Datenschutz-Beratung: Wann sie sich lohnt und was sie leistet

Datenschutz-Beratung wird häufig mit der Bestellung eines Datenschutzbeauftragten gleichgesetzt. Tatsächlich sind es verschiedene Leistungen mit verschiedenen Rollen – und nicht jedes Unternehmen braucht beides.

Beratung und Bestellung sind nicht dasselbe

Der Datenschutzbeauftragte ist eine gesetzlich vorgesehene Funktion. Seine Aufgaben stehen in Art. 39 DSGVO: unterrichten, beraten, die Einhaltung überwachen, sensibilisieren und schulen, mit der Aufsichtsbehörde zusammenarbeiten. Er ist dabei nach Art. 38 Abs. 3 weisungsfrei und berichtet unmittelbar der höchsten Leitungsebene.

Diese Unabhängigkeit ist der entscheidende Unterschied: Der Datenschutzbeauftragte überwacht auch – er ist nicht ausschließlich Dienstleister der Geschäftsführung.

Die Beratung ist demgegenüber frei gestaltbar. Sie hat keinen gesetzlichen Aufgabenkatalog, keine Unabhängigkeitsanforderung und keine Meldepflicht gegenüber der Aufsichtsbehörde. Sie kann punktuell erfolgen, projektbezogen oder als laufende Begleitung.

Wo keine Bestellpflicht besteht, ist Beratung häufig der passendere Weg. Wo sie besteht, ersetzt Beratung die Bestellung nicht.

Typische Anlässe

Die Bestandsaufnahme. Ein Unternehmen weiß nicht, wo es steht. Die Beratung erhebt den Ist-Zustand, ordnet die Pflichten zu und priorisiert die Lücken.

Ein neues System. CRM, Zeiterfassung, Bewerbermanagement, ein KI-Werkzeug: Vor der Einführung sind Rechtsgrundlage, Auftragsverarbeitung, Löschkonzept und gegebenenfalls Mitbestimmung zu klären. Danach wird es teurer.

Ein konkretes Vorhaben. Videoüberwachung, Newsletter-Marketing, eine Kundenbefragung, die Auslagerung der IT.

Eine Anfrage der Aufsichtsbehörde. Hier zählt Erfahrung mit dem Verfahren – und die Beratung sollte früh einsetzen, nicht nach der ersten Antwort.

Ein Vorfall. Bei einer Datenpanne laufen 72 Stunden ab Kenntnis. Wer in dieser Zeit erst einen Berater sucht, verliert den größeren Teil der Frist.

Wachstum. Beim Überschreiten von Schwellenwerten entstehen neue Pflichten – oft mehrere gleichzeitig.

Woran erkennt man eine belastbare Datenschutzberatung?

Sie beginnt mit Fragen, nicht mit einem Angebot. Wer ohne Kenntnis der Verarbeitungen einen Preis nennt, kennt den Aufwand nicht.

Sie priorisiert. Eine Liste mit vierzig Feststellungen ohne Rangfolge ist keine Beratungsleistung. Entscheidend ist, was zuerst zu tun ist und was warten kann.

Sie liefert Entscheidungen, keine Optionen. „Man könnte auch…” hilft niemandem, der handeln muss. Eine Empfehlung mit Begründung ist der Maßstab.

Sie schreibt auf, was sie prüft. Die dokumentierte Bewertung ist im Prüfungsfall der Nachweis, dass eine Entscheidung überlegt getroffen wurde – gerade dort, wo die Rechtslage nicht eindeutig ist.

Sie sagt auch, was nicht nötig ist. Nicht jedes Unternehmen braucht eine Datenschutz-Folgenabschätzung für jeden Vorgang, ein Zertifikat oder eine Software. Wer nur ergänzt und nie streicht, verkauft Umfang statt Sicherheit.

Was findet eine Datenschutzberatung typischerweise zuerst?

Über die Jahre wiederholen sich drei Feststellungen so verlässlich, dass sie sich vorwegnehmen lassen. Wer sie vorab klärt, verkürzt die erste Sitzung erheblich.

Es gibt eine Liste der Dienstleister – aber keine der Rollen. Wer verarbeitet im Auftrag, wer ist gemeinsam verantwortlich, wer eigener Verantwortlicher? Ohne diese Zuordnung lässt sich nicht sagen, welcher Vertrag der richtige ist – und die Frage nach dem AVV bleibt unbeantwortbar.

Das Verarbeitungsverzeichnis beschreibt einen früheren Zustand. Es existiert, aber die Systeme der letzten beiden Jahre fehlen. Das ist selten Nachlässigkeit, sondern eine Frage des Anlasses: Niemand ist zuständig, wenn ein Fachbereich ein Werkzeug einführt.

Für die Datenpanne gibt es keinen Ablauf. Die 72-Stunden-Frist ist bekannt, die Frage „wer entscheidet an einem Freitagabend” nicht beantwortet. Das ist der Punkt, an dem sich Beratung am schnellsten bezahlt macht, weil er ohne System auskommt: Es braucht Namen, Rufnummern und eine Entscheidungsregel.

Was sie nicht leisten kann

Eine Beratung ersetzt keine Rechtsberatung im Einzelfall – und das ist keine Bescheidenheitsformel, sondern eine gesetzliche Grenze.

§ 5 Abs. 1 RDG erlaubt Rechtsdienstleistungen im Zusammenhang mit einer anderen Tätigkeit nur, wenn sie als Nebenleistung zum Berufs- oder Tätigkeitsbild gehören. Ob das der Fall ist, richtet sich nach Inhalt, Umfang und sachlichem Zusammenhang mit der Haupttätigkeit sowie nach den dafür erforderlichen Rechtskenntnissen.

Für die Datenschutzberatung heißt das: Die rechtliche Einordnung einer Verarbeitung gehört zum Tätigkeitsbild und ist zulässig. Die Vertretung in einem Bußgeld- oder Klageverfahren, die Gestaltung von Verträgen mit rechtlicher Prüfung über den Datenschutzteil hinaus und die Bewertung eines konkreten Haftungsrisikos gehören es nicht. Dort ist anwaltliche Beratung der richtige Weg.

Ein Anbieter, der diese Grenze nicht von sich aus zieht, ist nicht mutiger, sondern unvorsichtiger – zulasten des Mandanten, dessen Beratung im Ernstfall keinen Bestand hat.

Und sie ersetzt nicht die Umsetzung im Haus. Der Berater kann ein Löschkonzept entwerfen; ausführen muss es, wer die Systeme bedient.

Der pragmatische Einstieg

Für die meisten Unternehmen ist die Reihenfolge dieselbe: zuerst klären, ob eine Bestellpflicht besteht. Wenn ja, ist die laufende Betreuung durch einen externen Datenschutzbeauftragten in der Regel wirtschaftlicher als getrennte Beratungsleistungen – die Beratung ist darin enthalten, und was sie kostet, lässt sich vorab beziffern.

Wenn nein, genügt oft eine einmalige Bestandsaufnahme mit priorisierter Maßnahmenliste, die intern abgearbeitet wird, ergänzt um Beratung bei konkreten Vorhaben.

Wir beraten in beiden Konstellationen und übernehmen auf Wunsch die Bestellung als externer Datenschutzbeauftragter. Wo Sie stehen, klärt der kostenlose Datenschutz-Check in unter einer Minute – oder Sie sprechen uns direkt an. Ein typischer Beratungsanlass ist die Frage, ob und wie WhatsApp im Unternehmen datenschutzkonform genutzt werden kann.