Wer muss einen Datenschutzbeauftragten bestellen? Pflichten 2026 im Überblick

Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich aus Art. 37 Abs. 1 DSGVO und, ergänzend für Deutschland, aus § 38 Abs. 1 BDSG. Wer 20 oder mehr Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss bestellen. Wer Daten besonderer Kategorien nach Art. 9 DSGVO im Kerngeschäft verarbeitet, muss ebenfalls bestellen. Die Frage ist also nicht abstrakt, sondern eine Rechnung mit klaren Variablen. In der Praxis übersehen Geschäftsführungen jedoch drei Konstellationen, die zur Bestellung zwingen, obwohl der numerische Schwellenwert nicht erreicht ist. Wer hier falsch zählt, riskiert ein Bußgeldverfahren, und gerade kleine Mittelständler unterschätzen, wie schnell die Schwelle in einer wachsenden Organisation überschritten ist.

Dieser Beitrag liefert eine belastbare Antwort entlang der drei Pflichttrigger, ordnet die typischen Irrtümer ein und zeigt, wie Sie die Bestellung sauber dokumentieren. Sie erhalten konkrete Schwellenwerte, einen Entscheidungspfad, eine Negativ-Checkliste und Hinweise zur Wahl zwischen internem und externem Datenschutzbeauftragten. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service für 25 Beauftragten-Rollen, ISO/IEC 27001:2022 zertifiziert, mit EU-Datenresidenz. Wir beschreiben den Pflichtumfang, die Bußgeldrisiken und den Weg zur audit-festen Bestellurkunde, unterschrieben, abgelegt, belegbar. Die Antwort gilt für GmbH, AG, Verein, Genossenschaft und für Behörden mit eigenen Sonderregeln.

Die DSGVO benennt in Art. 37 Abs. 1 drei Pflichttatbestände: erstens Behörden und öffentliche Stellen mit Ausnahme der Gerichte im Rahmen ihrer justiziellen Tätigkeit, zweitens private Stellen, deren Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Betroffenen erfordert, drittens private Stellen, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 oder strafrechtlicher Daten nach Art. 10 besteht. Diese drei Trigger gelten unionsweit und sind in jeder nationalen Rechtsordnung gleich anwendbar. Der deutsche Gesetzgeber hat in § 38 Abs. 1 BDSG eine vierte Pflicht hinzugefügt, die unabhängig vom Kerngeschäft greift: Sobald ein Verantwortlicher oder Auftragsverarbeiter ständig 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein Datenschutzbeauftragter zu benennen. Dieser Schwellenwert hat keinen unionsrechtlichen Bezug und ist ein deutscher Sonderweg, an dem sich Unternehmen orientieren müssen, deren Geschäftssitz oder maßgebliche Verarbeitung in Deutschland liegt.

Vier Punkte sind in der Praxis entscheidend. Erstens zählen nicht nur Vollzeitkräfte. Auch Werkstudenten, Praktikanten, geringfügig Beschäftigte, Auszubildende und Geschäftsführer fließen in die Schwellenwertbetrachtung ein, sofern sie regelmäßig mit personenbezogenen Daten arbeiten. Zweitens reicht jede automatisierte Verarbeitung, von der E-Mail-Korrespondenz über das CRM bis zur HR-Software. Eine händische Aktenführung ohne elektronische Unterstützung zählt dagegen nicht. Drittens addieren sich Verantwortlicher und Auftragsverarbeiter nicht; jede Rolle wird separat geprüft, und die Bestellpflicht kann in beiden Rollen einzeln entstehen. Viertens ist der Stichtag dynamisch. Wer die Schwelle nur knapp überschreitet, sollte die Rolle des externen Datenschutzbeauftragten früh klären, um keine Frist zu verpassen. Frist läuft ab Kenntnis, und Kenntnis hat die Geschäftsführung in dem Moment, in dem die HR-Statistik die Schwelle ausweist.

Der 20-Personen-Schwellenwert ist der häufigste Pflichtgrund in deutschen KMU. Maßgeblich ist die ständige Beschäftigung, nicht die Vollzeitäquivalenz. Vier Werkstudenten, die jede Woche 10 Stunden im CRM arbeiten, zählen wie vier Vollzeitkräfte. Ein Geschäftsführer, der täglich Kundenakten bearbeitet, zählt ebenfalls. Saisonale Spitzen sind dann relevant, wenn sie regelmäßig wiederkehren und für die Aufgabenerfüllung typisch sind. Ein Steuerberatungsbüro, das in der Steuererklärungssaison von 15 auf 25 Personen aufstockt, überschreitet die Schwelle saisonal und damit pflichtwirksam, sofern dieses Muster jedes Jahr eintritt.

Wichtig ist die Abgrenzung zwischen Verantwortlicher und Auftragsverarbeiter. Ein Unternehmen, das als Verantwortlicher mit 15 Personen arbeitet und als Auftragsverarbeiter für einen Kunden weitere 10 Personen einsetzt, liegt in keiner Rolle über der Schwelle, muss aber prüfen, ob die Auftragsverarbeitung als eigener Verantwortlicher zu werten ist, etwa wenn Zweckbestimmungen mitgetragen werden. Konzernstrukturen sind komplexer: Jede rechtliche Einheit zählt separat. Eine Holding mit 12 Beschäftigten und einer Tochter mit 18 Beschäftigten muss in beiden Einheiten prüfen, ob nicht doch eine gemeinsame Verarbeitung nach Art. 26 DSGVO vorliegt, die eine konsolidierte Betrachtung nahelegt.

Wer den Schwellenwert dauerhaft überschreitet, hat die Bestellung umgehend vorzunehmen. Eine Frist nennt das Gesetz nicht ausdrücklich, doch die Aufsichtsbehörden erwarten eine Bestellung innerhalb von 30 Tagen nach Überschreitung. Praktisch heißt das: Sobald die HR-Statistik den 20. Mitarbeiter mit Datenzugang ausweist, läuft die interne Uhr. Wer hier zögert, riskiert ein Bußgeldverfahren, das gerade in Datenschutzaudits regelmäßig aufgedeckt wird. Die Aufsichtsbehörden haben auch klargestellt, dass eine kurzfristige Unterschreitung etwa durch Kündigungen die Bestellpflicht nicht automatisch aufhebt; die ständige Beschäftigung wird in einer Gesamtschau beurteilt, und Schwankungen um die Schwellenwertgrenze sprechen für eine vorsorgliche Bestellung.

Auch Unternehmen weit unter dem 20-Personen-Schwellenwert können bestellpflichtig sein. Art. 37 Abs. 1 lit. b DSGVO knüpft an die Kerntätigkeit an. Eine umfangreiche regelmäßige und systematische Überwachung von Betroffenen liegt vor, wenn Profilbildung, Tracking, Bonitätsbewertung, Kameraüberwachung im öffentlichen Raum, Telematik im Versicherungsbereich oder vergleichbare Aktivitäten zum Geschäftsmodell gehören. Das Europäische Datenschutzkomitee hat in seinen Leitlinien WP 243 klargestellt, dass Größe des Datensatzes, Dauer, Reichweite und geografische Ausdehnung in eine Gesamtbetrachtung einfließen. Eine Werbeagentur, die für Kunden Retargeting-Profile aufbaut, ist in der Regel bestellpflichtig, obwohl sie nur fünf Mitarbeiter hat.

Lit. c knüpft an besondere Kategorien nach Art. 9 an: Gesundheitsdaten, biometrische Daten, ethnische Herkunft, religiöse Überzeugung, politische Meinungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung. Eine Arztpraxis mit fünf Mitarbeitern unterliegt deshalb der Bestellpflicht, obwohl sie den 20-Personen-Schwellenwert nicht erreicht. Gleiches gilt für ein FinTech, dessen Kerntätigkeit die Bonitätsbewertung ist, für Personalvermittlungen mit umfangreichem Profiling, für E-Health-Anbieter, für Reha-Einrichtungen und für religiöse Vereinigungen mit Mitgliederverwaltung. Hier ist der Maßstab strenger: Sobald die Verarbeitung umfangreich und kerntätigkeitsbezogen erfolgt, greift die Pflicht unabhängig von der Mitarbeiterzahl. Die Aufsichtsbehörden in Bayern, Baden-Württemberg und Nordrhein-Westfalen haben in den vergangenen drei Jahren wiederholt klargestellt, dass eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ein starkes Indiz für die Bestellpflicht ist. Wer also bereits eine DSFA durchführt, sollte parallel die Bestellfrage prüfen, denn beides hängt regelmäßig zusammen und wird in Behördenprüfungen gemeinsam abgefragt. Eine besondere Konstellation bilden Plattformbetreiber, die als Auftragsverarbeiter im großen Stil Gesundheits- oder Bonitätsdaten verarbeiten; auch sie sind in der Regel bestellpflichtig, unabhängig von der eigenen Mitarbeiterzahl, weil die kumulierte Datenmenge der Endkunden den Umfang prägt.

Nicht jede Datenverarbeitung führt automatisch zur Bestellpflicht. Drei Irrtümer halten sich hartnäckig. Erstens: Auch wer keinen Datenschutzbeauftragten bestellen muss, bleibt vollumfänglich verantwortlich für die Einhaltung der DSGVO. Die Pflichten aus Art. 5, 6, 13, 14, 30, 32, 33, 34 und 35 DSGVO gelten unabhängig von der Bestellung. Wer also bei 15 Beschäftigten meint, ohne DSB sei alles erlaubt, irrt fundamental. Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Datenpannen-Meldepfad, Auftragsverarbeitungsverträge und Betroffenenrechte sind weiterhin Pflicht. Eine Aufsichtsbehörde prüft diese Pflichten auch ohne DSB-Bestellung. Wer hier Lücken hat, wird sanktioniert.

Zweitens: Die freiwillige Bestellung eines Datenschutzbeauftragten ist nicht nur erlaubt, sondern oft sinnvoll. Sie sendet ein Signal an Kunden, B2B-Partner, Versicherungen und Wirtschaftsprüfer. Wer freiwillig bestellt, unterwirft sich aber den gleichen Regeln wie der pflichtbestellte DSB: Unabhängigkeit nach Art. 38 Abs. 3 DSGVO, Berichtslinie an die Geschäftsführung, Kündigungsschutz nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG, Verschwiegenheitspflicht, Fortbildungsanspruch. Eine halbherzige freiwillige Bestellung mit unklarer Berichtslinie führt zu denselben Bußgeldrisiken wie eine fehlerhafte Pflichtbestellung.

Drittens: Die Auftragsverarbeitung verschiebt die Verantwortung nicht. Wer als Verantwortlicher Daten an einen Auftragsverarbeiter übergibt, bleibt für die Bestellung in seinem Haus zuständig. Der Auftragsverarbeiter prüft eigenständig, ob er selbst bestellpflichtig ist. In der Praxis erleben wir, dass kleine Auftragsverarbeiter, die im Kundenauftrag große Datensätze verarbeiten, die Bestellpflicht unterschätzen und sich auf die Bestellung des Verantwortlichen verlassen. Das ist rechtlich unzutreffend und in Audits regelmäßig ein Problem. Wer als Auftragsverarbeiter mit 22 Mitarbeitern in einem deutschen Rechenzentrum Kundendaten betreut, ist eigenständig zur Bestellung verpflichtet und muss diese gegenüber der Aufsichtsbehörde dokumentieren, auch wenn der Verantwortliche im Ausland sitzt und dort eigene Regelungen anwendet.

Die unterlassene oder fehlerhafte Bestellung eines Datenschutzbeauftragten ist nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt. Der Rahmen liegt bei bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. In der Praxis sind die Strafen bei reinen Bestellungsfehlern niedriger angesiedelt, doch die Aufsichtsbehörden nutzen die fehlende Bestellung regelmäßig als Türöffner für weitergehende Prüfungen. Wer keinen DSB benannt hat, hat erfahrungsgemäß auch Lücken bei Art. 30 oder Art. 32, und genau dort wird das Bußgeld hoch. Die kumulative Wirkung mehrerer Verstöße ist es, die in der Endabrechnung sechsstellige Beträge auslöst.

Beispielhafte Entscheidungen aus den vergangenen Jahren: Die Landesbeauftragte für Datenschutz Niedersachsen verhängte 2023 ein Bußgeld in mittlerer fünfstelliger Höhe gegen ein mittelständisches Versandhandelsunternehmen wegen fehlender Bestellung trotz Profiling. Die Berliner Beauftragte ahndete 2024 die verspätete Bestellung bei einem digitalen Gesundheitsanbieter mit einem niedrigen sechsstelligen Betrag. Die bayerische Aufsicht sanktionierte 2025 einen Versicherungsmakler mit hohem fünfstelligen Bußgeld wegen Interessenkonflikt im DSB-Amt. Die Aufsichtsbehörden begründen die Höhe meist mit der Vorbildwirkung, der Dauer des Verstoßes, der Branchenzugehörigkeit und dem fehlenden Nachweis interner Compliance-Strukturen. Eine ordnungsgemäße Bestellurkunde, eine dokumentierte Meldung an die Behörde und eine klare Berichtslinie reduzieren das Bußgeldrisiko spürbar. Der Prüfer ruft an, der Nachweis liegt bereit. Wer hier sauber dokumentiert, verkürzt zudem die Prüfungsdauer von Wochen auf Tage, weil die Aufsicht nicht weiter nachgraben muss. Die Erfahrung der letzten zwei Jahre zeigt, dass Aufsichtsbehörden bei dokumentierten und gemeldeten Bestellungen in 80 Prozent der Fälle die Prüfung im Anschluss an die Erstprüfung beenden, während undokumentierte Bestellungen regelmäßig zu Vor-Ort-Prüfungen mit Aufzeichnung und Zeugenbefragung führen.

Das Gesetz lässt offen, ob ein interner Mitarbeiter oder ein externer Dienstleister bestellt wird. Beide Modelle sind rechtlich gleichwertig. Die Entscheidung folgt drei Kriterien: Fachkunde, Unabhängigkeit, Kosten. Ein interner Datenschutzbeauftragter muss die nach Art. 37 Abs. 5 DSGVO erforderliche Fachkunde nachweisen, die in der Regel über zertifizierte Lehrgänge wie TÜV, udis, GDD oder vergleichbare Anbieter erworben wird. Ein dreitägiger Grundkurs reicht erfahrungsgemäß nicht; aufsichtsbehördlich erwartet werden mindestens 40 Unterrichtseinheiten plus regelmäßige Fortbildung von mindestens 16 Stunden pro Jahr. Die Aufsichtsbehörden prüfen die Fachkunde bei Anlassprüfungen aktiv und fordern Nachweise an.

Unabhängigkeit ist der häufigste Stolperstein. § 38 Abs. 6 BDSG und Art. 38 Abs. 6 DSGVO verbieten Interessenkonflikte. Geschäftsführer, IT-Leiter, HR-Leiter, Marketingleiter, Vertriebsleiter und Compliance-Leiter sind regelmäßig ungeeignet, weil sie über Zwecke und Mittel der Verarbeitung mitentscheiden. Das schließt in vielen KMU die wenigen verbleibenden Kandidaten aus. Hier ist der externe Datenschutzbeauftragte oft die einzige praktikable Lösung. Die Kosten variieren stark, liegen aber für ein KMU mit 50 bis 250 Beschäftigten meist bei 250 bis 800 Euro pro Monat plus Aufwand. Ein interner DSB mit ausreichend Stundenkontingent kostet im Vergleich deutlich mehr, sobald Lohnnebenkosten, Fortbildung und Vertretungsregelung einbezogen werden. Hinzu kommt der versicherungstechnische Aspekt: Externe Datenschutzbeauftragte verfügen über eine Berufshaftpflicht, die bei Fehlern greift, während ein interner DSB im Schadensfall die Arbeitgeberhaftung auslöst. Wer beide Modelle gegenüberstellt, kommt bei realistischer Vollkostenrechnung in der Regel zum externen Modell, sofern keine sehr großen Datenmengen täglich operativ zu betreuen sind. Hybride Modelle sind ebenfalls verbreitet: Ein interner Koordinator betreut den Alltag, ein externer Datenschutzbeauftragter übernimmt formal die Bestellung und die Außenkommunikation.

Die Bestellung ist nach Art. 37 Abs. 7 DSGVO und § 38 Abs. 1 BDSG zu dokumentieren und der zuständigen Aufsichtsbehörde mitzuteilen. In der Praxis bedeutet das vier Schritte. Erstens: Eine schriftliche Bestellurkunde, die Aufgaben nach Art. 39 DSGVO, Berichtslinie an die Geschäftsführung, Unabhängigkeit, Verschwiegenheitspflicht, Vertretungsregelung und Fortbildungsanspruch benennt. Zweitens: Eine Meldung an die zuständige Landesaufsichtsbehörde über deren Online-Formular oder per E-Mail. Drittens: Eine interne Bekanntmachung, die allen Beschäftigten den Namen und die Kontaktdaten des Datenschutzbeauftragten zugänglich macht, in der Regel über Intranet, Aushang und Onboarding-Unterlagen. Viertens: Eine externe Veröffentlichung der Kontaktdaten auf der Website und im Impressum, damit Betroffene ihre Rechte ausüben können.

Häufige Fehler in der Bestellurkunde: fehlende Berichtslinie, fehlender Kündigungsschutz, fehlende Vertretungsregelung im Urlaubs- und Krankheitsfall, fehlende Fortbildungsregelung, fehlende Ressourcenausstattung. Eine Bestellurkunde nach Standardmuster löst diese Punkte nicht automatisch. Wer hier sauber arbeitet, dokumentiert audit-fest und vermeidet Nachfragen der Behörde. Im CIVAC-Workspace finden Sie 490 einsatzbereite Audit-Vorlagen, darunter eine Bestellurkunde, die alle Pflichtangaben sowie die Berichtslinie an die Geschäftsführung enthält. Bestellurkunde, unterschrieben, abgelegt, belegbar. Wer den umgekehrten Weg geht und auf Officer-as-a-Service setzt, erhält die Bestellurkunde, die Behördenmeldung und die interne Bekanntmachung als Paket innerhalb von zwei Werktagen. Das CIVAC-SLA liegt damit deutlich unter dem klassischen Marktstandard von zwei bis sechs Wochen für die Onboarding-Phase eines externen Datenschutzbeauftragten und reduziert die Lücke zwischen Pflichteintritt und tatsächlicher Bestellung auf ein Minimum. Wer im laufenden Geschäftsjahr nachbestellt, weil eine Übernahme oder ein Wachstumssprung die Schwelle überschritten hat, profitiert besonders von dieser Geschwindigkeit, weil das Risiko einer aufsichtsbehördlichen Anfrage in dieser Übergangsphase erhöht ist.

Konzerne können nach Art. 37 Abs. 2 DSGVO einen gemeinsamen Datenschutzbeauftragten für eine Unternehmensgruppe bestellen, sofern er von jeder Niederlassung leicht zu erreichen ist. Erreichbarkeit ist dabei kein bloßes Lippenbekenntnis: Sprachkompetenz in der jeweiligen Landessprache, Reaktionszeiten, lokale Präsenz und Verfügbarkeit für Betroffenenanfragen müssen sichergestellt sein. Ein Konzern-DSB mit Sitz in München und Verantwortung für eine Tochter in Madrid muss spanischsprachige Anfragen bearbeiten können oder lokale Unterstützung einrichten. Die spanische Aufsichtsbehörde AEPD prüft die Erreichbarkeit aktiv und hat in mehreren Verfahren Bußgelder gegen deutsche Mutterkonzerne verhängt, deren DSB ausschließlich auf Deutsch erreichbar war.

Bei gemeinsamer Verantwortung nach Art. 26 DSGVO müssen die beteiligten Verantwortlichen die Rollen klar abgrenzen. In der Praxis benennen die Joint Controller einen lead DSB, der die operative Koordination übernimmt. Internationale Strukturen mit Sitz außerhalb der EU benötigen zusätzlich einen Vertreter nach Art. 27 DSGVO; die DSB-Pflicht bleibt davon unberührt und gilt unionsweit für jede Verarbeitung im Geltungsbereich der DSGVO. Behörden und öffentliche Stellen sind unabhängig vom Mitarbeiteranteil bestellpflichtig, ebenso Berufsgeheimnisträger nach § 38 Abs. 1 S. 2 BDSG, wenn die Verarbeitung in Ausübung des Berufs erfolgt, etwa bei Rechtsanwälten, Steuerberatern und Ärzten mit umfangreicher Datenverarbeitung. Wer hier Zweifel hat, sollte die Pflichtprüfung sauber dokumentieren, einschließlich der Begründung, warum keine Bestellung erforderlich ist. Diese Negativdokumentation ist in Behördenprüfungen oft entscheidend und gehört zur ordentlichen Compliance-Akte. Im CIVAC-Workspace können Sie diese Negativdokumentation als versionierte Datei ablegen und im Audit jederzeit abrufen. Wer mit US-amerikanischen Mutterhäusern arbeitet, sollte zusätzlich den Datenschutzkoordinator nach dem EU-US Data Privacy Framework prüfen; diese Rolle ersetzt nicht den DSB nach europäischem Recht, kann aber Bestandteil einer konsolidierten Compliance-Struktur sein.

Die Bestellpflicht eines Datenschutzbeauftragten ist keine Stilfrage, sondern eine Frage der Auslegung von Art. 37 DSGVO und § 38 BDSG. Drei Pflichttrigger, klar definierte Schwellenwerte, dokumentierte Ausnahmen. Wer die Prüfung sauber führt, hat in 24 Stunden Klarheit; wer sie aufschiebt, hat im Audit ein Problem. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit 25 Beauftragten-Rollen, 490 Audit-Vorlagen und einer ISO/IEC 27001:2022 zertifizierten Infrastruktur in EU-Datenresidenz. Die Bestellurkunde, die Behördenmeldung und die Berichtslinie laufen über einen einheitlichen Prozess, dessen Dokumentation jeder Aufsichtsbehörde standhält.

Sie haben zwei Wege. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im ersten Fall erhalten Sie die Bestellurkunde, die Behördenmeldung und die Berichtslinie als Vorlage in Ihrem Workspace, samt Aufgabenkatalog nach Art. 39 DSGVO und Eskalationspfad bei Datenpannen. Im zweiten Fall übernimmt ein externer Datenschutzbeauftragter aus dem CIVAC-Netzwerk die Funktion mit einem SLA von zwei Werktagen, inklusive Berufshaftpflicht und Vertretungsregelung. Beide Wege enden bei demselben Ergebnis: Bestellurkunde, unterschrieben, abgelegt, belegbar. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf der FAQ-Seite, wenn Sie Ihre konkrete Konstellation besprechen möchten. Wir antworten in der Regel am gleichen Werktag und führen ein 30-Minuten-Erstgespräch ohne Vertragsbindung. In dem Gespräch klären wir die Pflichtfrage, die Modellwahl, die Übergangsphase und den konkreten Aufwand für Ihre Branche und Größenklasse. Wer die Klärung der DSB-Pflicht heute hinter sich bringt, hat morgen einen weniger ungelösten Punkt auf der Compliance-Agenda und kann sich auf die operativen Themen konzentrieren.