Die Entscheidung in Kürze
- Lage: Der bisherige Datenschutzbeauftragte hört auf, fällt für Monate aus oder passt nicht mehr zum Träger. Die Gesetze nennen keine Übergangsfrist; die Pflichten des Trägers laufen weiter.
- Empfehlung: Erst die Nachfolge festlegen, dann den alten Vertrag kündigen und in der Kündigungsfrist 30 Tage übergeben; die Frist vorher nachlesen. Intern benennen, wenn eine Person bereitsteht, die Fachwissen, Zeitanteil und Vertretung hat und nicht selbst festlegt, wofür und womit Daten verarbeitet werden; sonst extern. Einen Verband nur, wenn er die Funktion selbst übernimmt.
- Jetzt zu klären: wer bis zur Nachfolge Anlaufstelle für Datenpannen ist, welche Kündigungsfrist der alte Vertrag hat und bis wann über die Nachfolge entschieden wird.
- Danach: neue Kontaktdaten an Aufsicht, Website, Datenschutzhinweise, Verarbeitungsverzeichnis, Meldebogen für Datenpannen und alle Vorlagen.
Der Datenschutzbeauftragte geht, die Pflichten bleiben beim Träger
Anlass für einen Wechsel kann sein:
- Die interne Datenschutzbeauftragte scheidet aus, übernimmt eine Leitungsaufgabe oder geht in Elternzeit.
- Der externe Datenschutzbeauftragte kündigt oder erhöht zum neuen Vertragsjahr den Preis.
- Bei einer Datenpanne ließ sich der Datenschutzbeauftragte nicht erreichen.
- Eine Doppelrolle fällt auf, etwa mit der Verantwortung für die IT.
- Eine befristete Bestellung bei einem evangelischen Träger läuft aus.
- Dem bisherigen Datenschutzbeauftragten fehlt der Bezug zu Sozialdatenschutz, Schweigepflicht oder KI.
Die Gesetze nennen dieselbe Funktion verschieden. Weltliche Träger benennen nach der Datenschutz-Grundverordnung (DSGVO) einen Datenschutzbeauftragten, katholische nach dem Gesetz über den Kirchlichen Datenschutz (KDG) schriftlich einen betrieblichen Datenschutzbeauftragten. Evangelische Träger bestellen nach dem Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) in Textform örtlich Beauftragte für den Datenschutz (§ 36 KDG, § 36 DSG-EKD). Datenschutzbeauftragter und Benennung stehen hier für alle drei Fassungen.
Verantwortlich bleibt der Träger, auch während des Wechsels. Er muss nachweisen können, dass er die Grundsätze des Datenschutzes einhält (Art. 5 Abs. 2 DSGVO, § 7 Abs. 2 KDG, § 5 Abs. 2 DSG-EKD). Eine Übergangsfrist für die Nachfolge steht weder in Art. 37 DSGVO noch in § 36 KDG oder § 36 DSG-EKD. Ob Ihr Träger überhaupt benennen muss, klärt der Beitrag zur Pflicht zur Benennung in sozialen Einrichtungen.
Auch eine Datenpanne wartet nicht auf die Nachfolge. Nach DSGVO und KDG läuft die Meldefrist ab Kenntnis des Trägers: unverzüglich, nach 72 Stunden nur noch mit Begründung. Das DSG-EKD verlangt eine unverzügliche Meldung ohne Stundenzahl. Die Meldung darf statt des Datenschutzbeauftragten eine sonstige Anlaufstelle nennen (Art. 33 DSGVO, § 33 KDG, § 32 DSG-EKD). Was in den ersten Stunden zu tun ist, beschreibt der Beitrag zur Datenpanne in den ersten 72 Stunden.
Für Abberufung und Kündigung einer intern benannten Datenschutzbeauftragten können besondere Schutzregeln gelten; das prüft vorher die Rechtsabteilung des Trägers oder eine Anwältin für Arbeitsrecht. Bei einem externen Datenschutzbeauftragten bestimmt der Vertrag die Fristen.
Wer die Nachfolge übernehmen kann
Drei Wege stehen offen. Sie unterscheiden sich im Vorlauf und darin, wie unabhängig die neue Person arbeiten kann. Den allgemeinen Vergleich von interner und externer Benennung enthält der Beitrag Datenschutzbeauftragter in sozialen Einrichtungen; hier geht es um Vorlauf und Übergabe.
| Option | Vorlauf und Aufwand | Spricht dafür | Spricht dagegen |
|---|---|---|---|
| Intern neu benennen | Kurz, wenn eine geeignete Person im Haus ist, sonst bis sie das Fachwissen erworben hat. Der Träger stellt Zeit und Mittel bereit und trägt die Fortbildung (Art. 38 Abs. 2 DSGVO, § 37 Abs. 2 Satz 2 und 3 KDG, § 37 Abs. 1 und 3 DSG-EKD). | Kennt Teams, Abläufe und Fachsoftware und ist im Alltag ansprechbar. | Wer festlegt, wofür und womit Daten verarbeitet werden, etwa als Leitung der IT, kann nicht zugleich Datenschutzbeauftragter sein, sonst überwachte er sich selbst (Interessenkonflikt; Europäischer Gerichtshof (EuGH), Urteil C-453/21, Randnummern 44 und 45). Das KDG schließt die Leitung der Datenverarbeitung und der Stelle aus, das DSG-EKD sagt „soll nicht“ (§ 36 Abs. 7 KDG, § 36 Abs. 4 DSG-EKD). Der Zeitanteil konkurriert mit der eigentlichen Stelle. Die Benennung bringt besonderen Kündigungsschutz, der ein Jahr nachwirkt (§ 37 Abs. 4 KDG, § 37 Abs. 2 DSG-EKD; nach dem Bundesdatenschutzgesetz (BDSG) nur bei Pflicht zur Benennung, § 38 Abs. 2 mit § 6 Abs. 4). |
| Anderer externer Datenschutzbeauftragter | Angebote einholen, Vertrag schließen, zur Verschwiegenheit verpflichten. Das braucht Zeit und muss vor den Kündigungstermin des alten Vertrags passen. Danach ein Monatsentgelt nach Vertrag. | Fachwissen und Vertretung lassen sich vorab prüfen. Termine und Erreichbarkeit lassen sich im Vertrag festhalten. | Kennt den Träger anfangs nicht. Ein Interessenkonflikt kann auch extern entstehen, etwa wenn derselbe Dienstleister die Systeme auswählt. Die Leitlinien der Artikel-29-Datenschutzgruppe der EU nennen als Beispiel, den Träger vor Gericht in Datenschutzfragen zu vertreten (WP 243, Abschnitt 3.5). |
| Lösung über den Verband | Zuerst schriftlich fragen, ob der Verband die Funktion übernimmt oder nur berät. Kosten und Umfang zeigt erst die Antwort. | Möglicherweise ein kurzer Weg, wenn der Verband die Funktion anbietet. Mehrere kirchliche Stellen dürfen nach KDG und DSG-EKD denselben Datenschutzbeauftragten haben (§ 36 Abs. 3 KDG, § 36 Abs. 2 DSG-EKD). | Beratung ersetzt die Benennung nicht. Jeder Träger teilt die Kontaktdaten seines Datenschutzbeauftragten selbst der Aufsicht mit (Art. 37 Abs. 7 DSGVO). Termine vor Ort sind eigens zu klären. |
Wenn die Datenschutzbeauftragte nur auf Zeit fehlt
Bei Elternzeit oder längerer Krankheit stellt sich die Frage der Vertretung. Ausdrücklich zu regeln ist sie nur nach dem DSG-EKD (§ 36 Abs. 1); die Aufsicht der ostdeutschen Bistümer verlangt keine Meldung der Vertretung. Weil Fristen und Anfragen weiterlaufen, halte ich eine benannte Vertretung in allen drei Rechtskreisen für sinnvoll.
Erst die Nachfolge, dann die Kündigung
Die Reihenfolge entscheidet, ob eine Lücke entsteht. Wer zuerst die Nachfolge festlegt, kann die Kündigungsfrist des alten Vertrags für die Übergabe nutzen, sofern sie dafür reicht. Deshalb steht der Blick in den Vertrag am Anfang: Welche Frist gilt und was geschieht, wenn der Termin verstreicht? Läuft der Vertrag in Vertragsjahren, kann ein verpasster Termin ein weiteres Jahr bedeuten.
Meine Empfehlung
Ich halte eine interne Benennung für ebenso tragfähig wie eine externe, wenn eine Person bereitsteht, die Fachwissen hat oder erwirbt, einen festen Zeitanteil samt Vertretung bekommt und nicht selbst festlegt, wofür und womit Daten verarbeitet werden. Fehlt sie, ist ein externer Datenschutzbeauftragter der kürzere Weg. Einen Verband würde ich nur wählen, wenn er die Funktion selbst übernimmt und Termine vor Ort zusagt.
Fällt der bisherige Datenschutzbeauftragte ohne Vorlauf weg, sollte die Leitung noch am selben Tag bestimmen, wer bis zur neuen Benennung Anlaufstelle für Datenpannen und Anfragen Betroffener ist. Das ersetzt die Benennung nicht.
Vom internen auf einen externen Weg würde ich wechseln, sobald die interne Person ihren Zeitanteil nicht bekommt, eine Leitungs-, IT- oder Personalaufgabe hinzukommt oder bei einer Datenpanne niemand erreichbar war. Zurück nach innen führt der Weg, wenn jemand ohne Interessenkonflikt das Fachwissen aufgebaut hat.
Übergabeliste für 30 Tage, ein Muster
Das Verarbeitungsverzeichnis, also die Übersicht aller Tätigkeiten mit personenbezogenen Daten, führt der Träger selbst, ebenso die Dokumentation der Datenpannen. Erleichterungen für Träger mit weniger als 250 Beschäftigten greifen bei Gesundheitsdaten und anderen besonderen Kategorien nicht oder nur eingeschränkt (Art. 30 Abs. 5 DSGVO, § 31 Abs. 5 KDG, § 31 Abs. 5 DSG-EKD). Die 30 Tage setzen die Mitwirkung des bisherigen Datenschutzbeauftragten voraus und sind ein Vorschlag, keine gesetzliche Frist.
| Zeitraum | Unterlage oder Schritt | Was übergeben und geprüft wird | Fundstelle |
|---|---|---|---|
| Vor Tag 1 | Bisheriger Vertrag | Kündigungsfrist, Verlängerung, Herausgabe von Arbeitsunterlagen und Verschwiegenheit nach Vertragsende nachlesen. Offene Fragen vor der Kündigung klären. | Nach dem Vertrag |
| Tag 1 | Verpflichtung und Zugang | Der Vertrag mit einem externen Nachfolger liegt vor und regelt auch die Rückgabe der Unterlagen. Den Nachfolger zur Verschwiegenheit verpflichten, bevor er Akten oder Pannenberichte sieht: eine Vorsichtsmaßnahme, besonders wenn Fachkräfte im Team der Schweigepflicht nach § 203 Strafgesetzbuch unterliegen. Danach lesenden Zugang zu Postfach, Ablage und Fachsoftware einrichten. | Zugang: Art. 38 Abs. 2 DSGVO · Geheimhaltung: Art. 38 Abs. 5 DSGVO, § 203 Abs. 3 und 4 StGB |
| Tag 1 bis 10 | Verarbeitungsverzeichnis | Aktuelle Fassung mit Datum, Liste fehlender oder veralteter Einträge, auch zu KI-Funktionen der Fachsoftware. | Art. 30 DSGVO · § 31 KDG · § 31 DSG-EKD |
| Tag 1 bis 10 | Verträge zur Auftragsverarbeitung | Alle Dienstleister, die Daten im Auftrag des Trägers verarbeiten, etwa für Fachsoftware, Cloud und Lohnabrechnung, mit Vertrag und Stand der Prüfung. | Art. 28 DSGVO · § 29 KDG · § 30 DSG-EKD |
| Tag 1 bis 10 | Schutzmaßnahmen | Technische und organisatorische Maßnahmen zu Zugängen, Rechten, Sicherung und Löschung, letzte Prüfung, offene Mängel. | Art. 32 DSGVO · § 26 KDG · § 27 DSG-EKD |
| Tag 1 bis 10 | Datenschutz-Folgenabschätzungen | Vorabprüfungen von Verarbeitungen mit hohem Risiko und laufende Vorhaben, zu denen der bisherige Datenschutzbeauftragte beraten hat. | Art. 35 DSGVO · § 35 KDG · § 34 DSG-EKD |
| Tag 11 bis 20 | Datenpannen | Dokumentation aller Verletzungen mit Fakten, Auswirkungen und Abhilfe, auch der nicht gemeldeten. Stand laufender Fälle. | Art. 33 Abs. 5 DSGVO · § 33 Abs. 5 KDG · § 32 Abs. 5 DSG-EKD |
| Tag 11 bis 20 | Offene Anträge auf Auskunft | Eingang, Frist und Stand jedes Antrags auf Auskunft über die eigenen Daten, bei Verlängerung auch die Mitteilung darüber. Fällig ist die Antwort unverzüglich, spätestens nach einem Monat (DSGVO und KDG, verlängerbar um zwei Monate, wenn die Person im ersten Monat unterrichtet wurde) oder nach drei Monaten (DSG-EKD). | Art. 12 Abs. 3 DSGVO · § 14 Abs. 3 KDG · § 16 Abs. 3 DSG-EKD |
| Tag 11 bis 20 | Nachweise und Berichte | Schulungsnachweise: wer wann zu welchem Thema geschult wurde und wer noch fehlt. Berichte: letzte Berichte an die Leitung, offene Empfehlungen und wer sie umsetzt. Vorgeschrieben sind weder eine Form für Nachweise noch ein bestimmter Jahresbericht, wohl aber der unmittelbare Weg zur Leitung. | Art. 38 Abs. 3, Art. 39 Abs. 1 lit. b DSGVO · § 37 Abs. 1, § 38 KDG · § 37 Abs. 1, § 38 DSG-EKD |
| Tag 21 bis 25 | Übergabegespräch | Bisheriger und neuer Datenschutzbeauftragter mit der Leitung: offene Punkte, Fristen, Vorhaben der nächsten Monate. Ergebnis als Vermerk mit Datum. | Art. 5 Abs. 2 DSGVO |
| Tag 30 | Benennung und Zugänge | Ende des alten Amtes und neue Benennung mit Datum festhalten, nach KDG schriftlich, nach DSG-EKD in Textform. Die DSGVO schreibt keine Form vor; die Datenschutzkonferenz der Aufsichtsbehörden empfiehlt die Dokumentation. Am selben Tag die Zugänge des bisherigen Datenschutzbeauftragten beenden, das Funktionspostfach und die veröffentlichten Kontaktdaten umstellen. | Art. 37 DSGVO · § 36 KDG · § 36 Abs. 5 DSG-EKD · für die Zugänge nur mittelbar Art. 32 Abs. 4 DSGVO |
Ist der bisherige Datenschutzbeauftragte schon weg, stellt die Verwaltung dieselben Unterlagen aus der eigenen Ablage zusammen; der Nachfolger prüft sie in seinen ersten Wochen. Fristen und Ausnahmen bei Anträgen auf Auskunft erklärt der Beitrag zu Auskunft und Kopie der Klientenakte.
Wo die neuen Kontaktdaten stehen müssen
Nach der Benennung sind die Kontaktdaten an diesen Stellen zu ändern. Die neuen Texte liegen vorher bereit und werden am Tag der Benennung umgestellt, damit keine Lücke entsteht.
- Datenschutzaufsicht. Weltliche Träger teilen die Kontaktdaten der Aufsichtsbehörde ihres Landes mit (Art. 37 Abs. 7 DSGVO), die Liste der Landesbehörden führt der Bundesbeauftragte für den Datenschutz. Katholische Träger zeigen die Benennung ihrer kirchlichen Aufsicht an (§ 36 Abs. 4 KDG); in den ostdeutschen Bistümern gibt es dafür ein Formular zum Melden, Ändern und Löschen. Evangelische Träger zeigen die Bestellung der Aufsichtsbehörde und der Stelle an, die nach dem Recht der Landeskirche für die allgemeine Aufsicht zuständig ist (§ 36 Abs. 5 DSG-EKD); bei diakonischen Trägern ist die EKD-Aufsicht zuständig, wenn ihr Landesverband sie übertragen hat.
- Website und Datenschutzhinweise. Die Kontaktdaten sind zu veröffentlichen und gehören in die Informationen an Betroffene (Art. 13 und 14 DSGVO, § 15 KDG, § 17 DSG-EKD). Nach den Leitlinien zur DSGVO muss der Name dort nicht stehen, gegenüber der Aufsicht gilt er als unverzichtbar (WP 243, Abschnitt 2.6).
- Verarbeitungsverzeichnis. Es nennt die Kontaktdaten des Datenschutzbeauftragten (Art. 30 Abs. 1 lit. a DSGVO, § 31 Abs. 1 lit. a KDG, § 31 Abs. 1 Nr. 1 DSG-EKD).
- Meldebogen für Datenpannen. Die Meldung an die Aufsicht enthält Namen und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle (Art. 33 Abs. 3 lit. b DSGVO, § 33 Abs. 3 lit. b KDG, § 32 Abs. 3 Nr. 2 DSG-EKD). Vorlagen mit dem alten Namen führen im Ernstfall ins Leere.
- Beschäftigte, Vorlagen und Formulare. Die Leitlinien empfehlen, die Beschäftigten über Namen und Kontaktdaten zu informieren (WP 243, Abschnitt 2.6). Alles, was den bisherigen Datenschutzbeauftragten nennt, etwa Aufnahmebögen, Einwilligungen, Informationsblätter und E-Mail-Signaturen, gehört auf eine Liste und wird ausgetauscht; das ist Organisation, keine Vorgabe der Gesetze.
Unterbleibt die Mitteilung an die Aufsicht, kann das nach der DSGVO eine Geldbuße nach sich ziehen (Art. 83 Abs. 4 lit. a DSGVO). Welche Aufsicht in Sachsen für welchen Träger zuständig ist, ordnet der Beitrag zum externen Datenschutzbeauftragten in Chemnitz und Sachsen ein.
Woran erkennt die Leitung den passenden Nachfolger?
Die Gesetze verlangen Fachwissen, nennen aber kein Zertifikat (Art. 37 Abs. 5 DSGVO, § 36 Abs. 6 KDG, § 36 Abs. 3 DSG-EKD). Nach den Leitlinien richtet sich das nötige Maß nach Sensibilität, Komplexität und Menge der Daten (WP 243, Abschnitt 2.5), im Sozialwesen also nach Gesundheits- und Sozialdaten sowie den Geheimnissen der Klientinnen und Klienten. Die sieben Fragen passen für interne wie externe Bewerberinnen und Bewerber.
| Kriterium | Frage im Gespräch | Tragfähige Antwort | Fundstelle |
|---|---|---|---|
| Sozialdatenschutz | Was gilt für Sozialdaten, die uns das Jugendamt übermittelt? | Unterscheidet Leistungsträger, etwa Jugendämter und Krankenkassen, die das Sozialgeheimnis unmittelbar bindet, von freien Trägern. Diese dürfen übermittelte Sozialdaten nur für den Übermittlungszweck verwenden und müssen sie ebenso geheim halten. | § 35 Sozialgesetzbuch (SGB) I · §§ 67 und 78 SGB X |
| Schweigepflicht | Wer im Team unterliegt der Schweigepflicht nach § 203 Strafgesetzbuch? Was folgt daraus für Dienstleister? | Nennt etwa Pflegefachkräfte, staatlich anerkannte Sozialarbeiterinnen und Sozialarbeiter sowie Beraterinnen und Berater in anerkannten Beratungsstellen. Weiß, dass die Vorschrift auch den Datenschutzbeauftragten selbst erfassen kann und mitwirkende Dienstleister zu verpflichten sind. | § 203 Abs. 1, 3 und 4 StGB |
| Kirchliches Recht | Nach welchem Gesetz arbeiten Sie bei uns? Wo weicht es von der DSGVO ab? | Kennt das für den Träger geltende KDG oder DSG-EKD und Abweichungen wie die Pannenmeldung ohne Stundenzahl und die Auskunftsfrist von drei Monaten im DSG-EKD. | §§ 16 und 32 DSG-EKD |
| Erreichbarkeit bei Datenpannen | Wie sind Sie bei einer Datenpanne erreichbar? Wer vertritt Sie? | Sagt schriftlich zu, wie Erreichbarkeit und Vertretung bei Ausfall geregelt sind. Eine Reaktionszeit schreiben die Gesetze nicht vor; nach den Leitlinien ist der Datenschutzbeauftragte nach einer Panne aber umgehend einzubeziehen. | Art. 38 Abs. 4 DSGVO · WP 243, Abschnitt 3.1 |
| Termine vor Ort | Welche Termine in unseren Einrichtungen sehen Sie vor? Was prüfen Sie dort? | Nennt feste Termine für Begehung und Schulung oder eine andere Form der Prüfung, die er schriftlich benennt. Vorgeschrieben sind Termine vor Ort nicht, zur Überwachung gehören aber Überprüfungen. | Art. 39 Abs. 1 lit. b DSGVO · § 38 KDG · § 38 DSG-EKD |
| Interessenkonflikt | Welche weiteren Aufgaben übernehmen Sie für unseren Träger oder seine Dienstleister? | Übernimmt keine Aufgabe, mit der er selbst festlegt, wofür und womit Daten verarbeitet werden; ein Beispiel ist nach meiner Einschätzung die Auswahl der Software. Vertritt den Träger nicht vor Gericht in Datenschutzfragen. Ob ein Konflikt vorliegt, ist im Einzelfall zu würdigen. | Art. 38 Abs. 6 DSGVO · EuGH, C-453/21, Rn. 44 und 45 · WP 243, Abschnitt 3.5 · § 36 Abs. 7 KDG · § 36 Abs. 4 DSG-EKD |
| KI im Arbeitsalltag | Wie behandeln Sie KI-Funktionen der Fachsoftware und KI-Dienste der Teams? | Nimmt jede KI-Anwendung mit personenbezogenen Daten ins Verarbeitungsverzeichnis auf und prüft die Verträge mit ihren Anbietern. | Art. 28 und 30 DSGVO |
Vergleichbar werden die Antworten, wenn alle schriftlich antworten. Was übermittelte Sozialdaten verlangen, erklärt der Beitrag zum Sozialdatenschutz bei freien Trägern, die Pflichten gegenüber Dienstleistern der Beitrag zur Schweigepflicht bei IT, Cloud und KI. Wie ein Termin vor Ort ablaufen kann, zeigt die Datenschutz-Begehung in Wohngruppe und Beratungsstelle. Wie ein Träger seine KI-Anwendungen erfasst, beschreibt der Beitrag Welche KI nutzt unser Team?
Beschlussvorschlag für Geschäftsführung oder Vorstand
- Bis zur neuen Benennung ist eine namentlich bestimmte Person der Verwaltungsleitung Anlaufstelle für Datenpannen und Anfragen Betroffener.
- Die Kündigungsfrist des bisherigen Vertrags wird sofort festgestellt. Die Geschäftsführung klärt die Nachfolge bis zu einem festen Datum: intern nur ohne Interessenkonflikt und mit Zeitanteil, extern nach den sieben Prüffragen, über den Verband nur, wenn er die Funktion schriftlich zusagt.
- Gekündigt wird, sobald die Nachfolge feststeht, spätestens zum letzten Termin, der die Übergabe noch erlaubt. Die Verwaltungsleitung führt die Übergabeliste.
- Am Tag der Benennung, spätestens eine Woche danach, sind die Kontaktdaten an allen genannten Stellen geändert.
Kommt für die Nachfolge ein externer Datenschutzbeauftragter infrage, biete ich die Funktion nach DSGVO, KDG oder DSG-EKD an. In der Erstaufnahme sehe ich mir Verzeichnis, Verträge und Schutzmaßnahmen an, die KI-Anwendungen eingeschlossen. Bei bis zu 249 Beschäftigten liegt der Monatsbetrag zwischen 400 und 900 € und steigt mit der Zahl der Beschäftigten; verbindlich nennt ihn das Angebot. Aufgaben und Laufzeit beschreibt die Seite zum externen Datenschutzbeauftragten.
Stand: 15. Oktober 2026. DSG-EKD in der Neufassung vom 15. Januar 2025, KDG in der Fassung des Bistums Dresden-Meißen seit 1. August 2026 (Neufassung seit 1. März 2026, danach eine Änderung nur von § 37 Abs. 2 Satz 4, die die hier genannten Aussagen nicht berührt). Maßgeblich ist die Fassung des eigenen Bistums oder der eigenen Landeskirche. Nicht geprüft sind die Meldewege weiterer Aufsichten und die für die allgemeine Aufsicht zuständige Stelle der Landeskirchen.
Fragen zum Wechsel
Muss der Wechsel des Datenschutzbeauftragten der Aufsicht gemeldet werden?
Ja. Der Träger teilt die Kontaktdaten seines Datenschutzbeauftragten der Aufsicht mit und veröffentlicht sie (Art. 37 Abs. 7 DSGVO); kirchliche Träger zeigen die Benennung ihrer kirchlichen Aufsicht an (§ 36 Abs. 4 KDG, § 36 Abs. 5 DSG-EKD). Die sächsische Aufsicht etwa bittet um ihr Webformular und speichert eine Meldung, bis eine Änderung oder die Rücknahme der Benennung mitgeteilt wird.
Wie lange darf ein Träger ohne Datenschutzbeauftragten sein?
Eine Übergangsfrist nennen DSGVO, KDG und DSG-EKD nicht. Die Pflicht zur Benennung besteht fort, solange ihre Voraussetzungen vorliegen. Deshalb gehört die Nachfolge vor das Ausscheiden des bisherigen Datenschutzbeauftragten.
Muss der bisherige Datenschutzbeauftragte seine Unterlagen herausgeben?
Ausdrücklich regeln die Datenschutzgesetze das nicht. Ein Verarbeitungsverzeichnis und die Dokumentation der Datenpannen führt, soweit vorgeschrieben, der Träger selbst, weil er die Einhaltung nachweisen muss (Art. 5 Abs. 2, Art. 30 und Art. 33 Abs. 5 DSGVO, entsprechend im KDG und im DSG-EKD). Was ein externer Datenschutzbeauftragter an eigenen Arbeitsunterlagen herausgibt, gehört in den Vertrag.
Braucht der Datenschutzbeauftragte eine Vertretung, etwa bei Elternzeit?
Das DSG-EKD verlangt, die Vertretung zu regeln (§ 36 Abs. 1). DSGVO und KDG enthalten dazu keine Regel. Weil die Fristen des Trägers auch in Urlaub, Krankheit und Elternzeit weiterlaufen, ist eine benannte Vertretung trotzdem sinnvoll.
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 5, 12, 13, 14, 28, 30, 32, 33, 35, 37, 38, 39 und 83. EUR-Lex, Wortlaut abgerufen über das Amt für Veröffentlichungen der EU am 14. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 9. Februar 2023, C-453/21 (X-FAB Dresden), Rn. 44 und 45. EUR-Lex, Wortlaut abgerufen über das Amt für Veröffentlichungen der EU am 14. Oktober 2026.
- Artikel-29-Datenschutzgruppe: Guidelines on Data Protection Officers (‘DPOs’), WP 243 rev.01, angenommen am 13. Dezember 2016, zuletzt überarbeitet am 5. April 2017, Abschnitte 2.5, 2.6, 3.1 und 3.5. Europäische Kommission, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz (BDSG), § 6 Abs. 4 und § 38 Abs. 2, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: § 203 Strafgesetzbuch (Verletzung von Privatgeheimnissen), Abs. 1, 3 und 4. gesetze-im-internet.de, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: § 35 Erstes Buch Sozialgesetzbuch, § 67 und § 78 Zehntes Buch Sozialgesetzbuch, abgerufen am 14. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 24. November 2025, §§ 7, 14, 15, 26, 29, 31, 33 und 35 bis 38. Konsolidierte Fassung der Kirchlichen Datenschutzaufsicht Ost (PDF), abgerufen am 14. Oktober 2026.
- Bistum Dresden-Meißen: Kirchliches Amtsblatt, 36. Jahrgang, Nr. 3 vom 2. März 2026, Nr. 15 (KDG-Änderungsgesetz, in Kraft seit 1. März 2026) und Nr. 10 vom 8. Juni 2026, Nr. 37 (2. KDG-Änderungsgesetz, in Kraft seit 1. August 2026). Amtsblatt Nr. 3 und Amtsblatt Nr. 10 auf bistum-dresden-meissen.de, abgerufen am 14. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 5, 16, 17, 27, 30 bis 32 und 34 bis 38. Kirchenrecht Online (PDF), abgerufen am 14. Oktober 2026.
- Datenschutzkonferenz (DSK): Kurzpapier Nr. 12, Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern, Stand 17. Dezember 2018, S. 3 und 4. PDF der DSK, abgerufen am 14. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Datenschutzbeauftragten melden, mit Fragen und Antworten. datenschutz.sachsen.de, abgerufen am 14. Oktober 2026.
- Kirchliche Datenschutzaufsicht der ostdeutschen Bistümer und des Katholischen Militärbischofs: Meldestelle Datenschutzbeauftragter. kdsa-ost.de, abgerufen am 14. Oktober 2026.
- Der Beauftragte für den Datenschutz der EKD: Anzeige der Bestellung von örtlich Beauftragten und Unsere Aufgaben, abgerufen am 14. Oktober 2026.
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit: Anschriften der Landesbehörden. bfdi.bund.de, abgerufen am 14. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
