{"id":44917,"date":"2026-08-07T09:00:56","date_gmt":"2026-08-07T07:00:56","guid":{"rendered":"https:\/\/2b-advice.com\/?p=44917"},"modified":"2026-08-11T15:34:27","modified_gmt":"2026-08-11T13:34:27","slug":"dsb-group-business-model-external-data-protection-officer","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/en\/2026\/08\/07\/konzern-dsb-betriebsmodell-externer-datenschutzbeauftragter\/","title":{"rendered":"What requirements does a corporate group place on an external data protection officer?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Kurzantwort<\/span><\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

F\u00fcr einen Konzern gen\u00fcgt die fachkundige Benennung eines Datenschutzbeauftragten allein nicht. Erforderlich ist eine belastbar organisierte DSB-Funktion.<\/p>

Hierzu geh\u00f6ren insbesondere ein eindeutig festgelegter Geltungsbereich, angemessene personelle Kapazit\u00e4ten, eine geregelte Vertretung, lokale Ansprechpartner, definierte Kommunikationswege, ein Pr\u00fcf- und Auditplan, regelm\u00e4\u00dfiges Management-Reporting, dokumentierte Empfehlungen, geregelte Eskalationswege und ein verl\u00e4sslicher Kommunikationskanal zu den zust\u00e4ndigen Aufsichtsbeh\u00f6rden.<\/p>

Die Benennung bestimmt, wer die Funktion wahrnimmt. Das Betriebsmodell regelt, wie sie innerhalb der Unternehmensgruppe wirksam ausge\u00fcbt werden kann.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Die Benennung des Datenschutzbeauftragten als Ausgangspunkt<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die Benennung beziehungsweise Bestellung eines Datenschutzbeauftragten ist zun\u00e4chst ein formaler und rechtlicher Vorgang. Sie beantwortet die Frage, wer die gesetzlich vorgesehene Funktion wahrnimmt.<\/p>

Damit ist jedoch noch nicht festgelegt, wie diese Funktion im laufenden Betrieb einer Unternehmensgruppe eingebunden wird. Insbesondere ist zu kl\u00e4ren, wie der Datenschutzbeauftragte \u00fcber neue Projekte und kritische Verarbeitungsvorg\u00e4nge informiert wird, welche Gesellschaften und Standorte vom Mandat umfasst sind und welche lokalen Ansprechpartner ihn unterst\u00fctzen.<\/p>

Weitere Regelungen sind regelm\u00e4\u00dfig f\u00fcr die Vertretung, die Priorisierung von Datenschutz-Folgenabsch\u00e4tzungen, Beschwerden, Audits und Datenschutzvorf\u00e4llen sowie f\u00fcr die Berichterstattung an die Gesch\u00e4ftsleitung erforderlich. Ebenso sollte nachvollziehbar dokumentiert werden k\u00f6nnen, ob und zu welchem Zeitpunkt der Datenschutzbeauftragte in einen Vorgang eingebunden wurde.<\/p>

Diese organisatorischen Fragen werden durch die Bestellungsurkunde regelm\u00e4\u00dfig nicht beantwortet. Sie sind Gegenstand eines gesonderten Betriebsmodells.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Besonderheiten eines DSB-Mandats im Konzern<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

In kleineren Unternehmen kann eine einzelne Person einen erheblichen Teil der datenschutzrechtlich relevanten Vorg\u00e4nge unmittelbar \u00fcberblicken. In einem Konzern bestehen dagegen regelm\u00e4\u00dfig mehrere Gesellschaften, L\u00e4nder, Gesch\u00e4ftsbereiche und F\u00fchrungsebenen, die jeweils eigene Entscheidungen treffen.<\/p>

Verantwortlichkeiten sind verteilt, Systeme und Datenfl\u00fcsse \u00fcberschneiden sich und lokale Anforderungen treffen auf zentrale Richtlinien. Projekte werden h\u00e4ufig parallel geplant und umgesetzt.<\/p>

Zu ber\u00fccksichtigen sind insbesondere:<\/p>

  • unterschiedliche Gesch\u00e4ftsmodelle,<\/li>
  • voneinander abweichende Risikoprofile,<\/li>
  • internationale Daten\u00fcbermittlungen,<\/li>
  • zentral eingesetzte IT-Systeme,<\/li>
  • lokale Prozesse im Personalbereich,<\/li>
  • gemeinsam genutzte Dienstleister,<\/li>
  • bestehende Compliance- und Informationssicherheitsfunktionen,<\/li>
  • mehrere zust\u00e4ndige Aufsichtsbeh\u00f6rden,<\/li>
  • branchenspezifische regulatorische Anforderungen.<\/li><\/ul>


    Eine DSB-Funktion muss in der Lage sein, diese organisatorische und fachliche Komplexit\u00e4t angemessen abzubilden.<\/p>

    Es reicht deshalb regelm\u00e4\u00dfig nicht aus, eine f\u00fcr ein einzelnes Unternehmen vorgesehene Beratungsleistung lediglich auf eine gr\u00f6\u00dfere Zahl von Gesellschaften auszuweiten. Erforderlich sind vielmehr klar definierte Strukturen, Rollen, Kapazit\u00e4ten und wiederkehrende Arbeitsabl\u00e4ufe.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Gemeinsamer oder externer Datenschutzbeauftragter f\u00fcr eine Unternehmensgruppe<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die DSGVO sieht vor, dass eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten benennen kann, sofern dieser von jeder Niederlassung aus leicht erreichbar ist.<\/p>

    Die Funktion kann intern ausge\u00fcbt oder auf Grundlage eines Dienstleistungsvertrags extern wahrgenommen werden. Damit kommt ein externer oder gruppenweit t\u00e4tiger Datenschutzbeauftragter grunds\u00e4tzlich auch f\u00fcr gr\u00f6\u00dfere Unternehmensgruppen in Betracht.<\/p>

    Ma\u00dfgeblich ist, wie die Funktion organisiert wird, damit sie trotz der Gr\u00f6\u00dfe der Unternehmensgruppe erreichbar, unabh\u00e4ngig und wirksam bleibt.<\/p>

    Dabei sollte eindeutig festgelegt werden, f\u00fcr welche Gesellschaften die Benennung gilt, welche rechtlichen Einheiten in das Mandat einbezogen sind und wie lokale Besonderheiten ber\u00fccksichtigt werden. Ein konzernweites Organigramm ersetzt keine hinreichend bestimmte Abgrenzung des Mandats.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Anforderungen in Auswahl- und Ausschreibungsverfahren<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Gro\u00dfe Unternehmen pr\u00fcfen bei der Auswahl eines externen Datenschutzbeauftragten regelm\u00e4\u00dfig nicht ausschlie\u00dflich dessen Ausbildung, Zertifikate und Berufserfahrung. Von Bedeutung ist auch, ob der Anbieter die Funktion organisatorisch und personell dauerhaft tragen kann.<\/p>

    Typische Fragen in Ausschreibungen betreffen:<\/p>

    • die pers\u00f6nlich benannte Hauptperson,<\/li>
    • Vertretungs- und Backup-Regelungen,<\/li>
    • verf\u00fcgbare Kapazit\u00e4ten,<\/li>
    • vereinbarte Reaktionszeiten,<\/li>
    • Branchenkenntnisse,<\/li>
    • internationale Abdeckung,<\/li>
    • Sprachkompetenzen,<\/li>
    • Unterst\u00fctzung bei Audits,<\/li>
    • Kommunikation mit Aufsichtsbeh\u00f6rden,<\/li>
    • Begleitung von Datenschutzvorf\u00e4llen,<\/li>
    • Unterst\u00fctzung bei Datenschutz-Folgenabsch\u00e4tzungen,<\/li>
    • regelm\u00e4\u00dfige Abstimmungstermine,<\/li>
    • Berichte an das Management,<\/li>
    • Eskalationswege,<\/li>
    • eingesetzte Software,<\/li>
    • Dokumentation und Nachweisf\u00fchrung,<\/li>
    • Preis- und Leistungsmodelle.

      <\/li><\/ul>

      Hinter diesen Fragen steht die Pr\u00fcfung, ob lediglich eine fachkundige Einzelperson oder eine dauerhaft funktionsf\u00e4hige Datenschutzorganisation zur Verf\u00fcgung steht.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

      \n\t\t\t\t
      \n\t\t\t\t\t

      Anforderungen an die Fachkunde<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
      \n\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t

      Ein Betriebsmodell kann die erforderliche Fachkunde des Datenschutzbeauftragten nicht ersetzen.<\/p>

      Der Datenschutzbeauftragte muss die rechtlichen, technischen und organisatorischen Zusammenh\u00e4nge der relevanten Verarbeitungen verstehen. Er muss Risiken beurteilen, Empfehlungen aussprechen, Kontrollen durchf\u00fchren und als Ansprechpartner f\u00fcr Betroffene und Aufsichtsbeh\u00f6rden zur Verf\u00fcgung stehen.<\/p>

      In einer Unternehmensgruppe kann allgemeines Datenschutzwissen jedoch nicht in jedem Fall ausreichen. Je nach Gesch\u00e4ftsmodell und Verarbeitungst\u00e4tigkeit k\u00f6nnen zus\u00e4tzliche Kenntnisse erforderlich sein, insbesondere in den Bereichen:<\/p>

      • Besch\u00e4ftigtendatenschutz,<\/li>
      • Cloud- und Plattformarchitekturen,<\/li>
      • internationale Daten\u00fcbermittlungen,<\/li>
      • Cybersecurity,<\/li>
      • Marketing und Tracking,<\/li>
      • Verarbeitung von Gesundheitsdaten,<\/li>
      • Finanz- und Versicherungsprozesse,<\/li>
      • Automotive,<\/li>
      • Logistik,<\/li>
      • industrielle Produktion,<\/li>
      • k\u00fcnstliche Intelligenz,<\/li>
      • konzerninterne Datenfl\u00fcsse.

        <\/li><\/ul>

        Ein belastbares DSB-Modell sollte deshalb die pers\u00f6nliche Fachkunde des benannten Datenschutzbeauftragten mit dem Zugriff auf weitere Spezialisten verbinden.<\/p>

        Der verantwortliche Datenschutzbeauftragte muss nicht jede technische oder branchenspezifische Frage allein bearbeiten. Er sollte jedoch beurteilen k\u00f6nnen, welche zus\u00e4tzlichen Kompetenzen erforderlich sind und diese rechtzeitig einbinden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

        \n\t\t\t\t
        \n\t\t\t\t\t

        Sechs Bausteine eines belastbaren DSB-Betriebsmodells<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
        \n\t\t\t\t
        \n\t\t\t\t\t\t\t\t\t

        1. Mandat und Geltungsbereich<\/h3>

        Zu Beginn des Mandats ist festzulegen, welche rechtlichen Einheiten, Standorte und T\u00e4tigkeiten erfasst werden.<\/p>

        Zu ber\u00fccksichtigen sind insbesondere:<\/p>

        • einbezogene Gesellschaften,<\/li>
        • L\u00e4nder und Standorte,<\/li>
        • Rollen als Verantwortlicher oder Auftragsverarbeiter,<\/li>
        • zentrale und lokale Prozesse,<\/li>
        • besondere regulatorische Anforderungen,<\/li>
        • bereits bestehende lokale Datenschutzrollen,<\/li>
        • Schnittstellen zu Legal, Compliance und Informationssicherheit.<\/li><\/ul>

          Ohne eine klare Abgrenzung k\u00f6nnen innerhalb einer Unternehmensgruppe unklare oder sich \u00fcberschneidende Zust\u00e4ndigkeiten entstehen.<\/p>

          So kann eine zentrale Datenschutzfunktion davon ausgehen, f\u00fcr eine Tochtergesellschaft zust\u00e4ndig zu sein, w\u00e4hrend die Tochtergesellschaft einen lokalen Ansprechpartner als verantwortliche Stelle innerhalb der Datenschutzorganisation betrachtet. In der Folge besteht das Risiko, dass kritische Vorg\u00e4nge nicht oder versp\u00e4tet bearbeitet werden.<\/p>

          Ein wirksames Mandat muss deshalb rechtlich hinreichend bestimmt und f\u00fcr die betroffenen Organisationseinheiten operativ verst\u00e4ndlich sein.<\/p>

          Jede einbezogene Einheit sollte insbesondere wissen:<\/p>

          • wer als Datenschutzbeauftragter benannt ist,<\/li>
          • wie dieser erreicht werden kann,<\/li>
          • bei welchen Vorg\u00e4ngen eine Einbindung erforderlich ist,<\/li>
          • welche Informationen zur Pr\u00fcfung bereitgestellt werden m\u00fcssen,<\/li>
          • wer \u00fcber die Umsetzung seiner Empfehlungen entscheidet.<\/li><\/ul>

            2. Kapazit\u00e4ts- und Kompetenzmodell<\/h3>

            Der Umfang des Mandats muss sich in den bereitgestellten personellen und fachlichen Ressourcen widerspiegeln.<\/p>

            Eine Unternehmensgruppe mit zahlreichen Gesellschaften, mehreren tausend Besch\u00e4ftigten und komplexen Verarbeitungsvorg\u00e4ngen kann regelm\u00e4\u00dfig nicht mit einem pauschalen Minimalaufwand angemessen betreut werden.<\/p>

            Die Kapazit\u00e4tsplanung kann sich insbesondere an folgenden Kriterien orientieren:<\/p>

            • Anzahl und Gr\u00f6\u00dfe der einbezogenen Gesellschaften,<\/li>
            • Zahl der Besch\u00e4ftigten,<\/li>
            • Risiken der Verarbeitungst\u00e4tigkeiten,<\/li>
            • Zahl und Umfang laufender Projekte,<\/li>
            • Volumen der Datenschutzanfragen,<\/li>
            • Zahl der Datenschutzvorf\u00e4lle,<\/li>
            • Umfang der Dienstleisterlandschaft,<\/li>
            • internationale T\u00e4tigkeit,<\/li>
            • regulatorisches Umfeld,<\/li>
            • Reifegrad der bestehenden Datenschutzorganisation.

              <\/li><\/ul>

              Ma\u00dfgeblich ist nicht ausschlie\u00dflich die Anzahl vereinbarter Beratungstage. Zus\u00e4tzlich ist festzulegen, welche fachlichen Kompetenzen im Rahmen des Mandats tats\u00e4chlich zur Verf\u00fcgung stehen.<\/p>

              Ein tragf\u00e4higes Modell kann beispielsweise folgende Rollen umfassen:<\/p>

              • verantwortlicher Lead DSB,<\/li>
              • benannter Stellvertreter,<\/li>
              • Datenschutzjuristen,<\/li>
              • technische Datenschutzexperten,<\/li>
              • Audit-Spezialisten,<\/li>
              • Branchenexperten,<\/li>
              • operative Datenschutzberater,<\/li>
              • Unterst\u00fctzung f\u00fcr Plattformbetrieb und Reporting.

                <\/li><\/ul>

                Durch eine solche Struktur kann vermieden werden, dass das gesamte Mandat von der Verf\u00fcgbarkeit einer einzelnen Person abh\u00e4ngt.<\/p>

                3. Erreichbarkeit, Vertretung und lokale Einbindung<\/h3>

                Eine Unternehmensgruppe ben\u00f6tigt klar benannte und erreichbare Ansprechpartner.<\/p>

                Der Lead DSB sollte innerhalb der Organisation sichtbar und erreichbar sein. Gleichzeitig ist eine verl\u00e4ssliche Vertretung vorzusehen. Urlaub, Krankheit oder parallel auftretende kritische Vorg\u00e4nge d\u00fcrfen nicht dazu f\u00fchren, dass die Funktion vor\u00fcbergehend nicht wahrgenommen werden kann.<\/p>

                Ein belastbares Modell sollte daher insbesondere regeln:<\/p>

                • die Person des Lead DSB,<\/li>
                • mindestens einen verbindlich benannten Vertreter,<\/li>
                • Reaktionszeiten,<\/li>
                • Befugnisse im Vertretungsfall,<\/li>
                • lokale Datenschutzkoordinatoren,<\/li>
                • Kommunikationskan\u00e4le,<\/li>
                • zentrale Eingangspunkte f\u00fcr Anfragen,<\/li>
                • Erreichbarkeit f\u00fcr Besch\u00e4ftigte und Betroffene.

                  <\/li><\/ul>

                  Lokale Datenschutzkoordinatoren ersetzen den Datenschutzbeauftragten nicht. Sie k\u00f6nnen jedoch wesentlich dazu beitragen, dass Informationen aus den Fachbereichen rechtzeitig an ihn weitergegeben werden.<\/p>

                  Sie kennen regelm\u00e4\u00dfig die lokalen Prozesse, Projekte und Ansprechpartner, k\u00f6nnen Informationen vorbereiten und die Umsetzung vereinbarter Ma\u00dfnahmen nachverfolgen.<\/p>

                  Voraussetzung ist eine klare Abgrenzung der Rollen. Der lokale Koordinator unterst\u00fctzt die Datenschutzorganisation. Der Datenschutzbeauftragte ber\u00e4t und \u00fcberwacht. Die verantwortlichen Stellen und das Management treffen die erforderlichen Entscheidungen und tragen die Verantwortung f\u00fcr deren Umsetzung.<\/p>

                  4. Operative Abl\u00e4ufe und Serviceprozesse<\/h3>

                  Ein DSB-Mandat sollte nicht ausschlie\u00dflich auf eingehende Einzelanfragen reagieren. Es ben\u00f6tigt wiederkehrende und risikoorientierte Arbeitsabl\u00e4ufe.<\/p>

                  Hierzu k\u00f6nnen geh\u00f6ren:<\/p>

                  • w\u00f6chentliche oder monatliche Abstimmungstermine,<\/li>
                  • regelm\u00e4\u00dfige Abstimmungen mit Legal und Informationssicherheit,<\/li>
                  • Pr\u00fcfung neuer Projekte,<\/li>
                  • Begleitung von Datenschutz-Folgenabsch\u00e4tzungen,<\/li>
                  • \u00dcberpr\u00fcfung kritischer Verarbeitungst\u00e4tigkeiten,<\/li>
                  • Beratung bei Auftragsverarbeitungen,<\/li>
                  • Unterst\u00fctzung bei der Bearbeitung von Betroffenenrechten,<\/li>
                  • Begleitung von Datenschutzvorf\u00e4llen,<\/li>
                  • Pr\u00fcfung internationaler Daten\u00fcbermittlungen,<\/li>
                  • wiederkehrende Kontrollen,<\/li>
                  • Schulungs- und Awareness-Ma\u00dfnahmen.

                    <\/li><\/ul>

                    Die Taktung sollte sich nach dem jeweiligen Risiko und der Dringlichkeit richten. Ein kritischer Datenschutzvorfall kann nicht bis zu einem regul\u00e4ren Monatsgespr\u00e4ch zur\u00fcckgestellt werden. Eine strategische \u00dcberpr\u00fcfung der Datenschutzorganisation muss dagegen regelm\u00e4\u00dfig nicht in kurzen Abst\u00e4nden erfolgen.<\/p>

                    Das Mandat sollte daher unterschiedliche Bearbeitungswege vorsehen, etwa f\u00fcr:<\/p>

                    • den Regelbetrieb,<\/li>
                    • priorisierte Beratungsanfragen,<\/li>
                    • kritische Eskalationen,<\/li>
                    • die Unterst\u00fctzung bei Datenschutzvorf\u00e4llen,<\/li>
                    • die Kommunikation mit Aufsichtsbeh\u00f6rden.

                      <\/li><\/ul>

                      Eine hinreichend konkrete Servicebeschreibung macht nachvollziehbar, welcher Bearbeitungsweg f\u00fcr welche Art von Vorgang vorgesehen ist.<\/p>

                      5. Kontrolle, Audit und Berichtswesen<\/h3>

                      Zu den Aufgaben des Datenschutzbeauftragten geh\u00f6rt neben der Beratung auch die \u00dcberwachung der Einhaltung datenschutzrechtlicher Anforderungen und interner Datenschutzvorgaben.<\/p>

                      Hierf\u00fcr sollte ein strukturierter und risikoorientierter Pr\u00fcfplan vorgesehen werden.<\/p>

                      Ein Auditplan kann insbesondere folgende Bereiche ber\u00fccksichtigen:<\/p>

                      • besonders risikoreiche Verarbeitungst\u00e4tigkeiten,<\/li>
                      • besondere Kategorien personenbezogener Daten,<\/li>
                      • internationale Datenfl\u00fcsse,<\/li>
                      • zentrale IT-Systeme,<\/li>
                      • Besch\u00e4ftigtendaten,<\/li>
                      • Marketingprozesse,<\/li>
                      • L\u00f6schkonzepte,<\/li>
                      • Auftragsverarbeiter,<\/li>
                      • Berechtigungskonzepte,<\/li>
                      • Anwendungen k\u00fcnstlicher Intelligenz,<\/li>
                      • wiederkehrende Schwachstellen.

                        <\/li><\/ul>

                        Auditfeststellungen sollten nicht isoliert dokumentiert werden. Aus ihnen sind regelm\u00e4\u00dfig konkrete Ma\u00dfnahmen abzuleiten. F\u00fcr diese Ma\u00dfnahmen sollten Verantwortliche und Fristen festgelegt sowie eine Nachverfolgung vorgesehen werden. Kritische Abweichungen sind gegebenenfalls zu eskalieren.<\/p>

                        Entsprechendes gilt f\u00fcr das Berichtswesen.<\/p>

                        Ein Managementbericht sollte sich nicht auf die Aufz\u00e4hlung bearbeiteter Anfragen beschr\u00e4nken. Er sollte der Gesch\u00e4ftsleitung insbesondere eine verdichtete Darstellung folgender Punkte erm\u00f6glichen:<\/p>

                        • wesentliche Datenschutzrisiken,<\/li>
                        • kritische offene Ma\u00dfnahmen,<\/li>
                        • \u00fcberf\u00e4llige Entscheidungen,<\/li>
                        • laufende Datenschutz-Folgenabsch\u00e4tzungen,<\/li>
                        • relevante Datenschutzvorf\u00e4lle,<\/li>
                        • wesentliche Pr\u00fcfungsfeststellungen,<\/li>
                        • wiederkehrende Schwachstellen,<\/li>
                        • erfolgte Eskalationen,<\/li>
                        • Ver\u00e4nderungen gegen\u00fcber der vorherigen Berichtsperiode.

                          <\/li><\/ul>

                          Die Gesch\u00e4ftsleitung ben\u00f6tigt regelm\u00e4\u00dfig keine vollst\u00e4ndige Darstellung s\u00e4mtlicher Einzelf\u00e4lle. Erforderlich ist eine belastbare \u00dcbersicht \u00fcber Risiken, ausstehende Entscheidungen und bestehenden Handlungsbedarf.<\/p>

                          6. Eskalation und Kommunikation mit Aufsichtsbeh\u00f6rden<\/h3>

                          Der Datenschutzbeauftragte muss seine Aufgaben unabh\u00e4ngig wahrnehmen k\u00f6nnen. Dazu geh\u00f6rt, dass kritische Empfehlungen nicht innerhalb operativer Abstimmungsprozesse unbeachtet bleiben.<\/p>

                          Ein belastbares Betriebsmodell sollte insbesondere festlegen:<\/p>

                          • wann ein Vorgang als kritisch einzustufen ist,<\/li>
                          • welche Stellen zun\u00e4chst zu informieren sind,<\/li>
                          • unter welchen Voraussetzungen eine Eskalation an die Gesch\u00e4ftsleitung erfolgt,<\/li>
                          • wie Empfehlungen des Datenschutzbeauftragten dokumentiert werden,<\/li>
                          • wie abweichende Entscheidungen festgehalten werden,<\/li>
                          • wie dringende Vorf\u00e4lle bearbeitet werden,<\/li>
                          • wer die Kommunikation mit Aufsichtsbeh\u00f6rden koordiniert.

                            <\/li><\/ul>

                            Dies ist insbesondere relevant, wenn die verantwortliche Stelle einer Empfehlung des Datenschutzbeauftragten nicht folgt.<\/p>

                            Der Datenschutzbeauftragte trifft operative Entscheidungen regelm\u00e4\u00dfig nicht selbst. Die Verantwortlichen k\u00f6nnen nach eigener Pr\u00fcfung zu einer abweichenden Bewertung gelangen. In diesem Fall sollte jedoch nachvollziehbar dokumentiert werden:<\/p>

                            • welche Empfehlung ausgesprochen wurde,<\/li>
                            • auf welchem Sachverhalt sie beruhte,<\/li>
                            • welche Risiken benannt wurden,<\/li>
                            • wer die abweichende Entscheidung getroffen hat,<\/li>
                            • welche alternativen oder erg\u00e4nzenden Ma\u00dfnahmen vorgesehen wurden.

                              <\/li><\/ul>

                              Eine dokumentierte abweichende Entscheidung ist organisatorisch anders zu bewerten als eine Empfehlung, die ohne erkennbare Pr\u00fcfung unbeachtet bleibt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                              \n\t\t\t\t
                              \n\t\t\t\t\t

                              Zusammenhang zwischen Reporting und Softwareunterst\u00fctzung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                              \n\t\t\t\t
                              \n\t\t\t\t\t\t\t\t\t

                              Ein DSB-Betriebsmodell kann bei einem umfangreichen Geltungsbereich regelm\u00e4\u00dfig nicht dauerhaft allein auf E-Mails, Tabellen und pers\u00f6nlichen Notizen beruhen.<\/p>

                              Mit der Gr\u00f6\u00dfe des Mandats steigt das Risiko, dass Informationen auf unterschiedliche Systeme verteilt, nicht einheitlich aktualisiert oder sp\u00e4ter nicht mehr vollst\u00e4ndig nachvollzogen werden k\u00f6nnen.<\/p>

                              Eine geeignete Plattform sollte deshalb \u00fcber die F\u00fchrung eines Verzeichnisses von Verarbeitungst\u00e4tigkeiten hinausgehen und die laufende T\u00e4tigkeit der DSB-Funktion unterst\u00fctzen.<\/p>

                              Hierzu k\u00f6nnen insbesondere folgende Funktionen geh\u00f6ren:<\/p>

                              • strukturierte Erfassung von Anfragen,<\/li>
                              • Zuordnung zu Gesellschaften und Verantwortlichen,<\/li>
                              • Dokumentation von Datenschutzbewertungen,<\/li>
                              • Verwaltung von Risiken und Ma\u00dfnahmen,<\/li>
                              • Abbildung von Datenschutz-Folgenabsch\u00e4tzungen,<\/li>
                              • Fristen und Wiedervorlagen,<\/li>
                              • Dokumentation von Empfehlungen des Datenschutzbeauftragten,<\/li>
                              • Erfassung getroffener Entscheidungen,<\/li>
                              • Verwaltung von Auditfeststellungen,<\/li>
                              • Ablage von Nachweisen,<\/li>
                              • Erstellung von Managementberichten,<\/li>
                              • Dokumentation von Eskalationen.<\/li><\/ul>

                                Von besonderer Bedeutung ist die Verkn\u00fcpfung der einzelnen Informationen.<\/p>

                                Eine Verarbeitungst\u00e4tigkeit kann beispielsweise einem System, einem Dienstleister, einer Datenschutz-Folgenabsch\u00e4tzung, einem Risiko und einer daraus abgeleiteten Ma\u00dfnahme zugeordnet werden. Eine Empfehlung des Datenschutzbeauftragten wird damit nicht ausschlie\u00dflich in einer E-Mail dokumentiert, sondern bleibt mit dem zugrunde liegenden Vorgang verbunden.<\/p>

                                Dies kann die Bearbeitung der Vorg\u00e4nge unterst\u00fctzen und zugleich die Nachweisf\u00e4higkeit der Datenschutzorganisation verbessern.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                \n\t\t\t\t
                                \n\t\t\t\t\t

                                Geeignete Kennzahlen f\u00fcr ein DSB-Mandat<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                \n\t\t\t\t
                                \n\t\t\t\t\t\t\t\t\t

                                Bei der Festlegung von Kennzahlen f\u00fcr eine DSB-Funktion ist zu ber\u00fccksichtigen, dass nicht jede einfach messbare Gr\u00f6\u00dfe eine belastbare Aussage \u00fcber die Wirksamkeit der Funktion erm\u00f6glicht.<\/p>

                                Die Anzahl beantworteter E-Mails l\u00e4sst regelm\u00e4\u00dfig keine verl\u00e4ssliche Bewertung der Beratungs- und Kontrollqualit\u00e4t zu. Auch eine geringe Zahl gemeldeter Datenschutzvorf\u00e4lle ist nicht ohne Weiteres positiv zu bewerten, da sie ebenso auf unzureichende Meldeprozesse hinweisen kann.<\/p>

                                Geeigneter sind Kennzahlen, die Risiken, Bearbeitungsst\u00e4nde und Steuerungsbedarf sichtbar machen.<\/p>

                                In Betracht kommen beispielsweise:<\/p>

                                • Anzahl offener kritischer Ma\u00dfnahmen,<\/li>
                                • Anzahl \u00fcberf\u00e4lliger Ma\u00dfnahmen,<\/li>
                                • durchschnittliche Bearbeitungszeit nach Priorit\u00e4tsstufen,<\/li>
                                • Anzahl laufender Datenschutz-Folgenabsch\u00e4tzungen,<\/li>
                                • Zeitraum bis zur Einbindung des Datenschutzbeauftragten,<\/li>
                                • Anteil fristgerecht \u00fcberpr\u00fcfter Hochrisikoverarbeitungen,<\/li>
                                • wiederkehrende Auditfeststellungen,<\/li>
                                • Bearbeitungsstand kritischer Empfehlungen,<\/li>
                                • Anzahl und Art erfolgter Eskalationen,<\/li>
                                • offene Betroffenenanfragen,<\/li>
                                • Vollst\u00e4ndigkeit zentraler Datenschutzdokumentationen.<\/li><\/ul>

                                  Kennzahlen d\u00fcrfen die unabh\u00e4ngige T\u00e4tigkeit des Datenschutzbeauftragten nicht auf die Produktivit\u00e4t eines Ticketsystems reduzieren. Ma\u00dfgeblich ist nicht, ob m\u00f6glichst viele Vorg\u00e4nge in m\u00f6glichst kurzer Zeit geschlossen werden.<\/p>

                                  Die Kennzahlen sollten vielmehr erkennen lassen, ob die Datenschutzorganisation wesentliche Risiken feststellt, priorisiert und angemessen bearbeitet.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                  \n\t\t\t\t
                                  \n\t\t\t\t\t

                                  Bedeutung von Branchenkenntnissen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                  \n\t\t\t\t
                                  \n\t\t\t\t\t\t\t\t\t

                                  Datenschutzrechtliche Anforderungen gelten branchen\u00fcbergreifend. Ihre praktische Umsetzung kann sich jedoch je nach Gesch\u00e4ftsmodell, Verarbeitungszweck und regulatorischem Umfeld erheblich unterscheiden.<\/p>

                                  Ein Datenschutzbeauftragter eines Industrieunternehmens muss andere Prozesse und Risiken verstehen als ein Datenschutzbeauftragter einer Bank, eines Gesundheitsdienstleisters oder eines Onlineh\u00e4ndlers.<\/p>

                                  Branchenkenntnisse k\u00f6nnen insbesondere relevant sein f\u00fcr:<\/p>

                                  • die Bewertung typischer Verarbeitungsrisiken,<\/li>
                                  • die Priorisierung von Pr\u00fcfungen,<\/li>
                                  • die Einordnung etablierter Gesch\u00e4ftsprozesse,<\/li>
                                  • das Verst\u00e4ndnis technischer Systeme,<\/li>
                                  • die Kommunikation mit Fachbereichen,<\/li>
                                  • die Ber\u00fccksichtigung regulatorischer \u00dcberschneidungen,<\/li>
                                  • die Entwicklung praktisch umsetzbarer Ma\u00dfnahmen.<\/li><\/ul>

                                    Kennt der Datenschutzbeauftragte das Gesch\u00e4ftsmodell nicht hinreichend, besteht das Risiko, dass rechtlich nachvollziehbare Empfehlungen im konkreten Unternehmensumfeld nicht oder nur mit unverh\u00e4ltnism\u00e4\u00dfigem Aufwand umgesetzt werden k\u00f6nnen.<\/p>

                                    Fachkunde zeigt sich daher auch darin, Risiken pr\u00e4zise zu erl\u00e4utern und unter Ber\u00fccksichtigung der jeweiligen betrieblichen Abl\u00e4ufe umsetzbare Wege zu einem datenschutzkonformen Betrieb aufzuzeigen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                    \n\t\t\t\t
                                    \n\t\t\t\t\t

                                    Einbindung des externen Datenschutzbeauftragten in das Incident Management\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                    \n\t\t\t\t
                                    \n\t\t\t\t\t\t\t\t\t

                                    Bei einem Datenschutzvorfall sind regelm\u00e4\u00dfig kurze Bearbeitungs- und Entscheidungsfristen zu beachten. Ein externer Datenschutzbeauftragter sollte deshalb vorab in das Incident-Modell des Unternehmens eingebunden werden.<\/p>

                                    Zu kl\u00e4ren ist insbesondere:<\/p>

                                    • wie der Datenschutzbeauftragte alarmiert wird,<\/li>
                                    • welche Informationen ihm zur Verf\u00fcgung gestellt werden,<\/li>
                                    • wer die Sachverhaltsaufkl\u00e4rung koordiniert,<\/li>
                                    • wer die m\u00f6gliche Meldepflicht bewertet,<\/li>
                                    • wer die getroffene Entscheidung dokumentiert,<\/li>
                                    • wer mit der Aufsichtsbeh\u00f6rde kommuniziert,<\/li>
                                    • wer gegebenenfalls betroffene Personen informiert,<\/li>
                                    • wer technische und organisatorische Ma\u00dfnahmen koordiniert.

                                      <\/li><\/ul>

                                      Der Datenschutzbeauftragte ber\u00e4t und \u00fcberwacht die zust\u00e4ndigen Stellen.<\/p>

                                      Ohne eine klare Aufgabenverteilung sollte er nicht zugleich die operative Leitung des Vorfalls, die rechtliche Entscheidung, die technische Untersuchung und die unabh\u00e4ngige Kontrolle \u00fcbernehmen. Gerade bei der Bearbeitung von Datenschutzvorf\u00e4llen sind die jeweiligen Rollen und Verantwortlichkeiten eindeutig voneinander abzugrenzen.<\/p>

                                      Ein belastbares Mandat beschreibt diese Schnittstellen bereits vor Eintritt des ersten Vorfalls.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                      \n\t\t\t\t
                                      \n\t\t\t\t\t

                                      Pr\u00fcfkriterien bei der Auswahl eines externen Datenschutzbeauftragten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                      \n\t\t\t\t
                                      \n\t\t\t\t\t\t\t\t\t

                                      Bei der Auswahl eines externen Datenschutzbeauftragten sollte eine Unternehmensgruppe neben Lebensl\u00e4ufen und Verg\u00fctungss\u00e4tzen auch das vorgesehene Betriebsmodell pr\u00fcfen.<\/p>

                                      Mandat<\/h3>
                                      • Welche Gesellschaften, L\u00e4nder und Standorte k\u00f6nnen einbezogen werden?<\/li>
                                      • Wie wird der Geltungsbereich dokumentiert?<\/li>
                                      • Wie werden lokale Besonderheiten ber\u00fccksichtigt?<\/li><\/ul>

                                        Personen und Kompetenzen<\/h3>
                                        • Wer wird pers\u00f6nlich als Datenschutzbeauftragter benannt?<\/li>
                                        • Wer \u00fcbernimmt die Vertretung?<\/li>
                                        • Welche Fachspezialisten stehen zur Verf\u00fcgung?<\/li>
                                        • Wie wird die Kontinuit\u00e4t bei einem Personalwechsel gew\u00e4hrleistet?<\/li><\/ul>

                                          Kapazit\u00e4ten<\/h3>
                                          • Welche personellen Ressourcen sind verbindlich vorgesehen?<\/li>
                                          • Wie werden vor\u00fcbergehende Lastspitzen behandelt?<\/li>
                                          • Welche Reaktionszeiten gelten?<\/li>
                                          • Wie wird der tats\u00e4chlich angefallene Aufwand dargestellt?<\/li><\/ul>

                                            Operativer Betrieb<\/h3>
                                            • Welche regelm\u00e4\u00dfigen Abstimmungstermine sind vorgesehen?<\/li>
                                            • Wie werden Anfragen eingereicht, bewertet und priorisiert?<\/li>
                                            • Wie werden Datenschutz-Folgenabsch\u00e4tzungen, Audits und Datenschutzvorf\u00e4lle bearbeitet?<\/li>
                                            • Welche Eskalationswege bestehen?<\/li><\/ul>

                                              Berichtswesen<\/h3>
                                              • Welche Berichte erh\u00e4lt das Management?<\/li>
                                              • Wie werden Risiken und Ma\u00dfnahmen dargestellt?<\/li>
                                              • Wie werden Empfehlungen und abweichende Entscheidungen dokumentiert?<\/li><\/ul>

                                                Technologie<\/h3>
                                                • Welche Software wird eingesetzt?<\/li>
                                                • K\u00f6nnen Gesellschaften, Rollen und Vorg\u00e4nge getrennt abgebildet werden?<\/li>
                                                • Sind Audit Trail, Aufgabenverwaltung, Fristen und Exportm\u00f6glichkeiten vorhanden?<\/li>
                                                • Beh\u00e4lt der Kunde Zugriff auf seine Daten und Dokumentationen?<\/li><\/ul>

                                                  Kommunikation mit Aufsichtsbeh\u00f6rden<\/h3>
                                                  • Welche Erfahrungen bestehen im Umgang mit Aufsichtsbeh\u00f6rden?<\/li>
                                                  • Wer \u00fcbernimmt welche Teile der Kommunikation?<\/li>
                                                  • Wie werden Anfragen und Stellungnahmen koordiniert?<\/li>
                                                  • Unter welchen Voraussetzungen wird die Gesch\u00e4ftsleitung einbezogen?<\/li><\/ul>

                                                    Preis und Leistungsumfang<\/h3>
                                                    • Welche Leistungen sind im Grundmandat enthalten?<\/li>
                                                    • Welche T\u00e4tigkeiten werden gesondert berechnet?<\/li>
                                                    • Wie werden Projekte und Sonderpr\u00fcfungen behandelt?<\/li>
                                                    • Welche Kapazit\u00e4ten werden verbindlich zugesagt?<\/li>
                                                    • Wie kann der Leistungsumfang bei ver\u00e4ndertem Bedarf angepasst werden?<\/li><\/ul>

                                                      \u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                      \n\t\t\t\t
                                                      \n\t\t\t\t\t

                                                      Kriterien f\u00fcr eine kritische Pr\u00fcfung des Angebots\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                                      \n\t\t\t\t
                                                      \n\t\t\t\t\t\t\t\t\t

                                                      Ein Angebot sollte n\u00e4her gepr\u00fcft werden, wenn:<\/p>\n

                                                        \n
                                                      • keine konkrete Person als Lead DSB benannt wird,<\/li>\n
                                                      • Vertretungsregelungen lediglich unverbindlich beschrieben werden,<\/li>\n
                                                      • der Leistungsumfang ausschlie\u00dflich anhand einer Stundenzahl definiert wird,<\/li>\n
                                                      • keine Eskalationslogik vorgesehen ist,<\/li>\n
                                                      • ein regelm\u00e4\u00dfiges Management-Reporting fehlt,<\/li>\n
                                                      • Audits ausschlie\u00dflich auf gesonderte Einzelanfrage durchgef\u00fchrt werden,<\/li>\n
                                                      • keine strukturierte Dokumentation oder geeignete Software vorgesehen ist,<\/li>\n
                                                      • Reaktionszeiten nicht festgelegt werden,<\/li>\n
                                                      • keine Fachspezialisten verf\u00fcgbar sind,<\/li>\n
                                                      • die Kommunikation mit Aufsichtsbeh\u00f6rden nicht geregelt ist,<\/li>\n
                                                      • wesentliche Zusatzleistungen nicht eindeutig beschrieben werden,<\/li>\n
                                                      • umfangreiche Mandate mit erkennbar begrenzten Kapazit\u00e4ten angeboten werden.\n

                                                        <\/li>\n<\/ul>\n

                                                        Ein niedriger Preis kann bei der Auswahl ber\u00fccksichtigt werden. Er ist jedoch nur aussagekr\u00e4ftig, wenn die f\u00fcr das Mandat erforderlichen Leistungen, Kapazit\u00e4ten und Reaktionsm\u00f6glichkeiten tats\u00e4chlich abgedeckt sind.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                        \n\t\t\t\t
                                                        \n\t\t\t\t\t

                                                        Unterst\u00fctzung des Betriebsmodells durch Ailance Externer DSB\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                                        \n\t\t\t\t
                                                        \n\t\t\t\t\t\t\t\t\t

                                                        Ailance Externer DSB kann die fachliche T\u00e4tigkeit des Datenschutzbeauftragten mit einer strukturierten Arbeits- und Nachweisplattform verbinden.<\/p>

                                                        Die Software ersetzt weder die Aufgabenwahrnehmung noch die pers\u00f6nliche Verantwortung des Datenschutzbeauftragten. Sie kann jedoch dazu beitragen, seine Einbindung, Empfehlungen, Pr\u00fcfungen und die daraus abgeleiteten Ma\u00dfnahmen innerhalb der Unternehmensorganisation abzubilden.<\/p>

                                                        \u00dcber die Plattform k\u00f6nnen unter anderem folgende Informationen und Prozesse verwaltet werden:<\/p>

                                                        • Gesellschaften und Geltungsbereiche,<\/li>
                                                        • Ansprechpartner und Datenschutzkoordinatoren,<\/li>
                                                        • Anfragen an den Datenschutzbeauftragten,<\/li>
                                                        • Verarbeitungst\u00e4tigkeiten,<\/li>
                                                        • Datenschutz-Folgenabsch\u00e4tzungen,<\/li>
                                                        • Risiken und Ma\u00dfnahmen,<\/li>
                                                        • Pr\u00fcfungen und Auditpl\u00e4ne,<\/li>
                                                        • Datenschutzvorf\u00e4lle,<\/li>
                                                        • Stellungnahmen,<\/li>
                                                        • Freigaben und Entscheidungen,<\/li>
                                                        • Fristen und Wiedervorlagen,<\/li>
                                                        • Managementberichte,<\/li>
                                                        • Eskalationen.

                                                          <\/li><\/ul>

                                                          Der externe Datenschutzbeauftragte kann damit innerhalb eines dokumentierten Governance-Prozesses mit dem Management, den Fachbereichen und den lokalen Ansprechpartnern zusammenarbeiten.<\/p>

                                                          F\u00fcr die Unternehmensgruppe kann eine zentrale \u00dcbersicht bereitgestellt werden, aus der insbesondere hervorgeht:<\/p>

                                                          • welche Vorg\u00e4nge offen sind,<\/li>
                                                          • wo kritische Risiken bestehen,<\/li>
                                                          • welche Ma\u00dfnahmen \u00fcberf\u00e4llig sind,<\/li>
                                                          • welche Gesellschaften zus\u00e4tzlichen Unterst\u00fctzungsbedarf haben,<\/li>
                                                          • welche Empfehlungen ausgesprochen wurden,<\/li>
                                                          • welche Entscheidungen noch ausstehen,<\/li>
                                                          • in welchen F\u00e4llen ein T\u00e4tigwerden des Managements erforderlich ist.

                                                            <\/li><\/ul>

                                                            Die Plattform kann auf diese Weise die Transparenz und Nachvollziehbarkeit der DSB-T\u00e4tigkeit unterst\u00fctzen, ohne die gesetzlich vorgesehene Unabh\u00e4ngigkeit des Datenschutzbeauftragten aufzuheben.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                            \n\t\t\t\t
                                                            \n\t\t\t\t\t

                                                            Abgrenzung zwischen Vertrag und Betriebskonzept<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                                            \n\t\t\t\t
                                                            \n\t\t\t\t\t\t\t\t\t

                                                            Ein Dienstleistungsvertrag regelt, dass und unter welchen Bedingungen ein Anbieter bestimmte Leistungen erbringt. Das Betriebskonzept beschreibt dagegen, wie die DSB-Funktion innerhalb der Unternehmensgruppe tats\u00e4chlich ausge\u00fcbt wird.<\/p>

                                                            Ein Vertrag enth\u00e4lt typischerweise Regelungen zu:<\/p>

                                                            • Leistungsbeschreibung,<\/li>
                                                            • Verg\u00fctung,<\/li>
                                                            • Laufzeit,<\/li>
                                                            • Haftung,<\/li>
                                                            • K\u00fcndigung,<\/li>
                                                            • Vertraulichkeit.

                                                              <\/li><\/ul>

                                                              Das Betriebskonzept erg\u00e4nzt insbesondere Vorgaben zu:<\/p>

                                                              • Rollen und Verantwortlichkeiten,<\/li>
                                                              • Geltungsbereich,<\/li>
                                                              • Kapazit\u00e4ten,<\/li>
                                                              • Vertretung,<\/li>
                                                              • Kommunikationswegen,<\/li>
                                                              • regelm\u00e4\u00dfigen Abstimmungen,<\/li>
                                                              • Auditplanung,<\/li>
                                                              • Kennzahlen,<\/li>
                                                              • Reporting,<\/li>
                                                              • Eskalationswegen,<\/li>
                                                              • Incident-Prozessen,<\/li>
                                                              • Beh\u00f6rdenkommunikation,<\/li>
                                                              • Systemunterst\u00fctzung.

                                                                <\/li><\/ul>

                                                                Beide Regelungsebenen sind f\u00fcr ein belastbares Mandat von Bedeutung.<\/p>

                                                                Fehlt ein hinreichend konkretes Betriebsmodell, k\u00f6nnen zwischen Auftraggeber und Anbieter unterschiedliche Erwartungen entstehen. Der Auftraggeber geht m\u00f6glicherweise davon aus, eine vollst\u00e4ndige DSB-Funktion beauftragt zu haben, w\u00e4hrend der Anbieter das Mandat als zeitlich begrenztes Beratungskontingent versteht.<\/p>

                                                                Solche Unterschiede werden h\u00e4ufig erst im laufenden Betrieb oder bei einem kritischen Vorgang erkennbar.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                                \n\t\t\t\t
                                                                \n\t\t\t\t\t

                                                                Kernelemente eines Konzernmandats\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                                                \n\t\t\t\t
                                                                \n\t\t\t\t\t\t\t\t\t

                                                                Ein belastbares Konzernmandat sollte mindestens folgende Elemente erkennen lassen:<\/p>

                                                                Lead DSB<\/b>
                                                                Pers\u00f6nlich benannte Hauptperson, die f\u00fcr die Wahrnehmung der Funktion zust\u00e4ndig ist.<\/p>

                                                                Vertretung<\/b>
                                                                Verbindlich geregelter Vertreter mit Zugriff auf die f\u00fcr das Mandat erforderlichen Informationen.<\/p>

                                                                Fachteam<\/b>
                                                                Verf\u00fcgbare juristische, technische und branchenspezifische Unterst\u00fctzung.<\/p>

                                                                Regelm\u00e4\u00dfige Abstimmung<\/b>
                                                                Festgelegte Termine mit definierter Agenda und Nachverfolgung vereinbarter Ma\u00dfnahmen.<\/p>

                                                                Auditplan<\/b>
                                                                Risikoorientierte Pr\u00fcfungen \u00fcber Gesellschaften, Standorte und Themenbereiche hinweg.<\/p>

                                                                KPI- und Management-Reporting<\/b>
                                                                Verdichtete Darstellung wesentlicher Risiken, Ma\u00dfnahmen, Fristen und Entwicklungen.<\/p>

                                                                Incident-Eskalation<\/b>
                                                                Definierter Prozess f\u00fcr dringende oder besonders risikoreiche Datenschutzvorf\u00e4lle.<\/p>

                                                                Beh\u00f6rdenkommunikation<\/b>
                                                                Geregelte Zusammenarbeit mit den zust\u00e4ndigen Aufsichtsbeh\u00f6rden.<\/p>

                                                                Fehlt eines dieser Elemente, sollte gepr\u00fcft werden, durch welche andere organisatorische Regelung die jeweilige Funktion sichergestellt wird.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                                \n\t\t\t\t
                                                                \n\t\t\t\t\t

                                                                Pr\u00fcffragen f\u00fcr bestehende DSB-Mandate\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                                                \n\t\t\t\t
                                                                \n\t\t\t\t\t\t\t\t\t

                                                                Bei der \u00dcberpr\u00fcfung eines bestehenden Vertrags oder Betriebskonzepts k\u00f6nnen insbesondere folgende Fragen herangezogen werden:<\/p>

                                                                • Wer vertritt den Datenschutzbeauftragten?<\/li>
                                                                • Welche Gesellschaften sind konkret vom Mandat umfasst?<\/li>
                                                                • Welche Reaktionszeit gilt bei einem kritischen Datenschutzvorfall?<\/li>
                                                                • Welche Audits sind f\u00fcr das laufende Jahr vorgesehen?<\/li>
                                                                • Welche Datenschutzrisiken werden der Gesch\u00e4ftsleitung berichtet?<\/li>
                                                                • Wie werden Empfehlungen und abweichende Entscheidungen dokumentiert?<\/li>
                                                                • \u00dcber welche Plattform werden offene Ma\u00dfnahmen, Fristen und Eskalationen verwaltet?

                                                                  <\/li><\/ul>

                                                                  Lassen sich diese Fragen anhand der bestehenden Unterlagen nicht beantworten, ist zu pr\u00fcfen, ob neben dem Vertrag ein hinreichend konkretes Betriebskonzept vorhanden ist.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                                  \n\t\t\t\t
                                                                  \n\t\t\t\t\t

                                                                  Fazit<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                                                  \n\t\t\t\t
                                                                  \n\t\t\t\t\t\t\t\t\t

                                                                  Die Benennung eines Konzern-Datenschutzbeauftragten schafft die gesetzlich vorgesehene Funktion. Sie gew\u00e4hrleistet f\u00fcr sich genommen jedoch noch nicht, dass diese Funktion innerhalb einer komplexen Unternehmensgruppe wirksam ausge\u00fcbt werden kann.<\/p>

                                                                  Hierf\u00fcr sind insbesondere erforderlich:<\/p>

                                                                  • ein eindeutig definierter Geltungsbereich,<\/li>
                                                                  • angemessene personelle Kapazit\u00e4ten,<\/li>
                                                                  • Fach- und Branchenkompetenz,<\/li>
                                                                  • eine verbindliche Vertretungsregelung,<\/li>
                                                                  • lokale Einbindung,<\/li>
                                                                  • regelm\u00e4\u00dfige operative Abl\u00e4ufe,<\/li>
                                                                  • ein risikoorientierter Auditplan,<\/li>
                                                                  • Management-Reporting,<\/li>
                                                                  • dokumentierte Empfehlungen,<\/li>
                                                                  • geregelte Eskalationswege,<\/li>
                                                                  • eine festgelegte Beh\u00f6rdenkommunikation,<\/li>
                                                                  • geeignete technische Unterst\u00fctzung.

                                                                    <\/li><\/ul>

                                                                    Bei der Auswahl eines externen Datenschutzbeauftragten sollten gr\u00f6\u00dfere Unternehmen daher neben der pers\u00f6nlichen Fachkunde auch die Verf\u00fcgbarkeit, Kontinuit\u00e4t, Nachweisf\u00e4higkeit und organisatorische Ausgestaltung des vorgesehenen Servicekonzepts pr\u00fcfen.<\/p>

                                                                    Ma\u00dfgeblich ist, ob das Mandat \u00fcber einen Vertrag hinaus \u00fcber ein nachvollziehbares und belastbares Betriebsmodell verf\u00fcgt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                                    \n\t\t\t\t
                                                                    \n\t\t\t\t\t

                                                                    Fragen und Antworten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                                                                    \n\t\t\t\t
                                                                    \n\t\t\t\t\t\t\t\t\t

                                                                    K\u00f6nnen Konzerne einen gemeinsamen Datenschutzbeauftragten benennen?<\/h3>

                                                                    Eine Unternehmensgruppe kann nach der DSGVO einen gemeinsamen Datenschutzbeauftragten benennen, sofern dieser von jeder Niederlassung aus leicht erreichbar ist. Dabei sollten der Geltungsbereich, die Erreichbarkeit und die Ber\u00fccksichtigung lokaler Anforderungen eindeutig geregelt werden.<\/p>

                                                                    Kann ein Konzern einen externen Datenschutzbeauftragten einsetzen?<\/h3>

                                                                    Ja. Die Aufgaben des Datenschutzbeauftragten k\u00f6nnen auf Grundlage eines Dienstleistungsvertrags extern wahrgenommen werden. Die Gr\u00f6\u00dfe der Unternehmensgruppe steht dem grunds\u00e4tzlich nicht entgegen, erfordert jedoch ein Betriebsmodell, das den Umfang und die Komplexit\u00e4t des Mandats angemessen ber\u00fccksichtigt.<\/p>

                                                                    Welche Anforderungen stellt ein Konzern an einen externen Datenschutzbeauftragten?<\/h3>

                                                                    Neben der erforderlichen Fachkunde sind insbesondere ausreichende Kapazit\u00e4ten, Vertretung, Erreichbarkeit, Branchenkenntnisse, definierte Serviceprozesse, Audit-Unterst\u00fctzung, Management-Reporting, Begleitung von Datenschutzvorf\u00e4llen und geregelte Beh\u00f6rdenkommunikation relevant.<\/p>

                                                                    Warum gen\u00fcgt die Benennung eines Datenschutzbeauftragten nicht?<\/h3>

                                                                    Die Benennung legt fest, wer die Funktion wahrnimmt. Sie regelt jedoch regelm\u00e4\u00dfig nicht, wie Anfragen, Pr\u00fcfungen, Audits, Datenschutzvorf\u00e4lle, Eskalationen und Berichte im laufenden Betrieb bearbeitet werden.<\/p>

                                                                    Was geh\u00f6rt in ein DSB-Betriebsmodell?<\/h3>

                                                                    Ein DSB-Betriebsmodell umfasst insbesondere Mandat und Geltungsbereich, Lead DSB, Vertretung, Fachteam, lokale Ansprechpartner, Kapazit\u00e4ten, regelm\u00e4\u00dfige Abstimmungen, Auditplan, Kennzahlen, Reporting, Incident-Prozesse, Eskalationswege und Beh\u00f6rdenkommunikation.<\/p>

                                                                    Muss ein externer Datenschutzbeauftragter st\u00e4ndig verf\u00fcgbar sein?<\/h3>

                                                                    Der Datenschutzbeauftragte muss f\u00fcr die Organisation, Besch\u00e4ftigte, betroffene Personen und Aufsichtsbeh\u00f6rden in angemessener Weise erreichbar sein. F\u00fcr kritische Vorg\u00e4nge sollten konkrete Reaktionszeiten und belastbare Vertretungsregelungen vereinbart werden.<\/p>

                                                                    Welche Aufgaben haben lokale Datenschutzkoordinatoren?<\/h3>

                                                                    Lokale Datenschutzkoordinatoren k\u00f6nnen die DSB-Funktion unterst\u00fctzen, indem sie Informationen zusammentragen, Ansprechpartner vermitteln und die Umsetzung von Ma\u00dfnahmen nachverfolgen. Sie ersetzen den Datenschutzbeauftragten nicht.<\/p>

                                                                    Welche Kennzahlen sind f\u00fcr ein DSB-Mandat geeignet?<\/h3>

                                                                    In Betracht kommen beispielsweise offene kritische Ma\u00dfnahmen, \u00fcberf\u00e4llige Aufgaben, Bearbeitungszeiten nach Priorit\u00e4tsstufen, laufende Datenschutz-Folgenabsch\u00e4tzungen, wiederkehrende Auditfeststellungen und der Bearbeitungsstand kritischer Empfehlungen.<\/p>

                                                                    Wie sollte der Datenschutzbeauftragte an die Gesch\u00e4ftsleitung berichten?<\/h3>

                                                                    Das Reporting sollte insbesondere wesentliche Risiken, kritische Ma\u00dfnahmen, relevante Datenschutzvorf\u00e4lle, Pr\u00fcfungsfeststellungen, Eskalationen und Ver\u00e4nderungen gegen\u00fcber vorherigen Berichtsperioden zusammenfassen.<\/p>

                                                                    Warum kann eine Softwareplattform f\u00fcr externe Datenschutzbeauftragte relevant sein?<\/h3>

                                                                    Eine Plattform kann Anfragen, Verarbeitungst\u00e4tigkeiten, Risiken, Pr\u00fcfungen, Empfehlungen, Ma\u00dfnahmen, Fristen und Nachweise miteinander verbinden. Dadurch kann die T\u00e4tigkeit der DSB-Funktion innerhalb der Unternehmensgruppe nachvollziehbar dokumentiert und gesteuert werden.<\/p>

                                                                    Welche Rolle \u00fcbernimmt Ailance beim externen Datenschutzbeauftragten?<\/h3>

                                                                    Ailance kann die strukturierte Zusammenarbeit zwischen Datenschutzbeauftragtem, Management, Fachbereichen und lokalen Ansprechpartnern unterst\u00fctzen. \u00dcber die Plattform k\u00f6nnen Vorg\u00e4nge, Empfehlungen, Ma\u00dfnahmen, Fristen und Berichte zentral dokumentiert werden.<\/p>

                                                                    Woran l\u00e4sst sich ein unzureichend ausgestaltetes DSB-Angebot erkennen?<\/h3>

                                                                    Pr\u00fcfungsbedarf besteht insbesondere bei unklaren Vertretungsregelungen, nicht benannten Ansprechpartnern, fehlenden Reaktionszeiten, einem fehlenden Auditplan, nicht vorgesehenem Management-Reporting, unklaren Eskalationswegen und Kapazit\u00e4ten, die dem Umfang des Mandats erkennbar nicht entsprechen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                                                                    \n\t\t\t\t
                                                                    \n\t\t\t\t\t