Die Kontaktdaten des betrieblichen Datenschutzbeauftragten (DSB) zu veröffentlichen, ist für viele Unternehmen eine Selbstverständlichkeit. Art. 37 Abs. 7 DSGVO verlangt jedoch mehr als einen Hinweis im Impressum oder in den Datenschutzhinweisen: Betroffene müssen den DSB tatsächlich direkt und vertraulich erreichen können.
Wie wichtig das ist, zeigt ein Fall aus dem Tätigkeitsbericht 2025 der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI). Ein Unternehmen hatte auf seiner Website eine Telefonnummer und ein Kontaktformular für den DSB angegeben. Anrufer landeten jedoch beim IT-Service, der keine Verbindung zum DSB herstellen konnte. Anfragen über das Formular gingen an ein Datenschutz-Team; der DSB war dort Mitglied. Ein unmittelbarer, vertraulicher Kontakt war damit nicht möglich. Die BlnBDI verwarnte das Unternehmen.
Warum Vertraulichkeit entscheidend ist
Der DSB berät nicht nur die Unternehmensleitung und Beschäftigte. Er ist auch Anlaufstelle für Kundinnen und Kunden, Beschäftigte oder andere betroffene Personen, die Fragen oder Beschwerden zur Datenverarbeitung haben. Gerade wenn sich ein Anliegen gegen das Unternehmen selbst richtet, muss die Kontaktaufnahme ohne vorgeschaltete interne Stelle möglich sein.
Ein gemeinsames Team-Postfach oder ein Kontaktformular, dessen Inhalte zunächst bei der Fachabteilung landen, reicht deshalb nicht aus. Entscheidend ist, dass Nachrichten ausschließlich beim DSB oder bei Mitarbeitenden eingehen, die ihm unmittelbar unterstellt sind. Auch an den DSB adressierte Briefpost darf in der Poststelle nicht geöffnet werden.
Was Unternehmen jetzt prüfen sollten
Unternehmen sollten ihre veröffentlichten Kontaktwege kritisch überprüfen:
- Ist der DSB über eine eigene E-Mail-Adresse, Telefonnummer oder ein ausschließlich ihm zugeordnetes Kontaktformular erreichbar?
- Haben nur der DSB und gegebenenfalls sein direkt zugeordnetes Team Zugriff auf diese Kommunikationskanäle?
- Werden an den DSB adressierte Briefe ungeöffnet weitergeleitet?
- Gibt es keine Vorfilterung durch IT, Kundenservice, Personalabteilung oder ein allgemeines Datenschutz-Team?
Der Name des DSB muss dabei nicht zwingend veröffentlicht werden. Die Kontaktdaten müssen aber so gestaltet sein, dass Betroffene ihr Anliegen ohne Umwege und ohne Einsichtnahme durch andere Stellen an ihn richten können.
Fazit
Vertrauliche Kontaktwege sind keine bloße Formalie. Sie ermöglichen Betroffenen, ihre Rechte wirksam wahrzunehmen, und geben Unternehmen zugleich die Chance, datenschutzrechtliche Probleme frühzeitig zu klären. Ein funktionierender direkter Draht zum DSB kann Beschwerden bei der Aufsichtsbehörde vermeiden – und stärkt das Vertrauen in den Umgang des Unternehmens mit personenbezogenen Daten.
