Auslagerung Geldwäsche Officer
Geldwäscheprävention nach § 6 und § 7 GwG, mit Verdachtsmeldewesen und Transaktionsmonitoring.
Zur LeistungDatenschutzbeauftragter nach Art. 37 bis 39 DSGVO und § 38 BDSG
Auslagerung des Datenschutzbeauftragten
S+P Compliance übernimmt die Funktion des Datenschutzbeauftragten – weisungsfrei, mit direkter Berichtslinie an die höchste Managementebene und ohne Interessenkonflikte.
Unternehmen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, müssen nach § 38 BDSG einen Datenschutzbeauftragten benennen; unabhängig von dieser Schwelle schreibt Art. 37 DSGVO die Benennung für bestimmte Verarbeitungstätigkeiten vor. Der Datenschutzbeauftragte berät und überwacht nach Art. 39 DSGVO, ist dabei nach Art. 38 Abs. 3 DSGVO weisungsfrei und darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden.
Diese Aufgabe lässt sich auslagern, die Verantwortung nicht: Der Datenschutzbeauftragte hat weder die Aufgabe noch die Kompetenz, eine zweite Datenschutzstruktur aufzubauen. Die Verantwortung für die Einhaltung der DSGVO trägt der Verantwortliche selbst. Wir richten das Mandat so ein, dass Weisungsfreiheit und Berichtslinie jederzeit belegbar sind.
- Benennung eines Datenschutzbeauftragten mit gesetzlich geschützter Weisungsfreiheit nach Art. 38 Abs. 3 DSGVO.
- Verarbeitungsverzeichnis, Richtlinien und Schulungen aus einer Hand, abgestimmt auf Ihr Geschäftsmodell.
- Anlaufstelle für Aufsichtsbehörde und betroffene Personen, mit dokumentierter Zusammenarbeit.
- Vorbereitung datenschutzrelevanter Entscheidungen, ohne dass die Verantwortung des Verantwortlichen verlagert wird.
Rechtsgrundlagen und Prüfungsnachweise
- Art. 37 DSGVO
- Art. 38 DSGVO
- Art. 39 DSGVO
- § 38 BDSG
- Art. 5, 24 DSGVO
Prüfungshinweis: Alle Arbeitsergebnisse werden versioniert, mit Zeitstempel und Entscheidungsvermerk abgelegt. Prüfer erhalten auf Anforderung einen strukturierten Nachweis darüber, wer wann welche Verarbeitung wie bewertet und dokumentiert hat.
Wer eine Kontrollfunktion auslagert, muss das Auslagerungsunternehmen überwachen und die Überwachung belegen können. S+P Compliance stellt dafür geprüfte Nachweise bereit, die Ihr Abschlussprüfer, Ihre Interne Revision und Ihre Aufsichtsbehörde unmittelbar verwerten können. Sie verkürzen Ihre eigene Prüfungshandlung, ersetzen sie aber nicht: Die Auslagerung verlagert die Beratung, nicht die Verantwortung.
IDW PS 951
Das interne Kontrollsystem von S+P Compliance ist nach dem Prüfungsstandard des IDW für Dienstleistungsunternehmen geprüft. Der Bericht beschreibt Kontrollziele, Kontrollen und deren Wirksamkeit und kann in Ihre Beurteilung der Auslagerung einbezogen werden.
AuslagerungsprüfungISAE 3402
Für Häuser mit ausländischer Muttergesellschaft oder international tätigem Gruppenprüfer liegt der Nachweis nach dem internationalen Pendant vor. Damit entfällt die Diskussion darüber, ob ein rein nationaler Standard für die Gruppenprüfung ausreicht.
InternationalISO 9001
Das Qualitätsmanagementsystem ist zertifiziert. Prozesse, Zuständigkeiten, Dokumentenlenkung und Korrekturmaßnahmen sind festgeschrieben und werden regelmäßig auditiert – die Grundlage dafür, dass vereinbarte Reaktionszeiten und Berichtsrhythmen eingehalten werden.
QualitätsmanagementISO 27001
Das Informationssicherheits-Managementsystem ist zertifiziert. Für Sie relevant, weil bei der Auslagerung des Datenschutzbeauftragten personenbezogene Daten, Verarbeitungsverzeichnis und Berichte außerhalb Ihres Hauses verarbeitet werden und dieser Punkt regelmäßig geprüft wird.
InformationssicherheitESG-Rating
S+P Compliance verfügt über ein bestätigtes ESG-Rating. Das erleichtert Ihnen die Bewertung im Rahmen der Lieferantenprüfung und die Aufnahme des Dienstleisters in Ihre eigene Nachhaltigkeitsberichterstattung.
NachhaltigkeitBereitstellung der Unterlagen
Prüfungsberichte und Zertifikate stellen wir auf Anforderung bereit – auch direkt gegenüber Ihrem Abschlussprüfer oder Ihrer Aufsichtsbehörde. Die Bereitstellung wird im Auslagerungsvertrag als Informations- und Prüfungsrecht verankert.
Auf AnforderungWas ausgelagert wird – und was beim Verantwortlichen bleibt
Eine Auslagerung ist nur dann tragfähig, wenn die Entscheidungsrechte vorher schriftlich geklärt sind. Wir arbeiten nach einem festen Grundsatz: S+P Compliance berät und überwacht, der Verantwortliche entscheidet.
S+P Compliance berät und überwacht
- Unterrichtung und Beratung zu datenschutzrechtlichen Pflichten
- Überwachung der Einhaltung der DSGVO und interner Richtlinien
- Beratung bei der Datenschutz-Folgenabschätzung
- Tätigkeit als Anlaufstelle für Aufsichtsbehörde und betroffene Personen
- Schulung und Sensibilisierung der Mitarbeitenden
Der Verantwortliche entscheidet und verantwortet
- Aufbau und Pflege der Verarbeitungsstruktur nach Art. 5 und 24 DSGVO
- Entscheidung über technische und organisatorische Maßnahmen
- Freigabe von Verarbeitungstätigkeiten und Auftragsverarbeitungsverträgen
- Meldung von Datenschutzverletzungen an die Aufsichtsbehörde
- Letztverantwortung für die Einhaltung der DSGVO
Der Datenschutzbeauftragte hat weder die Aufgabe noch die Kompetenz, eine zweite Datenschutzstruktur aufzubauen; er berät und überwacht weisungsfrei nach Art. 38 und 39 DSGVO. Die Verantwortung für die Einhaltung der DSGVO trägt der Verantwortliche (Art. 5, 24 DSGVO). Die Auslagerung verlagert die Beratung, nicht die Verantwortung.
Warum Unternehmen die Funktion auslagern
Drei Entwicklungen treffen die Datenschutzorganisation gleichzeitig – jede für sich ließe sich intern abfangen, in der Summe wird es eng.
-
Eine Überwachungsaufgabe, die die ganze Organisation umfasst
Der Datenschutzbeauftragte überwacht die Einhaltung der DSGVO einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung beteiligter Mitarbeiter und der diesbezüglichen Überprüfungen. Dieser Überwachungsauftrag reicht über einzelne Abteilungen hinaus in die gesamte Verarbeitungslandschaft eines Unternehmens hinein – für eine einzelne interne Stelle in kleineren und mittleren Häusern kaum dauerhaft in voller Tiefe zu leisten.
Art. 39 Abs. 1 Buchst. b DSGVO – Überwachung der Einhaltung -
Weisungsfreiheit, die geschützt ist
Der Datenschutzbeauftragte darf bei der Erfüllung seiner Aufgaben keine Anweisungen erhalten und wegen dieser Erfüllung weder abberufen noch benachteiligt werden. In der Praxis lässt sich dieser Schutz kaum glaubwürdig darstellen, wenn dieselbe Person weisungsgebunden im Tagesgeschäft eingebunden ist.
Art. 38 Abs. 3 DSGVO – Weisungsfreiheit und Abberufungsschutz -
Ein Amt, das leicht in Konflikt gerät
Der Datenschutzbeauftragte darf zwar weitere Aufgaben wahrnehmen, diese dürfen aber zu keinem Interessenkonflikt führen. Die verbreitete Praxis, IT-Leitung oder Personalleitung mit der Funktion zu kombinieren, ist genau der Interessenkonflikt, den diese Regelung verhindern soll – und wird bei Prüfungen zunehmend aufgegriffen.
Art. 38 Abs. 6 DSGVO – Verbot von Interessenkonflikten
Sechs Punkte, an denen es in der Praxis klemmt
Die folgenden Befunde tauchen in Prüfungsberichten regelmäßig auf. Sie beschreiben typische Muster, keine konkreten Unternehmen.
Vakanz und Weisungsfreiheit
Kündigung oder längere Abwesenheit treffen eine Funktion, die dauerhaft besetzt sein muss. Eine kurzfristige Vertretung aus dem Tagesgeschäft verletzt schnell die geforderte Weisungsfreiheit.
Interessenkonflikt durch Doppelfunktion
IT-Leitung oder Personalleitung üben die Funktion nebenbei aus, obwohl sie selbst über die Verarbeitungen entscheiden, die sie als Datenschutzbeauftragte überwachen sollen.
Verarbeitungsverzeichnis unvollständig
Neue Tools und Verfahren werden im Fachbereich eingeführt, ohne dass sie ins Verzeichnis von Verarbeitungstätigkeiten gelangen. Bei der nächsten Prüfung fehlen genau diese Einträge.
Meldung von Datenschutzverletzungen verspätet
Die Meldefrist von 72 Stunden nach Art. 33 DSGVO beginnt mit Kenntnis des Vorfalls. Ohne feste Zuständigkeit für die Erstbewertung verstreicht diese Frist häufig ungenutzt.
Schulungen nicht dokumentiert
Sensibilisierungsmaßnahmen finden statt, aber Teilnahme und Inhalte werden nicht nachvollziehbar festgehalten. Im Prüfungsfall lässt sich die Schulungspflicht dann nicht belegen.
Zusammenarbeit mit der Aufsichtsbehörde unvorbereitet
Die Rolle als Anlaufstelle für die Aufsichtsbehörde ist gesetzlich vorgesehen, in der Praxis aber oft nicht organisatorisch hinterlegt, wenn tatsächlich eine Anfrage eingeht.
Leistungsumfang der Auslagerung
Der Umfang wird im Auslagerungsvertrag festgelegt. Sie können das Mandat vollständig übertragen oder einzelne Bausteine ergänzend zu einer internen Funktion beauftragen.
Mandat als Datenschutzbeauftragter
Benannte Funktion mit geschützter Weisungsfreiheit und geregelter Vertretung.
- Benennung einer namentlich bestimmten Person mit Nachweis der fachlichen Eignung
- Weisungsfreie Aufgabenwahrnehmung nach Art. 38 Abs. 3 DSGVO
- Schutz vor Abberufung oder Benachteiligung wegen der Aufgabenerfüllung
- Direkte Berichtslinie an die höchste Managementebene
- Prüfung auf Interessenkonflikte vor Mandatsbeginn nach Art. 38 Abs. 6 DSGVO
- Feste Vertretungsregelung für Kontinuität bei Abwesenheit
- Frühzeitige Einbindung in alle datenschutzrelevanten Fragen
- Übergabedokumentation bei Beginn und Beendigung des Mandats
Verarbeitungsverzeichnis und Richtlinienmanagement
Ein Verzeichnis, das mit jeder neuen Verarbeitung mitwächst.
- Aufbau und laufende Pflege des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO
- Erstellung und Aktualisierung von Datenschutzrichtlinien nach DSGVO und BDSG
- Prüfung von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO
- Abstimmung mit Informationssicherheitsbeauftragtem und Compliance-Funktion
- Dokumentation technischer und organisatorischer Maßnahmen
- Pflege der Regelwerke bei Rechtsänderungen
- Beratung zu internationalen Datentransfers
- Vorbereitung der Freigabe durch den Verantwortlichen
Überwachung und Prüfung
Regelmäßige Kontrolle statt einmaliger Bestandsaufnahme.
- Regelmäßige Prüfung der Einhaltung von DSGVO, BDSG und internen Richtlinien
- Stichprobenprüfungen zu Verarbeitungsvorgängen
- Überwachung der Zuweisung von Zuständigkeiten im Datenschutz
- Prüfung von Zugriffsberechtigungen und Löschkonzepten
- Dokumentation von Prüfungsergebnissen und Empfehlungen
- Abstimmung mit Interner Revision zur Vermeidung von Doppelprüfungen
- Neutrale Beschreibung eingesetzter Systeme ohne Bindung an einen Anbieter
- Regelmäßige Wirksamkeitskontrolle mit Nachjustierung
Datenschutz-Folgenabschätzung und Beratung
Bewertung neuer Verfahren, bevor sie produktiv gehen.
- Beratung bei der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO
- Überwachung ihrer Durchführung
- Bewertung neuer Verarbeitungsvorgänge und Technologien auf Datenschutzrisiken
- Beratung bei Projekten nach dem Grundsatz Privacy by Design und by Default
- Vorbereitung der vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO
- Dokumentation der Bewertungsmethodik für die Prüfungsfestigkeit
- Abstimmung mit Fachbereichen vor Einführung neuer Verfahren
- Nachverfolgung empfohlener Maßnahmen
Meldewesen bei Datenschutzverletzungen
Bewertung, die innerhalb der gesetzlichen Frist trägt.
- Entgegennahme und Bewertung gemeldeter Datenschutzverletzungen
- Fristgerechte Vorbereitung der Meldung binnen 72 Stunden nach Art. 33 DSGVO
- Bewertung des Risikos für Betroffene und Vorbereitung ihrer Benachrichtigung nach Art. 34 DSGVO
- Dokumentation aller Vorfälle unabhängig von der Meldepflicht
- Tätigkeit als Anlaufstelle für die Aufsichtsbehörde
- Zusammenarbeit mit der Aufsichtsbehörde bei Rückfragen und Prüfungen
- Nachverfolgung von Abhilfemaßnahmen
- Auswertung wiederkehrender Vorfälle für das Berichtswesen
Abgrenzung: S+P Compliance bereitet die Meldung vor und bewertet das Risiko. Über die Abgabe der Meldung und eine etwaige Benachrichtigung Betroffener entscheidet der Verantwortliche.
Schulung und Sensibilisierung
Wissen, das zur jeweiligen Rolle im Unternehmen passt.
- Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeitenden
- Rollenspezifische Inhalte für Vertrieb, IT und Geschäftsleitung
- Digitale Lerneinheiten und Präsenztrainings
- Teilnahmenachweise und Lernerfolgskontrolle mit Aufbewahrung
- Anlaufstelle für betroffene Personen und deren Anfragen
- Aktualisierung der Inhalte bei Rechtsänderungen
- Einbindung anonymisierter Erkenntnisse aus Prüfungen
- Auswertung der Schulungsquote für das Berichtswesen
Auslagerungsvertrag und laufende Steuerung
Eine Auslagerung wird nicht durch die Leistung tragfähig, sondern durch ihre Steuerung. Die folgenden vier Elemente regeln wir vor dem Start.
Vertrag und Weisungsfreiheit
Leistungsumfang, Berichtslinie und die gesetzlich geschützte Weisungsfreiheit werden schriftlich fixiert, damit die Unabhängigkeit der Funktion belegbar bleibt.
Informationsrechte
Der Verantwortliche behält die Steuerungsmöglichkeit. Vereinbart werden Zugriffs-, Auskunfts- und Prüfungsrechte für Unternehmen, Interne Revision, Abschlussprüfer und Aufsichtsbehörde.
Vertretung und Erreichbarkeit
Neben der benannten Person ist eine eingearbeitete Vertretung vertraglich hinterlegt. Reaktionszeiten bei Datenschutzverletzungen sind Bestandteil der Vereinbarung, nicht der Absprache.
Exit und Rückverlagerung
Für Kündigung, Wechsel oder Rückverlagerung liegt ein Verfahren vor: Datenherausgabe, Übergabedokumentation und Einarbeitung der Nachfolge sind vorab beschrieben.
Vier Einsatzmodelle
Welches Modell passt, hängt von Größe, Verarbeitungsumfang und vorhandener interner Besetzung ab. Die Modelle lassen sich im Zeitverlauf wechseln.
Vollmandat
S+P Compliance stellt den Datenschutzbeauftragten. Der Verantwortliche behält die Entscheidungsrechte, die er nicht abgeben kann.
BeauftragtenfunktionStellvertretung
Die interne Funktion bleibt bestehen, S+P Compliance übernimmt die Stellvertretung. Damit ist die Vertretung dauerhaft eingearbeitet statt nur formal bestellt.
VertretungsregelungInterim
Befristete Besetzung bei Vakanz, Nachbesetzung oder Aufbau einer neuen Funktion, verbunden mit strukturierter Übergabe an die interne Nachfolge.
ÜbergangszeitraumFachliche Zuarbeit
Unterstützung einzelner Aufgaben – etwa das Verarbeitungsverzeichnis oder einzelne Folgenabschätzungen – ohne Beauftragtenmandat, ergänzend zu einer bestehenden internen Funktion.
Ohne MandatIn vier Schritten zum ausgelagerten Mandat
Der Zeitbedarf hängt davon ab, wie vollständig Verarbeitungsverzeichnis und Dokumentation vorliegen.
1
Anforderungen klären
Unternehmensgröße, Verarbeitungsumfang, bestehende Besetzung und offene Feststellungen werden aufgenommen. Ergebnis ist eine Bestandsaufnahme mit Prioritäten.
2
Datenschutzanalyse und Angebot
Wir bewerten Verarbeitungslandschaft, Interessenkonflikte und Schnittstellen und legen ein Angebot mit definiertem Leistungsumfang und Berichtsrhythmus vor.
3
Vertrag, Bestellung, Meldung der Kontaktdaten
Auslagerungsvertrag und Bestellung werden abgeschlossen. Die Kontaktdaten des Datenschutzbeauftragten werden veröffentlicht und der Aufsichtsbehörde mitgeteilt (Art. 37 Abs. 7 DSGVO).
4
Betrieb, Überwachung, Bericht
Laufender Betrieb mit dokumentierten Kontrollen, unterjährigem Reporting und sofortiger Eskalation bei Datenschutzverletzungen.
Rollenverteilung bei haftungsrelevanten Entscheidungen
Vier Vorgänge entscheiden im Prüfungsfall darüber, ob eine Auslagerung sauber aufgesetzt war. Für jeden dieser Vorgänge halten wir schriftlich fest, wer berät und überwacht und wer entscheidet. Diese Zuordnung ist Bestandteil des Auslagerungsvertrags und wird nicht im Tagesgeschäft ausgehandelt.
Der Grundsatz gilt durchgängig: S+P Compliance berät und überwacht, der Verantwortliche entscheidet. Der Datenschutzbeauftragte hat weder die Aufgabe noch die Kompetenz, eine zweite Datenschutzstruktur aufzubauen – die Auslagerung verlagert die Beratung, nicht die Verantwortung.
| Vorgang | S+P Compliance berät und überwacht | Entscheidung und Verantwortung des Unternehmens | Anknüpfungspunkt |
|---|---|---|---|
| Verarbeitungsverzeichnis und Maßnahmen | Führung, Pflege, Vorschlag technischer und organisatorischer Maßnahmen | Freigabe der Verarbeitungsstruktur und der Maßnahmen; Aufbau und Pflege der Verarbeitungsstruktur bleiben Aufgabe des Verantwortlichen | Art. 5, 24, 30 DSGVO |
| Datenschutz-Folgenabschätzung | Beratung, Bewertung, Dokumentation der Risiken | Entscheidung über Durchführung der neuen Verarbeitung | Art. 35 DSGVO |
| Datenschutzverletzung | Bewertung, Fristvorbereitung, Dokumentation | Entscheidung über Meldung und Benachrichtigung Betroffener | Art. 33, 34 DSGVO |
| Bestellung des Datenschutzbeauftragten | Vorschlag, Prüfung auf Interessenkonflikte | Bestellung und Meldung der Kontaktdaten an die Aufsichtsbehörde | Art. 37 Abs. 7 DSGVO |
Passt eine Auslagerung zu Ihrer Konstellation?
Im ersten Gespräch klären wir Unternehmensgröße, Verarbeitungsumfang und offene Feststellungen aus der letzten Prüfung. Ergebnis ist eine Einschätzung, welches Einsatzmodell trägt und wie die Weisungsfreiheit der Funktion belegbar wird.
Was sich damit im Haus verändert
Funktion durchgängig besetzt
Beauftragter und Vertretung sind vertraglich geregelt, eingearbeitet und erreichbar – auch in Urlaubs- und Krankheitszeiten.
KontinuitätWeisungsfreiheit strukturell abgesichert
Berichtslinie und Trennung von operativen Aufgaben sind vertraglich fixiert und dokumentiert.
UnabhängigkeitPrüfungsfeste Berichte
Verarbeitungsverzeichnis, Prüfungsergebnisse und Vorfalldokumentation liegen strukturiert vor, statt erst bei der nächsten Prüfung rekonstruiert zu werden.
DokumentationPlanbarer Aufwand
Leistungsumfang und Vergütung sind vertraglich definiert. Rekrutierung, Einarbeitung und Fortbildung entfallen als Einzelposten.
KalkulierbarAktuelles Verarbeitungsverzeichnis
Neue Verfahren und Tools werden laufend erfasst, statt erst bei der nächsten Prüfung nachgetragen zu werden.
AktualitätKlare Rollen
Wer berät, wer überwacht und wer entscheidet, ist schriftlich geregelt. Das reduziert Rückfragen in Revision und Prüfung.
GovernanceFür wen die Auslagerung in Frage kommt
Adressiert sind Unternehmen, die nach § 38 BDSG oder Art. 37 DSGVO einen Datenschutzbeauftragten benennen müssen.
- Kreditinstitute
- Wertpapierinstitute
- Zahlungsinstitute
- E-Geld-Institute
- Kapitalverwaltungsgesellschaften
- Kryptoverwahrer und Kryptodienstleister
- FinTechs mit KWG- oder ZAG-Erlaubnis
- Zweigniederlassungen ausländischer Institute
- Finanzunternehmen mit KWG-Lizenz
Weitere Auslagerungsleistungen von S+P Compliance
Die Auslagerung des Datenschutzbeauftragten lässt sich mit weiteren Kontrollfunktionen kombinieren, soweit die jeweiligen Unabhängigkeitsanforderungen dies zulassen. Alle Mandate folgen derselben Rollenlogik: Beratung extern, Verantwortung im Unternehmen.
Auslagerung Compliance Officer
Allgemeine Compliance-Funktion nach AT 4.4.2 MaRisk mit Überwachung, Beratung und Berichtswesen.
Zur LeistungAuslagerung MaRisk Compliance Officer
Fokussiertes Mandat für die MaRisk-konforme Umsetzung und Überwachung, einschließlich Legal Inventory.
Zur LeistungAuslagerung WpHG Compliance Officer
Wertpapier-Compliance nach § 80 WpHG mit Produktüberwachung und Beschwerdemanagement.
Zur LeistungAuslagerung Interne Revision
Unabhängige Prüfungen nach risikoorientiertem Prüfungsplan, mit Feststellungen und umsetzbaren Empfehlungen.
Zur LeistungAuslagerung Chief Information Security Officer
Informationssicherheitsbeauftragter nach BAIT und Art. 6 Abs. 4 DORA mit organisatorischer Unabhängigkeit.
Zur LeistungZentrales Auslagerungsmanagement
Steuerung und Kontrolle aller Auslagerungen einschließlich Auslagerungsregister, Risikoanalysen und Berichtswesen.
Zur LeistungAuslagerung XBRL-Meldewesen
Fristgerechte und formal geprüfte XBRL-Meldungen, ohne dass Sie eigene Meldesoftware betreiben müssen.
Zur LeistungAML Operations
Operative Unterstützung bei Alert-Bearbeitung, Fallabschluss und Rückstandsabbau – auch kurzfristig und skalierbar.
Zur LeistungKYC Operations
Kundensorgfaltspflichten im laufenden Betrieb: Onboarding, periodische Aktualisierung und Nachbearbeitung offener Fälle.
Zur LeistungOutsourcing Money Laundering Reporting Officer
Englischsprachiges Mandat für internationale Häuser mit deutscher Erlaubnis, inklusive Reporting an die Gruppe.
Zur LeistungOutsourcing Internal Audit
Independent audits nach risikoorientiertem Prüfungsplan mit englischsprachiger Berichterstattung für internationale Häuser.
Zur LeistungHäufige Fragen zur Auslagerung des Datenschutzbeauftragten
Was macht ein externer Datenschutzbeauftragter (DSB) von S+P?
S+P Compliance stellt eine namentlich benannte Person als Datenschutzbeauftragten, die nach Art. 39 DSGVO unterrichtet und berät, die Einhaltung der DSGVO überwacht, bei der Datenschutz-Folgenabschätzung berät, als Anlaufstelle für die Aufsichtsbehörde fungiert und Mitarbeitende schult. Die Tätigkeit erfolgt weisungsfrei nach Art. 38 Abs. 3 DSGVO. Der genaue Umfang wird im Auslagerungsvertrag festgelegt.
Für welche Unternehmen ist die Auslagerung eines DSB sinnvoll?
In Betracht kommen Unternehmen, die nach § 38 BDSG oder Art. 37 DSGVO einen Datenschutzbeauftragten benennen müssen: Kreditinstitute, Wertpapierinstitute, Zahlungs- und E-Geld-Institute, Kapitalverwaltungsgesellschaften, Kryptoverwahrer und FinTechs mit KWG- oder ZAG-Erlaubnis. Sinnvoll ist die Auslagerung vor allem dort, wo die geforderte Weisungsfreiheit intern kaum ohne Interessenkonflikt darstellbar ist.
Bleibt die Verantwortung für die DSGVO-Konformität beim Unternehmen?
Ja. Der Datenschutzbeauftragte hat weder die Aufgabe noch die Kompetenz, eine zweite Datenschutzstruktur aufzubauen. Die Verantwortung für die Einhaltung der DSGVO trägt der Verantwortliche selbst nach Art. 5 und 24 DSGVO. Aufbau der Verarbeitungsstruktur, Entscheidungen über technische und organisatorische Maßnahmen sowie die Meldung von Datenschutzverletzungen bleiben Aufgaben des Unternehmens.
Wie stellt S+P die Weisungsfreiheit des Datenschutzbeauftragten sicher?
Der Datenschutzbeauftragte erhält bei der Erfüllung seiner Aufgaben keine Anweisungen und wird wegen dieser Erfüllung weder abberufen noch benachteiligt, wie es Art. 38 Abs. 3 DSGVO vorsieht. Vor Mandatsbeginn prüfen wir, ob weitere übernommene Aufgaben zu einem Interessenkonflikt nach Art. 38 Abs. 6 DSGVO führen könnten. Diese Trennung ist im Auslagerungsvertrag festgehalten.
Wie stellt S+P die Prüfungsfestigkeit sicher?
Jede Prüfung, jede Beratung und jede Vorfallsbewertung wird versioniert und mit Begründung dokumentiert. Unser eigenes Kontrollsystem ist nach IDW PS 951 und ISAE 3402 geprüft, siehe Abschnitt Rechtsgrundlagen und Prüfungsnachweise. Damit können Sie und Ihre Aufsichtsbehörde jederzeit nachvollziehen, wann welche Entscheidung auf welcher Grundlage getroffen wurde.
Kann die Funktion des Datenschutzbeauftragten mit anderen Aufgaben kombiniert werden?
Nach Art. 38 Abs. 6 DSGVO darf der Datenschutzbeauftragte weitere Aufgaben wahrnehmen, sofern diese zu keinem Interessenkonflikt führen. Eine Kombination mit Funktionen, die selbst über Verarbeitungstätigkeiten entscheiden – etwa IT-Leitung oder Personalleitung –, ist ausgeschlossen. Wir stimmen die Abgrenzung zu anderen Kontrollfunktionen vor Beginn des Mandats schriftlich ab.
Auslagerung mit klarer Rollentrennung
Ein ausgelagerter Datenschutzbeauftragter trägt dann, wenn zwei Dinge zusammenkommen: eine Funktion, die weisungsfrei und ohne Interessenkonflikte arbeitet, und eine Rollenverteilung, die im Prüfungsfall belegbar ist. S+P Compliance richtet beides gemeinsam mit Ihnen ein – die Beratung wird verlagert, die Verantwortung bleibt bei Ihrem Unternehmen.
Ihr Ansprechpartner
Achim Schulz
Geschäftsführer S+P Compliance
Achim Schulz verantwortet die S+P Compliance Services. Da S+P als Dienstleister für regulierte Institute fortlaufend von Wirtschaftsprüfern und Aufsichtsbehörden geprüft wird, ist die Prüfungsexpertise seines Teams immer auf dem neuesten Stand. Ihr Vorteil: Er weiß aus der täglichen Praxis exakt, welche Nachweise und Kontrollen in aktuellen Audits zwingend gefordert werden. Diese tagesaktuelle Expertise fließt direkt in Ihre Auslagerung ein. Sie profitieren von zertifizierten Prozessen (IDW PS 951, ISO), die jedem Audit durch die BaFin oder Ihren Abschlussprüfer absolut sicher standhalten.
LinkedIn-Profil → · Redaktion & Experten → · S+P Compliance Services →