- Der Verantwortliche im Sinne der DSGVO ist das Unternehmen selbst – also die juristische oder natürliche Person, die über Zwecke und Mittel der Datenverarbeitung entscheidet. Bei Einzelunternehmen ist das der Inhaber persönlich, bei juristischen Personen das Vertretungsorgan
- Die Pflicht zur Benennung eines Datenschutzbeauftragten (DSB) hängt von Unternehmensgröße und Verarbeitungsart ab – ab 20 Personen, die regelmäßig mit personenbezogenen Daten umgehen, ist ein DSB erforderlich
- Datenschutzverstöße können zu erheblichen Bußgeldern und strafrechtlichen Konsequenzen führen – die Verantwortung für die Einhaltung liegt nicht delegierbar beim Unternehmen und seinen Führungspersonen
Datenschutz im Unternehmen: Eine Frage der Verantwortung
Datenschutz ist kein abstraktes Compliance-Thema. Er betrifft jedes Unternehmen, das personenbezogene Daten verarbeitet – und das tut heute nahezu jedes. Kundendaten, Mitarbeiterdaten, Bewerberdaten, Lieferanteninformationen: Überall entstehen Berührungspunkte mit der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).
Die entscheidende Frage, die sich viele Unternehmen stellen, lautet: Wer ist eigentlich verantwortlich? Ist es die Geschäftsführung? Die IT-Abteilung? Der Datenschutzbeauftragte? Oder alle zusammen?
Die Antwort ist rechtlich eindeutig – und gleichzeitig komplex in der praktischen Umsetzung. Je nach Unternehmensform unterscheiden sich die Verantwortlichen und welche konkreten Pflichten daraus folgen.
Rechtliche Grundlagen: Was die DSGVO und das BDSG regeln
Der „Verantwortliche“ nach Art. 4 Nr. 7 DSGVO
Das Herzstück der Verantwortungsfrage findet sich in Art. 4 Nr. 7 DSGVO. Danach ist „Verantwortlicher“ jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Das Rechenschaftsprinzip nach Art. 5 Abs. 2 DSGVO
Das sogenannte Accountability-Prinzip verpflichtet den Verantwortlichen nicht nur zur Einhaltung der Datenschutzgrundsätze, sondern auch dazu, diese Einhaltung nachweisen zu können.
Verantwortung nach Unternehmensform: Wer haftet konkret?
Die rechtliche Verantwortung für Datenschutz ist nicht für alle Unternehmen identisch. Sie richtet sich maßgeblich nach der Unternehmensform – ein Aspekt, der in der Praxis oft unterschätzt wird.
Einzelunternehmen
Beim Einzelunternehmen ist der Inhaber selbst der Verantwortliche im Sinne der DSGVO. Es gibt keine Trennung zwischen der Person des Unternehmers und dem Unternehmen als Rechtsträger. Das bedeutet: Der Einzelunternehmer trägt die datenschutzrechtliche Verantwortung persönlich und unmittelbar – er kann sie weder auf Mitarbeiter noch auf Dritte vollständig übertragen.
Juristische Personen: GmbH, AG, UG
Bei juristischen Personen – also GmbH, AG, UG oder auch eingetragenen Vereinen – ist die Gesellschaft selbst der Verantwortliche. Da juristische Personen nicht handlungsfähig sind, wird die Verantwortung durch die Geschäftsführung bzw. den Vorstand wahrgenommen.
Bei der GmbH trägt die Geschäftsführung nach § 43 GmbHG die allgemeine Sorgfaltspflicht, die auch den Datenschutz umfasst. Die Geschäftsführer müssen sicherstellen, dass im Unternehmen datenschutzkonforme Strukturen vorhanden sind. Eine Delegation an Mitarbeiter oder einen Datenschutzbeauftragten entbindet sie nicht von dieser Gesamtverantwortung – sie bleibt im Außenverhältnis beim Unternehmen.
Personengesellschaften: OHG, KG, GbR, PartGG
Bei Personengesellschaften ist die Rechtslage differenzierter. Rechtsfähige Personengesellschaften wie die OHG oder die KG können selbst Verantwortliche im Sinne der DSGVO sein. Die persönlich haftenden Gesellschafter – bei der OHG alle Gesellschafter, bei der KG die Komplementäre – können dabei auch persönlich in der Verantwortung stehen.
Bei der GbR, die keine eigene Rechtspersönlichkeit besitzt, sind die Gesellschafter gemeinsam verantwortlich. Das kann in der Praxis bedeuten, dass alle Gesellschafter einer Gemeinschaftspraxis oder einer Anwaltssozietät in der GbR-Form gemeinsam für Datenschutzverstöße haften.
Für Partnerschaftsgesellschaften (PartGG), die häufig von Freiberuflern – Ärzten, Anwälten, Architekten – genutzt werden, gilt: Die Partnerschaft selbst ist rechtsfähig und damit verantwortlich; die Partner tragen intern die Sorgfaltspflichten.
Die Rolle des Datenschutzbeauftragten: Verantwortung ≠ Delegation
Ein weit verbreitetes Missverständnis lautet: „Wir haben einen Datenschutzbeauftragten, also ist er verantwortlich.“
Der Datenschutzbeauftragte (DSB) ist keine Verantwortungsstelle, sondern eine Kontroll- und Beratungsinstanz. Nach Art. 39 DSGVO sind seine Aufgaben: Unterrichtung und Beratung der Verantwortlichen, Überwachung der Einhaltung der DSGVO, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für betroffene Personen.
Die Verantwortung für die tatsächliche Einhaltung des Datenschutzes bleibt stets beim Unternehmen selbst – also bei Geschäftsführung bzw. Vorstand.
Wann ist ein DSB Pflicht?
Nach § 38 BDSG müssen nicht-öffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die Zahl bezieht sich nicht auf die Gesamtbelegschaft, sondern konkret auf den Personenkreis, der regelmäßig Daten verarbeitet.
Unabhängig von dieser Schwelle besteht die Pflicht zur Benennung eines DSB, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht, etwa im Gesundheitswesen.
Intern oder extern?
Der DSB kann sowohl intern aus dem Kreis der Mitarbeiter als auch extern bestellt werden. Ein externer DSB bietet häufig Vorteile: Er bringt aktuelle Fachkenntnisse mit, unterliegt keinen internen Interessenkonflikten und ist unabhängiger in seiner Kontrollrolle.
Wir übernehmen für Unternehmen unter anderem die Funktion des externen Datenschutzbeauftragten – eine pragmatische Lösung gerade für mittelständische Unternehmen, die intern nicht die Kapazitäten für diese Aufgabe vorhalten können oder wollen.
Praktische Tipps für Unternehmen
Tipp 1: Verantwortlichkeit intern klar zuordnen: Auch wenn die rechtliche Verantwortung beim Unternehmen liegt, braucht es intern einen „Datenschutz-Owner“ – eine konkrete Person oder Stelle, die Datenschutzprozesse koordiniert und den Überblick behält.
Tipp 2: Verarbeitungsverzeichnis führen: Art. 30 DSGVO verpflichtet Verantwortliche zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten.
Tipp 3: Auftragsverarbeitungsverträge systematisch abschließen: Wer personenbezogene Daten durch Dienstleister verarbeiten lässt, muss einen AVV nach Art. 28 DSGVO schließen. Ohne diesen Vertrag liegt ein Datenschutzverstoß vor, unabhängig davon, ob ein Schaden entsteht.
Tipp 4: Datenpannen kennen und melden: Art. 33 DSGVO verpflichtet zur Meldung von Datenpannen an die Aufsichtsbehörde innerhalb von 72 Stunden. Viele Unternehmen sind sich nicht sicher, was eine meldepflichtige Datenpanne überhaupt ist. Eine interne Richtlinie und klare Eskalationswege helfen, im Ernstfall richtig zu reagieren.
Tipp 5: Mitarbeiter schulen: Der häufigste Ausgangspunkt für Datenpannen ist menschliches Versagen. Regelmäßige Schulungen der Mitarbeiter – besonders in datensensitiven Bereichen wie HR, Vertrieb oder IT – sind kein Nice-to-have, sondern Teil der Rechenschaftspflicht.
Handlungsempfehlung
Die Frage, wer für die Einhaltung des Datenschutzes im Unternehmen verantwortlich ist, hat eine klare rechtliche Antwort: das Unternehmen selbst – in der Person seiner Vertretungsorgane, bei Einzelunternehmen der Inhaber persönlich. Je nach Rechtsform ergeben sich dabei unterschiedliche Haftungsszenarien, die in der Praxis sehr konkrete Konsequenzen haben können.
Ein Datenschutzbeauftragter – intern oder extern – ist ein wichtiges Instrument der Compliance, ersetzt aber nicht die unternehmerische Gesamtverantwortung. Wer diese Verantwortung ernst nimmt, schützt nicht nur die personenbezogenen Daten seiner Kunden und Mitarbeiter, sondern auch das Unternehmen selbst vor erheblichen Bußgeldern und – in schwerwiegenden Fällen – strafrechtlichen Konsequenzen.
Wenn Sie Fragen zur Datenschutz-Verantwortung in Ihrem Unternehmen haben oder rechtliche Unterstützung bei der Umsetzung benötigen, stehen wir Ihnen gern zur Verfügung – telefonisch, per Video oder persönlich.
Geschäftsführer · Rechtsanwalt · Fachanwalt für IT-Recht