Datenschutzbeauftragter: Aufgaben, Pflicht und Kosten im Überblick
Ob ein Unternehmen einen Datenschutzbeauftragten benötigt, hängt nicht von seinem Bauchgefühl ab, sondern von klaren gesetzlichen Vorgaben. Dieser Leitfaden erklärt verständlich, was ein Datenschutzbeauftragter ist, wann er Pflicht ist, welche Aufgaben er übernimmt, worin sich interne und externe Lösungen unterscheiden – und mit welchen Kosten Sie rechnen müssen.
Was ist ein Datenschutzbeauftragter?
Ein Datenschutzbeauftragter (DSB) ist die Person, die in einem Unternehmen oder einer Behörde über die Einhaltung des Datenschutzes wacht. Seine Rolle ist in der EU-Datenschutz-Grundverordnung (DSGVO) sowie im deutschen Bundesdatenschutzgesetz (BDSG) gesetzlich verankert. Er ist nicht dafür verantwortlich, den Datenschutz selbst „umzusetzen“ – das bleibt Aufgabe der Geschäftsführung –, sondern er berät, überwacht und ist Ansprechpartner für Mitarbeitende, Betroffene und die Aufsichtsbehörde.
Wichtig ist seine Unabhängigkeit: Nach Art. 38 DSGVO darf der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Weisungen erhalten und wegen dieser Tätigkeit nicht benachteiligt oder abberufen werden. Er berichtet direkt an die höchste Leitungsebene.
Wann ist ein Datenschutzbeauftragter Pflicht?
Die Benennungspflicht ergibt sich aus zwei Ebenen – der DSGVO und ergänzend dem BDSG.
Aktueller Hinweis (Stand Juni 2026): Der Schwellenwert von 20 Personen gilt weiterhin unverändert. Die Bundesregierung hat in der Föderalen Modernisierungsagenda vom Dezember 2025 zwar angekündigt, die Pflicht aus § 38 BDSG bis Ende 2026 anzuheben bzw. aufzuheben – in Kraft getreten ist diese Änderung bislang aber nicht. Unternehmen sollten sich daher weiter an der 20-Personen-Grenze orientieren. Wichtig: Auch wenn die nationale Benennungspflicht entfiele, bleiben sämtliche DSGVO-Pflichten bestehen – nur die formale Benennung eines DSB wäre dann ggf. nicht mehr verpflichtend.
Pflicht nach Art. 37 DSGVO
EU-weit ist ein Datenschutzbeauftragter zwingend zu benennen, wenn:
- es sich um eine Behörde oder öffentliche Stelle handelt,
- die Kerntätigkeit in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht (z. B. Tracking, Scoring), oder
- die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9, z. B. Gesundheitsdaten) liegt.
Zusätzliche Pflicht nach § 38 BDSG (Deutschland)
In Deutschland gilt darüber hinaus: Ein Datenschutzbeauftragter ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl besteht die Pflicht außerdem, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.
Welche Aufgaben hat ein Datenschutzbeauftragter?
Die Kernaufgaben sind in Art. 39 DSGVO festgelegt. Dazu gehören:
- Unterrichtung und Beratung der Geschäftsführung und der Mitarbeitenden zu ihren Datenschutzpflichten,
- Überwachung der Einhaltung von DSGVO, BDSG und internen Datenschutzrichtlinien,
- Beratung und Überwachung im Zusammenhang mit Datenschutz-Folgenabschätzungen (DSFA),
- Zusammenarbeit mit der Aufsichtsbehörde und Funktion als deren Anlaufstelle,
- Sensibilisierung und Schulung der Mitarbeitenden,
- Unterstützung bei der Pflege des Verzeichnisses von Verarbeitungstätigkeiten und der Datenschutzdokumentation.
Stellung und Rechte des Datenschutzbeauftragten
Damit ein Datenschutzbeauftragter seine Aufgaben wirksam erfüllen kann, sichert ihm Art. 38 DSGVO eine besondere Stellung im Unternehmen zu. Die Geschäftsführung ist verpflichtet:
- den DSB frühzeitig und ordnungsgemäß in alle Datenschutzfragen einzubinden,
- ihm die erforderlichen Ressourcen sowie Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen bereitzustellen,
- ihm Ressourcen zur Erhaltung seiner Fachkunde (Fortbildung) zu ermöglichen,
- seine Weisungsfreiheit zu achten – er darf in der Ausübung seiner Fachaufgaben nicht angewiesen werden.
Zugleich unterliegt der Datenschutzbeauftragte in Bezug auf seine Tätigkeit der Verschwiegenheit. Ein interner DSB genießt zudem einen besonderen Kündigungsschutz, solange die Benennung verpflichtend ist. Diese geschützte Stellung ist der Grund, warum der Datenschutzbeauftragte echte Wirkung entfalten kann – und kein reines „Feigenblatt“ bleibt.
Interner oder externer Datenschutzbeauftragter?
Unternehmen können die Funktion intern besetzen oder einen externen Datenschutzbeauftragten per Dienstleistungsvertrag bestellen (ausdrücklich zulässig nach Art. 37 Abs. 6 DSGVO). Beide Varianten erfüllen dieselben gesetzlichen Anforderungen, unterscheiden sich aber deutlich in Aufwand, Kosten und Unabhängigkeit.
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Kosten | Gehalt, Schulungen, Vertretung – oft 25.000–30.000 €/Jahr | planbarer Monatsbeitrag, bei Mprotect365 ab 79 €/Monat |
| Fachkunde | muss aufgebaut und laufend fortgebildet werden | von Beginn an vorhanden, branchenübergreifende Erfahrung |
| Unabhängigkeit | mögliche Interessenkonflikte mit anderen Aufgaben | neutral, objektiv, keine Interessenkonflikte |
| Verfügbarkeit | Ausfall bei Urlaub/Krankheit | durchgehende Betreuung durch ein Team |
| Kündigungsschutz | besonderer Kündigungsschutz für Pflicht-DSB | flexibel über Dienstvertrag kündbar |
Gerade für kleine und mittlere Unternehmen ist die externe Lösung meist wirtschaftlicher und rechtssicherer. Mehr dazu auf unserer Seite Externer Datenschutzbeauftragter für kleine Unternehmen.
Qualifikation und Kosten eines Datenschutzbeauftragten
Die DSGVO schreibt keine bestimmte Ausbildung vor, verlangt in Art. 37 Abs. 5 aber ausdrücklich die nötige berufliche Qualifikation und Fachkunde im Datenschutzrecht und in der Datenschutzpraxis – der erforderliche Umfang richtet sich nach der Komplexität der Datenverarbeitung im Unternehmen. Qualifizierte Datenschutzbeauftragte verbinden daher juristisches Wissen, technisches Verständnis und Branchenerfahrung; ein Nachweis wie eine TÜV-Zertifizierung ist ein wichtiges Qualitätssignal. Genau diese Fachkunde dauerhaft intern vorzuhalten, ist allerdings teuer: Ein interner Datenschutzbeauftragter kostet inklusive Gehalt, Fortbildung und Vertretung häufig 25.000 bis 30.000 € pro Jahr. Ein externer Datenschutzbeauftragter ist für KMU in der Regel deutlich günstiger und beginnt bei Mprotect365 bereits ab 79 €/Monat – eine ausführliche Aufschlüsselung finden Sie auf unserer Seite Kosten eines externen Datenschutzbeauftragten.
So bestellen Sie einen Datenschutzbeauftragten
Die Benennung erfolgt in drei Schritten: zuerst die Prüfung, ob überhaupt eine Pflicht besteht, dann die Auswahl einer fachlich geeigneten Person oder eines externen Dienstleisters und schließlich die formelle Benennung samt Meldung der Kontaktdaten an die zuständige Aufsichtsbehörde – diese Daten sind zudem in der Datenschutzerklärung zu veröffentlichen. Unser Team begleitet Sie durch den gesamten Prozess, von der Pflichtprüfung bis zur Behördenmeldung: rechtssicher, praxisnah und TÜV-zertifiziert, ab 79 €/Monat als externer Datenschutzbeauftragter oder unverbindlich über eine kostenlose Erstberatung.
Häufige Fragen zum Datenschutzbeauftragten
In Deutschland ist ein DSB zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon kann die Pflicht früher greifen – etwa bei der Verarbeitung besonderer Datenkategorien oder bei DSFA-pflichtigen Verarbeitungen.
Ja. Art. 37 Abs. 6 DSGVO erlaubt ausdrücklich, die Funktion auf Grundlage eines Dienstleistungsvertrags an eine externe Person zu übertragen. Für viele KMU ist das die wirtschaftlichere und unabhängigere Lösung.
Wird trotz Pflicht kein DSB benannt, drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Zudem steigt das Risiko weiterer Datenschutzverstöße.
Der Datenschutzbeauftragte überwacht die Einhaltung des Datenschutzrechts (Schutz personenbezogener Daten). Der IT-Sicherheitsbeauftragte kümmert sich um die technische Informationssicherheit insgesamt. Die Rollen ergänzen sich, sind aber nicht identisch.
Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine individuelle Rechtsberatung. Stand: Juni 2026. Verwandte Themen: Externer Datenschutzbeauftragter · Datenschutz-Beratung · Hinweisgeberschutzgesetz (HinSchG).
