Die meisten Gründer und Büroleiter wachen morgens nicht mit dem Gedanken an Datenschutzbeauftragte auf. Die Frage landet meist auf dem Schreibtisch, weil ein Kunde einen Sicherheitsfragebogen geschickt hat, der Anwalt es beiläufig erwähnt hat oder man gerade den zwanzigsten Mitarbeiter eingestellt hat und jemand auf LinkedIn gesagt hat, dass diese Zahl eine Rolle spielt. Das tut sie auch – die Details sind jedoch differenzierter, als die meisten Zusammenfassungen vermuten lassen.

Zwei rechtliche Rahmenbedingungen bestimmen, ob dein Unternehmen einen Datenschutzbeauftragten (DSB) benennen muss: Artikel 37 DSGVO auf europäischer Ebene und der strengere § 38 BDSG für Unternehmen, die in Deutschland tätig sind. Es lohnt sich, beide zu kennen, auch wenn nur einer davon zutrifft. Wichtiger Hinweis: § 38 Abs. 1 BDSG ist derzeit Gegenstand aktiver gesetzgeberischer Diskussionen, sodass sich die unten beschriebene Schwelle im Jahr 2026 möglicherweise verschieben wird. Die zugrunde liegenden Pflichten bleiben davon jedoch unberührt.

Wann ist ein Datenschutzbeauftragter gesetzlich vorgeschrieben?

Gemäß Artikel 37 DSGVO ist ein Datenschutzbeauftragter in drei Fällen Pflicht:

1. Wenn deine Organisation eine Behörde ist.

2. Wenn deine Kerntätigkeiten die regelmäßige und systematische Überwachung von Personen in großem Umfang umfassen (etwa Adtech, Standortverfolgung oder Verhaltensprofilierung).

3. Wenn deine Kerntätigkeiten die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfassen, wie Gesundheitsdaten, biometrische Daten oder Informationen über religiöse Überzeugungen. Das Schlüsselwort lautet „Kerntätigkeiten". Unterstützt die Datenverarbeitung dein Geschäftsmodell lediglich, ohne dessen Kern zu sein, greift der DSGVO-Tatbestand allein möglicherweise nicht.

Das deutsche Recht geht noch weiter. Gemäß § 38 Abs. 1 BDSG musst du einen DSB benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Der Begriff „Personen" ist hier weiter gefasst als die bloße Mitarbeiterzahl: Werkstudenten, Praktikanten, Teilzeitkräfte und Freiberufler, die auf deine Weisung hin tätig sind, zählen alle dazu. Und „automatisierte Verarbeitung" erfasst jeden, der E-Mails nutzt, ein CRM, ein HR-Tool oder eine gemeinsame Tabelle mit personenbezogenen Daten. In der Praxis überschreiten die meisten Unternehmen mit 20 Personen auf der Gehaltsliste diese Schwelle deutlich – von einem knappen Grenzfall ist man weit entfernt. Gezählt wird pro juristischer Person, und eine Übergangsfrist gibt es nicht, sobald die Schwelle überschritten ist.

Zur Selbsteinschätzung genügt eine Frage: Sind 20 oder mehr Personen (im weiteren Sinne) mit personenbezogenen Daten in digitalen Tools beschäftigt? Wenn ja, ist nach deutschem Recht ein DSB erforderlich. Wenn nein, prüfe, ob das Kerngeschäft umfangreiche Überwachung oder besondere Kategorien personenbezogener Daten beinhaltet. Ist das der Fall, gilt Artikel 37 DSGVO unabhängig von der Unternehmensgröße. Für Unternehmen, die die DSGVO-IT-Compliance ohne eigenes Team sicherstellen müssen, ist dies der erste Punkt auf der Agenda.

Beachte außerdem § 38 Abs. 1 Satz 2 BDSG: Ein DSB ist unabhängig von der Mitarbeiterzahl vorgeschrieben, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung gemäß Artikel 35 erfordert oder wenn personenbezogene Daten gewerblich zum Zweck der Übermittlung, der anonymisierten Übermittlung oder der Markt- und Meinungsforschung verarbeitet werden.

Interner vs. externer DSB: Welche Option passt zu einem KMU?

Ein interner DSB ist ein bestehender Mitarbeiter, der die Rolle zusätzlich zu seinen übrigen Aufgaben – oder anstelle davon – übernimmt. Der Vorteil: Er kennt bereits die Systeme und die Unternehmenskultur. Die Nachteile sind Kosten, Schulungsaufwand und eine strenge Unabhängigkeitsanforderung, an der viele kleine Unternehmen scheitern.

Gemäß Artikel 38 Abs. 6 DSGVO darf ein DSB keine Position bekleiden, die ihn dazu veranlasst, Zwecke und Mittel der Datenverarbeitung festzulegen. In der Praxis schließt das den Geschäftsführer, den Personalleiter und den IT-Leiter aus, da alle drei regelmäßig Entscheidungen darüber treffen, wie und warum personenbezogene Daten verarbeitet werden. Der Europäische Gerichtshof hat diesen Grundsatz in seinem Urteil von 2023 in der Rechtssache C-453/21 (X-FAB) bestätigt. Ein Nachwuchsmitarbeiter in der IT ohne Entscheidungsbefugnis ist nicht automatisch ausgeschlossen, doch die Ernennung einer Person, die operativen IT-Entscheidungen so nahsteht, ist selten ratsam.

Ein externer DSB – in der Regel ein spezialisierter Berater oder eine Anwaltskanzlei – umgeht das Problem von Interessenkonflikten vollständig. Externe Beauftragungen bringen zudem meist breiteres Fachwissen über verschiedene Branchen sowie aktuelle Kenntnisse zu regulatorischen Entwicklungen mit. Für KMUs liegen die Kosten für externe DSBs bei 20 bis 50 Mitarbeitern typischerweise zwischen 150 und 350 Euro pro Monat, bei 50 bis 250 Mitarbeitern zwischen 350 und 800 Euro – je nach Komplexität und meist deutlich unter den Kosten für Schulung und anteilige Freistellung eines internen Mitarbeiters. Unternehmen, die sich mit Fragen rund um EU-Datenspeicherung und DSGVO befassen, werden einen externen DSB besonders bei der Anbieter-Due-Diligence als wertvoll erleben.

Was macht ein DSB eigentlich – und was passiert, wenn man keinen hat?

Im Tagesgeschäft überwacht ein DSB die Einhaltung des Datenschutzrechts im Unternehmen, berät bei Datenschutz-Folgenabschätzungen (DPIAs), schult Mitarbeiter, die mit personenbezogenen Daten umgehen, und fungiert als Ansprechpartner für die Aufsichtsbehörde. Er prüft Verarbeitungsvorgänge, weist auf Risiken hin und hilft dabei, Anfragen betroffener Personen innerhalb der gesetzlich vorgeschriebenen Fristen zu beantworten.

Entscheidend ist: Der DSB haftet nicht persönlich für Datenschutzverstöße des Unternehmens. Die Verantwortung verbleibt beim Verantwortlichen – also beim Unternehmen selbst und seiner Geschäftsführung. Gemäß Artikel 38 Abs. 3 und Artikel 39 DSGVO berät und überwacht der DSB, trägt aber nicht die rechtlichen Konsequenzen von Entscheidungen der Unternehmensleitung.

Diese Konsequenzen sind real. Die Nichtbestellung eines vorgeschriebenen DSB fällt unter Artikel 83 Abs. 4 DSGVO, der Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorsieht – je nachdem, welcher Betrag höher ist. Dabei handelt es sich ausdrücklich um die niedrigere Bußgeldstufe; die Obergrenze von 20 Millionen Euro bzw. 4 % gilt bei rechtswidriger Verarbeitung. Über Geldbußen hinaus haften deutsche Geschäftsführer persönlich gemäß § 43 GmbHG und § 130 OWiG, wenn sie keine angemessenen organisatorischen Sicherheitsvorkehrungen treffen. Dazu kommt der Schaden im Geschäftszyklus: Ein fehlender DSB oder unvollständige Verarbeitungsverzeichnisse können eine Partnerschaft, eine Finanzierungsrunde oder einen Unternehmensvertrag zum Stillstand bringen. Unternehmen, die sich bereits mit NIS2-Compliance-Anforderungen befassen, werden dieses Muster kennen.

Was jedes KMU umsetzen sollte – mit oder ohne DSB

Unabhängig davon, ob du gesetzlich zur Bestellung eines DSB verpflichtet bist, gelten die operativen DSGVO-Pflichten für jedes Unternehmen, das personenbezogene Daten verarbeitet. Folgendes sollte vorhanden sein:

1. Verarbeitungsverzeichnis (Art. 30 DSGVO): Dokumentiere, welche personenbezogenen Daten du erhebst, zu welchem Zweck, wo sie gespeichert werden, wer Zugriff hat und wann sie gelöscht werden.

2. Technische und organisatorische Maßnahmen (TOMs): Verschlüsselung, Zugriffskontrollen, sichere Konfigurationen und Datensicherungsverfahren – dokumentiert und nachprüfbar.

3. Zugriffsverwaltung: Rollenbasierte Berechtigungen, damit Mitarbeiter nur auf die Daten zugreifen können, die sie tatsächlich benötigen. Überprüfe diese vierteljährlich.

4. Geräteverwaltung: Setze Festplattenverschlüsselung, Betriebssystem-Updates und Endpoint-Schutz auf jedem Laptop und Smartphone durch, das mit Unternehmensdaten in Berührung kommt. Zentralisierte Cybersicherheit für Geschäftsgeräte macht das auch im größeren Maßstab handhabbar.

5. Sauberes Offboarding: Konten sperren, Geräte einziehen und Daten am Tag des Ausscheidens löschen – nicht erst Wochen später. Ein verzögertes Offboarding ist eine der häufigsten Ursachen für Datenpannen in KMUs.

6. Mitarbeitersensibilisierung: Schule dein Team zu Phishing, Passworthygiene und dem Umgang mit Anfragen betroffener Personen. Eine jährliche Schulung ist ein Anfang; regelmäßige Erinnerungen sind besser.

Das sind keine theoretischen Anforderungen. Es sind die Maßnahmen, auf die Prüfer, Kunden und Aufsichtsbehörden tatsächlich achten. Plattformen wie deeploi helfen KMUs dabei, die IT-Ebene hinter diesen Pflichten zu automatisieren – von der Durchsetzung der Geräteverschlüsselung bis hin zu IT-Sicherheits- und Compliance-Richtlinien –, sodass die für Compliance zuständigen Personen keine IT-Experten werden müssen. Wenn das Team KI-Tools wie ChatGPT auf Firmengeräten nutzt, werden Kontrollen auf Geräteebene noch wichtiger.

Fazit

Die Frage nach dem DSB ist im Kern eine Frage der Datenschutzreife. Wer die operativen Grundlagen beherrscht – dokumentierte Verarbeitung, Zugriffskontrollen, Gerätesicherheit, sauberes Offboarding –, für den wird die Entscheidung für einen internen oder externen DSB zum logischen nächsten Schritt statt zur Krisenreaktion. Selbst wenn § 38 Abs. 1 BDSG reformiert wird und sich die Schwelle ändert, gilt die obige Checkliste in jedem Fall – denn die zugrunde liegenden DSGVO-Pflichten bleiben bestehen. Zuerst die Grundlagen schaffen, dann die Bestellung mit Überzeugung vornehmen.

FAQ

Kann ein kleines Unternehmen unterhalb der BDSG-Schwelle den Datenschutz komplett ignorieren?

Keinesfalls. Alle DSGVO-Pflichten gelten unabhängig von der Unternehmensgröße. Der DSB ist nur ein Baustein davon. Wichtiger noch: § 38 Abs. 1 Satz 2 BDSG schreibt einen DSB unabhängig von der Mitarbeiterzahl vor, wenn die Verarbeitung eine obligatorische Datenschutz-Folgenabschätzung gemäß Artikel 35 auslöst oder wenn personenbezogene Daten gewerblich zum Zweck der Übermittlung, der anonymisierten Übermittlung oder der Markt- und Meinungsforschung verarbeitet werden. Konkrete Beispiele: Videoüberwachung öffentlicher Bereiche, tracking-intensives Marketing, die Verarbeitung von Gesundheitsdaten oder der Einsatz von HR-Analytics-Tools, die das Verhalten von Mitarbeitern profilieren.

Wer im Team darf als DSB fungieren?

Jede Person, die unabhängig handeln kann und weder die Zwecke noch die Mittel der Datenverarbeitung festlegt. Das schließt in den meisten KMUs den CEO, den Geschäftsführer, den IT-Leiter und den Personalleiter aus. Ein compliance-orientierter Mitarbeiter ohne operative Entscheidungsbefugnis über die Datenverarbeitung könnte infrage kommen, benötigt dafür aber Schulungen und geschützte Arbeitszeit. Für die meisten kleinen Unternehmen ist eine externe Besetzung die einfachere und sicherere Lösung.

Wie erkenne ich Sicherheitslücken in unserer IT, bevor es jemand anderes tut?

Aufsichtsbehörden prüfen KMUs selten von sich aus. Was Lücken tatsächlich ans Licht bringt, ist die Beschwerde eines ehemaligen Mitarbeiters, eine Anfrage einer betroffenen Person, die nicht rechtzeitig beantwortet werden kann, ein Datenschutzvorfall, der innerhalb von 72 Stunden gemeldet werden muss, oder der Sicherheitsfragebogen eines Kunden mitten in einem Vertragsabschluss. Um einen Schritt voraus zu sein, solltest du regelmäßige Zugriffsüberprüfungen durchführen, ein aktuelles Inventar deiner IT-Ressourcen pflegen und automatisierte Geräteüberwachung einsetzen, um ungepatchte Systeme oder fehlende Verschlüsselung zu erkennen. Die deeploi-Plattform bietet wachsenden Teams eine zentrale Übersicht über Gerätezustand, Zugriffsstatus und Sicherheitslage – ganz ohne eigene IT-Abteilung.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Datenschutzpflichten richten sich nach den spezifischen Gegebenheiten deiner Organisation und ihrer Verarbeitungstätigkeiten; die hier beschriebene Rechtslage entspricht dem Stand vom August 2026. Für eine verbindliche Beurteilung deiner Situation wende dich bitte an einen qualifizierten Rechtsanwalt oder Datenschutzbeauftragten.