DSB ab 20 Mitarbeitern bestellen: Pflicht, Frist und Bestellurkunde

Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter zu bestellen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle gilt zusätzlich zu den Pflichten aus Art. 37 DSGVO und betrifft den Großteil mittelständischer Unternehmen in Deutschland. Die Bestellung muss schriftlich erfolgen, die Bestellurkunde ist dem Beauftragten auszuhändigen und der zuständigen Aufsichtsbehörde zu melden.

Wir erläutern den exakten Schwellenwert, die formalen Anforderungen an die Bestellurkunde, die Meldefrist und den Unterschied zwischen interner und externer Bestellung. Sie erfahren, wie sich die Pflicht von der Risikoanalyse nach Art. 37 Abs. 1 lit. b und c DSGVO abgrenzt und wie Sie die Berichtslinie an die Geschäftsleitung organisieren. Die CIVAC-Compliance-Plattform und Officer-as-a-Service-Modell führt diesen Vorgang in zwei Werktagen zum belegbaren Abschluss.

§ 38 Abs. 1 BDSG verlangt die Bestellung eines Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die Norm ergänzt Art. 37 DSGVO um eine quantitative Schwelle, die unabhängig vom Risikoprofil der Verarbeitung gilt.

Ständig meint nicht ausschließlich oder hauptberuflich. Wer regelmäßig im Tagesgeschäft personenbezogene Daten in einem IT-System eingibt, ändert, abruft oder versendet, zählt mit. E-Mail-Korrespondenz, CRM-Pflege, Lohnbuchhaltung, Bewerbermanagement und Kundenservice fallen typischerweise darunter.

Die Zählweise erfolgt nach Köpfen, nicht nach Vollzeitäquivalenten. Teilzeitkräfte, Minijobber, Werkstudenten und befristet Beschäftigte zählen vollständig, sofern sie regelmäßig mit personenbezogenen Daten arbeiten. Externe Dienstleister werden in der Regel nicht einbezogen, sofern sie als Auftragsverarbeiter agieren.

Neben der 20-Personen-Schwelle gelten Art. 37 Abs. 1 lit. b und c DSGVO unabhängig. Wer Kerntätigkeiten in umfangreicher regelmäßiger systematischer Beobachtung betreibt oder besondere Datenkategorien nach Art. 9 DSGVO verarbeitet, ist auch unter 20 Personen bestellpflichtig. Die Rolle des Datenschutzbeauftragten ist in beiden Fällen identisch ausgestaltet.

Die Schwelle ist tagesaktuell zu prüfen. Wachstum, Filialeröffnungen oder Übernahmen lösen die Pflicht ad hoc aus. Eine Karenzfrist sieht der Gesetzgeber nicht vor, die Bestellung muss unverzüglich erfolgen, sobald die Schwelle überschritten ist.

Die Bestellung erfolgt schriftlich oder elektronisch nach § 38 Abs. 2 i. V. m. § 6 Abs. 1 BDSG. Eine mündliche Bestellung ist unzulässig und führt im Streitfall zu Beweisproblemen gegenüber der Aufsichtsbehörde. Die Bestellurkunde wird vom vertretungsberechtigten Organ unterschrieben.

Inhaltlich muss die Urkunde den Namen des Beauftragten, das Bestelldatum, die Rechtsgrundlage (§ 38 BDSG, Art. 37 DSGVO), den Aufgabenkatalog nach Art. 39 DSGVO und die Berichtslinie an die oberste Leitungsebene enthalten. Bei externer Bestellung wird zusätzlich der Vertragspartner und der Vertragszeitraum benannt.

Die Bestellurkunde ist dem Beauftragten auszuhändigen, in der Personalakte oder Vertragsakte zu archivieren und für die gesamte Bestelldauer plus Aufbewahrungsfrist nach handels- und steuerrechtlichen Vorgaben vorzuhalten. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Kontaktdaten des Datenschutzbeauftragten sind nach Art. 37 Abs. 7 DSGVO der zuständigen Aufsichtsbehörde mitzuteilen und auf der Unternehmenswebsite zu veröffentlichen. Die Meldung erfolgt über das Online-Formular der Landesbehörde, eine Eingangsbestätigung sollte zur Akte genommen werden.

Die CIVAC-Plattform stellt eine geprüfte Vorlage bereit, die alle Pflichtfelder abdeckt und nach Unterschrift im Workspace revisionssicher abgelegt wird. Audit-fest, dokumentiert, § 38-fest. Der Prüfer ruft an, der Nachweis liegt bereit.

Art. 37 Abs. 6 DSGVO erlaubt sowohl die interne Bestellung eines Mitarbeiters als auch die externe Vergabe an einen Dienstleister. Beide Modelle sind gleichwertig anerkannt, unterscheiden sich aber erheblich in Aufwand, Haftung und Verfügbarkeit.

Bei interner Bestellung benötigt der Mitarbeiter Fachkunde nach Art. 37 Abs. 5 DSGVO, ausreichende Ressourcen nach Art. 38 Abs. 2 DSGVO und Schutz vor Abberufung wegen seiner Aufgaben nach § 6 Abs. 4 BDSG. Der Kündigungsschutz wirkt ein Jahr nach Ende der Bestellung. Eine Interessenkollision mit der Hauptaufgabe ist auszuschließen, was Geschäftsführer, IT-Leiter und HR-Leiter regelmäßig disqualifiziert.

Externe Bestellung verlagert Haftung, Fortbildung und Vertretungsregelung auf den Dienstleister. Die Kosten sind planbar, Ausfallzeiten durch Urlaub oder Krankheit entfallen. Der externe Beauftragte bringt Erfahrung aus mehreren Mandaten mit und kennt die Erwartungshaltung der jeweiligen Aufsichtsbehörde.

Bei mehr als 250 Mitarbeitern oder hohem Verarbeitungsrisiko empfiehlt sich häufig ein hybrides Modell: ein interner Ansprechpartner für das Tagesgeschäft, ein externer DSB für die formale Bestellung. CIVAC unterstützt beide Wege. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Die Entscheidung sollte dokumentiert sein, inklusive Begründung. Eine spätere Aufsichtsanfrage zielt häufig zuerst auf die Wahl des Modells und deren Begründung im Lichte von Art. 38 Abs. 2 DSGVO.

Art. 37 Abs. 7 DSGVO verpflichtet den Verantwortlichen, die Kontaktdaten des Datenschutzbeauftragten der zuständigen Aufsichtsbehörde mitzuteilen. Eine gesetzliche Frist nennt die Norm nicht, die Aufsichtsbehörden erwarten die Meldung jedoch unverzüglich nach Bestellung, in der Regel binnen zwei Wochen.

Zuständig ist die Landesdatenschutzbehörde am Sitz der Hauptniederlassung. Bei Konzernen mit mehreren Standorten kann eine konzerweite Bestellung sinnvoll sein, sofern der Beauftragte von jedem Standort leicht erreichbar ist nach Art. 37 Abs. 2 DSGVO.

Die Meldung erfolgt über das Online-Formular der jeweiligen Behörde. Pflichtfelder sind Firmenname, Anschrift, Handelsregisternummer, Name und Kontaktdaten des Beauftragten sowie das Bestelldatum. Bei externer Bestellung wird zusätzlich die beauftragte Kanzlei oder Beratung benannt.

Änderungen der Bestellung, etwa Wechsel des Beauftragten oder Beendigung der Bestellung, sind ebenfalls meldepflichtig. Versäumte Aktualisierungen führen regelmäßig zu Beanstandungen bei Routineprüfungen und können nach Art. 83 Abs. 4 lit. a DSGVO mit Bußgeldern bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden.

Die CIVAC-FAQ dokumentiert für alle 16 Landesbehörden den jeweiligen Meldepfad samt Formular-URL und Bearbeitungsdauer. Der Workspace führt die Meldung als eigenständigen Vorgang mit Statusverfolgung und Eingangsbestätigung.

Art. 13 Abs. 1 lit. b DSGVO verlangt, dass die Kontaktdaten des Datenschutzbeauftragten in der Datenschutzerklärung der Website veröffentlicht werden. Die Pflicht gilt zusätzlich zur Meldung an die Aufsichtsbehörde und ist eigenständig sanktionsbewehrt.

Üblich ist die Angabe von Name oder Funktionsbezeichnung, einer E-Mail-Adresse und einer Postanschrift. Die E-Mail sollte direkt beim Beauftragten landen und nicht über das allgemeine Postfach laufen, da Vertraulichkeit nach Art. 38 Abs. 5 DSGVO zu wahren ist.

Bei externer Bestellung wird die Kanzlei oder Beratung als Kontaktstelle ausgewiesen. Eine separate Funktionsadresse wie datenschutz@unternehmen.de mit automatischer Weiterleitung an den externen Beauftragten ist zulässig und in der Praxis verbreitet.

Die Aufsichtsbehörden prüfen die Veröffentlichung regelmäßig als ersten Schritt einer Untersuchung. Eine fehlende oder veraltete Angabe führt zu Beanstandungen, häufig verbunden mit der Aufforderung zur Nachbesserung binnen 14 Tagen. Wiederholungsfälle werden bußgeldrelevant.

Neben der Datenschutzerklärung empfiehlt sich die Aufnahme in das Impressum und in interne Verzeichnisse wie das Verarbeitungsverzeichnis nach Art. 30 DSGVO. Die CIVAC-Vorlagen für den DSB-Auftritt enthalten den geprüften Textbaustein für die Datenschutzerklärung.

Art. 39 DSGVO definiert den Aufgabenkatalog: Unterrichtung und Beratung des Verantwortlichen, Überwachung der Einhaltung, Schulung der Beschäftigten, Beratung bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und Zusammenarbeit mit der Aufsichtsbehörde. Die Aufgaben sind verbindlich, eine Delegation an Dritte ist nur eingeschränkt möglich.

Im operativen Alltag fallen wiederkehrende Vorgänge an: Bearbeitung von Betroffenenanfragen nach Art. 15 bis 22 DSGVO binnen eines Monats, Begleitung von Datenpannen-Meldungen nach Art. 33 DSGVO innerhalb 72 Stunden, Prüfung neuer Verarbeitungstätigkeiten und Aktualisierung des Verzeichnisses.

Die jährlichen Pflichtaufgaben umfassen Audit der Auftragsverarbeiter, Mitarbeiterschulung, Aktualisierung der technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO und Bericht an die Geschäftsleitung. Die Berichtspflicht ergibt sich aus Art. 38 Abs. 3 DSGVO und ist Voraussetzung für die unmittelbare Berichtslinie.

Bei Datenschutz-Folgenabschätzungen tritt der Beauftragte als beratende Instanz auf, ohne die Entscheidungsverantwortung zu übernehmen. Bei verbleibendem hohen Risiko ist die vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO einzuleiten, mit einer Bearbeitungszeit von bis zu acht Wochen.

CIVAC führt die wiederkehrenden Aufgaben in einem Workspace-Kalender mit Fristenkontrolle und Eskalation. 490 einsatzbereite Audit-Vorlagen decken die typischen Prüfungsanlässe ab, von Betroffenenrecht bis Auftragsverarbeitervertrag.

Die fehlende Bestellung eines pflichtigen Datenschutzbeauftragten ist nach Art. 83 Abs. 4 lit. a DSGVO mit Bußgeld bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes bewehrt, je nachdem welcher Betrag höher ist. Dieselbe Sanktionshöhe gilt für Verstöße gegen die Stellung des Beauftragten nach Art. 38 DSGVO.

Daneben greift § 43 Abs. 1 Nr. 3 BDSG mit einer Geldbuße bis 50.000 Euro bei vorsätzlicher oder fahrlässiger Nichtbestellung. Bei juristischen Personen kommt die Haftung der Geschäftsleitung nach § 130 OWiG hinzu, die als Aufsichtspflichtverletzung selbständig sanktioniert wird.

Die Aufsichtsbehörden gewichten in der Praxis die Frage der Bestellung als Indikator für die Datenschutzreife des Unternehmens. Wer die Pflicht zur Bestellung verkannt hat, wird in nachfolgenden Prüfungen typischerweise umfassender und tiefer kontrolliert, mit entsprechend höherem Aufwand.

Bei Datenpannen verschärft die fehlende Bestellung die Sanktionslage erheblich. Die Meldung nach Art. 33 DSGVO erfordert formal die Mitwirkung des Beauftragten, dessen Fehlen wird im Bußgeldverfahren als organisatorisches Defizit gewertet und in die Höhe der Sanktion eingerechnet.

Eine späte Bestellung heilt die Vergangenheit nicht vollständig, mindert aber das Bußgeldrisiko bei kommenden Vorfällen. Die Behörden honorieren proaktive Nachbesserung, sofern diese vor einer Beanstandung erfolgt. Frist läuft ab Kenntnis.

Die Kosten einer internen Bestellung umfassen Schulung, laufende Fortbildung, Stellvertretung, Ressourcen für die Aufgabe und den Kündigungsschutz. Ein qualifizierter interner DSB beansprucht je nach Unternehmensgröße zwischen 0,2 und 1,0 Vollzeitäquivalente seiner Arbeitszeit für die Beauftragtenrolle.

Eine TÜV-zertifizierte Grundausbildung kostet 2.500 bis 4.000 Euro, jährliche Fortbildung weitere 1.000 bis 2.000 Euro. Hinzu kommen Personalkosten für die freigestellte Arbeitszeit, die je nach Gehaltsniveau zwischen 20.000 und 60.000 Euro pro Jahr liegen können.

Externe Bestellung wird typischerweise als Pauschale oder Stundenkontingent abgerechnet. Für mittelständische Unternehmen mit 50 bis 250 Mitarbeitern liegt die Bandbreite zwischen 6.000 und 18.000 Euro pro Jahr, abhängig von Branche, Risiko und Umfang der Verarbeitung.

CIVAC bietet beide Wege in einem festen Preisrahmen. Die Workspace-Lizenz für interne Beauftragte umfasst 490 Audit-Vorlagen, die Bestellurkunde, die Meldung an die Aufsichtsbehörde und die Berichtslinie zur Geschäftsleitung. Das Officer-as-a-Service-Modell stellt einen bestellfähigen externen DSB binnen zwei Werktagen.

Der Vergleich der Modelle sollte nicht nur die direkten Kosten betrachten, sondern auch das Haftungsrisiko, die Verfügbarkeit bei Datenpannen und die Reaktionszeit auf Behördenanfragen. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die CIVAC-Compliance-Plattform und Officer-as-a-Service bündelt die Bestellung eines Datenschutzbeauftragten in einem definierten Vorgang mit 2-Werktage-SLA. Statt zwei bis sechs Wochen klassischer Beraterabstimmung erhalten Sie Bestellurkunde, Aufsichtsmeldung, Berichtslinie und Workspace-Zugang in einem Lieferpaket.

Die Plattform deckt 25 Beauftragtenrollen ab, 93 Controls nach ISO/IEC 27001:2022 und 490 einsatzbereite Audit-Vorlagen. Die Datenresidenz liegt vollständig in der EU, die Berichte sind audit-fest dokumentiert und für Routineprüfungen sofort verfügbar. Der Prüfer ruft an, der Nachweis liegt bereit.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen dieselbe Infrastruktur, dieselben Vorlagen und denselben Eskalationspfad. Der Wechsel zwischen den Modellen ist jederzeit möglich, ohne Datenverlust oder neue Onboarding-Phase.

Für mittelständische Unternehmen ab 20 Mitarbeitern ist der externe DSB häufig der wirtschaftlichere Weg, insbesondere wenn keine erfahrene interne Person verfügbar ist. Für größere Organisationen empfiehlt sich der Workspace mit einem internen Lead und CIVAC als Eskalationsinstanz.

Die Erstkontaktaufnahme erfolgt formlos. Wir prüfen Ihre Bestellpflicht binnen 24 Stunden, schlagen das passende Modell vor und stellen die Bestellurkunde zur Unterschrift bereit. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de.