Datenschutzbeauftragten wechseln: Übergabe, Aufgaben und Kosten

Der bisherige Datenschutzbeauftragte hört auf, der Vertrag läuft aus oder Sie möchten die externe Betreuung wechseln. Intern bestehen bereits Abläufe, aber niemand weiß genau, welche Unterlagen, Zugänge und offenen Vorgänge übergeben werden müssen. Ein geordneter Wechsel braucht mehr als neue Kontaktdaten in der Datenschutzerklärung: klare Zuständigkeiten, eine sichere Übergabe und einen nachvollziehbaren Leistungsumfang.

Was muss vor dem Wechsel geklärt werden?

1. Benennung und Vertragsverhältnis unterscheiden. Die datenschutzrechtliche Funktion und der Arbeits- oder Dienstvertrag sind nicht dasselbe. Prüfen Sie Laufzeit, Kündigung, Beendigung der Benennung und den geplanten Beginn der Nachfolge getrennt.
2. Offene Fristen sichtbar machen. Betroffenenanfragen, Sicherheitsvorfälle, Behördenpost und laufende Prüfungen dürfen beim Wechsel nicht unbearbeitet bleiben.
3. Interne Verantwortung festlegen. Wer entscheidet, wer setzt Maßnahmen um und wer stellt der neuen benannten Person die Informationen bereit?
4. Übergabe sicher organisieren. Dokumente und Zugriffsrechte nach Bedarf übertragen, den Empfang dokumentieren und überholte Berechtigungen kontrolliert beenden.

Benötigt Ihr Unternehmen weiterhin einen Datenschutzbeauftragten?

Prüfen Sie die Benennungspflicht anhand der tatsächlichen Verarbeitung. Art. 37 DSGVO knüpft sie unter anderem an bestimmte Kerntätigkeiten wie umfangreiche regelmäßige und systematische Überwachung oder umfangreiche Verarbeitung besonderer Datenkategorien. In Deutschland ergänzt § 38 BDSG diese Regeln: unter anderem bei in der Regel mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten, sowie in weiteren gesetzlich genannten Fällen unabhängig von dieser Zahl. Die Gesamtzahl der Beschäftigten allein beantwortet die Frage nicht.

Bei einer fortbestehenden Pflicht darf der Wechsel nicht einfach zu einer ungeklärten Lücke führen. Auch eine freiwillige Benennung hat rechtliche Folgen für die Stellung und Aufgaben. Die Prüfung der Pflicht ersetzt keine Prüfung der Vertragsbeendigung.

Abberufung, Kündigung und Nachfolge: keine automatische Austauschbarkeit

Art. 38 Abs. 3 DSGVO schützt davor, wegen der Erfüllung der Datenschutzaufgaben abberufen oder benachteiligt zu werden. Zusätzlich sind die anwendbaren nationalen Schutzregeln zu prüfen. § 38 Abs. 2 BDSG verweist für bestimmte Fälle auf § 6 BDSG. Ist die Benennung verpflichtend, ist die Abberufung nur in entsprechender Anwendung des § 626 BGB, also aus wichtigem Grund, zulässig. Für intern benannte Beschäftigte gilt zudem der besondere Schutz vor Kündigung des Arbeitsverhältnisses, der grundsätzlich noch ein Jahr nach Ende der Tätigkeit fortwirkt; eine Kündigung aus wichtigem Grund bleibt möglich. Bei freiwilliger Benennung greift dieser besondere Schutz aus § 6 Abs. 4 BDSG nicht, Art. 38 Abs. 3 DSGVO bleibt anwendbar. Die Auswirkungen auf externe Dienstverhältnisse und Befristungen sind anhand der Gestaltung gesondert zu prüfen.

Halten Sie fest, was tatsächlich enden soll, welche Kündigung bereits erklärt wurde und welche Zusagen bestehen. Die Arbeitshilfe unten ist kein Kündigungs- oder Abberufungsschreiben.

Was gehört in die Übergabe?

• Organisation: Benennung, Aufgabenbeschreibung, Berichtsweg und interne Zuständigkeiten.
• Dokumentstand beim Unternehmen: Verzeichnisse der Verarbeitungstätigkeiten, Datenschutzinformationen, Löschkonzept, technische und organisatorische Maßnahmen sowie relevante Verträge.
• Prüfungen: bisherige Empfehlungen, dokumentierte Entscheidungen, Schulungen und offene Maßnahmen.
• Vorgänge: Status und Fristen von Anfragen, Beschwerden, Vorfällen und Behördenkontakten — bei der ersten Abstimmung nur abstrakt.
• Zugänge: benötigte Systeme und Berechtigungen, keine gemeinsame Liste mit Passwörtern oder unkontrollierte Vollkopie sämtlicher Daten.
• Abschluss: bestätigter Erhalt, offene Punkte, Verantwortliche und rechtlich abgestimmter Umgang mit verbleibenden Unterlagen.

Vertraulichkeit und Rechte betroffener Personen gelten auch bei der Übergabe. Die Verschwiegenheit über die Identität betroffener Personen nach § 6 Abs. 5 Satz 2 BDSG ist zu beachten; Unterlagen für die Nachfolge und für die Unternehmensleitung sind getrennt zu beurteilen. Es gibt keine pauschale Regel, sämtliche Akten sofort zu löschen oder alles unbegrenzt weiterzugeben. Umfang, Aufbewahrung und Rückgabe sind anhand der Rolle, der gesetzlichen Pflichten und des Vertrags zu bestimmen.

Welche Aufgaben bleiben im Unternehmen?

Der Datenschutzbeauftragte unterrichtet und berät, überwacht die Einhaltung und ist Ansprechpartner in den gesetzlich vorgesehenen Aufgaben. Die Unternehmensleitung bleibt für die rechtmäßige Verarbeitung verantwortlich. Die Entscheidung über Zwecke und Mittel der Verarbeitung liegt beim Verantwortlichen; die unabhängige Datenschutzfunktion darf nicht mit kollidierenden Entscheidungsbefugnissen verbunden werden.

Andere Aufgaben dürfen die unabhängige Wahrnehmung der Funktion nicht beeinträchtigen. Interessenkonflikte sind besonders dann zu prüfen, wenn dieselbe Person Prozesse gestaltet, verbindlich entscheidet und anschließend ihre eigenen Entscheidungen überwachen soll. Auch zusätzliche anwaltliche Beratung oder Vertretung ist nach Rolle und konkreter Konfliktlage getrennt zu prüfen. Grundlagen: Art. 37–39 DSGVO und Hinweise des Europäischen Datenschutzausschusses (englisch).

Grundbetreuung und Projekte: So werden Angebote vergleichbar

Eine monatliche Pauschale sagt ohne Leistungsbeschreibung wenig aus. Fragen Sie nach dem enthaltenen Umfang, der Erreichbarkeit, vereinbarten Reaktionswegen, regelmäßigen Berichten und dem Verfahren bei Mehrbedarf. Eine neue Software, eine Datenschutz-Folgenabschätzung, ein umfangreicher Vorfall oder ein besonderes Schulungsprojekt kann einen gesonderten Aufwand auslösen. Entscheidend ist, ob dies im Angebot enthalten, begrenzt oder separat zu beauftragen ist.

Trennen Sie deshalb laufende Funktion, Übergabephase und konkrete Projekte. Notieren Sie vorhandene interne Ressourcen und den erwarteten Bedarf. Pauschalen aus anderen Angeboten lassen sich nicht ohne Weiteres übertragen; die Arbeitshilfe berechnet daher keine scheinbar verbindliche Monatspauschale.

Kontaktdaten und Erreichbarkeit nach dem Wechsel

Art. 37 Abs. 7 DSGVO verlangt die Veröffentlichung der Kontaktdaten des Datenschutzbeauftragten und ihre Mitteilung an die zuständige Aufsichtsbehörde. Prüfen Sie beim Wechsel außerdem interne Meldewege, Hinweise an Betroffene und die tatsächliche Erreichbarkeit. Die geeignete Gestaltung muss sowohl Zugang als auch Vertraulichkeit gewährleisten. Zuständige Aufsichtsbehörde und gegebenenfalls mehrere betroffene Unternehmen sind gesondert zu bestimmen.

Erstellen Sie Ihren Übergabeplan

Die folgende Arbeitshilfe fragt nur den organisatorischen Stand ab. Namen, Kontaktdaten und Unternehmensname sind für den Download nicht erforderlich; ergänzen Sie diese auf Wunsch erst am Ende oder später im Dokument. Bitte geben Sie keine Passwörter, Angaben zu einzelnen Beschäftigten, Gesundheitsdaten oder Inhalte konkreter Datenschutzvorfälle ein.

Sie können den Plan herunterladen oder die vorbereiteten Angaben nach eigener Prüfung für eine kostenfreie erste Einschätzung übermitteln. Erst Ihr gesondert bestätigter Versand überträgt die Eingaben. Diese kostenfreie erste Einschätzung ist keine vollständige Datenschutzprüfung und keine Mandatsübernahme oder Übernahme der Funktion; Leistungen und Kosten werden vor einer weitergehenden Beauftragung vereinbart. Das Formular wahrt keine Fristen.

Rechtsstand geprüft am 3. Oktober 2026. Die Umsetzung richtet sich nach den tatsächlichen Verarbeitungen, Vertragsverhältnissen und Zuständigkeiten.