Ist die Pflicht erst einmal geklärt, folgt schnell die nächste Frage: Wer? Ein Mitarbeiter im Haus, ein externer Dienstleister, ein DSB, der sich mehrere Einheiten teilen? Eine allgemein richtige Wahl gibt es nicht: Es gibt nur die Wahl, die zu Ihrem tatsächlichen Aufwand passt und eine Falle berücksichtigt, die fast immer vergessen wird.
Zuerst die Falle: der Interessenkonflikt
Der DSB kontrolliert die Konformität der Verarbeitungen. Er kann daher nicht die Person sein, die über diese Verarbeitungen entscheidet. Ein Geschäftsführer, ein IT-Leiter, ein Marketingleiter oder ein CISO mit Entscheidungsbefugnis würde sich selbst kontrollieren. Genau das hat die europäische Rechtsprechung ausdrücklich ausgeschlossen.
Die Ämterhäufung ist nicht per se verboten. Sie wird es, sobald die andere Funktion es erlaubt, die Zwecke oder Mittel einer Verarbeitung festzulegen. Das ist der häufigste Grund, warum „Das übertragen wir unserem IT-Verantwortlichen“ eine schlechte Idee ist.
Man kann nicht zugleich derjenige sein, der über die Verarbeitung entscheidet, und derjenige, der prüft, ob sie rechtmäßig ist.
Intern: Nähe, wenn der Aufwand es rechtfertigt
Ein interner DSB kennt die Organisation genau und ist im Alltag ansprechbar. Das passt für mittelgroße und große Unternehmen oder sensible Branchen mit kontinuierlichen Verarbeitungen. Das Risiko: Isolation, eine ungeeignete hierarchische Anbindung und eine tatsächlich zu knappe Zeit, wenn die Stelle in Teilzeit besetzt ist.
Extern: Expertise und Unabhängigkeit
Ein externer DSB bringt spezialisierte Expertise und eine natürliche organisatorische Unabhängigkeit mit. Für ein KMU mit regelmäßigem, aber begrenztem Aufwand ist das oft das beste Verhältnis von Sicherheit und Kosten, sofern der Vertrag Verfügbarkeit, eine Vertretung und echte Kenntnis Ihrer Prozesse garantiert. Eine Leistung von wenigen Stunden pro Jahr genügt weder einer digitalen Plattform noch einem Unternehmen, das sensible Daten verarbeitet.
Gemeinsam und hybrid: für Strukturen mit mehreren Einheiten
Eine Unternehmensgruppe kann einen einzigen DSB benennen, sofern er von jeder Niederlassung aus leicht erreichbar ist. Das hybride Modell mit einem zentralen DSB, einem Netzwerk interner Ansprechpartner und externen Experten eignet sich gut für mittelgroße Unternehmen und Gruppen: Der DSB behält die Unabhängigkeit der Kontrolle, die Ansprechpartner sammeln Informationen und setzen Maßnahmen um.
Das entscheidende Kriterium: der tatsächliche Aufwand
Schätzen Sie den Aufwand ab, bevor Sie Angebote vergleichen: Zahl der Einheiten, Mitarbeitenden und Kunden, Projektvolumen, Betroffenenanfragen, Vorfälle, Folgenabschätzungen, Auftragsverarbeiter, betroffene Länder. Diese Zahl, nicht der ausgewiesene Preis, zeigt Ihnen, ob ein Pauschalangebot trägt.
- Wenige Verarbeitungen, keine sensiblen Daten → gemeinsamer externer DSB, Pauschale mit garantiertem Mindestumfang.
- Digitales Geschäft, Personalwesen, Gesundheit oder Werbung → spezialisierter externer DSB oder interner DSB mit nennenswertem Zeitanteil, Vertretung zwingend.
- Mehrere Einheiten, gemeinsame Governance → zentraler DSB plus Ansprechpartner, formalisierte Eskalationswege.
Der Test auf Interessenkonflikte
Listen Sie die Funktionen der vorgesehenen Person auf und fragen Sie sich, ob eine davon es ihr erlaubt, über eine Verarbeitung zu entscheiden. Wenn ja, suchen Sie anderswo. Beziffern Sie dann Ihren jährlichen Aufwand, bevor Sie auch nur einen Tarif ansehen: Das ist die einzige ehrliche Grundlage, um ein Modell zu wählen, das langfristig trägt.
Ein schlecht gewählter DSB ist günstiger als ein guter, bis zum Tag der Kontrolle.
