Wen die Verordnung verpflichtet — und wen nicht

Die DSGVO kennt den Verantwortlichen, nicht die Führungskraft. Verpflichtet ist in der Regel das Unternehmen. Erfüllt wird die Pflicht aber an der Stelle, an der entschieden wird — und das ist Ihr Tisch.

Warum das wichtig ist

Diese Unterscheidung entlastet und verpflichtet gleichzeitig. Sie sind nicht Adressat der Pflichten, also haftet nicht Ihr Name. Gleichzeitig landet fast jede Pflicht irgendwann bei jemandem, der etwas anordnen kann.

Pflichten entstehen leise: bei einem neuen Werkzeug, einer neuen Auswertung, einem neuen Dienstleister, einer Liste, die jemand anlegt, weil sie praktisch ist. Alle vier haben einen gemeinsamen Moment — die Stelle, an der jemand „machen wir" sagt.

Und ein Irrtum gehört hierher: Mit der Benennung eines Datenschutzbeauftragten ist das Thema nicht abgegeben. Er berät und überwacht; entscheiden tut die Leitung.

Was das Gesetz sagt

Art. 4 Nr. 7 DSGVO

„die natürliche oder juristische Person … die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet"

Art. 39 Abs. 1 DSGVO

„Dem Datenschutzbeauftragten obliegen zumindest folgende Aufgaben: Unterrichtung und Beratung … Überwachung der Einhaltung"

So macht man es richtig

1. Die drei Fragen kennen, die vor jeder Entscheidung über Daten gestellt werden: Wer darf sie sehen? Warum dürfen wir sie haben? Wo steht, dass wir das geprüft haben?
2. Den Datenschutzbeauftragten als Berater einsetzen, nicht als Endlager für Verantwortung.
3. Jede Veränderung als Anlass behandeln: neues Werkzeug, neuer Dienstleister, neue Auswertung.

Stand: 11.10.2026