Datenschutzbeauftragter (DSB)
Pflicht für Vereine ab 20 Personen mit regelmäßiger Datenverarbeitung. Kann intern bestellt oder extern beauftragt werden — Aufgabe ist Beratung und Kontrolle, nicht Verantwortung.
Der Datenschutzbeauftragte (DSB) ist die Schlüsselperson für die Umsetzung der DSGVO im Verein. Er berät den Vorstand, schult Mitarbeiter, prüft Verarbeitungstätigkeiten und ist Ansprechpartner für Aufsichtsbehörden und Betroffene. Bei größeren Vereinen ist seine Bestellung gesetzlich vorgeschrieben.
Wann ist ein DSB Pflicht?
Nach § 38 BDSG ist ein DSB zwingend zu bestellen, wenn:
- Mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (Vorstand, Hauptamtliche, Ehrenamtliche, die regelmäßig im Verwaltungssystem arbeiten)
- Oder eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist (z. B. systematische Videoüberwachung, Gesundheitsdaten in größerem Umfang)
- Oder die Kerntätigkeit in einer umfangreichen Verarbeitung sensibler Daten besteht (Art. 9 DSGVO)
Auch kleinere Vereine können freiwillig einen DSB bestellen — viele tun es, weil es Rechtssicherheit gibt und Aufsichtsbehörden-Anfragen professionell beantwortet werden können.
Wer kann DSB werden?
Der DSB muss fachlich qualifiziert sein — also Datenschutz-Recht kennen und die organisatorischen Abläufe des Vereins verstehen. Typische Qualifikationen:
- TÜV/Dekra-Zertifikat „Datenschutzbeauftragter"
- Juristische Ausbildung mit Datenschutz-Schwerpunkt
- Mehrjährige Praxis in der Datenschutz-Beratung
Intern vs. extern
- Interner DSB: Ein Vereinsmitglied wird bestellt, mit entsprechender Qualifikation und ausreichender Zeit. Vorteil: gutes Vereinsverständnis. Nachteil: ggf. Interessenkonflikte (DSB darf nicht gleichzeitig Vorstandsmitglied oder Schatzmeister sein, da Selbstkontrolle ausgeschlossen)
- Externer DSB: Beauftragung eines spezialisierten Dienstleisters (Rechtsanwalt, Datenschutz-Beratung). Vorteil: hohe Fachkompetenz, Unabhängigkeit, oft günstig bei mehreren Mandaten. Nachteil: weniger Vereinsspezifik
Bestellung und Meldung
Der DSB wird vom Vorstand bestellt, am besten mit schriftlicher Bestellungsurkunde. Die Bestellung wird der Aufsichtsbehörde gemeldet: Name, Kontaktdaten, Bestellungsdatum. Auf der Webseite des Vereins muss er mit Kontaktmöglichkeit benannt sein (Pflicht der Datenschutzerklärung).
Aufgaben (Art. 39 DSGVO)
- Beratung: Vorstand und Mitarbeiter zu Datenschutz-Themen beraten
- Überwachung: Einhaltung der DSGVO und anderer Datenschutz-Vorschriften kontrollieren
- Schulung: Mitarbeiter und Ehrenamtliche im Datenschutz unterweisen
- Datenschutz-Folgenabschätzung: Bei riskanten Verarbeitungen mitwirken
- Anlaufstelle für Betroffene: Auskunfts-, Berichtigungs-, Löschungsanfragen entgegennehmen
- Zusammenarbeit mit Aufsichtsbehörden: Bei Anfragen und Prüfungen
- Verzeichnis der Verarbeitungstätigkeiten pflegen helfen
Was der DSB NICHT tut
Wichtig: Der DSB ist nicht verantwortlich für die Datenverarbeitung. Verantwortlich bleibt der Verein bzw. der Vorstand. Der DSB berät und kontrolliert — die letzte Entscheidung trifft der Vorstand. Auch ist der DSB nicht der Verantwortliche für Datenpannen — die werden vom Vorstand bewertet und gemeldet (mit Unterstützung des DSB).
Unabhängigkeit und Kündigungsschutz
Der DSB ist in seiner Funktion unabhängig und darf wegen seiner Tätigkeit nicht benachteiligt oder gekündigt werden (§ 6 BDSG). Das sichert seine Kontrollfunktion gegen Druck des Vorstands.
Kosten
Ein externer DSB kostet typischerweise 500–3.000 € pro Jahr für mittlere Vereine — abhängig vom Verarbeitungs-Umfang und der Größe. Spezialisierte Anbieter bieten Pauschalmodelle inkl. Schulungen, Verzeichnis-Pflege und Beratung. Manche Landesverbände (z. B. Landessportbünde) stellen DSBs für ihre Mitglieder mit reduzierten Tarifen.