{"id":45816,"date":"2026-10-30T09:00:36","date_gmt":"2026-10-30T08:00:36","guid":{"rendered":"https:\/\/2b-advice.com\/?p=45816"},"modified":"2026-10-29T15:23:26","modified_gmt":"2026-10-29T14:23:26","slug":"dsb-empfehlung-entscheidung","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/it\/2026\/10\/30\/dsb-empfehlung-entscheidung\/","title":{"rendered":"DSB-Empfehlung: Wer entscheidet \u00fcber den Projektstart?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der DSB hat gewarnt. Wer entscheidet jetzt?<\/h1>

Ein Projekt soll zum vorgesehenen Termin starten, obwohl der Datenschutzbeauftragte eine offene Datenschutzfrage benannt und empfohlen hat, diese vor dem Einsatz zu kl\u00e4ren. Die Projektleitung verweist auf die Terminplanung. F\u00fcr die Gesch\u00e4ftsf\u00fchrung stellt sich damit die Frage, welche Voraussetzungen f\u00fcr eine Entscheidung noch fehlen und wer \u00fcber den Projektstart befinden darf. Der beschriebene Beispielfall bildet keine tats\u00e4chliche Kundenentscheidung ab.<\/p>

Eine Entscheidung, die von einer DSB-Empfehlung abweicht, sollte den gepr\u00fcften Sachverhalt, die Empfehlung, die rechtlichen Grenzen und die betrachteten Alternativen erkennen lassen. Zu dokumentieren sind au\u00dferdem die entscheidungsbefugte Stelle, ihre Begr\u00fcndung, die vorgesehenen Ma\u00dfnahmen und die Wiedervorlage. Die unabh\u00e4ngige Einsch\u00e4tzung des DSB bleibt Bestandteil des Vorgangs; die Verantwortung f\u00fcr die Entscheidung verbleibt bei der verantwortlichen Stelle.<\/p>

1. Welche Frage muss vor dem Projektstart gekl\u00e4rt werden?<\/h2>

F\u00fcr die weitere Bearbeitung ist zun\u00e4chst festzustellen, worauf sich die Empfehlung bezieht. M\u00f6glich ist, dass Angaben zum Datenfluss fehlen, eine Zul\u00e4ssigkeitsvoraussetzung ungekl\u00e4rt ist oder der DSB eine bestimmte Schutzma\u00dfnahme empfiehlt, deren Anforderungen auch durch eine andere geeignete Umsetzung erf\u00fcllt werden k\u00f6nnten.<\/p>

Daraus ergeben sich unterschiedliche Arbeitsschritte. Fehlende Informationen sind durch die fachlich zust\u00e4ndige Stelle zu beschaffen. Eine offene Rechtsfrage ben\u00f6tigt eine begr\u00fcndete Bewertung. Bestehen unterschiedliche Vorstellungen \u00fcber eine Ma\u00dfnahme, sind die vorgeschlagenen L\u00f6sungen anhand derselben Anforderungen zu beurteilen.<\/p>

Im Beispielfall sollte die Empfehlung deshalb dem betroffenen Verarbeitungsschritt zugeordnet werden. Dabei ist festzuhalten, welche Informationen dem DSB vorlagen, welche Annahmen seiner Einsch\u00e4tzung zugrunde liegen und welche Angaben oder \u00c4nderungen f\u00fcr eine erneute Beurteilung ben\u00f6tigt werden. Erst anschlie\u00dfend l\u00e4sst sich unterscheiden, ob eine fachliche Meinungsverschiedenheit besteht oder die Entscheidungsgrundlage noch unvollst\u00e4ndig ist.<\/p>

2. Wer ist zur Entscheidung befugt?<\/h2>

Der DSB unterrichtet, ber\u00e4t und \u00fcberwacht unabh\u00e4ngig. Aus dieser Funktion ergibt sich keine allgemeine operative Freigabebefugnis f\u00fcr Projekte. F\u00fcr die Einhaltung des Datenschutzrechts bleibt der Verantwortliche zust\u00e4ndig. Auf diese Abgrenzung weist auch der Europ\u00e4ische Datenschutzausschuss<\/a> hin.<\/p>

Innerhalb des Unternehmens sollte geregelt sein, welche Stelle \u00fcber den Projektstart entscheiden darf. Dies kann die Gesch\u00e4ftsf\u00fchrung oder eine entsprechend befugte Rolle sein. Die Verantwortung f\u00fcr die Terminplanung begr\u00fcndet f\u00fcr sich genommen keine Entscheidungsbefugnis. Ebenso wenig wird die datenschutzrechtliche Verantwortung des Unternehmens durch eine interne Aufgaben\u00fcbertragung auf den DSB verlagert.<\/p>

Bei einem externen DSB sind Benennung, Dienstleistungsvertrag und operative Zust\u00e4ndigkeiten auseinanderzuhalten. Die Benennung betrifft die Wahrnehmung der Funktion, der Vertrag die vereinbarten Leistungen und die Zusammenarbeit. Zus\u00e4tzlich ist intern festzulegen, wer Ma\u00dfnahmen umsetzt und Entscheidungen trifft.<\/p>

Die unabh\u00e4ngige Bewertung des DSB darf nicht durch Vorgaben zum gew\u00fcnschten Beratungsergebnis beeinflusst werden. Zus\u00e4tzliche operative Aufgaben d\u00fcrfen keine Interessenkonflikte verursachen. Dies ist insbesondere zu ber\u00fccksichtigen, wenn der DSB selbst \u00fcber Zwecke und Mittel einer Verarbeitung entscheiden soll, deren Ausgestaltung er zugleich unabh\u00e4ngig \u00fcberwacht. Art. 38 und 39 DSGVO<\/a><\/p>

3. Wo liegen die Grenzen einer Risikoakzeptanz?<\/h2>

Eine dokumentierte Risikoentscheidung ersetzt keine fehlende Zul\u00e4ssigkeitsvoraussetzung. Fehlt eine erforderliche Rechtsgrundlage, \u00e4ndert eine interne Zustimmung der Gesch\u00e4ftsf\u00fchrung daran nichts. Entsprechendes gilt f\u00fcr andere verbindliche Anforderungen an die Verarbeitung. Ma\u00dfgeblich bleiben insbesondere die Grunds\u00e4tze und Voraussetzungen nach Art. 5 und 6 DSGVO<\/a>.<\/p>

Zu pr\u00fcfen ist daher, ob die DSB-Empfehlung auf eine verbindliche Grenze hinweist oder eine bestimmte Umsetzung zur Erf\u00fcllung der Anforderungen vorschl\u00e4gt. Soweit mehrere rechtlich zul\u00e4ssige L\u00f6sungen bestehen, kann eine abweichende Umsetzung begr\u00fcndbar sein. Aus der Bewertung sollte hervorgehen, wie die gew\u00e4hlte Alternative die einschl\u00e4gigen Anforderungen erf\u00fcllt.<\/p>

F\u00fcr den Beispielfall empfiehlt es sich, den beanstandeten Verarbeitungsschritt zur\u00fcckzustellen, solange die entscheidenden Zul\u00e4ssigkeitsvoraussetzungen ungekl\u00e4rt sind. Ob andere Projektteile unabh\u00e4ngig davon weitergef\u00fchrt werden k\u00f6nnen, bedarf einer gesonderten Pr\u00fcfung. Die Entscheidungsvorlage sollte den tats\u00e4chlich bewerteten Projektumfang entsprechend abgrenzen.<\/p>

4. Wie wird eine abweichende Entscheidung dokumentiert?<\/h2>

Die DSGVO verlangt Rechenschaft \u00fcber die Einhaltung ihrer Grunds\u00e4tze und geeignete Ma\u00dfnahmen zur Erf\u00fcllung ihrer Anforderungen. Die konkrete Feldstruktur der hier vorgeschlagenen Vorlage ist eine organisatorische Arbeitshilfe. Art. 5 Abs. 2 und Art. 24 DSGVO<\/a><\/p>

Die vom EDPB verlinkten DSB-Leitlinien empfehlen, bei Meinungsverschiedenheiten die Gr\u00fcnde f\u00fcr eine Abweichung als gute Praxis zu dokumentieren. Die nachfolgende Arbeitshilfe greift diese Empfehlung auf und schl\u00e4gt daf\u00fcr f\u00fcnf Felder vor. WP243 rev.01, Abschnitt 3.1<\/a><\/p>

Sachverhalt und Empfehlung:<\/strong> Zu erfassen sind der betroffene Verarbeitungsschritt, die vorliegenden Informationen und die konkrete Empfehlung des DSB. Offene Angaben und zugrunde gelegte Annahmen sollten erkennbar sein.<\/p>

Bewertung und Rechtsgrenze:<\/strong> Festzuhalten sind die einschl\u00e4gigen Anforderungen, der bisherige Pr\u00fcfstand und die Voraussetzungen, die vor dem Einsatz noch erf\u00fcllt werden m\u00fcssen. Verbleibende Unsicherheiten geh\u00f6ren ebenfalls in die Bewertung.<\/p>

Alternativen und Begr\u00fcndung:<\/strong> Die in Betracht kommenden Umsetzungen werden anhand der benannten Anforderungen verglichen. Die Begr\u00fcndung sollte erkennen lassen, weshalb die gew\u00e4hlte Alternative geeignet erscheint und welche Bedingungen hierf\u00fcr gelten.<\/p>

Entscheidung und Zust\u00e4ndigkeit:<\/strong> Der Vermerk benennt die entscheidungsbefugte Stelle, den beschlossenen Projektumfang und die Bedingungen f\u00fcr Start, Anpassung oder Zur\u00fcckstellung. Die Verantwortung f\u00fcr die Umsetzung ist gesondert zuzuordnen.<\/p>

Nachweis und Wiedervorlage:<\/strong> Zu hinterlegen sind die Unterlagen zur Bewertung und die Belege f\u00fcr die Umsetzung. Au\u00dferdem werden die Zust\u00e4ndigkeit f\u00fcr die Wiedervorlage, ihr Zeitpunkt und m\u00f6gliche Anl\u00e4sse f\u00fcr eine vorgezogene Pr\u00fcfung festgelegt.<\/p>

Die urspr\u00fcngliche Empfehlung sollte erhalten bleiben. Eine abweichende Managemententscheidung wird ihr zugeordnet dokumentiert. Soweit neue Tatsachen zu einer aktualisierten DSB-Einsch\u00e4tzung f\u00fchren, sollten die jeweiligen Fassungen und ihre Entscheidungsgrundlagen unterscheidbar bleiben.<\/p>

Im erg\u00e4nzenden fiktiven Ausf\u00fcllbeispiel empfiehlt der DSB eine vollst\u00e4ndige Startverschiebung. Als Alternative wird eine abgegrenzte, gesondert gepr\u00fcfte Testphase ohne den beanstandeten Verarbeitungsschritt betrachtet. Eine entsprechende Entscheidung m\u00fcsste ihren Umfang, ihre Voraussetzungen und die fortbestehende DSB-Einsch\u00e4tzung erkennen lassen.<\/p>

Ungepr\u00fcfte Standardreaktion:<\/strong> Die Empfehlung wird weitergeleitet, w\u00e4hrend die Zust\u00e4ndigkeit allgemein beschrieben bleibt. Der Projekttermin oder eine pauschale Risiko\u00fcbernahme begr\u00fcnden anschlie\u00dfend den Start. Welche Alternative gepr\u00fcft wurde und wann eine erneute Bewertung erfolgt, ist daraus nicht ersichtlich.<\/p>

Gezielter Pr\u00fcf- und Entscheidungsprozess:<\/strong> Die fehlenden Angaben werden beschafft und Rechtsgrenze sowie Alternativen bewertet. Anschlie\u00dfend entscheidet die befugte Stelle \u00fcber einen abgegrenzten Projektumfang. Bedingungen, Umsetzungsverantwortung, Nachweise und Wiedervorlage werden dem Vorgang zugeordnet. Dadurch bleibt die Grundlage der abweichenden Entscheidung nachvollziehbar.<\/p>

5. Wann ist eine Eskalation an die Gesch\u00e4ftsleitung angezeigt?<\/h2>

Eine interne Eskalation kann insbesondere erforderlich werden, wenn ein kritischer Punkt trotz bevorstehenden Starts ungekl\u00e4rt bleibt, die Entscheidung die Befugnis der bisher befassten Rolle \u00fcberschreitet oder die unabh\u00e4ngige DSB-Einsch\u00e4tzung im weiteren Verfahren nicht ber\u00fccksichtigt wird. Der DSB berichtet unmittelbar der h\u00f6chsten Managementebene. Art. 38 Abs. 3 DSGVO<\/a><\/p>

Die hierf\u00fcr vorgesehenen Berichtswege geh\u00f6ren zum DSB-Betriebsmodell<\/a>. Im konkreten Dissensfall sollten Empfehlung, abweichende Bewertung und Entscheidungsbedarf gemeinsam vorgelegt werden. Die unabh\u00e4ngige Einsch\u00e4tzung des DSB bleibt dabei erhalten.<\/p>

Eine Meinungsverschiedenheit begr\u00fcndet f\u00fcr sich genommen keine allgemeine Meldepflicht gegen\u00fcber der Aufsicht. Gesondert zu beachten ist die vorherige Konsultation, wenn eine erforderliche Datenschutz-Folgenabsch\u00e4tzung ein verbleibendes hohes Risiko ergibt, das durch die vorgesehenen Ma\u00dfnahmen nicht ausreichend einged\u00e4mmt wird. In diesem Fall ist die Aufsichtsbeh\u00f6rde vor der Verarbeitung einzubeziehen. Die gesetzliche Zusammenarbeit des DSB mit der Aufsicht bleibt von internen Entscheidungswegen unber\u00fchrt. Art. 35, 36 und 39 DSGVO<\/a><\/p>

Drei kurze Fragen aus der Praxis<\/h2>

Darf die Gesch\u00e4ftsf\u00fchrung von einer DSB-Empfehlung abweichen?<\/h3>

Sie kann nach eigener Pr\u00fcfung zu einer anderen Bewertung kommen. Die gew\u00e4hlte Verarbeitung muss rechtm\u00e4\u00dfig bleiben. Empfehlung, Begr\u00fcndung und Entscheidungsbefugnis sollten nachvollziehbar dokumentiert werden.<\/p>

Welche Informationen werden f\u00fcr die Entscheidung zuerst ben\u00f6tigt?<\/h3>

Erforderlich sind insbesondere der betroffene Verarbeitungsschritt, die vorgesehenen Daten, der Zweck, die konkrete DSB-Empfehlung und die noch fehlenden Angaben. Darauf baut die Bewertung m\u00f6glicher Alternativen auf.<\/p>

Welcher Nachweis belegt die Umsetzung der Entscheidung?<\/h3>

Der Entscheidungsvermerk sollte mit Belegen f\u00fcr die festgelegten Bedingungen und der dokumentierten Wiedervorlage verbunden sein. Die blo\u00dfe Kenntnisnahme einer Empfehlung belegt noch nicht, dass die beschlossenen Ma\u00dfnahmen umgesetzt wurden.<\/p>

Die konkrete Ausgestaltung richtet sich nach dem Verarbeitungsvorgang und den einschl\u00e4gigen Anforderungen. Ein dokumentierter Dissens sollte erkennen lassen, wie die unabh\u00e4ngige Beratung in die Entscheidung eingeflossen ist und wer die Umsetzung der festgelegten Bedingungen verantwortet.<\/p>

Erg\u00e4nzende Arbeitsmaterialien<\/h2>

1. Entscheidungsvorlage mit ausgef\u00fcllten Beispielzeilen<\/h3>

Die folgenden Zeilen bilden einen fiktiven Bearbeitungsablauf<\/strong> ab. Angenommen wird, dass Datenfl\u00fcsse und Zul\u00e4ssigkeit einer geplanten Echtdatenverarbeitung zun\u00e4chst ungekl\u00e4rt sind. Eine davon abgegrenzte Testphase wird gesondert bewertet. Die Arbeitsmaterialien enthalten ausschlie\u00dflich fiktive Angaben und Rollenbezeichnungen.<\/p>

Pr\u00fcfpunkt<\/th>ben\u00f6tigte Information<\/th>zust\u00e4ndige Rolle<\/th>Entscheidung \/ n\u00e4chster Schritt<\/th>Nachweis<\/th><\/tr><\/thead>
Beispiel 1: Sachverhalt und Empfehlung<\/strong><\/td>Datenfl\u00fcsse und Rechtsgrundlage der Echtdatenverarbeitung sind ungekl\u00e4rt. Der DSB empfiehlt eine vollst\u00e4ndige Startverschiebung.<\/td>Fachbereich und Projektleitung beschaffen die Angaben; der DSB ber\u00e4t.<\/td>Den betroffenen Verarbeitungsschritt abgrenzen und die fehlenden Informationen zur Bewertung nachreichen.<\/td>Verarbeitungskonzept, urspr\u00fcngliche DSB-Empfehlung mit Datum und Fundstelle sowie dokumentierte offene Angaben.<\/td><\/tr>
Beispiel 2: Rechtsgrenze und Alternative<\/strong><\/td>Eine Testphase ohne Echtdaten und ohne den beanstandeten Verarbeitungsschritt ist beschrieben. Ihre \u00fcbrigen Anforderungen wurden gesondert bewertet.<\/td>Fachbereich und IT beschreiben die Alternative; Legal bewertet; der DSB ber\u00e4t unabh\u00e4ngig.<\/td>Ausschlie\u00dflich die gesondert bewertete Variante zur Entscheidung vorlegen. Die ungekl\u00e4rte Echtdatenverarbeitung bleibt zur\u00fcckgestellt.<\/td>Rechtspr\u00fcfvermerk, Testkonzept, Alternativenvergleich und dokumentierte DSB-Einsch\u00e4tzung.<\/td><\/tr>
Beispiel 3: Entscheidung und Wiedervorlage<\/strong><\/td>Bewertetes Testkonzept und interne Entscheidungsbefugnis liegen vor. Die Empfehlung zum vollst\u00e4ndigen Aufschub bleibt dokumentiert.<\/td>Gesch\u00e4ftsf\u00fchrung oder entsprechend befugte Stelle entscheidet; Projektleitung verantwortet Umsetzung und Wiedervorlage.<\/td>Abweichend vom vollst\u00e4ndigen Aufschub wird nur die gepr\u00fcfte Testphase zugelassen. Vor einer Erweiterung oder einem Echtdatenstart ist der Vorgang erneut vorzulegen.<\/td>Begr\u00fcndeter Entscheidungsvermerk, festgelegte Bedingungen, Umsetzungsbelege und zugeordnete Wiedervorlage.<\/td><\/tr><\/tbody><\/table><\/div>

Die Entscheidung \u00fcber die Testphase gilt ausschlie\u00dflich f\u00fcr den dokumentierten Umfang. Sie enth\u00e4lt keine vorweggenommene Freigabe der sp\u00e4teren Echtdatenverarbeitung.<\/p>

2. Ungepr\u00fcfte Standardreaktion und gezielter Pr\u00fcfprozess<\/h3>
Situation<\/th>Ungepr\u00fcfte Reaktion<\/th>Besserer Arbeitsschritt<\/th>Nachweis \/ Entscheidung<\/th><\/tr><\/thead>
Die Empfehlung ist noch nicht konkretisiert.<\/strong><\/td>Die Warnung wird lediglich weitergeleitet.<\/td>Betroffenen Verarbeitungsschritt, Annahmen und fehlende Angaben bestimmen.<\/td>Zugeordnete Empfehlung und konkreter Pr\u00fcfauftrag.<\/td><\/tr>
Die Entscheidungsbefugnis ist unklar.<\/strong><\/td>Der Projekttermin bestimmt faktisch, wer entscheidet.<\/td>Die zust\u00e4ndige und tats\u00e4chlich befugte Rolle anhand der internen Aufgabenverteilung feststellen.<\/td>Dokumentierte Entscheidungsbefugnis und benannte Entscheidungsrolle.<\/td><\/tr>
Eine Zul\u00e4ssigkeitsvoraussetzung ist offen.<\/strong><\/td>Eine pauschale Risiko\u00fcbernahme soll den Start erm\u00f6glichen.<\/td>Die verbindliche Rechtsgrenze kl\u00e4ren und den zul\u00e4ssigen Projektumfang bestimmen.<\/td>Begr\u00fcndete Bewertung und Entscheidung \u00fcber Anpassung oder Zur\u00fcckstellung.<\/td><\/tr>
Von der Empfehlung soll abgewichen werden.<\/strong><\/td>Die Empfehlung wird verworfen, ohne eine Alternative zu pr\u00fcfen.<\/td>Die Alternative anhand derselben Anforderungen bewerten und die Abweichung begr\u00fcnden.<\/td>Alternativenvergleich, fortbestehende DSB-Einsch\u00e4tzung und Entscheidungsvermerk.<\/td><\/tr>
Bedingungen m\u00fcssen umgesetzt oder Angaben erg\u00e4nzt werden.<\/strong><\/td>Der Vorgang wird mit der Entscheidung geschlossen.<\/td>Umsetzungsrolle, Nachweise und konkreten Wiedervorlageanlass festlegen.<\/td>Umsetzungsbelege, Wiedervorlage und dokumentiertes Pr\u00fcfergebnis.<\/td><\/tr><\/tbody><\/table><\/div>