Datenschutzbeauftragter-Pflicht — Wer muss einen bestellen

Aktualisiert am: 25.08.2026

Die Pflicht zur Bestellung eines Datenschutzbeauftragten besteht für öffentliche Behörden, Finanzunternehmen und Privatunternehmen mit systematischer Datenüberwachung. In Deutschland schreibt das BDSG Unternehmen ab zwanzig Mitarbeitenden mit automatisierter Datenverarbeitung einen Datenschutzbeauftragten vor. Auch ohne diese Schwelle ist einer erforderlich, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Daten geschäftsmäßig verarbeitet werden.

Wer einen Datenschutzbeauftragten bestellen muss

• Öffentliche Behörden — grundsätzlich immer erforderlich
• Privatunternehmen mit Geschäftstätigkeit im Kernbereich: regelmäßig große, systematische Verarbeitung
• Finanzunternehmen wie Banken und Versicherungen — fast immer erforderlich
• In Deutschland: Unternehmen mit mindestens zwanzig ständig beschäftigten Mitarbeitenden, die automatisiert Daten verarbeiten (BDSG § 38)
• Unabhängig davon: Wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Daten geschäftsmäßig verarbeitet werden

Kleinunternehmen und Ausnahmen

Kleine Unternehmen mit unter zwanzig Mitarbeitenden sind oft befreit, wenn die Datenmengen gering sind und die Verarbeitung ausschließlich intern erfolgt. Ein Handwerksbetrieb mit fünfzehn Mitarbeitern, der nur Kundenadressen und Rechnungsdaten verwaltet, braucht üblicherweise keinen Datenschutzbeauftragten. Die Auslegung ist jedoch nuanciert: Ein Maklerbüro mit achtzehn Versicherungsmitarbeitern braucht oft trotzdem einen, da die geschäftsmäßige Datenverarbeitung die Schwelle überschreitet. Im Zweifelsfall ist eine Risikoanalyse oder ein Termin mit der Aufsichtsbehörde ratsam.

Die Grauzone: Wann es unklar wird

Für viele kleine Unternehmen ist unklar, ob sie die Schwelle überschreiten. Ein Handwerksbetrieb mit siebzehn Mitarbeitern, der nur Kundenadressen und Rechnungsdaten speichert, braucht oft keinen Datenschutzbeauftragten. Ein Online-Shop mit drei Mitarbeitern, der täglich Tausende Kundendaten verarbeitet und Tracking verwendet, braucht möglicherweise einen — nicht wegen der Personenzahl, sondern wegen der Art und des Umfangs der Verarbeitung. Im Zweifelsfall ist eine Anfrage bei der Datenschutzbehörde die sicherste Lösung.

Häufige Frage

Kann eine Person gleichzeitig Datenschutzbeauftragter und IT-Leiter sein?

Nein — die DSGVO verlangt Unabhängigkeit. Der IT-Leiter ist selbst Gegenstand der Prüfung durch den Datenschutzbeauftragten. Ein Interessenskonflikt entsteht sofort. Ein externer Datenschutzbeauftragter behält diese Unabhängigkeit und ist oft die bessere Wahl.

Verwandte Begriffe

• Externer Datenschutzbeauftragter — Unabhängige Besetzung der Rolle von außen.
• Datenschutzmanagementsystem — System, das der DSB verantwortet und überwacht.
• Datenschutzbeauftragter-Kosten — Kosten für interne und externe Besetzung.