Kurzbeitrag : Bürokratieabbau durch betriebliche undbehördliche Datenschutzbeauftragte im Digital-Omnibus : aus der RDV 4/2026, Seite 199 bis 202

III. Incentives durch Bestellpflicht in EG-DS-Richtlinie und DS-GVO

Die EG-Datenschutzrichtline^[4] aus dem Jahr 1995 sah eine Meldepfl icht für alle Datenverarbeitungen bei den Datenschutzaufsichtsbehörden und eine Vorabkontrolle bei kritischen Datenverarbeitungen vor. Eine Ausnahme hiervon war nach Art. 18 gegeben, wenn die Mitgliedstaaten nach nationalem Recht eine Bestellpfl icht betrieblicher oder behördlicher Datenschutzbeauftragter vorsahen. Dieser hatte nach Art. 20 auch die Aufgabe, die Vorabkontrolle durchzuführen. Diese Regelung war auf initiative Deutschlands in die Datenschutzrichtlinie aufgenommen worden, um den positiven Erfahrungen durch die sogenannte betriebliche Selbstkontrolle im Datenschutz Rechnung zu tragen. Die Bestellung interner Datenschutzbeauftragter hatte damit die Zielsetzung, entscheidend zur Entbürokratisierung und zu einer effi zienten Datenschutzpraxis beizutragen.

In der DS-GVO dienen die Art. 37 bis 39 der Effektivierung der Datenschutzpraxis durch betriebliche und behördliche Selbstkontrolle. Deshalb sieht Art. 37 Abs. 4 vor, dass auf nationaler Ebene eine weiterreichende Benennungspfl icht vorgesehen werden kann. Auf Art. 37 Abs. 4 DS-GVO basiert auf § 38 Abs. 1 BDSG, der für nichtöffentliche Stellen in Deutschland zunächst im Kern diejenigen Voraussetzungen für die verpfl ichtende Benennung eines Datenschutzbeauftragten verschrieb, wie sie auch schon unter dem BDSG a.F. galten. Im Jahr 2019 erfolgt eine Anhebung des Schwellenwerts für die Benennung von zehn auf 20 Personen.

Die Einhaltung der DS‑GVO stellt die Unternehmen vor großen Herausforderungen und dem Druck, die bußgeld- und schadenersatzbewährten Vorgaben einzuhalten. Der Datenschutzbeauftragte als fachkundiges internes Beratungs- und Kontrollorgan leistet insoweit nicht nur einen wichtigen Beitrag zum Persönlichkeitsrechtsschutz, sondern hilft auch bei der Reduzierung von Unternehmensrisiken.^[5]Dies sieht auch der Europäische Datenschutzausschuss ähnlich, der den Datenschutzbeauftragten als „Schlüsselfigur“ bezeichnet, der die Einhaltung der Bestimmungen der DS‑GVO erleichtert und als Bindeglied zwischen den maßgeblichen Interessen der Aufsichtsbehörden von betroffenen Personen und Unternehmensleitung fungiert.^[6]

Die Bestellpflicht nach Art. 37 DS‑GVO ist aber anders als in der EG-Datenschutzrichtlinie nur sehr eingeschränkt mit Incentives verbunden. Eine Meldepflicht von Datenverarbeitungen sieht die DS‑GVO nicht mehr vor. Das Verzeichnis der Verarbeitungstätigkeiten gemäß Art.  30 DS‑GVO dient in erster Linie dem internen Datenschutzmanagement, die Vorabkontrolle wurde durch die Datenschutz-Folgenabschätzung ersetzt.

Der betriebliche Datenschutzbeauftragte wird lediglich in Art. 57 Abs. 3 DS‑GVO eingeschränkt – „gegebenenfalls“ – durch die Unentgeltlichkeit ihm gegenüber vorgenommenen Handlungen der Datenschutzaufsichtsbehörde privilegiert. Dieser Zusatz wurde auf Initiative der Bundesrepublik Deutschland in die Fassung der DS‑GVO aufgenommen.^[7] Dies stärkt die Unabhängigkeit seiner Stellung gegenüber dem Verantwortlichen, der für die Kosten aufkommen müsste. Unentgeltlich sind die in der DS‑GVO vorgesehenen Formen der Zusammenarbeit des DSB mit der Datenschutzaufsichtsbehörde, wenn sie zwingend sind. Dies ist z.B. der Fall bei der vorherigen Konsultation im Rahmen der DSFA (vgl. Art. 39 Abs. 1 lit. e)). Außerdem unentgeltlich sollten die Leistungen der Aufsichtsbehörden in Bezug auf Anfragen sein, die der – auch freiwillig benannte – Datenschutzbeauftragte zur Gewährleistung des Grundrechtsschutzes betroffener Personen tätigt, als Zwischeninstanz zur Datenschutzaufsichtsbehörde.^[8]

IV. Der Digital-Omnibus der EU-Kommission

Der Ansatz des Digital-Omnibus der Europäischen Kommission (COM(2025) 837 final)^[9] zielt darauf ab, regulatorische Anforderungen zu vereinfachen, Bürokratie abzubauen und die Wettbewerbsfähigkeit zu stärken, ohne das bestehende Datenschutzniveau zu senken. Vor diesem Hintergrund sollte die DS‑GVO gezielt dort angepasst werden, wo wirksame interne Strukturen bereits heute zu besserer Compliance führen. Dazu sollten Unternehmen, die Datenschutz strukturiert organisieren – insbesondere durch die Einbindung eines Datenschutzbeauftragten regulatorisch entlastet werden, geringeren Sanktionsrisiken unterliegen und wirtschaftlich profitieren. Zu diesem Zweck sollte die DS‑GVO um Incentives insbesondere zur freiwilligen Benennung von Datenschutzbeauftragten nach Art.  37 Abs.  4 DS‑GVO ergänzt werden.

V. Incentives für die Benennung in der DS‑GVO

1. Erstprüfung von Beschwerden (Ergänzung Art. 77 Abs. 2 DS‑GVO)

Eine sofortige Beschwerde bei der Aufsichtsbehörde löst in der Regel bürokratischen Aufwand aus. Ein Vertreter der Aufsichtsbehörde hat sich mit der Beschwerde an den Verantwortlichen zu wenden, der intern eruieren muss, inwieweit die Beschwerde begründet ist. Dabei sind interne Verfahren und Geschäftsprozesse dem Vertreter der Aufsichtsbehörde zum Verständnis zu erläutern. Die Aufsichtsbehörde steht damit zunächst zwischen dem Beschwerdeführer und dem Verantwortlichen in zum Teil komplexen Sachverhalten. Unbürokratischer kann die Beschwerde unmittelbar über den Kontakt zum betrieblichen Datenschutzbeauftragten bearbeitet werden, der ehedem im Rahmen seines Überwachungs- und Beratungsauftrags an der ordnungsgemäßen Bearbeitung von Beschwerden hinwirkt. Deshalb empfiehlt es sich, in Art. 77 Abs. 2 DS‑GVO eine Regelung aufzunehmen, nach der bei Benennung eines Datenschutzbeauftragten nach Art. 37 DS‑GVO die Beschwerde bei der Aufsichtsbehörde nur zulässig ist, wenn die betroffene Person die Beschwerde zuvor bei dem Verantwortlichen oder dem Auftragsverarbeiter eingelegt hat und dieser der Beschwerde nicht oder nicht vollständig innerhalb eines Monats nach dem Eingang der Beschwerde abgeholfen hat. Insofern ergänzt die vorgeschlagene Regelung die in Art. 38 Abs. 4 DS‑GVO, wonach der Datenschutzbeauftragte Ansprechpartner für Betroffene ist. Die Kontaktdaten des Datenschutzbeauftragten ergeben sich für den Betroffenen aus den Informationen gem. Art. 13 Abs. 1 lit. b) bzw. Art. 14 Abs. 1 lit. b) und sind gem. Art. 37 Abs. 7 DS‑GVO zu veröffentlichen.

Hat der Verantwortliche keine Pflicht zur Benennung eines Datenschutzbeauftragten, kann er den kürzeren Weg bei der Bearbeitung von Beschwerden über eine freiwillige Benennung gemäß Art. 37 Abs. 4 DS‑GVO erreichen.

Eine Erstprüfung durch betriebliche Datenschutzbeauftragte entlastet zugleich auch die staatliche Datenschutzaufsicht. Die Landesbeauftragte für Datenschutz und Informationszugang Schleswig-Holstein berichtet in ihrem Tätigkeitsbericht für das Jahr 2025 sogar von einer Zunahme der Beschwerden von 50 Prozent.^[10] In ihrem Tätigkeitsbericht für das Jahr 2025 weist die Landesbeauftragte für den Datenschutz und Informationsfreiheit Nordrhein-Westfalen darauf hin, dass allein bei den Einzelbeschwerden von Personen, die sich von einem Datenschutzverstoß betroffen sehen, es im Berichtsjahr einen Anstieg zum Vorjahr von rund 67 Prozent gab.^[11]

2. Ergänzung der Aufgaben des Datenschutzbeauftragten in Art. 39 Abs. 1 DS‑GVO

In Konsequenz der Erstprüfung von Beschwerden müssten auch die Aufgaben des Datenschutzbeauftragten in Art.  39 ergänzt werden. Dieser hätte sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gegen eine Verarbeitung personenbezogener Daten durch den Verantwortlichen oder den Auftragsverarbeiter zu befassen und den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen.

Diese Ergänzung steht in Zusammenhang mit der Neuregelung in Art.  77 Abs.  2 DS‑GVO, nach der eine Beschwerde bei der Aufsichtsbehörde erst zulässig ist, wenn der Verantwortliche oder der Auftragsverarbeiter sich zuvor mit der Beschwerde befasst hat und dieser nicht oder nicht vollständig abgeholfen hat.

Die zusätzliche Aufgabe des Datenschutzbeauftragten dient auch der Entlastung der Aufsichtsbehörden, indem die Beschwerde zunächst durch den Datenschutzbeauftragten als fachkundige Stelle innerhalb des Verantwortlichen oder Auftragsverarbeiters vorgeprüft wird. Stellt der Datenschutzbeauftragte im Rahmen seiner Untersuchung fest, dass die Beschwerde begründet ist, weil ein Verstoß gegen die DS‑GVO vorliegt, berät er den Verantwortlichen oder Auftragsverarbeiter hinsichtlich geeigneter und verhältnismäßiger Abhilfemaßnahmen.

3. Ergänzung der Bemessungsgrundlagen des Bußgeldes in Art. 83 DS‑GVO

Ein Incentive für die Benennung eines Datenschutzbeauftragten sollte auch eine Ergänzung in Art. 83 Abs. 2 DS‑GVO sein. So sollten sich das Vorhandensein wirksamer interner Datenschutz-Governance-Strukturen, einschließlich der Benennung eines Datenschutzbeauftragten gemäß Art.  37, dessen nachweisliche und frühzeitige Einbindung in die relevanten Verarbeitungsprozesse und wirksame Verfahren zur Bearbeitung von Beschwerden betroffener Personen mit zeitnaher Bearbeitung über einen Datenschutzbeauftragten bei der Bemessung des Bußgeldes auswirken.

4. Ergänzung zu den Befugnissen der Aufsichtsbehörden in Art. 58 DS‑GVO

Art.  58 DS‑GVO könnte um einen neuen Abs.  ergänzt werden, wonach bei der Auswahl und Ausgestaltung von Maßnahmen die Aufsichtsbehörden das Vorhandensein und die Wirksamkeit interner Datenschutz-Governance-Strukturen, einschließlich eines Datenschutzbeauftragten, zu berücksichtigen haben.

5. Ergänzung des Art. 22 DS‑GVO zur automatisierten Einzelfallentscheidung

Die Regelung zum Verbot automatisierter Einzelentscheidungen erhält durch den Einsatz Künstlicher Intelligenz, insbesondere in den Bereichen der Hochrisiko-KI, eine neue Dynamik. Insofern können die Voraussetzungen für die Ausnahmeregelung vom Verbot in einer Ergänzung in Art.  22 Abs. 3 DS‑GVO konkretisiert werden. Danach könnten die in Abs. 2 genannten Ausnahmen vom Verbot der automatisierten Einzelfallentscheidung, als mit angemessenen Maßnahmen versehen bewertet werden, wenn ein Datenschutzbeauftragter die automatisierte Entscheidungslogik, die Risiken für die Rechte und Freiheiten der betroffenen Person sowie die vorgesehenen Schutzmaßnahmen geprüft und dokumentiert hat.

6. Änderung Art. 36 DS‑GVO (Vorherige Konsultation)

Art.  36 könnte die Verpflichtung zur Konsultation der Aufsichtsbehörde bei Restrisiken nach einer Datenschutz-Folgenabschätzung entfallen lassen, wenn ein gemäß Art.  37 benannter Datenschutzbeauftragter die Datenschutz-Folgenabschätzung geprüft, die Wirksamkeit der vorgesehenen Abhilfemaßnahmen bestätigt und das verbleibende Restrisiko für die Rechte und Freiheiten der betroffenen Personen als vertretbar bewertet und dokumentiert hat.

7. Änderung der Meldefristen in Art. 33 DS‑GVO bei Datenschutzverletzungen

Art. 33 könnte bei Benennung eines Datenschutzbeauftragten, der die Untersuchung und Bewältigung der Verletzung des Schutzes personenbezogener Daten koordiniert, die Frist zur Übermittlung der detaillierten Informationen gemäß Abs.  3 auf bis zu 144 Stunden verlängern, sofern eine erste Kurzmeldung innerhalb der Frist gemäß Abs. 1 erfolgt ist.

8. Ergänzung des Art. 5 Abs. 2 DS‑GVO

Die Ergänzung der Aufgaben und Stärkung der Positionierung von betrieblichen Datenschutzbeauftragten mittels vorgenannter Incentives wirkt sich auch auf die Beurteilung der Rechenschaftspflicht aus. Als Bestandteil geeigneter Governance-Strukturen wird der DSB durch die vorgeschlagenen Incentives vom optionalen Governance-Instrument zu einem rechtlich relevanten „Accountability-Indikator“, der in Art.  5 Abs. 2 auch rechtlich gewürdigt und in die DS‑GVO integriert werden sollte. Der Datenschutzbeauftragte ist ein Indiz für gelebte Rechenschaftspflicht.

Insoweit wäre auch ein ergänzender Erwägungsgrund mit folgendem Inhalt zu empfehlen: „Zur Verringerung des Verwaltungsaufwands und zur Förderung einer wirksamen Einhaltung dieser Verordnung sollten Verantwortliche und Auftragsverarbeiter, die über robuste interne Datenschutzstrukturen verfügen, angemessen berücksichtigt werden. Die Benennung eines Datenschutzbeauftragten und dessen Einbindung in die Organisation tragen wesentlich zur Einhaltung dieser Verordnung bei und rechtfertigen eine differenzierte regulatorische Behandlung, insbesondere im Hinblick auf Aufsichtsmaßnahmen, Geldbußen und Zertifizierungsmechanismen.“

*Rechtsanwalt Andreas Jaspers ist Geschäftsführer der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V.

_{[1]https://www.bundesregierung.de/resource/blob/2196306/2445592/bc8e5e160d879f0bdd593121a96a45d2/2026-07-02-koaausschuss-data.pdf.}

_{[2]https://bmds.bund.de/fileadmin/BMDS/Dokumente/2025-12-04-mpkstaatsmodernisierung-data_CDR.pdf.}

_{[3]https://www.gdd.de/aktuelles/datenschutzpflichten-der-leitung-von-unternehmen-ohne-datenschutzbeauftragte/.}

_{[4] Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.}

_{[5] HK DS‑GVO/BDSG – Jaspers/Reif, Art. 37 Rn. 2}

_{[6] Art.-29-Datenschutzgruppe WP 243 rev. 01, S. 4 f., bestätigt durch den EDSA am 25.5.2018.}

_{[7] Kühling/Buchner-Boehm, Art. 57 Rn. 26 m.w.N}

_{[8] HK DS‑GVO/BDSG – Kugelmann/Buchmann, Art. 57 Rn. 121 f.}

_{[9]https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52025PC0837.}

_{[10]https://www.datenschutzzentrum.de/uploads/tb/20260416_ULD_PM_TB2026.pdf.}

_{[11]https://www.ldi.nrw.de/system/files/media/document/file/31_bericht_2026.pdf.}