Externen Datenschutzbeauftragten wechseln: Checkliste für Kündigung, Übergabe und LfDI-Meldung

Ein Mittelständler aus Reutlingen schrieb mir: „Unser bisheriger DSB antwortet seit Wochen nicht – können wir einfach jemanden Neues eintragen?“ Kurz: Nein. Sie können wechseln, aber der Wechsel ist ein Prozess mit Vertrag, Dokumentation und Aufsicht.

In Baden-Württemberg ist die zuständige Aufsichtsbehörde der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI). Wer den DSB ändert, muss Kontaktdaten und interne Prozesse mitziehen – sonst entsteht eine Lücke genau dort, wo die Aufsicht sie sieht.

Warum Betriebe den externen DSB wechseln

Typische Gründe aus der Praxis: mangelnde Erreichbarkeit, fehlende Branchenkenntnis, Wechsel der Unternehmensgruppe, oder der Wunsch nach einem Ansprechpartner vor Ort in der Neckar-Alb. All das ist legitim. Problematisch wird es, wenn der Altvertrag endet, bevor der Neue handlungsfähig ist.

Kündigung und Vertrag: Fristen sauber setzen

Prüfen Sie den bestehenden Vertrag: Kündigungsfrist, Form (Textform?), Übergabepflichten, Aufbewahrung und Löschung der beim Dienstleister liegenden Unterlagen. Planen Sie Überlappung: Ideal ist ein klarer Stichtag, an dem der Neue benannt ist und der Alte entbunden wird – ohne „Niemandsland“.

Kündigen Sie nicht emotional per Chat. Halten Sie den Schriftverkehr fest. Und klären Sie, was mit Backups, Ticket-Systemen und E-Mail-Postfächern des alten DSB passiert.

Übergabe: Was der neue DSB wirklich braucht

Mindestumfang einer sinnvollen Übergabe:

Aktuelles Verarbeitungsverzeichnis und TOM-Dokumentation
Liste der Auftragsverarbeiter inkl. AV-Verträge
Offene Betroffenenanfragen und Vorfälle der letzten Monate
Schulungsnachweise und interne Richtlinien
Zugang zu relevanten Systemen (nur so weit nötig, mit Protokoll)
Bisherige Meldungen an die Aufsicht und Korrespondenz

Ohne diese Pakete startet der Neue bei null – und Ihr Nachweis der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) wird dünn.

LfDI-Meldung und Datenschutzerklärung aktualisieren

Sobald ein neuer DSB benannt ist, gehören die Kontaktdaten in die Datenschutzerklärung und – soweit vorgesehen – in die Meldung an die Aufsicht. In Baden-Württemberg nutzen viele Verantwortliche die vom LfDI bereitgestellten Meldewege. Prüfen Sie den aktuellen Stand auf der LfDI-Website und dokumentieren Sie, was wann gemeldet wurde.

Vergessen Sie parallel Intranet, Fußzeilen, Angebotsvorlagen und Impressum-nahe Kontaktblöcke nicht. Ein veralteter DSB-Name auf der Website ist ein Klassiker bei Prüfungen.

Checkliste in zehn Schritten

Status prüfen: Besteht überhaupt noch Benennungspflicht?
Neuen DSB auswählen und Vertrag finalisieren (Starttermin fix).
Alten Vertrag fristgerecht kündigen / einvernehmliche Beendigung.
Übergabeplan mit Datenpaket und Fristen vereinbaren.
Intern informieren: GF, IT, HR, Betriebsrat falls vorhanden.
Benennung und Aufgabenbeschreibung schriftlich festhalten.
LfDI-Meldung / Aktualisierung vornehmen und Beleg ablegen.
Datenschutzerklärung und Website-Kontakte aktualisieren.
Zugänge des Alten entziehen; Zugänge des Neuen freigeben.
Löschbestätigung des alten Dienstleisters einholen.

Die häufigsten Fehler beim Wechsel

Erstens: Kündigung ohne Nachfolger. Zweitens: Website aktualisiert, Aufsicht nicht. Drittens: Keine Löschbestätigung vom alten Anbieter – Kundendaten „leben“ weiter beim Ex-Dienstleister. Viertens: Der Neue bekommt nur eine Excel-Liste „irgendwelche Verarbeitungen“ und soll zaubern.

Wenn Sie den Wechsel strukturiert angehen wollen: Melden Sie sich über Kontakt. Auf kowoll-protects.de und kosten.de finden Sie Einordnung zu Leistung und Festpreis. Der Wechsel ist machbar – wenn Kündigung, Übergabe und LfDI-Meldung Hand in Hand laufen.

Planen Sie den Wechsel wie ein kleines Projekt mit Verantwortlichen: Geschäftsführung entscheidet, IT stellt Zugänge, HR informiert Belegschaft, der neue DSB prüft die Übergabequalität. Ohne Projektowner bleibt die Aufgabe zwischen den Stühlen liegen – und genau dann entstehen Lücken in der Dokumentation.

Achten Sie besonders auf laufende Verfahren: offene Betroffenenanfragen, gemeldete oder beobachtete Vorfälle, streitige AV-Themen mit Cloud-Anbietern. Ein Wechsel mitten in einem Auskunftsfall ist machbar, aber nur mit klarer Aktennotiz, wer bis wann verantwortlich war. Sonst entsteht Streit darüber, wer Fristen versäumt hat.

Technisch empfiehlt sich eine kurze Shadowing-Phase: Der Neue erhält lesenden Zugriff auf die wesentlichen Unterlagen, während der Alte noch erreichbar ist. Zwei Wochen Parallelität kosten weniger als Monate Chaos. Und bitte: holen Sie die Lösch- bzw. Herausgabebestätigung des alten Dienstleisters schriftlich ein. Ohne diesen Beleg bleibt Unsicherheit, wo Kundendaten noch liegen.

Zur Aufsicht: Nutzen Sie die aktuellen Hinweise des LfDI Baden-Württemberg zur Meldung von Datenschutzbeauftragten. Speichern Sie Bestätigungen und Screenshots im Compliance-Ordner. Aktualisieren Sie parallel E-Mail-Signaturen und Angebotsboilerplate, in denen oft noch der alte Name steht. Der Wechsel ist dann erledigt, wenn Vertrag, Aufsicht, Website und interne Kommunikation denselben Stand zeigen.

Rechtlich bleibt der Verantwortliche immer das Unternehmen – nicht der Dienstleister. Ein Wechsel ändert nichts an Ihrer Rechenschaftspflicht. Deshalb rate ich dazu, vor dem Stichtag ein kurzes Audit der Kernartefakte zu machen: Verarbeitungsverzeichnis, TOMs, AV-Vertragsliste, Schulungsnachweise. Was fehlt, wird sichtbar, bevor der Neue die Verantwortung übernimmt.

Kommunizieren Sie den Wechsel intern sachlich: Name, Erreichbarkeit, ab wann gültig. Extern reicht meist die aktualisierte Datenschutzerklärung. Kunden müssen Sie nicht mit jedem Dienstleisterwechsel bombardieren – außer Verträge verlangen ausdrücklich eine Information.

(Allgemeine Orientierung, keine Rechtsberatung im Einzelfall.)