Behördliche Datenschutzbeauftragte überwachen die Einhaltung der DSGVO und des BDSG in ihrer Behörde, beraten Behördenleitung und Beschäftigte in allen Datenschutzfragen und sind Anlaufstelle für betroffene Personen und die Datenschutzaufsicht. Sie kontrollieren, sie entscheiden aber nicht selbst über Datenverarbeitungen – verantwortlich bleibt die Behörde. Rechtsgrundlage sind Art. 37 bis 39 DSGVO sowie §§ 5 bis 7 BDSG für die öffentlichen Stellen des Bundes und die jeweiligen Landesdatenschutzgesetze.

Zu den typischen Aufgaben im Behördenalltag gehören die Mitwirkung am Verzeichnis der Verarbeitungstätigkeiten, die Prüfung von Auftragsverarbeitungen, die Beratung bei Datenschutz-Folgenabschätzungen sowie die Unterstützung beim Umgang mit Datenpannen und mit Auskunftsersuchen. Hinzu kommt die Sensibilisierung und Schulung der Beschäftigten, die mit personenbezogenen Daten arbeiten.

Wichtig ist die unabhängige Stellung: Datenschutzbeauftragte sind weisungsfrei in der Ausübung ihrer Fachaufgabe, berichten direkt an die Behördenleitung und dürfen wegen ihrer Tätigkeit nicht benachteiligt werden. In der Praxis bewährt es sich, die Rolle mit klaren Zuständigkeiten, einem Berichtsweg und einer Grundausstattung an Dokumentation (Verarbeitungsverzeichnis, Checklisten, Meldeprozesse) zu hinterlegen. Wer die Funktion neu übernimmt, findet in kompakten Einstiegsformaten wie dem Online-Seminar „Schnellstart für behördliche Datenschutzbeauftragte" einen strukturierten Überblick über Rolle, Pflichten und die ersten konkreten Schritte.
 

Seminarempfehlung:

>>> Schnellstart für behördliche Datenschutzbeauftragte
>>> Der/Die behördl. Datenschutzbeauftragte und Dokumentationspflichten (Modul 3) 

Das Gesetz verlangt keine formale Ausbildung, aber nachweisbare Fachkunde (Art. 37 Abs. 5 DSGVO, § 5 Abs. 3 BDSG): Kenntnisse des Datenschutzrechts (DSGVO, BDSG, Fachrecht) und der Praxis der Behörde. Die Fachkunde muss zur Sensibilität der verarbeiteten Daten passen und laufend aktuell gehalten werden — deshalb gehören Fortbildungen fest zur Rolle.

In der Praxis wird die Fachkunde meist über eine Kombination aus Grundlagenschulung, Praxiserfahrung und regelmäßigen Updates aufgebaut. Ein kompaktes Einstiegsseminar liefert den ersten Nachweis; eine zertifizierte, mehrmodulige Fortbildung mit Abschlussprüfung dokumentiert die Fachkunde umfassend und ist besonders dann sinnvoll, wenn die Funktion dauerhaft und hauptamtlich ausgeübt wird. Inhaltlich sollte eine solche Qualifizierung neben dem Rechtsrahmen auch die Beratungspraxis abdecken: Verarbeitungsverzeichnis, Dokumentationspflichten, Datenschutz-Folgenabschätzung, Umgang mit Datenpannen und die Zusammenarbeit mit Personalvertretung und IT.

Für den öffentlichen Dienst bietet die dbb akademie beide Wege offen an: den halbtägigen „Schnellstart für behördliche Datenschutzbeauftragte" (die Teilnahmebescheinigung ist ein erster Baustein für den Fachkundenachweis) und die „Zertifizierte Fortbildung zur/zum behördlichen Datenschutzbeauftragten" in drei Präsenzmodulen mit Prüfung und Abschlusszertifikat. Wer bereits im Amt ist, hält die Fachkunde mit jährlichen Update-Formaten aktuell.
 

Seminarempfehlung:

>>> Schnellstart für behördliche Datenschutzbeauftragte
>>> Der/Die behördl. Datenschutzbeauftragte und Dokumentationspflichten (Modul 3) 

Sind Datenschutzschulungen für Beschäftigte Pflicht — und wie oft sollten sie stattfinden?

Eine ausdrückliche Schulungspflicht mit festem Turnus steht nicht in der DSGVO. Sie ergibt sich aber mittelbar: Verantwortliche müssen die Einhaltung des Datenschutzes nachweisen können (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO), und die Sensibilisierung der Beschäftigten gehört zu den Aufgaben der Datenschutzbeauftragten (Art. 39 Abs. 1 lit. b DSGVO). Ohne geschulte Beschäftigte ist beides kaum darstellbar.

Als Praxisstandard hat sich etabliert: eine Grundschulung für alle, die mit personenbezogenen Daten arbeiten, ergänzt um Auffrischungen in regelmäßigen Abständen sowie anlassbezogene Schulungen — etwa bei neuen Verfahren, neuen Rechtsgrundlagen oder nach einer Datenpanne. Dokumentiert werden sollten Inhalte, Teilnehmende und Termine, denn die Schulungsnachweise sind Teil der Rechenschaftspflicht gegenüber der Aufsichtsbehörde.

Inhaltlich sollte eine Grundschulung die Rechtsgrundlagen von DSGVO und BDSG, die Zulässigkeit von Datenverarbeitungen, die Rechte der Betroffenen, den Umgang mit Datenpannen und die Dokumentationspflichten abdecken — genau der Stoff, den ein eintägiger Crashkurs wie „DSGVO und BDSG – Das Grundlagenwissen an einem Tag" vermittelt. Wer tiefer einsteigen muss, etwa als künftige Datenschutz-Koordinatorin, kann die fünfteilige Online-Grundlagenreihe der dbb akademie nutzen, deren Module auch einzeln buchbar sind.

Seminarempfehlung

>>> DSGVO und BDSG – Crashkurs
>>> Grundlagenkenntnisse und Praxiswissen im Datenschutzrecht (Module 1–5)

Grundsätzlich ja — aber nur in einem geklärten Rahmen. Entscheidend ist, dass keine personenbezogenen Daten oder vertraulichen Verwaltungsinformationen unkontrolliert in externe KI-Systeme gelangen und dass die Behörde Regeln definiert, welche Tools für welche Zwecke zulässig sind.

Rechtlich greifen mehrere Ebenen ineinander: das Datenschutzrecht (DSGVO/BDSG) für alle personenbezogenen Daten in Eingaben und Ausgaben, das Urheberrecht bei KI-generierten Texten und Bildern, das allgemeine Persönlichkeitsrecht (etwa beim Klonen von Stimme oder Bild) und seit Inkrafttreten der EU-KI-Verordnung zusätzlich deren Pflichten für Betreiber von KI-Systemen (Verordnung (EU) 2024/1689). Für die Verwaltungspraxis heißt das: KI-Nutzung braucht eine dienstliche Regelung (z. B. Dienstanweisung oder Dienstvereinbarung), eine Prüfung der eingesetzten Tools und geschulte Beschäftigte.

Wie diese Ebenen zusammenspielen und wie sich KI-Werkzeuge rechtssicher in Arbeitsabläufe integrieren lassen — vom Data Mining über KI-generierte Werke bis zu den Pflichten aus der KI-Verordnung —, behandelt das Online-Seminar „KI rechtssicher nutzen – Datenschutz, Urheberrechte, AI Act der EU". Speziell für das Zusammenspiel von KI, Homeoffice und Beschäftigtendaten bietet das zweitägige „Update zum Beschäftigtendatenschutz" die personalrechtliche Vertiefung.

Seminarempfehlung:

>>> KI rechtssicher nutzen – Datenschutz, Urheberrechte, AI Act der EU
>>> Zwischen ChatGPT, Homeoffice und Hinweisgebersystem – Das Update zum Beschäftigtendatenschutz

Artikel 4 der EU-KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen — auch Behörden —, dafür zu sorgen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Wer KI-Systeme einsetzt, muss Beschäftigte also nachweisbar befähigen, diese Systeme sachkundig und risikobewusst zu verwenden. Diese Pflicht gilt bereits seit dem 2. Februar 2025.

Die Verordnung schreibt dabei kein festes Schulungsformat vor. Maßgeblich sind der technische Kenntnisstand der Beschäftigten, der Kontext des KI-Einsatzes und die betroffenen Personengruppen. Für Behörden bedeutet das praktisch: den KI-Einsatz im Haus erfassen, den Schulungsbedarf je Rolle bestimmen (Sachbearbeitung, Führung, IT, Personalvertretung) und ein internes Schulungskonzept mit Mindestinhalten aufsetzen — von den Grundbegriffen der KI über rechtliche Anforderungen bis zu den konkret genutzten Systemen.

Einen kompakten Einstieg in genau diese Anforderung bietet die 90-minütige Online-„Mitarbeiterschulung gemäß Art. 4 KI-VO" der dbb akademie, die die rechtlichen Anforderungen und Mindestinhalte sowie Handlungsempfehlungen für interne Schulungskonzepte anhand praktischer Anwendungsbeispiele vermittelt und keine Vorkenntnisse voraussetzt. Für Führungskräfte, die Haftungsfragen klären müssen, vertieft das Seminar „KI-Verordnung und Haftung" den Rechtsrahmen.

Seminarempfehlung:

>>> Mitarbeiterschulung gemäß Art. 4 KI-VO

Der Personalrat hat beim Datenschutz eine Doppelrolle: Er verarbeitet selbst personenbezogene Daten der Beschäftigten — etwa in Anträgen, Beschwerden oder Sitzungsunterlagen — und muss dabei die Datenschutzregeln einhalten. Zugleich wacht er über die Mitbestimmung, wenn die Dienststelle Systeme einführt, die Beschäftigtendaten verarbeiten oder eine Verhaltens- und Leistungskontrolle ermöglichen.

Für die eigene Gremienarbeit heißt das konkret: vertraulicher Umgang mit Akten, klare Regeln für das Personalratsbüro, technische und organisatorische Schutzmaßnahmen und Schweigepflicht der Mitglieder. Bei der Mitbestimmung wiederum geht es darum, Dienstvereinbarungen zu IT-Systemen, Homeoffice-Regelungen oder KI-Einsatz so zu gestalten, dass Beschäftigtendaten wirksam geschützt sind — aktuelle Rechtsprechung wie das Workday-Urteil des Bundesarbeitsgerichts (Urteil vom 8. Mai 2025, 8 AZR 209/21) erhöht hier die Anforderungen.

Für neue Gremienmitglieder vermittelt der halbtägige Online-„Schnellstart Datenschutz für Personalräte" Rolle und Pflichten im Überblick. Das Präsenzseminar „Der Personalrat als Datenschützer – das Praxis-Update 2026" vertieft mit sechs Modulen von den Sicherheitsmaßnahmen im Personalratsbüro über Mitbestimmungsrechte bei Datenverarbeitung und Überwachung bis zu Musterklauseln für Dienstvereinbarungen.

Seminarempfehlung:

>>> Schnellstart Datenschutz für Personalräte
>>> Der Personalrat als Datenschützer – das Praxis-Update 2026

Beantragt eine Person Auskunft über ihre Daten, muss die Behörde grundsätzlich innerhalb eines Monats antworten (Art. 12 Abs. 3 DSGVO; bei komplexen Anträgen Verlängerung um bis zu zwei Monate möglich): ob Daten verarbeitet werden, welche, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert bleiben und an wen sie übermittelt wurden — plus eine Kopie der Daten.

In der Praxis entscheidet die Vorbereitung über die Qualität der Antwort: Zuständigkeiten müssen geklärt sein (wer nimmt Anträge an, wer trägt zusammen?), die Identität der antragstellenden Person ist zu prüfen, und die Frist ist zu überwachen — bei komplexen Anträgen ist eine begründete Verlängerung möglich. Häufige Fehlerquellen sind vergessene Datenbestände (E-Mail-Postfächer, Altverfahren, Papierakten) und unklare Formate der Auskunft.

Das Online-Seminar „Die Pflichten von Verantwortlichen und die Rechte von Betroffenen (Modul 2)" behandelt genau diese Praxisfragen: die Pflichten der Verantwortlichen, die Rechte der Betroffenen und die praktische Umsetzung von Auskunftsersuchen einschließlich Form und Fristen. Es richtet sich ausdrücklich auch an Beschäftigte ohne Datenschutz-Vorwissen und ist einzeln oder als Teil der fünfteiligen Grundlagenreihe buchbar.

Seminarempfehlung:

>>> Die Pflichten von Verantwortlichen und die Rechte von Betroffenen (Modul 2)

So lange, wie es für den Zweck der Verarbeitung erforderlich ist — danach müssen die Daten gelöscht werden. Eine pauschale Frist gibt es nicht: Die Speicherdauer ergibt sich aus dem jeweiligen Fachrecht, aus Aufbewahrungspflichten und aus dem Grundsatz der Speicherbegrenzung der DSGVO (Art. 5 Abs. 1 lit. e; Löschpflicht nach Art. 17 DSGVO).

Für die Verwaltungspraxis bedeutet das: Jede Stelle braucht ein Löschkonzept. Darin wird für jede Datenkategorie festgehalten, welche Frist gilt, woraus sie sich ableitet, wann die Frist zu laufen beginnt und wie die Löschung — auch in E-Akte-Systemen — technisch umgesetzt und dokumentiert wird. Gängige Orientierungswerte gibt es für viele Verwaltungsbereiche, etwa im Personalaktenrecht; sie ersetzen aber nicht die einzelfallbezogene Prüfung. Wichtig ist außerdem der Fristbeginn: Er knüpft je nach Datenart an unterschiedliche Ereignisse an, etwa das Ausscheiden aus dem Dienst oder den Abschluss eines Vorgangs.

Wie man Löschfristen identifiziert, ein individuelles Löschkonzept erstellt und die Umsetzung in der E-Akte organisiert, vermittelt der Online-„Schnellstart: Löschfristen im Datenschutzrecht" — konzipiert für behördliche Datenschutzbeauftragte, Personalratsmitglieder und Personalsachbearbeitung. Für den Spezialfall Personalakte bietet „Grundlagen des neuen Personalaktenrechts (Bund/Land)" die fachrechtliche Vertiefung.

Interne Kennzeichnung (nicht veröffentlichen):

>>> Schnellstart: Löschfristen im Datenschutzrecht

Bei einer Verletzung des Schutzes personenbezogener Daten — etwa einer Fehlversendung, einem verlorenen Datenträger oder einem IT-Angriff — muss die Behörde den Vorfall unverzüglich intern bewerten und ihn, wenn ein Risiko für die Betroffenen besteht, innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Rechtsgrundlage ist Art. 33 DSGVO; bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen (Art. 34 DSGVO), und jeder Vorfall ist unabhängig von der Meldepflicht zu dokumentieren (Art. 33 Abs. 5 DSGVO).

Der Ablauf folgt drei Schritten: erstens die Panne erkennen und dokumentieren (jeder Vorfall gehört ins interne Verzeichnis, auch wenn er nicht meldepflichtig ist); zweitens das Risiko bewerten — davon hängt ab, ob nur die Aufsichtsbehörde oder bei hohem Risiko auch die betroffenen Personen zu benachrichtigen sind; drittens Abhilfemaßnahmen ergreifen und die Ursache abstellen. Damit das unter Zeitdruck funktioniert, braucht es vorab definierte Meldewege: Wer meldet an wen, wer entscheidet, wer formuliert die Meldung?

Eng verwandt ist die Datenschutz-Folgenabschätzung: Sie prüft riskante Verarbeitungen, bevor etwas passiert. Beide Instrumente — Schwellwertanalyse, Risikobewertung, Meldepflichten und Prävention — behandelt das Online-Seminar „Datenschutz-Folgenabschätzung und Umgang mit Datenpannen (Modul 4)" mit Praxistipps für die Umsetzung in Behörden.

Seminarempfehlung:

>>> Datenschutz-Folgenabschätzung und Umgang mit Datenpannen (Modul 4)