teamsRollen im Compliance-Team: Geschäftsleitung, DSB, ISB, IT und Fachbereiche
Die Verantwortung für Datenschutz und Informationssicherheit liegt bei der Geschäftsleitung. Der oder die Datenschutzbeauftragte (DSB) berät und überwacht, der oder die Informationssicherheitsbeauftragte (ISB) steuert das ISMS, die IT setzt technische Maßnahmen um, und die Fachbereiche verantworten ihre Verarbeitungen und Prozesse. Die Rollen müssen schriftlich festgelegt und bekannt gemacht sein (ISO/IEC 27001 Kapitel 5.3).
- Die Leitung trägt die Verantwortung (Art. 24 DSGVO) und muss NIS-2-Maßnahmen umsetzen und überwachen (§ 38 BSIG).
- Der DSB ist frühzeitig einzubinden, weisungsfrei und berichtet unmittelbar der höchsten Managementebene (Art. 38 DSGVO).
- Ein DSB ist u. a. ab in der Regel 20 Personen zu benennen, die ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 BDSG).
- Unvereinbare Aufgaben trennen: Wer kontrolliert, sollte nicht zugleich umsetzen (Anhang A 5.3).
Wer ist wofür zuständig?
| Rolle | Aufgabe | Fundstelle |
|---|---|---|
| Geschäftsleitung | Verantwortung, Ziele, Ressourcen, Freigabe von Richtlinien und Restrisiken, Überwachung | Art. 24 DSGVO, § 38 BSIG, ISO/IEC 27001 Kap. 5.1 |
| Datenschutzbeauftragte/r | Beratung, Überwachung, Schulung, Anlaufstelle für Aufsicht und Betroffene | Art. 37 bis 39 DSGVO, § 38 BDSG |
| Informationssicherheitsbeauftragte/r | Steuerung des ISMS, Risikomanagement, Berichte an die Leitung | ISO/IEC 27001 Kap. 5.3, Anhang A 5.2 |
| IT-Leitung und Administration | Technische Maßnahmen, Betrieb, Datensicherung, Berechtigungen, Behandlung technischer Vorfälle | Art. 32 DSGVO, § 30 BSIG |
| Fachbereiche | Eigene Verarbeitungen und Prozesse, Angaben für Verzeichnis und Risikoanalyse, Umsetzung im Alltag | Art. 5 Abs. 2 DSGVO (Rechenschaft der Organisation) |
| Personal | Verpflichtungen, Schulungen, Ein- und Austritt, Beschäftigtendaten | Anhang A 6.1 bis 6.5 ISO/IEC 27001 |
| Einkauf | Dienstleister und Verträge, Auftragsverarbeitung, Lieferkette | Art. 28 DSGVO, § 30 Abs. 2 Nr. 4 BSIG |
Wie sieht eine RACI-Matrix für typische Aufgaben aus?
R = durchführend, A = verantwortlich, C = konsultiert, I = informiert. Beispiel, keine Vorgabe:
| Aufgabe | Leitung | DSB | ISB | IT | Fachbereich |
|---|---|---|---|---|---|
| Verzeichnis der Verarbeitungstätigkeiten pflegen | A | C | I | C | R |
| Risikobewertung Informationssicherheit | A | C | R | C | C |
| Datenpanne bewerten und melden | A | C | C | R | I |
| Neuen Cloud-Dienst einführen | A | C | C | R | R |
| Jährliche Schulung | A | R | R | I | I |
| Managementbewertung | A | C | R | C | I |
Dürfen DSB und ISB dieselbe Person sein?
Die DSGVO erlaubt dem DSB andere Aufgaben, sofern sie nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6). Ob die Kombination mit der Rolle des ISB passt, hängt von der konkreten Ausgestaltung ab: Wer als ISB Maßnahmen festlegt und umsetzt, kontrolliert sich als DSB sonst selbst. Ausgeschlossen sind in der Regel Positionen, in denen jemand selbst über Zwecke und Mittel der Verarbeitung entscheidet, etwa Geschäftsleitung oder IT-Leitung. Die Entscheidung und ihre Begründung sollten dokumentiert werden.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.