Datenschutzbeauftragter Pflicht 2026 : ab welcher Mitarbeiterzahl Ihr Unternehmen einen DSB braucht
In Deutschland ist die Benennung eines Datenschutzbeauftragten (DSB) Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Darüber hinaus greift die Benennungspflicht unabhängig von der Mitarbeiterzahl bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung bedürfen, oder bei der geschäftsmäßigen Verarbeitung sensibler Daten.
Wann besteht die Pflicht zur Benennung eines DSB?
- Fall 1 — Mitarbeiterzahl: Mindestens 20 Personen verarbeiten ständig automatisiert personenbezogene Daten (§ 38 Abs. 1 BDSG). « Ständig » bedeutet regelmäßig und nicht nur gelegentlich. Ein Buchhalter, der täglich Lohnabrechnung durchführt, zählt mit. Eine Sekretärin, die einmalig eine Adressliste exportiert, nicht.
- Fall 2 — Datenschutz-Folgenabschätzung: Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen (Art. 35 DSGVO), erfordern einen DSB unabhängig von der Betriebsgröße. Beispiele: Videoüberwachung öffentlicher Räume, umfangreiche Profilerstellung, Verarbeitung biometrischer Daten.
- Fall 3 — Gewerbsmäßige Datenverarbeitung: Unternehmen, die personenbezogene Daten geschäftsmäßig verarbeiten (Marktforschung, Scoring, Adresshandel) oder übermitteln, müssen unabhängig von der Mitarbeiterzahl einen DSB benennen.
- Fall 4 — Verarbeitung besonderer Kategorien: Wer Gesundheitsdaten, Daten über politische Überzeugungen, biometrische oder genetische Daten verarbeitet, unterliegt verschärften Anforderungen (Art. 9 DSGVO) und benötigt in der Regel einen DSB.
Die 20-Mitarbeiter-Schwelle im Detail
| Kriterium | Erläuterung |
|---|---|
| Schwellenwert | ≥ 20 Personen (nicht Vollzeitäquivalente) |
| Was zählt? | Mitarbeiter, freie Mitarbeiter, Aushilfen — wenn sie ständig automatisiert Daten verarbeiten |
| Was zählt nicht? | Gelegentliche, manuelle Datenverarbeitung (Papierakte anlegen) |
| Typische Betroffene | CRM-Nutzer, Lohnbuchhalter, HR-Mitarbeiter, Kundenservicemitarbeiter |
| Benennungsfrist | Unverzüglich nach Überschreiten der Schwelle |
| Meldepflicht | Benennung der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO) |
Interner oder externer Datenschutzbeauftragter?
Der DSB kann intern (eigener Mitarbeiter) oder extern (externer Dienstleister) bestellt werden. Externe DSB sind für KMU besonders empfehlenswert, da:
- Kein Interessenkonflikt mit anderen Aufgaben (z.B. IT-Leiter kann nicht gleichzeitig DSB sein)
- Fachanwälte und zertifizierte Datenschutzexperten mit aktueller Rechtskenntnissen
- Kein Kündigungsschutz wie beim internen DSB (§ 38 Abs. 2 BDSG)
Interne DSB genießen besonderen Kündigungsschutz: Eine Kündigung wegen der Ausübung der DSB-Tätigkeit ist unzulässig und der Schutz gilt noch ein Jahr nach Abberufung. Nutzen Sie unsere Vergleich externer DSB-Anbieter in Ihrer Region und lesen Sie, welche DSGVO-Pflichten Ihr Unternehmen sonst noch treffen.
Was kostet ein Datenschutzbeauftragter?
Die Kosten unterscheiden sich stark zwischen interner und externer Bestellung und hängen von Unternehmensgröße, Branche und Komplexität der Datenverarbeitung ab. Eine detaillierte Gegenüberstellung mit 5-Jahres-TCO-Vergleich finden Sie im Artikel Datenschutzbeauftragter: Kosten im Vergleich.
Bußgelder bei fehlender DSB-Benennung
Das Versäumnis, einen DSB zu benennen, ist eine DSGVO-Verletzung. Gemäß Art. 83 Abs. 4 DSGVO drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
FAQ — Datenschutzbeauftragter Pflicht 2026
Muss ein Handwerksbetrieb mit 25 Mitarbeitern einen DSB benennen?
Es kommt darauf an, wie viele der 25 Mitarbeiter ständig automatisiert personenbezogene Daten verarbeiten. Wenn 5 Büromitarbeiter täglich CRM, Lohnabrechnung und Kundenverwaltung nutzen und die restlichen 20 ausschließlich auf der Baustelle tätig sind, sind nur die 5 Büromitarbeiter mitzählen. Die Schwelle von 20 wäre dann nicht erreicht. Wenn hingegen alle Mitarbeiter eine App für Stundennachweise nutzen und dabei Standortdaten erfasst werden, kann die Schwelle schnell überschritten sein.
Fällt die Pflicht zum Datenschutzbeauftragten weg?
Noch nicht. Bund und Länder haben am 4. Dezember 2025 vereinbart, dass der Bund bis Ende 2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringt. Solange kein Änderungsgesetz in Kraft ist, gilt die 20-Personen-Schwelle weiter. Die Pflicht nach Art. 37 DSGVO wäre von einer Streichung ohnehin nicht betroffen.
Kann der Geschäftsführer selbst Datenschutzbeauftragter sein?
Nein. Der Geschäftsführer (oder andere Personen der Unternehmensleitung) kann nicht als Datenschutzbeauftragter bestellt werden, da dies zu einem Interessenkonflikt führen würde. Der DSB muss unabhängig agieren und die Unternehmensführung kontrollieren können. Auch IT-Leiter, die für die Verarbeitung verantwortlich sind, können nicht gleichzeitig DSB sein. Gleiches gilt für HR-Leitungen, die große Mengen Mitarbeiterdaten verwalten.
Welche Qualifikationen muss ein Datenschutzbeauftragter haben?
Das Gesetz schreibt keine spezifische Ausbildung vor, verlangt aber « Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis » (Art. 37 Abs. 5 DSGVO). In der Praxis werden Zertifizierungen wie TÜV-Datenschutzbeauftragter, GDD-Zertifikat oder der international anerkannte CIPP/E (IAPP) erwartet. Externe DSB müssen nachweisen, dass sie regelmäßig fortgebildet werden und mit aktuellen Urteilen des EuGH und der deutschen Aufsichtsbehörden vertraut sind.
Was kostet ein externer Datenschutzbeauftragter?
Das hängt stark von Unternehmensgröße und Komplexität der Datenverarbeitung ab. Eine detaillierte Kostenübersicht mit TCO-Vergleich intern vs. extern finden Sie im Kostenvergleich-Artikel.