MSP oder Datenschutzbeauftragter? Aufgaben, Unterschiede und warum die Trennung zählt

„Um den Datenschutz kümmert sich unsere IT-Firma mit.“ Diesen Satz hören wir häufig – und er ist gefährlich unpräzise. Denn er vermischt zwei Dinge: die technische Umsetzung von Datenschutz (Verschlüsselung, Backups, Zugriffskontrolle, sichere Konfiguration) und die rechtliche Überwachung und Beratung rund um die Verarbeitung personenbezogener Daten. Das Erste ist Aufgabe eines guten Managed Service Providers (MSP). Das Zweite ist Aufgabe eines Datenschutzbeauftragten (DSB). Beide arbeiten Hand in Hand – aber sie sind nicht austauschbar. Und in der Regel sollten sie nicht dieselbe Person oder Firma sein.

Ein MSP betreibt und verantwortet die IT-Infrastruktur eines Unternehmens – laufend, proaktiv und vertraglich geregelt. Dazu gehören der Betrieb und die Wartung von Servern, Netzwerk, Clients, Microsoft 365 und Firewalls ebenso wie die Sicherheit mit Endpoint-Schutz, Patch-Management, E-Mail-Security und Systemhärtung. Hinzu kommen Datensicherung und Notfallvorsorge, das laufende Monitoring mit Störungsbehebung und Anwender-Helpdesk sowie die Beratung zur IT-Strategie, etwa bei Lizenzen, Cloud-Migration und Modernisierung. Datenschutzrechtlich ist der MSP in aller Regel ein Auftragsverarbeiter im Sinne von Art. 28 DSGVO: Er verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Kunden, des sogenannten Verantwortlichen. Grundlage dafür ist ein Auftragsverarbeitungsvertrag (AVV). Der MSP setzt die geforderten technischen und organisatorischen Maßnahmen (TOMs) um, entscheidet aber nicht über Zweck und Mittel der Verarbeitung. Kurz gesagt ist der MSP der Umsetzer und Betreiber; sein Auftrag lautet, dafür zu sorgen, dass die IT sicher, verfügbar und funktionsfähig ist. Mehr dazu auf unserer Seite zu Managed Services.

Der Datenschutzbeauftragte ist eine gesetzlich definierte Kontroll-, Beratungs- und Überwachungsinstanz. Seine Rolle und Aufgaben regeln vor allem Art. 37–39 DSGVO sowie ergänzend das BDSG. Zu seinen Kernaufgaben nach Art. 39 DSGVO gehört es, den Verantwortlichen und die Beschäftigten über ihre Datenschutzpflichten zu unterrichten und zu beraten, die Einhaltung der DSGVO und der internen Datenschutz-Strategien einschließlich Sensibilisierung und Schulungen zu überwachen, bei der Datenschutz-Folgenabschätzung zu beraten und deren Durchführung zu überwachen sowie mit der Aufsichtsbehörde zusammenzuarbeiten und als deren Anlaufstelle zu dienen. Entscheidend ist die Stellung des DSB nach Art. 38 DSGVO: Er ist weisungsfrei in der Ausübung seiner Aufgaben, frühzeitig einzubinden, darf wegen der Aufgabenerfüllung nicht benachteiligt werden und berichtet direkt an die oberste Leitungsebene. Kurz gesagt ist der DSB der neutrale Wächter und Berater; sein Auftrag lautet, unabhängig zu prüfen, ob die Verarbeitung personenbezogener Daten rechtmäßig ist – und dabei zu beraten.

MSP und DSB unterscheiden sich in nahezu jeder Hinsicht. Der Auftrag des MSP ist es, die IT zu betreiben, abzusichern und verfügbar zu halten, während der DSB die Datenschutz-Compliance überwacht und berät. Der MSP denkt aus der Perspektive von Technik und Betrieb, also von Verfügbarkeit und Funktion; der DSB aus der Perspektive von Recht und Betroffenenrechten, also der Rechtmäßigkeit. Rechtlich ist der MSP Auftragsverarbeiter nach Art. 28 DSGVO, der DSB dagegen eine gesetzliche Funktion nach Art. 37–39 DSGVO. Der MSP ist weisungsgebunden und handelt nach Auftrag, der DSB ist in seiner Aufgabenerfüllung weisungsfrei. Entsprechend unterschiedlich verläuft der Berichtsweg: Der MSP berichtet als Dienstleister an die IT- oder Geschäftsleitung, der DSB direkt an die oberste Leitung. Am Ende steht beim MSP eine funktionierende, sichere IT und beim DSB eine dokumentierte, geprüfte Rechtskonformität.

Der wichtigste Grund, MSP und DSB nicht zu vermischen, steht in Art. 38 Abs. 6 DSGVO: Ein DSB darf zwar andere Aufgaben wahrnehmen – aber nur, solange kein Interessenkonflikt entsteht. Genau der droht aber, wenn dieselbe Firma, die die IT-Systeme entwirft, konfiguriert und betreibt, gleichzeitig als DSB unabhängig kontrollieren soll, ob genau diese Systeme datenschutzkonform sind. Das ist so, als würde man Prüfer und Geprüften in Personalunion setzen. Aufsichtsbehörden sehen einen solchen Selbstkontroll-Konflikt kritisch – nicht ohne Grund gelten auch Geschäftsführung oder IT-Leitung als kritische Funktionen, die nicht zugleich DSB sein sollten, weil sie über Zweck und Mittel der Verarbeitung mitentscheiden. Konkret heißt das: Ein MSP, der Ihre Microsoft-365-Umgebung, Ihre Backups und Ihre Firewall betreibt, kann nicht glaubwürdig neutraler Wächter über die Datenschutzkonformität eben dieser Systeme sein. Die vom Gesetzgeber geforderte Unabhängigkeit wäre strukturell nicht gegeben.

Getrennte Rollen bedeuten nicht getrennte Welten – im Gegenteil, an mehreren Stellen ist die Zusammenarbeit entscheidend. Bei den technischen und organisatorischen Maßnahmen definiert der DSB die Anforderungen mit, während der MSP sie technisch umsetzt und dokumentiert. Bei der Auftragsverarbeitung prüft und bewertet der DSB die AVVs, während der MSP selbst Vertragspartei ist und die zugesagten Maßnahmen liefern muss. Im Fall einer Datenpanne nach Art. 33 und 34 DSGVO erkennt und meldet der MSP den Vorfall technisch, während der DSB die Meldepflicht bewertet und die Kommunikation mit der Aufsichtsbehörde begleitet – die 72-Stunden-Frist verlangt hier eingespielte Prozesse. Bei Löschkonzepten und Aufbewahrung legt der DSB die rechtlichen Fristen fest, die der MSP technisch umsetzt, und bei der Datenschutz-Folgenabschätzung liefert der MSP die technischen Fakten, die der DSB bewertet. Ein guter MSP erleichtert dem DSB die Arbeit durch saubere Dokumentation und schnelle Auskunftsfähigkeit, und ein guter DSB gibt dem MSP klare Leitplanken. Das Zusammenspiel funktioniert am besten, wenn beide Rollen klar getrennt und klar benannt sind.

Ob ein DSB benannt werden muss, ergibt sich aus DSGVO und BDSG. Nach Art. 37 Abs. 1 DSGVO besteht eine Benennungspflicht unter anderem dann, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht, wenn sie in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten liegt – etwa Gesundheitsdaten – oder wenn es sich um eine öffentliche Stelle handelt. In Deutschland kommt nach § 38 BDSG eine zusätzliche Pflicht hinzu: Nicht-öffentliche Stellen müssen einen DSB benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – oder unabhängig davon, wenn eine Datenschutz-Folgenabschätzung erforderlich ist. Wichtig ist: Auch ohne Benennungspflicht gelten alle materiellen Datenschutzpflichten der DSGVO weiter, von den Rechtsgrundlagen über die Betroffenenrechte und die TOMs bis zum Verzeichnis von Verarbeitungstätigkeiten und den Meldepflichten. Ein DSB ist eine Rolle, kein Ersatz für Datenschutz an sich. Der Schwellenwert von 20 Personen ist der aktuell in Deutschland geltende – Schwellenwerte und Auslegungen können sich ändern.

Ein interner DSB ist eine geeignete, geschulte Person aus dem Unternehmen – die allerdings keine kollidierende Funktion ausüben darf und daher weder der Geschäftsführung noch der IT-Leitung angehören sollte. Ein externer DSB ist ein spezialisierter Dienstleister oder Anwalt; seine Vorteile liegen in der Unabhängigkeit von außen, der Fachkunde, dem Fehlen interner Rollenkonflikte und der Unabhängigkeit von einer einzelnen Person. Für kleine und mittlere Unternehmen ist der externe DSB oft die pragmatischste Lösung – und lässt sich sauber vom MSP trennen.

Klar auf der MSP-Seite – und das ganz bewusst. Wir sorgen dafür, dass Datenschutz technisch umsetzbar ist: durch Verschlüsselung von Endgeräten, E-Mail und Datenträgern, durch Backup und Wiederherstellung mit dokumentierten Konzepten (unter anderem Veeam, CodeTwo und Hornetsecurity für Microsoft 365), durch Zugriffs- und Berechtigungskonzepte und die sichere Konfiguration von Microsoft 365, durch Endpoint-Security, Patch-Management und E-Mail-Security, durch Protokollierung und Nachvollziehbarkeit als Basis für Audits, durch einen AVV als saubere vertragliche Grundlage sowie durch schnelle Auskunfts- und Reaktionsfähigkeit im Fall einer Datenpanne. Was wir bewusst nicht tun: als Ihr Datenschutzbeauftragter die Rechtmäßigkeit genau der Systeme neutral prüfen, die wir selbst betreiben. Diese Unabhängigkeit können und wollen wir nicht vortäuschen. Stattdessen arbeiten wir eng mit Ihrem DSB zusammen – intern wie extern – und liefern ihm alles, was er für seine Bewertung braucht. Bei Bedarf vermitteln wir gerne den Kontakt zu spezialisierten Datenschutz-Partnern. Sprechen Sie uns an.

Der MSP ist Betreiber und technischer Umsetzer, datenschutzrechtlich Auftragsverarbeiter und weisungsgebunden; der DSB ist unabhängiger Überwacher und Berater mit gesetzlicher Funktion und weisungsfrei. Ein Unternehmen mit relevanter Datenverarbeitung braucht meist beide – aber in getrennten Rollen, um Interessenkonflikte zu vermeiden. Das beste Ergebnis entsteht im Zusammenspiel: klare technische Umsetzung durch den MSP, neutrale Kontrolle und Beratung durch den DSB. Wenn Sie unsicher sind, ob Sie einen DSB benötigen oder wie Datenschutz in Ihrer IT sauber umgesetzt wird, sprechen Sie uns an – wir ordnen die technische Seite ein und verweisen für die rechtliche Bewertung an die richtigen Stellen.

Dieser Beitrag ist eine allgemeine Information und ersetzt keine individuelle Rechtsberatung. Für die verbindliche Beurteilung Ihrer Benennungspflicht und Ihrer Datenschutz-Organisation wenden Sie sich bitte an einen Datenschutzbeauftragten oder eine fachkundige Rechtsberatung.