Datenschutzbeauftragter bestellen 2026: Wann, wie und was es kostet

Wer einen Datenschutzbeauftragten bestellen muss, stellt sich meist drei Fragen: Betrifft mich die Pflicht überhaupt? Nehme ich jemanden aus dem eigenen Team oder einen externen Dienstleister? Und was genau muss formal passieren, damit die Bestellung wirksam ist? Die Antworten stehen verstreut in DSGVO und BDSG – hier sind sie in der Reihenfolge, in der Sie sie brauchen.

Wann ist ein Datenschutzbeauftragter Pflicht?

Pflicht nach § 38 BDSG (Deutschland)

• In der Regel mindestens 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt
• „Ständig“ bedeutet: nicht nur gelegentlich, sondern als wiederkehrender Teil der Arbeit
• Das Gesetz zählt Personen, nicht Vollzeitstellen – Teilzeitkräfte werden also nicht anteilig, sondern als Person mitgezählt
• Die Schwelle gilt seit dem 26. November 2019; vorher lag sie bei 10 Personen
• Unabhängig von der Personenzahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet werden (§ 38 Abs. 1 Satz 2 BDSG)

Pflicht nach DSGVO Art. 37 (EU-weit)

Unabhängig von der Mitarbeiterzahl besteht Bestellpflicht, wenn:

• die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht (etwa Gesundheitsdaten, biometrische Daten) oder von Daten über strafrechtliche Verurteilungen
• die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordert (z. B. Tracking, Videoüberwachung als Geschäftsmodell)
• die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt

Intern vs. extern: Was ist besser?

Eine pauschale Empfehlung nach Mitarbeiterzahl wäre unseriös. Wer eine Rechtsabteilung hat und Datenschutz nah am Tagesgeschäft verankern will, fährt mit einer gut ausgebildeten internen Person oft gut; wer keine geeignete Person ohne Interessenkonflikt findet, landet meist beim externen Modell. Den ausführlichen Vergleich finden Sie im Beitrag zum externen Datenschutzbeauftragten.

Wichtiger Hinweis zum internen DSB

Ist die Bestellung verpflichtend, genießt der interne Datenschutzbeauftragte nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG besonderen Abberufungs- und Kündigungsschutz: Eine Kündigung ist nur aus wichtigem Grund zulässig, und der Schutz wirkt nach dem Ende der Tätigkeit noch ein Jahr nach. Bei einer freiwilligen Bestellung gilt dieser Sonderschutz nicht. Einzelheiten: Abberufung und Kündigungsschutz des DSB.

Schritt für Schritt: Datenschutzbeauftragten bestellen

1. Bestellpflicht prüfen: Personen zählen, die ständig mit automatisierter Verarbeitung befasst sind; Sonderfälle nach § 38 Abs. 1 Satz 2 BDSG und Art. 37 DSGVO abgleichen
2. Intern oder extern entscheiden: Interessenkonflikte, Kündigungsschutz und Budget abwägen
3. Person oder Dienstleister auswählen: Fachwissen im Datenschutzrecht und in der Praxis ist Pflicht (Art. 37 Abs. 5 DSGVO); Zertifikate sind nicht vorgeschrieben, erleichtern aber den Nachweis – mehr dazu unter Qualifikation und Ausbildung
4. Schriftlich bestellen: Bestellschreiben mit Datum, Aufgaben und Unterschriften beider Seiten; beim externen DSB zusätzlich der Dienstleistungsvertrag
5. Kontaktdaten veröffentlichen und melden: Kontaktdaten des DSB veröffentlichen (etwa in der Datenschutzerklärung) und der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO)
6. Intern bekanntmachen und einbinden: Beschäftigte informieren, den DSB in Prozesse einbinden, die Datenschutzfragen berühren

Muster: Bestellschreiben Datenschutzbeauftragter

Das Bestellschreiben sollte mindestens enthalten:

• Name und Kontaktdaten des DSB
• Datum der Bestellung und Laufzeit
• Aufgaben und Verantwortlichkeiten
• Ressourcen und Befugnisse (Zugang zu Systemen, Mitarbeiterbefragungen)
• Vergütungsregelung (bei externem DSB: Vertrag)
• Verschwiegenheitspflicht

Fünf Fehler, an denen Bestellungen in der Praxis scheitern

1. Interessenkonflikt: Geschäftsführer, IT-Leiter oder Personalleiter als DSB würden sich selbst kontrollieren. Art. 38 Abs. 6 DSGVO erlaubt andere Aufgaben nur, wenn sie zu keinem Interessenkonflikt führen.
2. Bestellt, aber nicht ausgestattet: Ohne Zeit, Budget und Zugang zu den Verarbeitungsvorgängen bleibt die Bestellung Papier. Art. 38 Abs. 2 DSGVO verpflichtet das Unternehmen, die nötigen Ressourcen bereitzustellen.
3. Meldung vergessen: Die Kontaktdaten müssen veröffentlicht und der Aufsichtsbehörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO) – ein häufig übersehener Schritt.
4. Fachwissen veraltet: Das Unternehmen muss dem DSB auch die Erhaltung seines Fachwissens ermöglichen (Art. 38 Abs. 2 DSGVO); Fortbildung gehört daher ins Budget.
5. Zu spät eingebunden: Der DSB ist ordnungsgemäß und frühzeitig in alle Datenschutzfragen einzubinden (Art. 38 Abs. 1 DSGVO) – nicht erst, wenn das neue Tool schon läuft.

Was kostet ein Datenschutzbeauftragter?

Eine amtliche Preisliste gibt es nicht. Beim externen DSB kalkuliert jeder Anbieter seine Pauschale selbst; den Preis treiben vor allem die Zahl der Beschäftigten und Standorte, die Sensibilität der Daten (Gesundheits- oder Finanzdaten bedeuten mehr Aufwand), der vereinbarte Leistungsumfang und die zugesagte Reaktionszeit. Beim internen DSB fallen anteilige Arbeitszeit und Fortbildungskosten an. Einen Vergleich der Kostenmodelle finden Sie unter Datenschutzbeauftragter: Kosten im Vergleich.

Was sind die Aufgaben des DSB?

Die Mindestaufgaben stehen in Art. 39 DSGVO:

• Unterrichtung und Beratung von Unternehmensleitung und Beschäftigten zu ihren Datenschutzpflichten
• Überwachung der Einhaltung der DSGVO und der internen Datenschutzstrategien, einschließlich Sensibilisierung und Schulung der Beschäftigten
• Beratung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und Überwachung ihrer Durchführung
• Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für sie

Anlaufstelle ist der DSB außerdem für betroffene Personen (Art. 38 Abs. 4 DSGVO). Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) und die Meldung von Datenpannen binnen 72 Stunden (Art. 33 DSGVO) bleiben dagegen Pflichten des Unternehmens – der DSB berät und unterstützt, übernimmt die Verantwortung aber nicht. Wie die Meldung abläuft, zeigt unser Leitfaden Datenpanne melden; was nach der Bestellung im ersten Jahr ansteht, fasst die Pflichten-Checkliste zusammen.

Quellen

• § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen (gesetze-im-internet.de)
• § 6 BDSG – Stellung des Datenschutzbeauftragten (gesetze-im-internet.de)
• Verordnung (EU) 2016/679 (DSGVO), Art. 35, 37, 38, 39 und 83 (EUR-Lex)
• Föderale Modernisierungsagenda, Beschluss vom 4. Dezember 2025, Punkt 160 (bundesregierung.de)