Datenschutzbeauftragter Ausbildung & Zertifizierung: Der unabhängige Leitfaden (2026)

> Kurz & klar: Art. 37 Abs. 5 DSGVO verlangt eine berufliche Qualifikation und insbesondere Fachwissen im Datenschutzrecht sowie in der Datenschutzpraxis — kein konkretes Diplom, keine vorgeschriebene Zertifizierung. TÜV, DEKRA und IHK bieten marktgängige Nachweise, die Gerichte und Aufsichtsbehörden zunehmend als Mindeststandard betrachten. Die Wahl des richtigen Weges hängt von Branche, Unternehmensgröße und persönlichem Hintergrund ab.

Was sagt das Gesetz zur Qualifikation?

Art. 37 Abs. 5 DSGVO ist bewusst offen formuliert: Der Datenschutzbeauftragte wird „auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Art. 39 genannten Aufgaben.“

Das klingt zunächst wie ein Freifahrtschein. Ist es aber nicht. Erwägungsgrund 97 DSGVO präzisiert: Das erforderliche Fachkunde-Niveau richtet sich nach den tatsächlichen Datenverarbeitungsvorgängen im Unternehmen und dem Schutzbedarf der verarbeiteten Daten. Ein Krankenhaus mit sensibler Gesundheitsdaten-Verarbeitung braucht messbar mehr als ein kleiner Handwerksbetrieb, der allenfalls Kundenadressen speichert.

Konkret bedeutet das: Wer als DSB ohne nachweisbare Qualifikation bestellt wird und später gravierende Verstöße nicht erkennt, riskiert, dass die Benennung selbst als rechtswidrig eingestuft wird — mit entsprechenden Konsequenzen für das Unternehmen. Der Nachweis über eine anerkannte Ausbildung ist damit de facto der einzige belastbare Schutz.

Für Unternehmen, die zur Benennung eines DSB verpflichtet sind, gilt zudem § 38 BDSG, der die DSGVO-Vorgaben für Deutschland konkretisiert. Ob Ihr Unternehmen überhaupt einen DSB bestellen muss, erfahren Sie unter Datenschutzbeauftragter Pflicht für KMU 2026.

Welche Kenntnisse braucht ein DSB?

Die Aufsichtsbehörden und der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) haben über Jahre hinweg verdichtet, welche Kompetenzfelder ein DSB abdecken muss. Sieben Bereiche sind dabei praxisrelevant:

1. Datenschutzrecht — DSGVO, BDSG, und branchenspezifische Regelungen (z. B. SGB für Sozialeinrichtungen). Juristische Grundkenntnisse sind Pflicht, ein Jurastudium hingegen nicht.

1. Technische Datenschutzmaßnahmen — Verschlüsselung, Zugriffskontrolle, Datensicherungskonzepte. Wer hier nur juristische Kenntnisse mitbringt, kann technische Risiken nicht beurteilen.

1. Datenschutz-Folgenabschätzung (DSFA) — Art. 35 DSGVO verpflichtet zur DSFA bei risikobehafteter Verarbeitung. Die methodische Kompetenz zur Durchführung ist Kernaufgabe des DSB.

1. Verarbeitungsverzeichnis und Dokumentation — Art. 30 DSGVO. Ohne Kenntnisse über Aufbau, Pflege und Prüfung eines Verarbeitungsverzeichnisses ist der DSB nicht arbeitsfähig.

1. Betroffenenrechte und Beschwerdeverfahren — Art. 15 bis 22 DSGVO. Der DSB ist erster Ansprechpartner — intern wie extern gegenüber Aufsichtsbehörden.

1. Auftragsverarbeitung und Drittlandtransfers — Art. 28 und Art. 44 ff. DSGVO. Besonders in IT-Unternehmen mit Cloud-Diensten ein kritisches Feld; weitere Hinweise dazu auch unter Beauftragte in IT-Unternehmen.

1. Organisationale Kompetenz — Sensibilisierung von Mitarbeitenden, interne Richtlinien, Kommunikation mit der Geschäftsführung. Fachkunde ohne Durchsetzungsfähigkeit ist im Betrieb wenig wert.

Formelle Ausbildungswege: Ein Überblick

Der Markt für DSB-Ausbildungen ist unübersichtlich. Mehr als ein Dutzend Anbieter versprechen anerkannte Abschlüsse — mit Zertifikatstiteln, die sich teilweise kaum unterscheiden. Was unterscheidet die Hauptwege wirklich?

Keine der nachfolgenden Zertifizierungen ist gesetzlich vorgeschrieben. Es gibt keinen staatlich anerkannten Berufsabschluss „Datanschutzbeauftragter“. Was zählt, ist der tatsächliche Kenntnisstand — die Zertifizierung ist der dokumentierte Nachweis dafür.

TÜV-zertifizierter Datenschutzbeauftragter

Sowohl TÜV SÜD als auch TÜV Rheinland bieten eigenständige Programme an, die sich inhaltlich ähneln, aber unter unterschiedlichen Zertifikatstiteln laufen. TÜV SÜD vergibt das Zertifikat „DSB-TÜV“. Die Grundausbildung umfasst typischerweise fünf Präsenztage, ergänzt durch eine schriftliche Abschlussprüfung. Blended-Learning-Variante: Selbststudium plus 3 Tage Präsenz. TÜV SÜD gibt keine feste Ablaufdauer für das Zertifikat vor, empfiehlt jedoch regelmäßige Auffrischungen wegen der sich ändernden Rechtslage. TÜV Rheinland vergibt das Zertifikat „Datanschutzbeauftragter (TÜV)“ über eine Prüfung durch PersCert TÜV. Das Zertifikat ist blockchain-gesichert und digital verifizierbar. Auch hier sind fünf Schulungstage Standard. Kosten: gemäß Anbieterangaben (variabel) — TÜV SÜD Blended-Format ab ca. 2.495 € zzgl. MwSt. Anerkennung: Hoch — der „TÜV“-Stempel genießt im deutschsprachigen Raum Bekanntheit und wird von Aufsichtsbehörden nicht beanstandet.

DEKRA-geprüfter Datenschutzbeauftragter

DEKRA Certification GmbH bietet eine eigene Personenzertifizierung an, die über autorisierte Schulungspartner abgewickelt wird. Das Ausbildungsprogramm umfasst in der Regel drei Tage (24 Unterrichtsstunden). Die Abschlussprüfung besteht aus 40 Multiple-Choice-Fragen in 70 Minuten — schriftlich oder online. Zertifikatsbezeichnung: „Datanschutz-Spezialist (DEKRA)“. Gültigkeit: Das Zertifikat ist drei Jahre gültig. Zur Rezertifizierung muss innerhalb dieser drei Jahre der Nachweis über mindestens 24 Stunden Weiterbildung erbracht werden. Prüfungsgebühr: ca. 225 € gemäß Anbieterangaben; Schulungskosten variabel (ein Partner nennt ca. 1.747 € zzgl. MwSt.). Anerkennung: Verbreitet, besonders in Industrie, Logistik und Handwerk.

BvD-Qualifizierungen

Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) ist der wichtigste Fachverband für DSB in Deutschland. Der BvD bietet keine eigene Grundausbildung im Sinne eines Erstzertifikats an, sondern Schulungen und Fortbildungen für bereits tätige oder angehende DSB. Für DSB mit Berufserfahrung ist eine BvD-Mitgliedschaft kombiniert mit dem Besuch der BvD-Seminare und der jährlichen BvD-Jahrestagung ein anerkannter Weg, Fachkunde nachzuweisen und zu erhalten.

IHK-Lehrgänge

Die Industrie- und Handelskammern bieten über das DIHK-Bildungswerk den Zertifikatslehrgang „Betriebliche/r Datenschutzbeauftragte/r (IHK)“ an. Der Lehrgang umfasst ca. 55 Unterrichtsstunden (etwa fünf Tage) und schließt mit einem bundeseinheitlichen Abschlusstest ab. Besonderheit: IHK-Zertifikate werden von Arbeitgebern, Aufsichtsbehörden und vor Gericht anerkannt. Die Inhalte sind durch das DIHK bundesweit standardisiert. Kosten: gemäß IHK-Angaben (regional variabel).

Vergleichstabelle: Zertifizierungen im Überblick

Alle Daten gemäß Anbieterangaben, Stand 2025/2026 — Änderungen vorbehalten.

Fortbildungspflicht: Was gilt nach der Zertifizierung?

Ein einmal erworbenes Zertifikat reicht nicht für die gesamte Berufslaufbahn. Art. 38 Abs. 2 DSGVO legt fest, dass der Verantwortliche dem DSB „die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung“ stellen muss.

Datensschutzrecht ist kein statisches Rechtsgebiet: EuGH-Urteile (wie Schrems II), neue Standardvertragsklauseln, sich ändernde nationale Ausführungsgesetze und wachsende Anforderungen durch NIS2 machen laufende Weiterbildung zur praktischen Notwendigkeit.

Die Datenschutzkonferenz (DSK) hat in Orientierungshilfen klargestellt, dass ohne aktive Maßnahmen zur Fachkunde-Erhaltung eine DSB-Benennung als nicht ordnungsgemäß gelten kann — mit bußgeldrelevanten Folgen.

Der BvD empfiehlt mindestens einmal jährlich eine einschlägige Weiterbildung. DEKRA-Zertifizierte müssen innerhalb von drei Jahren 24 Stunden Weiterbildung nachweisen (ca. 8 Stunden/Jahr als Richtwert). Praktisch bewährt: BvD-Jahrestagung, TÜV-Akademie-Seminare, regionale Datenschutztage der Aufsichtsbehörden.

Interner vs. externer DSB: Unterschiedliche Anforderungen?

Die DSGVO unterscheidet bei den Qualifikationsanforderungen nicht zwischen internem und externem DSB — Art. 37 Abs. 5 gilt für beide. In der Praxis bestehen aber Unterschiede. Interner DSB: Bringt typischerweise Vorkenntnis der eigenen Unternehmensstrukturen, Prozesse und IT-Landschaft mit. Formale Zertifizierung ist besonders wichtig, um die Fachkunde gegenüber der Geschäftsführung und bei Behördenprüfungen zu belegen. Externer DSB: Muss eine breitere fachliche Basis nachweisen, da er für verschiedene Mandanten tätig ist. Zertifizierungen kombiniert mit nachgewiesener Praxiserfahrung sind hier besonders relevant. Zudem gelten vertragliche Anforderungen gemäß Art. 37 Abs. 6 DSGVO.

Die Kostenfrage — intern vs. extern — ist oft der entscheidende Auswahlgrund. Eine Übersicht der Kostenstrukturen finden Sie unter Datenschutzbeauftragter Kosten im Vergleich.

Welche Zertifizierung ist die richtige?

Eine pauschale Empfehlung gibt es nicht. Was tatsächlich zählt, sind drei Faktoren: Branche, Unternehmensgröße und persönlicher Hintergrund. Berufseinsteiger ohne Vorerfahrung profitieren von einem strukturierten Vollprogramm (TÜV oder IHK, 5 Tage), das alle Kernbereiche systematisch abdeckt. Personen mit juristischem oder IT-Hintergrund können je nach Schwerpunkt gezieltere Programme wählen. DEKRA oder BvD-Weiterbildungen bieten kompaktere Formate für Erfahrene. KMU und Mittelstand setzen häufig auf IHK-Zertifikate — regional zugänglich und im unternehmerischen Umfeld bekannt. Industrieunternehmen, Automobilzulieferer, Logistik — hier ist das DEKRA-Zertifikat oft die branchennahe Wahl. IT-Unternehmen und Technologiefirmen mit komplexen Cloud-Infrastrukturen und grenzüberschreitenden Datenverarbeitungen sollten darauf achten, dass die Ausbildung technische Aspekte (Art. 32 DSGVO, Drittlandtransfers, NIS2) vertieft abdeckt — dazu mehr unter Beauftragte in IT-Unternehmen. Gesundheitswesen, Sozialeinrichtungen, öffentliche Verwaltung: Hier ist der Bedarf an bereichsspezifischen Kenntnissen (SGB, LDSG) besonders hoch. Ergänzende Fachseminare sind Standard.

Unabhängig vom Anbieter gilt: Wer heute zertifiziert wird und fünf Jahre keine Weiterbildung absolviert, hat faktisch keinen aktuellen Qualifikationsnachweis mehr — auch wenn das Zertifikat auf dem Papier noch gilt.