Ja, ein Wechsel ist jederzeit möglich – aber das Verfahren unterscheidet sich fundamental danach, ob der Datenschutzbeauftragte intern oder extern bestellt ist. Beim externen Beauftragten endet schlicht ein Dienstleistungsvertrag. Beim internen greift ein besonderer Abberufungs- und Kündigungsschutz, der die Trennung deutlich aufwendiger macht.
Kann man einen Datenschutzbeauftragten überhaupt kündigen?
Das hängt davon ab, wie er bestellt wurde. Art. 37 Abs. 6 DSGVO stellt beide Wege gleich: Der Datenschutzbeauftragte kann Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen. Rechtlich ist das ein erheblicher Unterschied.
Beim internen Datenschutzbeauftragten
Art. 38 Abs. 3 DSGVO verbietet, ihn wegen der Erfüllung seiner Aufgaben abzuberufen oder zu benachteiligen. Ist die Benennung nach § 38 Abs. 1 BDSG verpflichtend, kommt § 6 Abs. 4 BDSG hinzu: Die Abberufung ist dann nur in entsprechender Anwendung von § 626 BGB zulässig – es braucht also einen wichtigen Grund. Das Arbeitsverhältnis selbst ist zusätzlich geschützt.
Beim externen Datenschutzbeauftragten
Hier endet der Dienstleistungsvertrag nach den vereinbarten Bedingungen. Ein besonderer Abberufungsschutz entsteht nicht. Genau das ist einer der praktischen Gründe, warum viele Unternehmen die externe Lösung wählen – mehr dazu auf unserer Seite zum externen Datenschutzbeauftragten.
Welche Fristen gelten beim Wechsel?
Die DSGVO selbst nennt keine Kündigungsfrist und keine Mindestvertragsdauer. Maßgeblich ist der Vertrag. Zwei Pflichten bleiben aber unabhängig davon bestehen:
- Die Kontaktdaten des Datenschutzbeauftragten sind nach Art. 37 Abs. 7 DSGVO zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Bei einem Wechsel muss diese Meldung aktualisiert werden.
- Besteht eine Benennungspflicht, darf zwischen altem und neuem Beauftragten keine Lücke entstehen. Ein Unternehmen ohne benannten Datenschutzbeauftragten verstößt gegen Art. 37 DSGVO – unabhängig davon, wie kurz der Zeitraum ist.
Praktisch heißt das: erst den neuen Beauftragten benennen, dann den alten abberufen. Nicht umgekehrt.
Was muss der bisherige Datenschutzbeauftragte herausgeben?
Die Datenschutzdokumentation gehört dem Verantwortlichen, nicht dem Beauftragten. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO liegt beim Unternehmen – es muss die Einhaltung jederzeit nachweisen können, auch nach einem Wechsel. Diese Unterlagen sollten Sie vollständig einfordern:
- Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, im aktuellen Stand
- Auftragsverarbeitungsverträge nach Art. 28 DSGVO, mit einer Übersicht aller Dienstleister
- Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO samt Bewertungsgrundlage
- Dokumentation technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO
- Schulungsnachweise – wer wann woran teilgenommen hat
- Dokumentation aller Datenschutzverletzungen nach Art. 33 Abs. 5 DSGVO, ausdrücklich auch der nicht gemeldeten
- Bearbeitete Betroffenenanfragen nach Art. 15 bis 22 DSGVO
- Löschkonzept und Aufbewahrungsfristen
Fordern Sie die Unterlagen in bearbeitbarer Form an, nicht als PDF-Export. Ein Verarbeitungsverzeichnis, das nur als ausgedrucktes Dokument vorliegt, muss der Nachfolger faktisch neu aufbauen.
Woran Wechsel in der Praxis scheitern
Die Dokumentation ist veraltet
Der häufigste Befund bei einer Übernahme: Das Verarbeitungsverzeichnis bildet den Stand bei Vertragsbeginn ab, nicht den heutigen. Neue Systeme, neue Dienstleister und geänderte Abläufe fehlen. Das ist reparabel, kostet aber Zeit – und diese Zeit sollte im Übergabeplan stehen.
Die Meldung an die Aufsichtsbehörde bleibt liegen
Der Wechsel wird intern vollzogen, die Aktualisierung nach Art. 37 Abs. 7 DSGVO vergessen. Fällt das bei einer Prüfung auf, ist es ein vermeidbarer Formfehler mit unnötig schlechtem Eindruck.
Niemand übergibt laufende Vorgänge
Offene Betroffenenanfragen und noch nicht abgeschlossene Vorfälle fallen zwischen die Stühle. Für Betroffenenanfragen laufen Fristen nach Art. 12 Abs. 3 DSGVO weiter – der Wechsel setzt sie nicht aus.
Wie wir einen Wechsel begleiten
Wir übernehmen die Bestellung, melden die Änderung bei der zuständigen Aufsichtsbehörde und sichten die übergebene Dokumentation auf Vollständigkeit. Was fehlt, priorisieren wir nach Prüfungsrelevanz – zuerst das, wonach eine Behörde zuerst fragt. Womit dabei zu rechnen ist, steht auf der Seite Kosten eines externen Datenschutzbeauftragten.
Ein Erstgespräch dauert rund zwanzig Minuten und klärt, wo Sie stehen: Kontakt aufnehmen oder direkt anrufen unter 05406 500 4210.
Häufige Fragen zum Wechsel
Muss der Wechsel der Aufsichtsbehörde gemeldet werden?
Ja. Art. 37 Abs. 7 DSGVO verlangt, die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Bei einem Wechsel ist diese Meldung zu aktualisieren.
Kann ein Datenschutzbeauftragter von sich aus zurücktreten?
Beim externen Beauftragten richtet sich das nach dem Dienstleistungsvertrag. Beim internen bleibt das Arbeitsverhältnis bestehen, wenn er die Funktion niederlegt – Bestellung und Anstellung sind zwei getrennte Rechtsverhältnisse.
Was passiert, wenn zwischen altem und neuem Beauftragten eine Lücke entsteht?
Besteht eine Benennungspflicht, verstößt das Unternehmen in dieser Zeit gegen Art. 37 DSGVO. Die unterlassene Benennung ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt.
Gehört die Datenschutzdokumentation dem Unternehmen oder dem Beauftragten?
Dem Unternehmen. Der Verantwortliche trägt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und muss die Einhaltung jederzeit nachweisen können – auch gegenüber einem neuen Beauftragten.
Wie lange dauert ein Wechsel?
Die formale Benennung und die Meldung an die Aufsichtsbehörde sind kurzfristig erledigt. Zeit kostet die Sichtung und Aktualisierung der übernommenen Dokumentation – abhängig davon, in welchem Zustand sie übergeben wird.
