Nach § 38 BDSG muss eine nichtöffentliche Stelle — also auch dein Sicherheitsunternehmen — als Verantwortlicher oder Auftragsverarbeiter einen Datenschutzbeauftragten benennen, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Für Behörden und öffentliche Stellen gilt diese Zahl nicht: Sie benennen nach Art. 37 DS-GVO auf jeden Fall einen Datenschutzbeauftragten, unabhängig davon, wie viele Beschäftigte sie einsetzen — Ausnahme sind nur Gerichte in ihrer justiziellen Tätigkeit.

Ist die Fachperson einmal benannt, handelt sie weisungsfrei: Sie darf bei der Erfüllung ihrer Aufgaben keine Anweisungen erhalten und wegen dieser Aufgaben weder abberufen noch benachteiligt werden. Zu ihren Mindestaufgaben zählt, den Verantwortlichen, den Auftragsverarbeiter und die verarbeitenden Beschäftigten über ihre datenschutzrechtlichen Pflichten zu unterrichten und zu beraten.

Beispiel aus dem Dienst

Ein Sicherheitsunternehmen betreibt für mehrere Auftraggeber Videoüberwachungsanlagen und beschäftigt dafür ständig 24 Mitarbeitende, die die aufgezeichneten Bilder auswerten und speichern. Weil das Unternehmen damit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss die Geschäftsführung eine Datenschutzbeauftragte benennen. Sie darf danach nicht deshalb abberufen werden, weil sie der Geschäftsführung eine unzulässig lange Speicherpraxis meldet — genau das zu prüfen und zu beraten ist ihre Aufgabe.

Nicht zu verwechseln mit …

Auftragsverarbeitung betrifft, wer im Auftrag eines Verantwortlichen Daten verarbeitet und dafür einen schriftlichen Vertrag braucht. Der Datenschutzbeauftragte ist keine dieser Vertragsparteien, sondern die intern oder extern benannte Fachperson, die beide Seiten dabei berät und überwacht.

Typischer Fehler in der Prüfung

Wer annimmt, ein Datenschutzbeauftragter müsse zwingend eine externe Fachkraft sein, übersieht, dass Art. 37 DS-GVO ausdrücklich beide Wege erlaubt: eigener Beschäftigter oder externer Dienstleister. Benannt wird die Person aufgrund ihrer beruflichen Qualifikation und ihres Fachwissens im Datenschutzrecht — die Weisungsfreiheit ist erst ihre Stellung nach der Benennung, keine Voraussetzung dafür.

Quellen

• § 38 BDSG – Benennung eines Datenschutzbeauftragten · abgerufen 2026-09-04
• Art. 37–39 DS-GVO – Benennung, Stellung und Aufgaben des Datenschutzbeauftragten · abgerufen 2026-09-04
• DIHK-Rahmenplan Bewachungsgewerbe (Sachgebiet 2 – Datenschutzrecht) · abgerufen 2026-09-04