Ein Datenschutzbeauftragter, kurz DSB, sorgt dafür, dass Ihr Unternehmen die Vorgaben der DSGVO einhält. Er unterrichtet und berät die Geschäftsleitung sowie die Beschäftigten, überwacht die Einhaltung der Datenschutzvorschriften und ist Anlaufstelle für die Aufsichtsbehörde und für betroffene Personen. Der DSB entscheidet nicht selbst über die Datenverarbeitung. Verantwortlich bleibt Ihr Unternehmen. Der DSB ist Ihr Berater und Ihre Kontrollinstanz, die Risiken früh sichtbar macht, bevor daraus ein teures Problem wird.
Ob eine Benennungspflicht besteht, ergibt sich aus Art. 37 DSGVO und ergänzend aus § 38 des Bundesdatenschutzgesetzes.
Nach Art. 37 Abs. 1 DSGVO ist ein DSB verpflichtend, wenn eine Behörde die Daten verarbeitet, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien nach Art. 9 oder von Daten über strafrechtliche Verurteilungen besteht.
Für Deutschland kommt § 38 BDSG hinzu. Danach müssen Sie einen DSB benennen, sobald in Ihrem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Der Begriff „ständig" wird weit ausgelegt. Es kommt nicht auf Vollzeitstellen an, auch anteilige Tätigkeit an einem Bildschirmarbeitsplatz zählt mit. Unabhängig von der Personenzahl greift die Pflicht außerdem, wenn Sie Verarbeitungen durchführen, die eine Datenschutz-Folgenabschätzung erfordern, oder wenn Sie Daten geschäftsmäßig zum Zweck der Übermittlung oder der Markt- und Meinungsforschung verarbeiten.
Rund um die Benennungspflicht wird derzeit über Erleichterungen diskutiert, auf deutscher wie auf europäischer Ebene. Damit Sie den Überblick behalten, ordnen wir das in drei Stufen ein.
Geltendes Recht: § 38 Abs. 1 BDSG mit der 20-Personen-Schwelle gilt unverändert. Auch die BDSG-Änderungen, die 2026 in Kraft getreten sind, haben diese Schwelle nicht angetastet. Wer heute die Voraussetzungen erfüllt, muss einen Datenschutzbeauftragten benennen.
Geplant in Deutschland: Bund und Länder haben in der Föderalen Modernisierungsagenda vom 4. Dezember 2025 angekündigt, § 38 Abs. 1 BDSG bis Ende 2026 aufzuheben, sodass sich die Pflicht dann nur noch aus Art. 37 DSGVO ergäbe. Der Koalitionsausschuss hat dieses Ziel am 2. Juli 2026 bekräftigt. Beides sind bislang politische Absichtserklärungen. Ein Gesetzentwurf liegt nicht vor, und bis zu einer Verkündung im Bundesgesetzblatt ändert sich nichts an der geltenden Schwelle.
Auf EU-Ebene: Die Europäische Kommission hat mit ihrem Vorschlag für einen Digital Omnibus vom 19. November 2025 Vereinfachungen der DSGVO angestoßen. Diese betreffen vor allem Dokumentationspflichten wie das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, nicht aber die Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO. Das Verfahren ist noch nicht abgeschlossen.
Wir behalten alle drei Ebenen für Sie im Blick und prüfen Ihre Pflicht anhand der jeweils aktuellen Rechtslage.
Sollte § 38 Abs. 1 BDSG tatsächlich gestrichen werden, entfällt allein die deutsche 20-Personen-Schwelle. Für viele Betriebe hätte das spürbare Folgen, für andere keine.
Ein Beispiel: Ein Handwerks- oder Handelsbetrieb mit 30 Beschäftigten, der nur die üblichen Kunden- und Personaldaten verarbeitet, bräuchte dann allein wegen der Personenzahl keinen Datenschutzbeauftragten mehr. Anders ein Unternehmen, dessen Kerngeschäft in umfangreicher Datenverarbeitung liegt, etwa ein Anbieter von Gesundheits-Apps oder ein Dienstleister für Tracking und Scoring. Es bliebe über Art. 37 DSGVO weiterhin verpflichtet, unabhängig von der Mitarbeiterzahl.
Entscheidend ist der zweite Teil dieser Botschaft: Selbst wenn die Benennungspflicht entfällt, bleiben alle inhaltlichen Pflichten der DSGVO bestehen, vom Verarbeitungsverzeichnis über die technischen Schutzmaßnahmen nach Art. 32 DSGVO bis zur Meldung von Datenpannen. Auch der Berufsverband der Datenschutzbeauftragten Deutschlands weist darauf hin, dass eine Streichung keine Arbeit erspart, sondern nur die helfende Fachperson entfernt und Verantwortung wie Haftung stärker auf die Geschäftsführung verlagert. Ein externer Datenschutzbeauftragter bleibt deshalb für viele kleine und mittlere Unternehmen sinnvoll, weil er Fachkunde mitbringt und die Geschäftsführung entlastet.
Die Aufgaben des DSB sind in Art. 39 DSGVO geregelt. Dazu gehören die Beratung Ihres Unternehmens, die Überwachung der Einhaltung der DSGVO, die Begleitung von Datenschutz-Folgenabschätzungen und die Zusammenarbeit mit der Aufsichtsbehörde.
Damit der DSB diese Aufgaben unabhängig erfüllen kann, schützt ihn Art. 38 DSGVO. Er ist frühzeitig in datenschutzrelevante Vorgänge einzubinden, arbeitet weisungsfrei und darf wegen seiner Tätigkeit nicht benachteiligt werden. Zudem berichtet er direkt an die oberste Leitungsebene. Fachlich muss ein DSB nach Art. 37 Abs. 5 DSGVO über nachgewiesenes Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen. Die Anforderungen steigen mit dem Umfang und dem Risiko Ihrer Verarbeitungen.
Sie können einen eigenen Mitarbeiter benennen oder die Aufgabe an einen externen Dienstleister vergeben. Art. 37 Abs. 6 DSGVO lässt beide Wege ausdrücklich zu. Für die meisten KMU ist die externe Lösung wirtschaftlicher und rechtssicherer, weil Interessenkonflikte vermieden werden und weder ein besonderer Kündigungsschutz noch Kosten für Ausbildung, Weiterbildung und Vertretung entstehen. Auf unserer Seite zum externen Datenschutzbeauftragten erläutern wir die Unterschiede im Detail.
Wir starten mit einem Datenschutzaudit, einer Bestandsaufnahme Ihres Ist-Zustands, die zeigt, wo Handlungsbedarf besteht. Anschließend übernehmen wir laufend die Rolle des Datenschutzbeauftragten oder unterstützen Ihr internes Team punktuell. Typische Bausteine sind die Erstellung von Verarbeitungsverzeichnis und Datenschutzerklärung, die Datenschutz-Folgenabschätzung, Mitarbeiterschulungen sowie die Kommunikation mit der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Weil wir zugleich aus der Informationssicherheit kommen, denken wir technische Schutzmaßnahmen nach Art. 32 DSGVO gleich mit.
Fehlt ein vorgeschriebener DSB oder werden Datenschutzvorgaben verletzt, drohen empfindliche Bußgelder. Der Rahmen reicht nach Art. 83 DSGVO bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes. Allein die Nichtbenennung eines vorgeschriebenen DSB kann mit bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes geahndet werden. Verantwortlich bleibt stets Ihr Unternehmen. Auch die Geschäftsführung kann bei Verletzung ihrer Organisationspflichten persönlich in die Haftung geraten. Ein DSB senkt dieses Risiko spürbar.
