Datenschutzbeauftragte: Vakanz überbrücken und Interim-Benennung richtig umsetzen

Kurzantwort: Wird die Stelle des Datenschutzbeauftragten frei, muss ein Unternehmen in Deutschland, das zur Benennung verpflichtet ist, eine neue Person benennen, ihre Kontaktdaten veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO). Die Pflicht besteht insbesondere, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Als Vertretung ist auch ein externer Datenschutzbeauftragter auf Basis eines Dienstleistungsvertrags zulässig (Art. 37 Abs. 6 DSGVO). In der Schweiz ist ein Datenschutzberater freiwillig (Art. 10 DSG); wer die Erleichterung nach Art. 23 Abs. 4 DSG nutzen will, veröffentlicht seine Kontaktdaten und meldet sie dem EDÖB.

Dieser Beitrag richtet sich an General Counsel, Compliance- und Datenschutzverantwortliche sowie Geschäftsleitungen in Deutschland und der Schweiz, deren Datenschutzbeauftragter ausfällt oder geht. Er zeigt, was bei der Vertretung des Datenschutzbeauftragten rechtlich gilt, wie eine Interim-Benennung sauber gelingt und was in die Übergabe gehört.

Deutschland: Benennungspflicht und Meldung

In Deutschland muss ein Unternehmen einen Datenschutzbeauftragten benennen, wenn einer der Tatbestände der DSGVO oder des BDSG erfüllt ist; die Pflicht gilt fortlaufend und entfällt nicht während einer Vakanz.

• Art. 37 Abs. 1 DSGVO: immer bei Behörden; bei Unternehmen, deren Kerntätigkeit eine umfangreiche, regelmässige und systematische Überwachung von Personen oder die umfangreiche Verarbeitung besonderer Kategorien von Daten oder von Strafdaten umfasst.
• § 38 Abs. 1 BDSG: wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, und bei geschäftsmässiger Verarbeitung zur Übermittlung, zur anonymisierten Übermittlung oder für Markt- und Meinungsforschung.

Was bei der Benennung gilt

• Qualifikation: Benannt wird auf Grundlage beruflicher Qualifikation und Fachwissen im Datenschutzrecht und in der Datenschutzpraxis (Art. 37 Abs. 5 DSGVO).
• Intern oder extern: Der Datenschutzbeauftragte kann Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6 DSGVO).
• Konzern: Eine Unternehmensgruppe kann einen gemeinsamen Datenschutzbeauftragten benennen, wenn er von jeder Niederlassung aus leicht erreichbar ist (Art. 37 Abs. 2 DSGVO).
• Meldung: Kontaktdaten veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO). Das gilt bei jedem Wechsel, auch bei einer Interim-Lösung.
• Abberufungsschutz: Bei einer Pflichtbenennung ist die Abberufung nur in entsprechender Anwendung von § 626 BGB zulässig; die Kündigung des Arbeitsverhältnisses ist während der Tätigkeit und ein Jahr danach nur aus wichtigem Grund möglich (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG).

Fehlt ein Pflicht-Datenschutzbeauftragter, kann das ein Bussgeld nach sich ziehen: Verstösse gegen Art. 37 bis 39 DSGVO sind mit bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bedroht (Art. 83 Abs. 4 lit. a DSGVO).

Angekündigte Änderung

In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat sich der Bund verpflichtet, bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen und die Benennungspflicht damit auf Art. 37 DSGVO zu beschränken. Bisher ist kein Gesetz verabschiedet; § 38 BDSG gilt unverändert weiter (Stand 31. Oktober 2026). Unberührt bliebe in jedem Fall die Pflicht nach Art. 37 Abs. 1 DSGVO.

Schweiz: freiwilliger Datenschutzberater

In der Schweiz besteht keine Pflicht, einen Datenschutzberater zu ernennen; private Verantwortliche können es tun (Art. 10 Abs. 1 DSG). Der Datenschutzberater ist Anlaufstelle für betroffene Personen und Behörden, schult und berät und wirkt bei der Anwendung der Datenschutzvorschriften mit (Art. 10 Abs. 2 DSG).

Wichtig wird die Funktion bei Datenschutz-Folgenabschätzungen. Bleibt nach einer DSFA ein hohes Risiko, muss der Verantwortliche normalerweise vorgängig den EDÖB konsultieren, der zwei Monate Zeit für Einwände hat (Art. 23 Abs. 1 und 2 DSG). Darauf kann verzichten, wer stattdessen den Datenschutzberater konsultiert hat (Art. 23 Abs. 4 DSG). Voraussetzungen nach Art. 10 Abs. 3 DSG:

• fachlich unabhängige und weisungsungebundene Ausübung der Funktion,
• keine Tätigkeiten, die mit den Aufgaben unvereinbar sind,
• die erforderlichen Fachkenntnisse,
• veröffentlichte und dem EDÖB mitgeteilte Kontaktdaten.

Wird die Stelle frei, müssen Schweizer Unternehmen sie also nicht zwingend besetzen. Ohne Datenschutzberater entfällt aber die Erleichterung nach Art. 23 Abs. 4 DSG, und veröffentlichte Kontaktdaten sind zu aktualisieren. Ein externer Datenschutzberater ist nach dem Wortlaut nicht ausgeschlossen; das ist eine Auslegung, keine ausdrückliche Norm. Schweizer Unternehmen, die zugleich der DSGVO unterliegen, prüfen zusätzlich Art. 37 DSGVO. Das ist der Fall bei einer Niederlassung in der EU (Art. 3 Abs. 1 DSGVO) oder wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten (Art. 3 Abs. 2 DSGVO).

Deutschland und Schweiz im Vergleich

Die Tabelle stellt Pflicht, Schwelle, Meldung und Stellung der Datenschutzfunktion in beiden Ländern mit Norm gegenüber.

Interim-Benennung: Unabhängigkeit und Interessenkonflikte

Eine Interim-Benennung ist möglich, wenn die gesetzliche Stellung des Datenschutzbeauftragten auch während der befristeten Tätigkeit gewahrt bleibt. Weder die DSGVO noch das BDSG schreiben eine Mindestdauer der Benennung vor (Art. 37 DSGVO, § 38 BDSG). Laufzeit, Verlängerung und Ende der Benennung sollten deshalb vorab schriftlich festgelegt werden, damit die Stellung nach Art. 38 DSGVO während des ganzen Einsatzes gewahrt bleibt.

Was die Stellung ausmacht

• Frühzeitige Einbindung in alle Datenschutzfragen und die nötigen Ressourcen und Zugänge (Art. 38 Abs. 1 und 2 DSGVO).
• Keine Anweisungen bei der Ausübung der Aufgaben, keine Abberufung oder Benachteiligung wegen der Aufgabenerfüllung, Bericht an die höchste Managementebene (Art. 38 Abs. 3 DSGVO).
• Verschwiegenheit (Art. 38 Abs. 5 DSGVO).
• Andere Aufgaben nur ohne Interessenkonflikt (Art. 38 Abs. 6 DSGVO).

Staff Leasing oder Freelancing

Datenschutzbeauftragte können über beide Modelle eingesetzt werden; die gesetzlich vorgeschriebene Unabhängigkeit bleibt gewahrt. Im Staff Leasing hat das Unternehmen grundsätzlich das fachliche Weisungsrecht. Bei den Aufgaben als Datenschutzbeauftragter findet es seine Grenze in Art. 38 Abs. 3 DSGVO. Im Freelancing arbeitet die Fachkraft ohnehin eigenverantwortlich im Rahmen des vereinbarten Mandats; das entspricht dem externen Datenschutzbeauftragten nach Art. 37 Abs. 6 DSGVO. Über Staff Leasing ist die Person dagegen voll in die Organisation integriert, was Zugang und Einbindung erleichtert.

Interessenkonflikte vermeiden

Konfliktträchtig sind Funktionen, in denen die Person selbst über Zwecke und Mittel von Verarbeitungen entscheidet, etwa Geschäftsleitung oder Leitung von IT, HR oder Marketing. So sehen es die vom EDSA bestätigten Leitlinien zu Datenschutzbeauftragten (WP 243 rev.01). Der EuGH verlangt eine Prüfung im Einzelfall (Urteil vom 9. Februar 2023, C-453/21, X-FAB). Heikel ist auch die Doppelrolle im Projekt: Wer als Interim-Datenschutzbeauftragter eine DSFA selbst erstellt, überwacht später die eigene Arbeit. Besser ist eine Aufteilung, bei der ein Projektteam die DSFA erstellt und der Datenschutzbeauftragte berät und überwacht (Art. 39 Abs. 1 lit. c DSGVO). Wie ein solches Projektteam aussieht, beschreibt der Beitrag Juristische Unterstützung im Datenschutzprojekt.

Ablauf einer Interim-Benennung

1. Pflicht und Rechtsgrundlage prüfen (Art. 37 DSGVO, § 38 BDSG bzw. Art. 10 DSG).
2. Profil festlegen: Fachwissen, Branche, Sprachen, Pensum, Erreichbarkeit.
3. Modell wählen: interne Integration über Staff Leasing oder externer Datenschutzbeauftragter über Freelancing.
4. Interessenkonflikte prüfen und das Ergebnis dokumentieren.
5. Schriftlich benennen: Aufgaben, Ressourcen, Berichtslinie, Laufzeit, Vertretung.
6. Kontaktdaten in Datenschutzerklärung und Intranet aktualisieren und der Aufsichtsbehörde bzw. dem EDÖB mitteilen.
7. Mitarbeitende und Fachbereiche informieren.
8. Übergabe vom Vorgänger und später an die Nachfolge planen.

Übergabe: was der Interim-Datenschutzbeauftragte braucht

Eine gute Übergabe entscheidet darüber, ob die Vertretung ab dem ersten Tag handlungsfähig ist. Diese Unterlagen sollten bereitliegen:

• Verzeichnis der Verarbeitungs- bzw. Bearbeitungstätigkeiten mit Stand und Lücken,
• laufende und abgeschlossene Datenschutz-Folgenabschätzungen,
• Register der Datenpannen und erfolgten Meldungen,
• offene Auskunfts- und Löschbegehren mit Fristen,
• Korrespondenz und laufende Verfahren mit Aufsichtsbehörden,
• Liste der Auftragsverarbeiter und Auslandstransfers,
• Schulungsplan und Schulungsnachweise,
• Kontroll- und Auditplan sowie letzter Tätigkeitsbericht,
• Zugänge zu Systemen, Postfach und Ablage der Datenschutzfunktion.

Endet die Vertretung, gilt dasselbe in umgekehrter Richtung, und die Kontaktdaten sind erneut zu aktualisieren und zu melden. Die Unterschiede zwischen beiden Rechtsordnungen vertieft der Beitrag DSGVO und revDSG im Vergleich.

Grenzen und Risiken

• Verantwortung bleibt beim Unternehmen: Der Datenschutzbeauftragte berät und überwacht. Für die Einhaltung des Datenschutzrechts bleibt das Unternehmen als Verantwortlicher zuständig.
• Keine Rechtsberatung durch Alpinum: Alpinum ist keine Kanzlei. Alpinum Solutions stellt Fachkräfte bereit, die formale Funktionen wie die des Datenschutzbeauftragten übernehmen können, abhängig von den Anforderungen des Unternehmens und den Vorgaben in Deutschland oder der Schweiz.
• Lücke vermeiden: Bei einer Pflichtbenennung sollte die Interim-Lösung vor dem Austritt der bisherigen Person feststehen.
• Erreichbarkeit: Ein Teilzeitmandat braucht klare Erreichbarkeit für Datenpannen, bei denen nach DSGVO 72 Stunden für die Meldung laufen (Art. 33 DSGVO).

Häufige Fragen zur Vertretung des Datenschutzbeauftragten

Muss die Aufsichtsbehörde informiert werden?

In Deutschland ja. Der Verantwortliche veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt sie der Aufsichtsbehörde mit (Art. 37 Abs. 7 DSGVO). Das gilt auch für eine Interim-Benennung und erneut, wenn die Nachfolge startet. In der Schweiz ist eine Mitteilung an den EDÖB nur nötig, wenn das Unternehmen die Erleichterung nach Art. 23 Abs. 4 DSG nutzen will.

Darf ein Interim-DSB auch andere Aufgaben haben?

Ja, wenn diese Aufgaben nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Unproblematisch sind etwa Schulungen oder die Mitarbeit an Richtlinien. Kritisch sind Rollen, in denen die Person selbst über Zwecke und Mittel von Verarbeitungen entscheidet, oder die eigene Erstellung von Dokumenten, die sie später überwachen soll. In der Schweiz gilt Art. 10 Abs. 3 lit. b DSG.

Wie schnell muss die Stelle nachbesetzt werden?

Das Gesetz nennt keine Frist, weil die Pflicht nach Art. 37 DSGVO und § 38 BDSG fortlaufend besteht. Eine Lücke ist deshalb zu vermeiden und kann nach Art. 83 Abs. 4 DSGVO mit einem Bussgeld geahndet werden. Praktisch sollte die Interim-Lösung vor dem letzten Arbeitstag der bisherigen Person feststehen, damit Übergabe und Meldung nahtlos erfolgen.

Braucht ein Schweizer Unternehmen einen Datenschutzberater?

Nein, das DSG kennt keine Pflicht (Art. 10 Abs. 1 DSG). Ein Datenschutzberater lohnt sich vor allem für Unternehmen mit vielen Datenschutz-Folgenabschätzungen: Wer ihn konsultiert, kann auf die vorgängige Konsultation des EDÖB verzichten (Art. 23 Abs. 4 DSG), sofern er unabhängig ist und seine Kontaktdaten veröffentlicht und gemeldet sind.

Gilt der Abberufungsschutz auch für einen Interim-DSB?

Bei einer Pflichtbenennung ist die Abberufung nur in entsprechender Anwendung von § 626 BGB zulässig, also aus wichtigem Grund (§ 6 Abs. 4 i. V. m. § 38 Abs. 2 BDSG). Der zusätzliche Kündigungsschutz bezieht sich auf das Arbeitsverhältnis und gilt bis ein Jahr nach dem Ende der Tätigkeit. Wie diese Regeln bei einer von Anfang an befristeten Benennung oder bei einem externen Datenschutzbeauftragten mit Dienstleistungsvertrag wirken, regelt das Gesetz nicht ausdrücklich. Unternehmen sollten Laufzeit und Beendigung deshalb im Vertrag festhalten und datenschutzrechtlich prüfen lassen.

Nächster Schritt

Wenn die Stelle des Datenschutzbeauftragten frei wird oder ein Datenschutzberater gesucht ist, stellt Alpinum erfahrene Datenschutzfachkräfte bereit, über Staff Leasing oder Freelancing. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Data Protection & AI Governance
• Juristische Unterstützung im Datenschutzprojekt
• DSGVO und revDSG im Vergleich
• Bedarf besprechen

Stand: 31. Oktober 2026.