Datenschutzbeauftragter 2026 : Pflichten, Checkliste und wann ein DSB Pflicht ist
Ein Datenschutzbeauftragter (DSB) muss ab 20 Personen in der automatisierten Datenverarbeitung bestellt werden (§ 38 BDSG). Seine Kernaufgaben lassen sich in 8 Pflichten gliedern: Unterrichtung und Beratung, Überwachung der DSGVO-Konformität, Bearbeitung von Betroffenenanfragen, Führung des Verarbeitungsverzeichnisses, Risikobewertung, Schulung der Mitarbeiter, Zusammenarbeit mit Behörden und Geheimhaltungspflicht. Diese Checkliste zeigt, was Ihr Unternehmen 2026 konkret umsetzen muss.
Die 8 Pflichten des Datenschutzbeauftragten – Checkliste 2026
- Unterrichtung und Beratung der Unternehmensleitung — Der DSB berät Geschäftsführung und Mitarbeiter über datenschutzrechtliche Anforderungen (Art. 39 Abs. 1 lit. a DSGVO). Konkret: monatliche Reports an die Geschäftsführung, schriftliche Stellungnahmen zu geplanten Verarbeitungsprojekten.
- Überwachung der DSGVO-Compliance — Regelmäßige Audits aller Datenverarbeitungsprozesse, Prüfung von Auftragsverarbeitungsverträgen (AVV), Überprüfung von Datenschutzerklärungen auf Websites und in Apps (Art. 39 Abs. 1 lit. b DSGVO).
- Führung des Verarbeitungsverzeichnisses — Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) muss vollständig und aktuell gehalten werden. Jede neue Verarbeitung ist vor dem Start einzutragen: Zweck, Empfänger, Löschfristen, technische Maßnahmen.
- Datenschutz-Folgenabschätzung (DSFA) — Bei Verarbeitungen mit hohem Risiko (Videoüberwachung, Profiling, biometrische Daten) ist eine DSFA durchzuführen und zu dokumentieren (Art. 35 DSGVO). Der DSB berät bei der Durchführung und prüft das Ergebnis.
- Bearbeitung von Betroffenenrechten — Auskunftsersuchen, Löschanfragen, Widersprüche und Einwilligungswiderrufe müssen innerhalb von 30 Tagen beantwortet werden (Art. 12 DSGVO). Der DSB koordiniert den Prozess intern.
- Schulung und Sensibilisierung der Mitarbeiter — Jährliche Pflichtschulungen für alle Mitarbeiter mit Datenzugang. Nachweisdokumentation ist Pflicht. Neue Mitarbeiter werden vor dem ersten Datenzugang geschult (Art. 39 Abs. 1 lit. b DSGVO).
- Zusammenarbeit mit Datenschutzbehörden — Der DSB ist erste Anlaufstelle für Aufsichtsbehörden (Landesdatenschutzbehörde / LfDI). Bei einer Prüfung koordiniert er die Antworten des Unternehmens und stellt Unterlagen bereit (Art. 39 Abs. 1 lit. e DSGVO).
- Geheimhaltungspflicht — Der DSB unterliegt der Verschwiegenheit bezüglich seiner Aufgabenerfüllung (Art. 38 Abs. 5 DSGVO). Er darf insbesondere nicht offenbaren, wer ihn auf einen möglichen Datenschutzverstoß hingewiesen hat.
Wann ist ein Datenschutzbeauftragter Pflicht? Übersicht 2026
| Pflichtauslöser | Rechtsgrundlage | Gilt unabhängig von Mitarbeiterzahl? |
|---|---|---|
| ≥ 20 Personen verarbeiten ständig automatisiert personenbezogene Daten | § 38 Abs. 1 BDSG | Nein |
| Verarbeitung erfordert Datenschutz-Folgenabschätzung (DSFA) | Art. 37 Abs. 1 lit. b DSGVO | Ja |
| Geschäftsmäßige Datenverarbeitung (Scoring, Adresshandel, Marktforschung) | § 38 Abs. 1 BDSG | Ja |
| Verarbeitung besonderer Kategorien (Gesundheit, Biometrie, Religion) | Art. 9 DSGVO i.V.m. Art. 37 DSGVO | Ja |
| Öffentliche Stellen und Behörden | Art. 37 Abs. 1 lit. a DSGVO | Ja |
Interner vs. externer DSB : was kostet was in 2026?
Die Entscheidung zwischen internem und externem Datenschutzbeauftragten ist eine der wichtigsten Compliance-Fragen für KMU. Beide Varianten haben klare Vor- und Nachteile:
Interner DSB: Ein vorhandener Mitarbeiter übernimmt die DSB-Funktion zusätzlich zu seinem Hauptjob. Voraussetzung ist ein erhebliches Maß an Fachwissen (Zertifizierung empfohlen) sowie die Abwesenheit von Interessenkonflikten. Der IT-Leiter oder der Personalleiter darf nicht gleichzeitig DSB sein – zu hohes Risiko eines Interessenkonflikts. Kündigungsschutz: 1 Jahr über die Abberufung hinaus.
Externer DSB: Ein zertifizierter Datenschutzexperte wird auf Basis eines Dienstleistungsvertrags tätig. Kosten: 200 bis 1.200 € pro Monat je nach Unternehmenskomplexität. Vorteil: aktuelles Fachwissen, klare Haftungsabgrenzung, kein Interessenkonflikt. Für Unternehmen bis 100 Mitarbeiter fast immer die günstigere und sicherere Wahl. Lesen Sie dazu unseren Vergleich: interner vs. externer DSB.
Was passiert, wenn kein DSB bestellt wird?
Das Fehlen eines DSB ist ein DSGVO-Verstoß und kann gemäß Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. In der deutschen Aufsichtspraxis werden bei KMU typischerweise Bußgelder zwischen 5.000 € und 50.000 € verhängt, je nach Schwere des Verstoßes und Kooperationsbereitschaft. Das LfDI Baden-Württemberg verhängte 2024 ein Bußgeld von 35.000 € gegen ein mittelständisches Unternehmen, das trotz 23 datenverarbeitenden Mitarbeitern keinen DSB benannt hatte.
Darüber hinaus droht ein Reputationsschaden, wenn Datenpannen ohne funktionierenden Datenschutz aufgedeckt werden. Die vollständige Übersicht der DSGVO-Bußgelder zeigt die Praxis der Aufsichtsbehörden.
Mindestausstattung für den DSB : was das Unternehmen bereitstellen muss
Viele Unternehmen übersehen, dass der Datenschutzbeauftragte von der Unternehmensleitung mit ausreichenden Ressourcen ausgestattet werden muss (Art. 38 Abs. 2 DSGVO). Konkret bedeutet das:
- Zugang zu allen datenschutzrelevanten Systemen und Prozessen
- Ausreichend Zeit für die Ausübung der DSB-Tätigkeit (bei internem DSB: typisch 10–20 % der Arbeitszeit, je nach Unternehmensgröße)
- Budget für Fortbildungen (Zertifizierungen, Fachzeitschriften, Schulungstools)
- Direkter Berichtsweg zur höchsten Managementebene – nicht über IT oder HR
- Freistellung von anderen Aufgaben bei zeitkritischen Datenschutzvorfällen
Nutzen Sie unsere Kostenübersicht für alle Beauftragten, um die Gesamtkosten Ihrer Compliance-Lösung zu berechnen, und finden Sie mit unserer Suchfunktion den passenden DSB für Ihr Unternehmen.
FAQ – Datenschutzbeauftragter Pflichten Checkliste 2026
Wie oft muss der Datenschutzbeauftragte Schulungen durchführen?
Mindestens einmal jährlich sind Pflichtschulungen für alle Mitarbeiter mit Datenzugang vorgeschrieben. Bei neuen Mitarbeitern ist eine Schulung vor dem ersten Datenzugang erforderlich. Bei wesentlichen Änderungen in der Datenverarbeitung oder nach einem Datenschutzvorfall sind außerordentliche Schulungen durchzuführen. Die Schulungsteilnahme muss dokumentiert werden – ein einfaches Teilnehmerprotokoll mit Datum und Unterschrift reicht aus.
Kann ein Datenschutzbeauftragter auch für mehrere Unternehmen tätig sein?
Ja, ein externer DSB kann für mehrere Unternehmen gleichzeitig tätig sein. Das ist sogar das übliche Geschäftsmodell externer DSB-Dienstleister. Voraussetzung ist, dass er in jedem Unternehmen ausreichend Zeit für seine Aufgaben hat und kein Interessenkonflikt zwischen den betreuten Unternehmen besteht (z.B. direkte Wettbewerber, die er gleichzeitig betreut).
Muss der DSB bei der Aufsichtsbehörde gemeldet werden?
Ja. Nach Art. 37 Abs. 7 DSGVO muss die Benennung des DSB der zuständigen Datenschutz-Aufsichtsbehörde (Landesdatenschutzbehörde des Bundeslandes) mitgeteilt werden. Die Meldung enthält Name, Kontaktdaten und ggf. die Qualifikation des DSB. Die meisten Landesbehörden bieten dafür ein Online-Formular an. Eine Nichtmeldung kann als separater Verstoß geahndet werden.
Welche Konsequenzen hat ein Interessenkonflikt beim internen DSB?
Ein DSB mit Interessenkonflikt ist rechtlich unwirksam bestellt – das Unternehmen gilt als ob kein DSB vorhanden. Aufsichtsbehörden können das Unternehmen auffordern, einen neuen DSB zu benennen und ggf. ein Bußgeld verhängen. Typische Interessenkonflikte: IT-Leiter, HR-Leiter, Geschäftsführer, Vorstand, Rechtsabteilungsleiter mit operativer Verantwortung für Datenverarbeitungen.
Was ist der Unterschied zwischen DSB-Pflichten und Unternehmens-Datenschutzpflichten?
Der DSB berät, überwacht und koordiniert – die Verantwortung für die DSGVO-Compliance liegt weiterhin beim Unternehmen als Verantwortlichem (Art. 4 Nr. 7 DSGVO). Der DSB haftet nicht persönlich für Datenschutzverstöße des Unternehmens. Das Unternehmen kann sich nicht durch die Bestellung eines DSB von seiner eigenen Verantwortung befreien. Der DSB ist ein internes Kontrollorgan, kein Sündenbock.
Fällt die 20-Personen-Pflicht zum Datenschutzbeauftragten bald weg?
Noch nicht. Bund und Länder haben am 4. Dezember 2025 vereinbart, dass der Bund bis Ende 2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringt. Solange kein Änderungsgesetz in Kraft ist, gilt die 20-Personen-Schwelle und damit die hier aufgeführten 8 Pflichten unverändert weiter. Die Pflicht nach Art. 37 DSGVO bei Datenschutz-Folgenabschätzung oder geschäftsmäßiger Verarbeitung wäre von einer Streichung ohnehin nicht betroffen.