[Seite 1]
Geschäftsdokument
Vg-26-040 – Erbringung von
Dienstleistungen eines externen
Datenschutzbeauftragten:
Leistungsbeschreibung
Version 1
Stand: 11.09.2026
[Seite 2]
Vg-26-040 – Erbringung von Dienstleistungen eines externen Datenschutzbeauftragten: Leistungsbeschreibung
Inhaltsverzeichnis
1 Auftraggeberin ....................................................................................................... 4
2 Ziel ......................................................................................................................... 4
3 Aufgaben des Auftragnehmers ................................................................................ 4
4 Erreichbarkeit und Reaktionszeit ............................................................................ 6
5 Anforderungen an die Qualifikation des eingesetzten Personals .............................. 7
© ALDB 2026 Version: 1 Stand: 17.03.202611.09.2026 Seite 2 von 7
[Seite 3]
Vg-26-040 – Erbringung von Dienstleistungen eines externen Datenschutzbeauftragten: Leistungsbeschreibung
Abbildungsverzeichnis
Abbildung 1: Beispielabbildung .............................................. Fehler! Textmarke nicht definiert.
Tabellenverzeichnis
Tabelle 1: Beschriftung ....................................................... Fehler! Textmarke nicht definiert.
© ALDB 2026 Version: 1 Stand: 17.03.202611.09.2026 Seite 3 von 7
[Seite 4]
Vg-26-040 – Erbringung von Dienstleistungen eines externen Datenschutzbeauftragten: Leistungsbeschreibung
1 Auftraggeberin
Die ALDB GmbH (ALDB) wurde im Jahr 2010 als Alcatel-Lucent Digitalfunk Betriebsgesellschaft mbH gegründet und hat im selben Jahr den Betrieb des BOS-Digitalfunknetzes für die Behörden und Organisationen mit Sicherheitsaufgaben übernommen.
Seitdem betreiben wir das weltweit größte BOS-Digitalfunknetz für die Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit Sicherheitsaufgaben (BDBOS) und die Autorisierten Stellen der Bundesländer und des Bundes.
Seit dem 1. Januar 2019 sind wir eine Tochtergesellschaft der BDBOS und firmieren nun als ALDB GmbH.
Seit dem 1. Januar 2019 ist die BDBOS außerdem für den Betrieb der sog. Netze des Bundes (NdB) verantwortlich. Für den Netzbetrieb greift die BDBOS dabei auch auf die ALDB als ihr Tochterunternehmen zurück.
Seit Juli 2023 betreibt die ALDB GmbH im Auftrag und in enger Abstimmung mit der BDBOS das BDBOS Security Operations Center, ein einzigartiges Kompetenzzentrum für IT-Sicherheit in Deutschland. Hier sichern und schützen wir zentral kritische Kommunikationsnetze und damit den Austausch von Polizei, Feuerwehr, Ministerien oder der Regierung.
2 Ziel
Ziel der Ausschreibung ist es, die Aufgaben und Funktion des/der Datenschutzbeauftragten für die ALDB zu vergeben und durch den Auftragnehmer wahrnehmen zu lassen. Der Auftragnehmer soll die Aufgaben eigenständig oder mit eigenem Personal erbringen und die Rolle des Datenschutzbeauftragten der ALDB nach innen und nach außen vertreten und wahrnehmen.
Gegenstand der Ausschreibung ist die Übernahme der Funktion des Datenschutzbeauftragten nach Art. 37 ff. Datenschutz-Grundverordnung (DSGVO). Der Datenschutzbeauftragte berät und unterstützt die Auftraggeberin in allen Unternehmensbereichen zum Thema Datenschutzrecht und Überwachung der Einhaltung aller datenschutzrechtlichen Erfordernisse.
3 Aufgaben des Auftragnehmers
Insbesondere folgende Aufgaben sollen durch den Auftragnehmer übernommen werden:
• Beratung und Überwachung der Einhaltung datenschutzrechtlicher Vorschriften: Beratung der Geschäftsführung, Führungskräfte und Mitarbeitenden in allen grundsätzlichen und konkreten Fragen des Datenschutzes sowie Überwachung der Einhaltung der DSGVO, des BDSG und sonstiger einschlägiger datenschutzrechtlicher Vorschriften.
• Beobachtung der Entwicklung des Datenschutzrechts: Laufende Beobachtung von Gesetzesänderungen, Rechtsprechung, aufsichtsbehördlichen Veröffentlichungen und sonstigen relevanten Entwicklungen im Datenschutzrecht sowie Bewertung ihrer Relevanz für die ALDB GmbH und Information der zuständigen Stellen.
© ALDB 2026 Version: 1 Stand: 17.03.202611.09.2026 Seite 4 von 7
[Seite 5]
Vg-26-040 – Erbringung von Dienstleistungen eines externen Datenschutzbeauftragten: Leistungsbeschreibung
• Überwachung der Datenverarbeitungen und Datenschutzkontrollen: Regelmäßige bzw. anlassbezogene Überprüfung der Verarbeitung personenbezogener Daten, Durchführung von Datenschutzkontrollen und Audits sowie Dokumentation und Nachverfolgung festgestellter Risiken und Verbesserungsmaßnahmen.
• Verzeichnis von Verarbeitungstätigkeiten: Beratung bei der Erstellung, Pflege und Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO in enger Abstimmung mit den zuständigen Fachbereichen
• Datenschutz-Folgenabschätzungen: Beratung und Überwachung bei der Durchführung und Dokumentation von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO, insbesondere bei Verarbeitungstätigkeiten mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen.
• Beratung bei neuen Projekten und Verarbeitungstätigkeiten: Frühzeitige Einbindung in neue Projekte, Prozesse, IT-Systeme und sonstige Vorhaben, bei denen personenbezogene Daten verarbeitet werden, insbesondere im Hinblick auf die Grundsätze des Datenschutzes, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
• Verträge und datenschutzrechtliche Vereinbarungen: Beratung bei der datenschutzrechtlichen Prüfung und Gestaltung von Auftragsverarbeitungsverträgen, Vereinbarungen zur gemeinsamen Verantwortlichkeit sowie sonstigen datenschutzrelevanten Verträgen und Regelungen.
• Betroffenenrechte: Beratung und Unterstützung bei der Umsetzung und Überwachung der Prozesse zur Wahrnehmung der Rechte betroffener Personen, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
• Datenschutzverletzungen: Beratung und Unterstützung bei der Bewertung und Behandlung von Datenschutzverletzungen sowie bei der Erfüllung etwaiger Melde- und Informationspflichten nach Art. 33 und 34 DSGVO.
• Ansprechpartner für Mitarbeitende und Vertragspartner: Ständiger Ansprechpartner für Geschäftsführung, Mitarbeitende und - soweit datenschutzrechtlich relevant - Vertragspartner in allen Fragen des Datenschutzes sowie Ansprechpartner für betroffene Personen. Regelmäßige Sprechstunden an unseren Standorten in Berlin, Hannover und Bonn (pro Jahr insgesamt 7-8) nach vorheriger Terminabstimmung mit der Auftraggeberin. Zudem findet monatlich per Microsoft Teams ein Jour fixe (in der Regel 30 Minuten) mit der Geschäftsführung statt, um sich über aktuelle Geschehnisse auszutauschen.
• Zusammenarbeit mit der Aufsichtsbehörde: Zusammenarbeit mit der zuständigen Datenschutzaufsichtsbehörde und Wahrnehmung der Funktion als Anlaufstelle für die Aufsichtsbehörde in allen mit der Verarbeitung personenbezogener Daten zusammenhängenden Fragen.
• Dokumentation und Berichterstattung: Regelmäßige Berichterstattung an die Geschäftsführung über den Stand des Datenschutzes, wesentliche Risiken, festgestellte Mängel und empfohlene Maßnahmen sowie Dokumentation der durchgeführten Kontrollen und Beratungen.
© ALDB 2026 Version: 1 Stand: 17.03.202611.09.2026 Seite 5 von 7
[Seite 6]
Vg-26-040 – Erbringung von Dienstleistungen eines externen Datenschutzbeauftragten: Leistungsbeschreibung
• Sensibilisierung und Schulung der Mitarbeitenden: Regelmäßige Sensibilisierung und Schulung der Mitarbeitenden zu datenschutzrechtlichen Anforderungen und praktischen Datenschutzthemen, beispielsweise durch Schulungen, Informationsveranstaltungen oder andere geeignete Kommunikationsmaßnahmen.
• Fachkunde und Fortbildung: Sicherstellung der erforderlichen Fachkunde durch kontinuierliche Fortbildung und Aktualisierung der Kenntnisse im Datenschutzrecht, insbesondere hinsichtlich gesetzlicher, technischer und organisatorischer Entwicklungen. Dies führt der Auftragnehmer eigenständig aus, es erfolgt keine gesonderte Vergütung. Die Qualifikation und die Aufrechterhaltung weist der Auftragnehmer dem Auftraggeber mindestens einmal jährlich nach.
• Aufrechterhaltung des Datenschutzmanagements: Beratung bei der Weiterentwicklung und Aufrechterhaltung eines angemessenen Datenschutzmanagementsystems sowie Unterstützung bei der Umsetzung und Nachverfolgung datenschutzrechtlicher Maßnahmen. • • Optional: Übernahme der Funktion des KI-Beauftragten: Übernahme der Funktion des KI- Beauftragten der ALDB GmbH, sobald und soweit eine entsprechende gesetzliche oder regulatorische Verpflichtung für die ALDB GmbH besteht. Der Auftragnehmer übernimmt in diesem Fall die mit der Funktion verbundenen Beratungs-, Überwachungs-, Koordinations- und Dokumentationsaufgaben und unterstützt die ALDB GmbH bei der Umsetzung und Einhaltung der jeweils geltenden gesetzlichen und regulatorischen Anforderungen an den Einsatz künstlicher Intelligenz. Dies umfasst insbesondere die Beratung bei der Einführung und Nutzung von KI-Systemen, die Überwachung der einschlägigen Compliance-Anforderungen, die Sensibilisierung und Schulung der Mitarbeitenden sowie die regelmäßige Information der Geschäftsführung über wesentliche Risiken und Handlungsbedarfe. Die Übernahme der Funktion des KI-Beauftragten ist ebenfalls bereits durch die Pauschale abgedeckt.
4 Erreichbarkeit und Reaktionszeit
Der Datenschutzbeauftragte ist für die Auftraggeberin werktags zwischen 09:00 Uhr und 17:00 Uhr erreichbar. Innerhalb von 24 Stunden nach Kontaktaufnahme durch die Auftraggeberin gibt es von Seiten des Datenschutzbeauftragten eine Kontaktaufnahme bzw. Rückmeldung bzgl. des weiteren Vorgehens zur Bearbeitung der Anfrage.
Die Bearbeitung der Anfragen erfolgt remote innerhalb Deutschlands.
Bei datenschutzrechtlichen Vorfällen wird werktags eine Reaktionszeit von maximal 240 Minuten innerhalb der Servicezeiten von 09:00-17:00 Uhr gefordert.
Aus der Reaktion muss mindestens hervorgehen, dass der Inhalt der Anfrage zur Kenntnis genommen wurde. Nicht ausreichend ist eine Reaktion mittels einer automatisierten und/oder halb-automatisierten Standardmail, die lediglich den Erhalt der Anfrage bestätigt.
Sollte der durch den Auftragnehmer eingesetzte Datenschutzbeauftragte z. B. durch Urlaub oder Krankheit etc. verhindert sein, nimmt eine Vertretung die Aufgaben wahr. Die Vertretung ist bei Leistungsbeginn einschließlich ggf. abweichender Kontaktdaten zu benennen.
© ALDB 2026 Version: 1 Stand: 17.03.202611.09.2026 Seite 6 von 7
[Seite 7]
Vg-26-040 – Erbringung von Dienstleistungen eines externen Datenschutzbeauftragten: Leistungsbeschreibung
5 Anforderungen an die Qualifikation des
eingesetzten Personals
Der vom Auftragnehmer bei der Auftraggeberin einzusetzende externe Datenschutzbeauftragte verfügt über fundierte Kenntnisse der Datenschutzvorschriften, insbesondere der DSGVO, des BDSG sowie sonstiger einschlägiger datenschutzrechtlicher Vorschriften. Zum Nachweis müssen folgende Anforderungen erfüllt werden:
• gültige Zertifizierung als CIPM und/oder als CIPP/E oder eine gleichwertige Zertifizierung (Gleichwertig sind Zertifizierungen, welche zur Aufrechterhaltung der Gültigkeit einen Mindest-CPE-Nachweis im Zeitraum von jeweils 2-3 Jahren fordern und welche nach ANSI/ISO Standard akkreditiert sind)
• Ausbildung als Datenschutzbeauftragter und innerhalb der letzten 4 Jahre regelmäßige (mind. einmal jährlich) Teilnahme an Weiterbildungen zum Datenschutz
• seit mindestens 5 Jahren Tätigkeit als Datenschutzbeauftragter
• Bereitschaft einer Beantragung einer erweiterten Sicherheitsüberprüfung im Geheimschutz gemäß § 9 SÜG
Der Auftragnehmer stellt sicher, dass der bei der Auftraggeberin eingesetzte Datenschutzbeauftragte die genannten Anforderungen erfüllt. Für den eingesetzten Datenschutzbeauftragter ist für die Zeiten seiner Abwesenheit eine Vertretung zu stellen und die Auftraggeberin darüber zu informieren. Ebenso hat eine Übergabe der noch offenen Vorgänge stattzufinden. Die genannten Anforderungen gelten auch für Datenschutzbeauftragte, die als Vertretung eingesetzt werden.
Auf Verlangen des Auftraggebers sind entsprechende Nachweise über die Angaben (Zeugnisse, Zertifikate) vorzulegen.
….
© ALDB 2026 Version: 1 Stand: 17.03.202611.09.2026 Seite 7 von 7