02.11.2026

Kontaktdaten des Datenschutzbeauftragten

Warum der Datenschutzbeauftragte direkt und vertraulich erreichbar sein muss

Ein Unternehmen gibt auf seiner Website Telefonnummer, Postanschrift und Kontaktformular seines Datenschutzbeauftragten an. Wer anruft, landet beim IT-Service. Wer das Formular nutzt, schreibt an ein ganzes Team. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit, kurz BlnBDI, hat das Unternehmen dafür verwarnt. Den Fall beschreibt die Behörde in ihrem Jahresbericht 2025. Er betrifft viele Unternehmen, die ihre Kontaktwege nie geprüft haben.

Verantwortliche und Auftragsverarbeiter müssen nach Art. 37 Abs. 7 DS-GVO die Kontaktdaten ihres Datenschutzbeauftragten veröffentlichen. Aufsichtsbehörden und betroffene Personen sollen ihn so vertraulich erreichen können. Die Berliner Datenschutzbehörde stellt klar, dass die Kontaktdaten des Unternehmens dafür nicht reichen. Das gilt auch für ein Datenschutz-Team, das für das Unternehmen arbeitet und nicht bloß als Hilfspersonal des Datenschutzbeauftragten. Wer nur solche Kontaktdaten angibt, verstößt gegen die Veröffentlichungspflicht und gegen die Vertraulichkeitspflichten des Datenschutzbeauftragten.

Im konkreten Fall hatte das Unternehmen als Kontakt zu seinem Datenschutzbeauftragten eine Postanschrift, eine Telefonnummer und ein Kontaktformular angegeben. Anrufe gingen an den IT-Service. Der IT-Service konnte nicht zum Datenschutzbeauftragten durchstellen. Nachrichten aus dem Kontaktformular gingen an ein Datenschutz-Team, in dem der Datenschutzbeauftragte nur ein Mitglied unter mehreren war. Die Berliner Datenschutzbehörde verwarnte das Unternehmen wegen eines Verstoßes gegen die Veröffentlichungspflicht und gegen die Vertraulichkeitspflichten nach Art. 38 Abs. 5 DS-GVO.

Die Behörde erklärt, worum es bei diesen Pflichten geht. Betroffene Personen und Aufsichtsbehörden sollen sich ohne Umweg und vertraulich an den Datenschutzbeauftragten wenden können. Sie sollen dafür nicht erst mit einer anderen Stelle im Unternehmen sprechen müssen. Art. 38 Abs. 4 DS-GVO gibt betroffenen Personen genau dieses Recht. Nur so kann der Datenschutzbeauftragte seine Kontrollaufgaben erfüllen und Anlaufstelle für Betroffene und Behörden sein. Und nur so kann er seine gesetzliche Verschwiegenheitspflicht einhalten, auch gegenüber dem Unternehmen, das ihn benannt hat.

Daraus folgt für die Berliner Datenschutzbehörde eine klare Vorgabe. Schon bei der Festlegung und Veröffentlichung der Kontaktdaten muss feststehen, dass jede Kontaktaufnahme ausschließlich beim Datenschutzbeauftragten ankommt. Briefe an ihn darf die Poststelle nicht öffnen. Auf sein Telefon dürfen nur er selbst und Mitarbeitende zugreifen, die an seine Weisungen gebunden sind.

Im geprüften Fall half es dem Unternehmen nicht, dass auch der Datenschutzbeauftragte die Nachrichten aus dem Kontaktformular lesen konnte. Sein Zugriff war nicht exklusiv. Die Behörde weist auf die Folgen für Betroffene hin. Wer den Datenschutzbeauftragten gerade wegen eines Problems mit dem Unternehmen anschreiben will, braucht Vertraulichkeit. Fehlt sie, kann das ein unüberwindbares Hindernis sein, die eigenen Rechte aus der DS-GVO wahrzunehmen.

Die Anforderungen der Berliner Datenschutzbehörde sind eindeutig. Unternehmen müssen tatsächlich die direkten Kontaktdaten ihres Datenschutzbeauftragten veröffentlichen. Die Kontaktdaten eines Datenschutz-Teams dürfen nicht als Kontaktdaten des Datenschutzbeauftragten ausgegeben werden. Eine Vorfilterung durch das Unternehmen ist unzulässig. Der Gesetzgeber hat betroffenen Personen das Recht gegeben, sich unmittelbar und vertraulich an den Datenschutzbeauftragten zu wenden.

Die Behörde sieht darin auch einen Vorteil für die Unternehmen selbst. Kümmert sich der Datenschutzbeauftragte um ein Anliegen, verzichten Betroffene unter Umständen auf eine Beschwerde bei der Aufsichtsbehörde nach Art. 77 DS-GVO. Ein behördliches Verfahren bleibt dem Unternehmen dann möglicherweise erspart.

Unsere Empfehlungen

Der Fall zeigt einen typischen Fehler. Kontaktwege werden einmal eingerichtet und später nie wieder geprüft. Telefonanlagen werden umgestellt, Formulare an Ticketsysteme angebunden und Sammelpostfächer angelegt. Am Ende kommt die Nachricht nicht mehr beim Datenschutzbeauftragten an oder nicht nur bei ihm.

Unternehmen und KMU

Richten Sie eine eigene E-Mail-Adresse für den Datenschutzbeauftragten ein. Zugriff haben nur er und von ihm angewiesene Mitarbeitende. Prüfen Sie dabei auch Stellvertreterrechte und Administratorzugriffe.
Leiten Sie das Kontaktformular ausschließlich an den Datenschutzbeauftragten. Keine Kopie an ein Ticketsystem, ein CRM oder ein Sammelpostfach.
Nennen Sie eine Telefonnummer, die direkt beim Datenschutzbeauftragten klingelt. Eine Weiterleitung über Zentrale oder IT-Hotline erfüllt die Pflicht nicht.
Weisen Sie die Poststelle an, Briefe an den Datenschutzbeauftragten ungeöffnet weiterzugeben. Ein Zusatz wie „persönlich und vertraulich“ in der Anschrift hilft dabei.
Testen Sie jeden Kontaktweg selbst. Rufen Sie an, schicken Sie das Formular ab und prüfen Sie, wer die Nachricht tatsächlich erhält.

Ein Datenschutz-Team darf es weiter geben. Es muss in der Datenschutzerklärung aber als eigener Kontaktweg erkennbar sein und darf nicht als Kontakt des Datenschutzbeauftragten bezeichnet werden. Für nicht-öffentliche Stellen regelt § 38 Abs. 2 BDSG in Verbindung mit § 6 Abs. 5 Satz 2 BDSG die Verschwiegenheit des Datenschutzbeauftragten über die Identität betroffener Personen.

Behörden und öffentliche Stellen

Die Pflicht aus Art. 37 Abs. 7 DS-GVO gilt auch für öffentliche Stellen. Kritisch ist hier oft die zentrale Posteingangsbearbeitung. Wird Papierpost geöffnet und für die E-Akte gescannt, landet ein vertrauliches Schreiben an den Datenschutzbeauftragten schnell im allgemeinen Workflow. Nehmen Sie Post an den Datenschutzbeauftragten ausdrücklich vom Öffnen und Scannen aus. Prüfen Sie auch, ob Anfragen über Bürgertelefon, Servicecenter oder allgemeine Funktionspostfächer an den Datenschutzbeauftragten gelangen, ohne dass andere den Inhalt lesen.

Gesundheitseinrichtungen

Patientinnen und Patienten wenden sich häufig an den Datenschutzbeauftragten, wenn sie mit einer Behandlung oder einer Auskunft unzufrieden sind. Gerade dann ist Vertraulichkeit wichtig. Das Patientenbeschwerdemanagement oder die Zentrale eines Krankenhauses ist kein Ersatz für den direkten Kontakt. Geben Sie in Datenschutzhinweisen, auf Aushängen und auf der Website die direkte Erreichbarkeit des Datenschutzbeauftragten an. Prüfen Sie, ob Nachrichten über Patientenportale oder Kontaktformulare in Systemen landen, auf die Verwaltung oder Pflegeleitung Zugriff haben.

Kanzleien und Freiberufler

In Kanzleien und Praxen öffnet meist das Sekretariat die gesamte Post. Das ist für Schreiben an den Datenschutzbeauftragten nicht zulässig. Viele Kanzleien arbeiten mit einem externen Datenschutzbeauftragten. Veröffentlichen Sie dann dessen direkte Kontaktdaten und nicht die allgemeine Kanzleiadresse oder ein Info-Postfach. Weisen Sie Ihr Team an, Post mit dem Vermerk an den Datenschutzbeauftragten ungeöffnet weiterzuleiten.

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Jahresbericht 2025, Kapitel B.XI.3 „Vertraulicher Kontakt zu betrieblichen Datenschutzbeauftragten“. Der Originaltext ist unter der Lizenz CC BY 4.0 veröffentlicht und wurde für diesen Beitrag redaktionell bearbeitet und gekürzt.

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks