Die DSGVO in Art. 37 Abs. 7 schreibt vor, dass Unternehmen die Kontaktdaten ihres Datenschutzbeauftragten (DSB) veröffentlichen müssen. In der Praxis bedeutet das, dass Betroffene über die Möglichkeit verfügen müssen, den DSB direkt und ohne Umwege kontaktieren zu können. Was auf den ersten Blick wie eine Selbstverständlichkeit klingt, erweist sich häufig als unterschätzte Pflicht. Sowohl die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) in der Broschüre „Info 4 – Die Datenschutzbeauftragten in Behörden und Betrieben“ als auch ein konkreter Fall aus dem Tätigkeitsbericht 2025 der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) machen deutlich, dass die Veröffentlichung der DSB-Kontaktdaten in der Praxis oft weniger trivial ist, als sie scheint.
Ein Kontaktweg, der ins Leere führt
Ein Unternehmen hatte auf seiner Website als Kontaktdaten des DSB neben einer Postanschrift eine Telefonnummer sowie ein Kontaktformular veröffentlicht. Doch wer die Telefonnummer anrief, landete beim IT-Service des Unternehmens, der nicht in der Lage war, zum DSB durchzustellen. Wer das Kontaktformular nutzte, übermittelte seine Anfrage an ein allgemeines Datenschutz-Team, in dem der DSB lediglich Mitglied war. Eine direkte, vertrauliche Verbindung zum DSB selbst war nicht vorgesehen. Aus diesem Grund hat die BlnBDI das Unternehmen wegen Verstoßes gegen die Pflicht zur Veröffentlichung der Kontaktdaten des DSB sowie gegen die datenschutzrechtlichen Vertraulichkeitspflichten förmlich verwarnt.
Unter vier Augen – auch digital
Hinter diesen Vorschriften steckt ein klares gesetzgeberisches Ziel: Betroffene Personen sollen sich jederzeit direkt und vertraulich an den DSB wenden können. Der Weg dorthin darf nicht durch andere Teile der Organisation führen.
Der DSB ist nicht allein interner Berater des Verantwortlichen – er steht zugleich als Anlaufstelle für betroffene Personen zur Verfügung, auch für solche, die Einwände gegenüber dem Unternehmen selbst vorbringen möchten. Läuft das Anliegen dabei zunächst durch eine unternehmenseigene Stelle, werden viele Betroffene gar nicht erst das Gespräch suchen. Im Ergebnis können sie ihre Rechte aus der DSGVO faktisch nicht wahrnehmen.
Pflichten im Überblick
Die BlnBDI macht im Bericht deutlich, welche Anforderungen Unternehmen erfüllen müssen:
- Direkte Kontaktdaten: Veröffentlicht werden müssen die unmittelbaren Kontaktdaten der oder des DSB. Hierzu gehören neben der Postanschrift eine persönliche Telefonnummer oder eine persönliche E-Mail-Adresse. Die Bereitstellung eines Kontaktformulars ist ebenfalls möglich. Entscheidend ist in jedem Fall, dass die Anfrage ausschließlich beim DSB ankommt und nicht bei einem allgemeinen Datenschutz-Team, das für das Unternehmen tätig ist. Der Name des DSB muss dabei nicht zwingend veröffentlicht werden.
- Exklusiver Zugang: Auf eingehende Nachrichten, E-Mails und das Telefon des DSB dürfen ausschließlich der DSB selbst sowie ihm direkt unterstellte weisungsgebundene Mitarbeiterinnen und Mitarbeiter zugreifen.
- Keine Öffnung von Post: In der Poststelle eingehende Schreiben, die an den DSB adressiert sind, dürfen dort nicht geöffnet werden.
- Kein Vorfiltern: Eine „Vorfilterung“ durch den Verantwortlichen ist unzulässig. Der Gesetzgeber hat betroffenen Personen das Recht eingeräumt, sich unmittelbar und vertraulich an den DSB zu wenden.
Der bloße Mitlesezugriff des DSB auf eingehende Kontaktformulare genügt nicht. Entscheidend ist, dass ausschließlich er Zugriff hat – ein geteilter Posteingang oder ein gemeinsam genutztes Team-Postfach erfüllt diese Anforderung nicht.
Der unterschätzte Mehrwert vertraulicher Kontaktwege
Die Vertraulichkeitsverpflichtung ist nicht nur eine Bürde – sie bietet Unternehmen einen handfesten Vorteil. Betroffene Personen, die ihr Anliegen auf direktem Weg beim DSB klären können, sehen häufig von einer förmlichen Beschwerde bei der Aufsichtsbehörde ab. Ein gut erreichbarer DSB wirkt so als Frühwarnsystem – er nimmt Probleme auf, bevor sie zu behördlichen Verfahren werden. Das schützt nicht nur vor regulatorischen Konsequenzen – es wahrt auch den Ruf des Unternehmens gegenüber Kunden und der Öffentlichkeit.
Fazit
Die Veröffentlichungspflicht für Kontaktdaten des DSB ist mehr als eine bürokratische Formalität – sie ist Voraussetzung dafür, dass der DSB seine Funktion als unabhängige, vertrauliche Anlaufstelle überhaupt wahrnehmen kann. Unternehmen sollten ihre veröffentlichten Kontaktwege daher einer Prüfung unterziehen – nicht nur mit Blick auf formale Vollständigkeit, sondern vor allem auf echte Vertraulichkeit. Maßgeblich ist, ob eingehende Nachrichten tatsächlich und ausschließlich beim DSB ankommen, ob er darauf ungehindert reagieren kann und ob sichergestellt ist, dass kein anderer Zugriff auf seine Kommunikationskanäle hat. Erst dann ist die gesetzliche Anforderung wirklich erfüllt.
Keine Kommentare