Wer braucht einen DSB? Pflicht-Check 2026

Kurz und knapp

Ob du einen Datenschutzbeauftragten (DSB) brauchst, hängt nicht nur an der Mitarbeiterzahl. Maßgeblich sind drei Auslöser nach Art. 37 DSGVO und § 38 BDSG: Kerntätigkeit mit regelmäßiger umfangreicher Beobachtung, Verarbeitung besonderer Datenkategorien als Kerntätigkeit, oder in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Hinzu kommen nach § 38 Abs. 1 Satz 2 BDSG DSFA-pflichtige Verarbeitungen sowie die geschäftsmäßige Verarbeitung zur Übermittlung oder für Markt- und Meinungsforschung. Trifft auch nur einer dieser Auslöser zu, ist die Benennung Pflicht, unabhängig davon, ob extern oder intern. Wer keinen DSB braucht, sollte trotzdem die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) erfüllen.

Rechtsrahmen: Art. 37 DSGVO und § 38 BDSG

Die DSGVO legt den Mindeststandard fest, § 38 BDSG ergänzt für Deutschland. Beide Normen müssen zusammen gelesen werden.

Art. 37 Abs. 1 DSGVO verpflichtet zur Benennung in drei Fällen:

• a) Behörden und öffentliche Stellen (außer Gerichte in Justizfunktion).
• b) Kerntätigkeit besteht in Verarbeitungsvorgängen, die eine „umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen" erforderlich machen (z. B. Online-Tracking, Videoüberwachung, Standortauswertung).
• c) Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Datenkategorien nach Art. 9 (Gesundheit, Religion, biometrische Daten) oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10.

§ 38 Abs. 1 BDSG ergänzt eine numerische Schwelle für nicht-öffentliche Stellen: in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Bei genau 20 Personen besteht die Pflicht also bereits. Bis 25.11.2019 lag die Schwelle bei 10; die Anhebung auf 20 gilt seit dem 26.11.2019 (Art. 12 Zweites DSAnpUG-EU).

Unabhängig von der Personenzahl verlangt § 38 Abs. 1 Satz 2 BDSG zusätzlich einen DSB, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen (z. B. großes Profiling, neue Technologie mit hohem Risiko) oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

Wann ist die Benennung zwingend?

Die folgenden Konstellationen lösen die DSB-Pflicht typischerweise aus:

1. In der Regel mindestens 20 ständig automatisiert Verarbeitende. Maßstab ist die Person, nicht die Stelle. Auch Teilzeitkräfte, Werkstudenten und Aushilfen zählen, sobald sie ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Reine Stempel-am-Eingang zählt nicht.

2. Tracking, Profiling, Bewertung als Kerngeschäft. Web-Analytics-Dienstleister, Performance-Marketing-Agenturen mit eigenem Tag-Stack, Bonitäts-Auskunfteien, Versicherungs-Underwriter mit automatisierten Scoring-Modellen.

3. Umfangreiche Verarbeitung von Gesundheitsdaten oder anderen besonderen Kategorien als Kerngeschäft. Etwa Pflegedienste, Anbieter von betrieblichem Gesundheitsmanagement oder IT-Dienstleister von Krankenkassen, jeweils wenn die Verarbeitung umfangreich ist. Nach Erwägungsgrund 91 DSGVO gilt die Verarbeitung von Patientendaten durch einen einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufes nicht als umfangreich; Einzelpraxen fallen daher in der Regel nur über die 20-Personen-Schwelle oder eine DSFA-Pflicht unter die Benennungspflicht.

4. Risiko-Verarbeitung mit DSFA-Pflicht. Unterliegt eine Verarbeitung einer Folgenabschätzung nach Art. 35 DSGVO, ist nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Personenzahl ein DSB zu benennen. Bei der Durchführung der DSFA holt der Verantwortliche dessen Rat ein (Art. 35 Abs. 2 DSGVO).

5. Adresshandel, Auskunfteien, Markt- und Meinungsforschung. Wer personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet, braucht nach § 38 Abs. 1 Satz 2 BDSG ebenfalls unabhängig von der Personenzahl einen DSB.

Faustregel: Wer eine dieser Konstellationen erfüllt, sollte die Benennung dokumentieren, auch wenn die Aufsichtsbehörde nicht ausdrücklich nachfragt. Das Fehlen ist nach Art. 83 Abs. 4 lit. a) DSGVO bußgeldbewehrt (bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes).

Welche Datenarten lösen das aus?

Nicht jede personenbezogene Verarbeitung triggert die DSB-Pflicht. Auslöser sind die in Art. 9 und 10 DSGVO genannten Sonderkategorien, sobald sie umfangreich und als Kerngeschäft verarbeitet werden.

Art. 9 DSGVO, besondere Kategorien:

• Rassische / ethnische Herkunft
• Politische Meinungen
• Religiöse / weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten
• Biometrische Daten zur eindeutigen Identifizierung
• Gesundheitsdaten
• Daten zum Sexualleben / sexuellen Orientierung

Art. 10 DSGVO: Strafrechtsbezogene Daten und Daten zu strafrechtlichen Verurteilungen.

Wichtig: Es kommt auf die Kerntätigkeit an. Ein Handwerksbetrieb, der zufällig Krankschreibungen seiner Mitarbeiter sammelt, betreibt keine Kerntätigkeit „Gesundheitsdaten". Anders ein Pflegedienst, der Pflegedokumentationen führt.

DSB intern vs. extern

Beide Varianten sind rechtlich gleichwertig. Die Wahl hängt an Pragmatik und Kostenstruktur.

Interner DSB:

• Vorteil: Detailwissen über interne Prozesse, schneller Zugriff auf Mitarbeitende.
• Nachteil: Sonderkündigungsschutz nach § 6 Abs. 4 BDSG, der über § 38 Abs. 2 BDSG allerdings nur gilt, wenn die Benennung verpflichtend ist. Dazu Interessenkonflikt-Risiko bei Doppelrollen (Art. 38 Abs. 6 DSGVO): Wer Zwecke und Mittel der Verarbeitung festlegt, etwa die Geschäftsführung, kommt nicht in Betracht; bei IT- oder HR-Leitung ist das im Einzelfall anhand der Organisationsstruktur zu prüfen (EuGH, Urteil vom 9.2.2023, C-453/21).
• Aufwand: hängt von Größe und Verarbeitungstiefe ab. Der Arbeitgeber muss die erforderlichen Ressourcen bereitstellen (Art. 38 Abs. 2 DSGVO).

Externer DSB:

• Vorteil: kein Sonderkündigungsschutz, vertraglich planbare Kosten, eingebrachte Markterfahrung.
• Nachteil: weniger Inhouse-Kenntnis am Anfang, längere Reaktionswege.
• Kosten: laut Angebot. Beim Vergleich darauf achten, dass Grundleistung und Sonderprojekte (DSFA, Auskunftsanfragen) getrennt ausgewiesen sind.

In beiden Fällen berichtet der DSB unmittelbar der höchsten Managementebene und erhält bei der Erfüllung seiner Aufgaben keine Anweisungen (Art. 38 Abs. 3 DSGVO), auch nicht von der IT-Leitung.

Praxis-Tipps

Tipp 1, Erstprüfung dokumentieren. Selbst wenn die DSB-Pflicht nicht greift: ein kurzes, datiertes und unterschriebenes Memo „Warum kein DSB" hilft, die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu erfüllen.

Tipp 2, Bei Grenzfall lieber benennen. Eine spätere Aufdeckung („Sie hätten benennen müssen") ist teurer als eine vorsorgliche Bestellung. Externe DSB können stundenweise eingekauft werden, der Schritt ist reversibel.

Tipp 3, Trennung von Rolle und Person. Ein „Datenschutzkoordinator" ohne formale DSB-Funktion ist kein Ersatz und schützt nicht vor Bußgeld. Die formale Benennung muss bei der Aufsichtsbehörde gemeldet werden (Art. 37 Abs. 7 DSGVO).

Tipp 4, Schulungsnachweise pflegen. Art. 38 Abs. 2 DSGVO verpflichtet, dem DSB die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung zu stellen. Einen festen Turnus schreibt das Gesetz nicht vor; dokumentierte Fortbildungen belegen, dass die Pflicht erfüllt ist.

Tipp 5, Vertretungsregelung definieren. Krankheit, Urlaub, Kündigung: Eine schriftliche Vertretungsregelung stellt sicher, dass der DSB seine Aufgaben nach Art. 39 DSGVO auch dann erfüllen und frühzeitig eingebunden werden kann (Art. 38 Abs. 1 DSGVO).

FAQ

Brauche ich einen DSB, wenn ich nur 5 Mitarbeiter habe? Nicht zwingend wegen der Mitarbeiterzahl. Aber: wenn deine Kerntätigkeit besondere Datenkategorien oder Tracking-/Profiling betrifft, ja. Unabhängig von der Mitarbeiterzahl gilt die Pflicht auch bei DSFA-pflichtigen Verarbeitungen und bei geschäftsmäßiger Verarbeitung zur Übermittlung oder für Markt- und Meinungsforschung (§ 38 Abs. 1 Satz 2 BDSG). Die 20-Personen-Schwelle ist nur einer von fünf Auslösern.

Zählen Praktikanten und Werkstudenten zur 20-Personen-Schwelle? Ja, sobald sie ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Maßgeblich ist nach § 38 Abs. 1 BDSG die Zahl der „in der Regel" so beschäftigten Personen; eine nur kurzzeitige Tätigkeit, etwa ein Praktikum von wenigen Wochen, erfüllt das Merkmal „ständig" im Zweifel nicht.

Kann der Geschäftsführer selbst DSB sein? Nein. Der Geschäftsführer legt Zwecke und Mittel der Verarbeitung fest; nach dem EuGH (Urteil vom 9.2.2023, C-453/21) begründet genau das einen Interessenkonflikt im Sinne von Art. 38 Abs. 6 DSGVO. Für IT- und HR-Leitung gibt es keinen automatischen Ausschluss: Entscheidend ist im Einzelfall, ob die Person über Zwecke und Mittel von Verarbeitungen entscheidet.

Was kostet ein externer DSB für ein 30-Personen-Unternehmen? Das hängt vom Angebot und vom Umfang der Verarbeitungen ab. Üblich ist eine Kombination aus Grundleistung und gesondert abgerechneten Sonderprojekten wie DSFA oder Auskunftsanfragen; mehrere Angebote mit gleichem Leistungsumfang vergleichen.

Muss ich die Benennung melden? Ja. Art. 37 Abs. 7 DSGVO verpflichtet zur Meldung an die zuständige Aufsichtsbehörde. Zusätzlich sind die Kontaktdaten zu veröffentlichen. Zuständig ist in Deutschland für nicht-öffentliche Stellen in der Regel die Aufsichtsbehörde des Landes (§ 40 BDSG).

Was passiert ohne DSB, wenn die Pflicht greift? Bußgeld nach Art. 83 Abs. 4 lit. a) DSGVO bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, der höhere Wert gilt. Die Höhe im Einzelfall richtet sich nach den Kriterien des Art. 83 Abs. 2 DSGVO, etwa Art, Schwere und Dauer des Verstoßes. Daneben kann die Aufsichtsbehörde anordnen, die Benennung nachzuholen (Art. 58 Abs. 2 lit. d DSGVO).

Reicht es, einen externen DSB nur formal zu nennen, ohne ihn einzubinden? Nein. Art. 38 DSGVO verpflichtet die verantwortliche Stelle, den DSB ordnungsgemäß und frühzeitig in alle Datenschutz-relevanten Fragen einzubinden. Eine reine Pro-forma-Benennung erfüllt die Pflicht nicht.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 18.09.2026. Eine konkrete Einzelfallprüfung ersetzt sie nicht.