Oft stellt man sich den DSB (Datenschutzbeauftragten, französisch DPO) als eine Versicherung vor, die man im Schadensfall aktiviert. Es ist genau umgekehrt. Seinen Wert entfaltet er vor dem Vorfall, solange eine Entscheidung noch geändert werden kann. Wird er erst im Nachhinein gefragt, kann er nur noch den Schaden feststellen.

Die Lehre aus einem realen Fall

2025 installierte eine große Handelskette versteckte Kameras in ihren Lagerräumen. Der DSB wurde erst informiert, als die Anlage bereits montiert und sogar schon wieder abgebaut war. Die CNIL rügte unter mehreren Verstößen auch, dass der DSB nicht rechtzeitig eingebunden wurde, und verhängte ein Bußgeld von insgesamt 100.000 Euro.

Die Botschaft ist klar: Es genügt nicht, den DSB zu konsultieren, wenn das Projekt bereits läuft. Kann er die Entscheidung nicht mehr beeinflussen, ist die Pflicht nicht erfüllt. Operativer Zeitdruck entschuldigt nichts, im Gegenteil: Er verlangt, dass Sie eine Vertretung und eine vorherige Konsultation einplanen.

Eine zu spät abgegebene Stellungnahme ist keine Stellungnahme. Sie ist ein Protokoll.

Der Meilenstein, der alles verändert

Konkret wird ein nützlicher DSB schon bei der Konzeption eines Projekts eingebunden, nicht erst bei dessen Abschluss: vor dem Kauf einer Software, vor der Entwicklung eines Algorithmus, vor der Wahl einer Rechtsgrundlage, vor der Installation einer Überwachung. Bestimmte Themen lösen diesen Meilenstein automatisch aus: sensible Daten, Minderjährige, Biometrie, Scoring, KI, Mitarbeiterüberwachung, Übermittlung außerhalb Europas, Massendatenerhebung.

Die Datenpanne: 72 Stunden, nur ein Versuch

Bei einer Datenschutzverletzung läuft die Uhr schnell: Die Meldung an die CNIL muss, sofern ein Risiko besteht, unverzüglich und möglichst innerhalb von 72 Stunden erfolgen. Der DSB muss sofort informiert werden und berät zu Risiko und Dokumentation, doch die Entscheidung zur Meldung liegt beim Verantwortlichen.

Ohne Verfahren und ohne Vertretung gehen diese 72 Stunden in Besprechungen verloren. Ein dpo@-Postfach, das im Urlaub niemand liest, die Abhängigkeit von einer einzigen Person, ein nicht vorhandener Notfallzugang: lauter Details, die an diesem Tag eine verspätete Meldung kosten.

Was ein DSB nicht tut, und das ist wichtig

Ein DSB übernimmt nicht Ihre Verantwortung. Er berät, kontrolliert und warnt unabhängig; die Pflicht, die Compliance nachzuweisen, bleibt bei Ihnen. Wenn ein Dienstleister Ihnen „null Sanktionen“ verspricht, sollten Sie hellhörig werden: Das sieht das Recht nicht vor, und genau das schützt Sie nicht.

Was Sie schützt, ist die Dokumentation: datierte Stellungnahmen, nachvollziehbar begründete Entscheidungen, wenn Sie vom Rat abweichen, und der Nachweis, dass der DSB rechtzeitig konsultiert wurde. Am Tag der Kontrolle spricht diese Akte für Sie.

Zwei Maßnahmen für heute

Ergänzen Sie bei Ihren datenrelevanten Projekten ein Feld „Stellungnahme DSB“ und schreiben Sie noch heute Ihr Verfahren für Datenschutzverletzungen auf: Wer schlägt Alarm, wer entscheidet, wer vertritt bei Abwesenheit. Diese beiden Routinen sind mehr wert als jede Vertragsklausel.

Der beste Zeitpunkt, den DSB anzurufen, ist vorher. Der schlechteste, wenn die CNIL schon angerufen hat.