Datenschutzbeauftragter ab wann? DSB-Pflicht 2026

1. DSB-Pflicht in Deutschland

Kurzantwort: In Deutschland entsteht die Benennungspflicht, sobald einer von fünf Tatbeständen erfüllt ist. Der erste ist § 38 Abs. 1 Satz 1 BDSG: in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die vier übrigen Tatbestände greifen unabhängig von der Personenzahl — ein Betrieb mit fünf Beschäftigten kann daher ebenso benennungspflichtig sein wie ein Konzern. Adressat ist nicht nur der Verantwortliche: Art. 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG nennen ausdrücklich auch den Auftragsverarbeiter.

Fünf alternative Voraussetzungen — eine reicht aus:

1. § 38 Abs. 1 Satz 1 BDSG: Verantwortliche und Auftragsverarbeiter benennen einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Warum das mehr ist als eine Zahl: Die Norm gilt ausdrücklich „ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c“ DSGVO — sie erweitert den EU-Grundbestand, sie ersetzt ihn nicht. Was tun: die Personen zählen, die ständig automatisiert verarbeiten, und das Ergebnis mit Datum festhalten. § 38 Abs. 1 Satz 1 BDSG
2. § 38 Abs. 1 Satz 2 BDSG: unabhängig von der Anzahl der beschäftigten Personen, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Was tun: vor jeder neuen Verarbeitung prüfen, ob sie DSFA-pflichtig ist — dieselbe Prüfung entscheidet über die DSB-Pflicht mit (Regelfälle siehe Abschnitt 4). § 38 Abs. 1 Satz 2 BDSG
3. Art. 37 Abs. 1 lit. a DSGVO: die Verarbeitung wird von einer Behörde oder öffentlichen Stelle durchgeführt (Ausnahme: Gerichte im Rahmen ihrer justiziellen Tätigkeit). Was tun: die Pflicht folgt hier unmittelbar aus der Stellung der Einrichtung — geprüft wird allein, ob eine Behörde oder öffentliche Stelle vorliegt. Art. 37 Abs. 1 lit. a DSGVO
4. Art. 37 Abs. 1 lit. b DSGVO: Kerntätigkeit Profiling oder regelmäßige + systematische Überwachung im großen Maßstab; amtlich formuliert: die Kerntätigkeit besteht in Verarbeitungsvorgängen, die eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen. Was tun: unterscheiden, ob die Überwachung zum Geschäftsmodell gehört oder bloße Hilfstätigkeit ist. Art. 37 Abs. 1 lit. b DSGVO
5. Art. 37 Abs. 1 lit. c DSGVO: Kerntätigkeit Verarbeitung besonderer Kategorien (Art. 9) oder strafrechtlicher Daten in großem Umfang. Was tun: den Katalog des Art. 9 Abs. 1 DSGVO durchgehen — dazu zählen unter anderem Gesundheitsdaten, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Art. 37 Abs. 1 lit. c DSGVO Art. 9 Abs. 1 DSGVO

Wie die 20 Personen gezählt werden

Maßgeblich ist der Wortlaut: „in der Regel mindestens 20 Personen“, die „ständig“ mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die Schwelle knüpft damit an die Tätigkeit an, nicht an die Vertragsform: Auch Praktikanten, Werkstudenten, Auszubildende und geringfügig Beschäftigte zählen mit, sofern sie mit personenbezogenen Daten arbeiten. Praxisempfehlung: die Zählung entlang der Systeme führen, in denen automatisiert verarbeitet wird — Personalsystem, CRM, Buchhaltung, Ticketsystem —, das Ergebnis mit Stichtag und Datum festhalten und bei Einstellungswellen, Saisonspitzen oder neuen Systemen erneut ansehen. Das ist ein Praxis-Rhythmus, keine gesetzliche Frist. Die Liste ist zugleich die Begründung, falls die Aufsicht später fragt, warum kein DSB benannt wurde.

Wird die Benennung trotz Pflicht unterlassen, greift der Rahmen des Art. 83 Abs. 4 DSGVO — bis zu 10.000.000 EUR oder bei einem Unternehmen bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist; die Benennungspflicht des Art. 37 DSGVO fällt in den dort erfassten Artikelbereich 25 bis 39.

2. DSB-Pflicht AT/CH

Kurzantwort: Österreich kennt keine zahlenmäßige Benennungsschwelle — die DSB-Pflicht folgt dort ausschließlich aus Art. 37 DSGVO (Behörde/öffentliche Stelle, Kerntätigkeit umfangreiche Überwachung, Kerntätigkeit besondere Kategorien). § 5 DSG begründet keine zusätzliche Pflicht. In der Schweiz besteht seit dem revidierten DSG (09/2023) keine DSB-Pflicht mehr; die Bestellung ist nur noch empfohlen (Art. 10 nDSG). Deutschland ist damit der strengste der drei Rechtsräume: § 38 Abs. 1 BDSG gilt ausdrücklich „ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c“ DSGVO (Tatbestände im Einzelnen in Abschnitt 1) — ein Unternehmen mit 20 Beschäftigten in automatisierter Verarbeitung ist in DE benennungspflichtig, in AT ohne Art.-37-Tatbestand nicht.

Was § 5 DSG in Österreich tatsächlich regelt

Die Norm regelt die Stellung des bereits benannten Datenschutzbeauftragten: Der DSB und die für ihn tätigen Personen sind zur Geheimhaltung verpflichtet, dem DSB steht ein Aussageverweigerungsrecht zu, und im öffentlichen Bereich ist er bei der Ausübung seiner Aufgaben weisungsfrei. Wer die österreichische Rechtslage prüft, beantwortet das „Ob“ deshalb ausschließlich über Art. 37 DSGVO und das „Wie“ über § 5 DSG. Ergänzend gilt das Datengeheimnis nach § 6 DSG für Verantwortliche, Auftragsverarbeiter und deren Mitarbeiter. In Österreich kann die Datenschutzbehörde nach § 11 DSG insbesondere bei erstmaligen Verstößen verwarnen statt eine Geldbuße zu verhängen.

Praxisempfehlung für Unternehmen mit Standorten in DE und AT: die Prüfung getrennt dokumentieren. Eine gemeinsame DACH-Bewertung führt regelmäßig dazu, dass entweder die deutsche Schwelle des § 38 Abs. 1 Satz 1 BDSG (in der Regel mindestens 20 Personen) fälschlich nach Österreich übertragen wird oder umgekehrt die deutsche Verschärfung untergeht. Zuständig sind ohnehin verschiedene Behörden (Abschnitt 7, Schritt 5).

3. Intern oder extern?

Kurzantwort: Der externe DSB ist in der Regel die günstigere und unabhängigere Lösung (1.500-8.000 statt 50.000-100.000 EUR/Jahr), der interne die schnellere und sachnähere — die Doppelrollen-Frage sollte dabei vor der Kostenrechnung stehen (siehe unten).

Die Kostenangaben in dieser Tabelle sind Marktangaben aus der Erstfassung (Stand 2. Mai 2026).

Drei Fragen, die die Entscheidung tragen

Erstens die Doppelrolle. Der DSB überwacht die Einhaltung der DSGVO (Art. 39 Abs. 1 lit. b DSGVO). Wer denselben Bereich zugleich verantwortet — typischerweise IT-Leitung, HR-Leitung oder Geschäftsführung — überwacht sich selbst. Praxisempfehlung: die Rolle einer Person ohne eigene Entscheidungsmacht über Zwecke und Mittel der Verarbeitung zuordnen oder extern vergeben.

Zweitens die Erreichbarkeit im Ernstfall. Die 72-Stunden-Frist für die Meldung einer Datenpanne läuft ab Kenntnis des Verantwortlichen, nicht ab Abschluss der internen Bewertung (Art. 33 Abs. 1 DSGVO). Praxisempfehlung: im Mandatsvertrag eine Reaktionszeit und einen Eskalationsweg für Datenpannen festhalten — bei stundenweiser Beauftragung entscheidet dieser Punkt darüber, ob das Modell im Ernstfall trägt.

Drittens die Konzernfrage. Ein Konzern kann nach Art. 37 Abs. 2 DSGVO einen gemeinsamen DSB benennen, sofern er von jeder Niederlassung leicht erreichbar ist. In Österreich ist ein externer DSB zulässig und verbreiteter als in Deutschland; die Geheimhaltungspflicht nach § 5 DSG erfasst dort den DSB und die für ihn tätigen Personen kraft Gesetzes (Abschnitt 2).

4. Aufgaben des DSB (Art. 39 DSGVO)

Kurzantwort: Art. 39 Abs. 1 DSGVO nennt fünf Kernaufgaben des Datenschutzbeauftragten (lit. a–e): Unterrichtung und Beratung der Verantwortlichen, Überwachung der DSGVO-Einhaltung (einschließlich Sensibilisierung und Schulung der beteiligten Mitarbeitenden), Beratung bei Datenschutz-Folgenabschätzungen (DSFA), Zusammenarbeit mit der Aufsichtsbehörde sowie Tätigkeit als Anlaufstelle für die Aufsichtsbehörde. Dass auch betroffene Personen den DSB zu Rate ziehen können, folgt nicht aus Art. 39, sondern aus Art. 38 Abs. 4 DSGVO.

1. Unterrichtung + Beratung (Art. 39 Abs. 1 lit. a DSGVO). Praxisempfehlung: Beratungen datiert und in Textform festhalten. Die Beratungsspur ist im Aufsichtsverfahren ein belastbarer Nachweis dafür, dass die Rolle nicht nur besetzt, sondern ausgeübt wurde.
2. Überwachung der Einhaltung der DSGVO (lit. b). Prüfgegenstand sind in der Praxis zuerst die Nachweisdokumente: Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen, Folgenabschätzungen. In der Praxis arbeitet die Aufsicht dieselbe Reihenfolge ab — VVT, dann AVV, dann TOM, dann DSFA; nach dem BfDI-Tätigkeitsbericht 2024 beginnen 85 % der dort ausgewerteten Aufsichtsanfragen mit der Vorlage des Verarbeitungsverzeichnisses.
3. Schulung der Mitarbeitenden (Teil von lit. b). Die Sensibilisierung der an den Verarbeitungsvorgängen beteiligten Mitarbeitenden gehört zur Überwachungsaufgabe. Praxisempfehlung: Teilnahme, Datum und Inhalt dokumentieren — im Aufsichtsverfahren zählt, was belegt ist.
4. Beratung bei DSFA (lit. c). Eine DSFA ist vorab durchzuführen, wenn eine Verarbeitung — insbesondere bei Verwendung neuer Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei Regelfälle: systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung, umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Warum das doppelt zählt: In Deutschland löst eine DSFA-pflichtige Verarbeitung die DSB-Pflicht unabhängig von der Personenzahl aus (§ 38 Abs. 1 Satz 2 BDSG).
5. Zusammenarbeit mit Aufsichtsbehörde (lit. d). Welche Behörde Ansprechpartner ist, hängt von Rechtsraum und Stellung ab — die Zuordnung für DE und AT steht in Abschnitt 7, Schritt 5.
6. Anlaufstelle für Aufsichtsbehörde (lit. e). Im Datenpannenfall läuft die Kommunikation über den DSB. Der Praxis-Ablaufplan aus dem 72-Stunden-Verfahren verteilt die Rollen so: Erkennung und Aktivierung des Krisenstabs in Stunde 0–2 (IT/SOC + Compliance), Eindämmung und erste Forensik in Stunde 2–8 (IT-Team), Klassifizierung der betroffenen Datenarten und Risiken in Stunde 8–24 (DSB + Compliance), Entwurf der Meldung in Stunde 24–48 (DSB + Geschäftsführung), Absenden und Bestätigung dokumentieren in Stunde 48–72 (DSB). Gesetzlich vorgegeben ist davon nur die Frist selbst: unverzüglich und möglichst binnen 72 Stunden ab Kenntnis (Art. 33 Abs. 1 DSGVO).
7. Anlaufstelle für Betroffene (Art. 38 Abs. 4 DSGVO). Auf Anträge nach den Artikeln 15 bis 22 DSGVO (Auskunft, Berichtigung, Löschung und weitere) muss der Verantwortliche unverzüglich, in jedem Fall aber binnen eines Monats nach Eingang reagieren; die Frist ist bei Komplexität oder hoher Antragszahl um zwei Monate verlängerbar, wobei die betroffene Person innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten ist (Art. 12 Abs. 3 DSGVO).

Diese Dokumente und Vorgänge nennen den Datenschutzbeauftragten ausdrücklich oder binden ihn ein:

5. Kosten + Marktpreise externer DSB

Kurzantwort: Externe DSB-Marktpreise skalieren mit der Mitarbeitendenzahl — von 1.500 EUR/Jahr im Kleinbetrieb bis 50.000 EUR/Jahr im Großunternehmen (Staffel unten). Der Pflichtauslöser skaliert nicht mit: Betriebsgröße und Benennungspflicht können auseinanderfallen.

Alle Preisangaben dieses Abschnitts sind Marktangaben aus der Erstfassung (Stand 2. Mai 2026).

Warum die Mitarbeitendenzahl nur die halbe Kalkulation ist

In der Praxis bemisst sich der Aufwand eines DSB-Mandats an Zahl und Sensibilität der Verarbeitungstätigkeiten, nicht an der Kopfzahl — deshalb können Betriebsgröße und Preis auseinanderfallen. Dass Größe und Pflicht ebenfalls auseinanderfallen, zeigt das Beispiel einer Praxis mit acht Beschäftigten, deren Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten besteht: benennungspflichtig über Art. 37 Abs. 1 lit. c DSGVO; ein Betrieb mit einer DSFA-pflichtigen Verarbeitung ist es in Deutschland über § 38 Abs. 1 Satz 2 BDSG unabhängig von der Personenzahl.

Praxisempfehlung für den Angebotsvergleich: den Leistungsumfang an den Aufgabenkatalog aus Abschnitt 4 binden — Unterrichtung und Beratung, Überwachung der Nachweisdokumente, Schulung, DSFA-Beratung, Behördenkontakt, Anlaufstelle für Betroffene — und zusätzlich klären, ob Standorte in Österreich mitabgedeckt sind; dort ist die Datenschutzbehörde Ansprechpartner (§ 18 Abs. 1 DSG).

6. Kündigungsschutz

Kurzantwort: Der Datenschutzbeauftragte ist in beiden Rechtsräumen besonders geschützt, aber über unterschiedliche Normen: In Deutschland über § 6 Abs. 4 BDSG, der bei nichtöffentlichen Stellen über § 38 Abs. 2 BDSG gilt; in Österreich unmittelbar über Art. 38 Abs. 3 DSGVO. Der praktische Unterschied liegt in der Voraussetzung — der deutsche Schutz hängt daran, dass die Benennung verpflichtend ist.

Praxisempfehlung: In der Bestellungsurkunde festhalten, auf welchen der fünf Tatbestände aus Abschnitt 1 die Pflicht gestützt wird. In Deutschland entscheidet genau diese Zuordnung mit darüber, ob § 6 Abs. 4 BDSG über § 38 Abs. 2 BDSG anwendbar ist.

7. DSB-Bestellungs-Checkliste

Kurzantwort: Eine vollständige DSB-Bestellung erfolgt in acht Schritten — von der Pflichtprüfung nach § 38 BDSG bzw. Art. 37 DSGVO über Bestellungsurkunde, Anzeige an die Aufsichtsbehörde und Veröffentlichung der Kontaktdaten bis zum jährlichen Tätigkeitsbericht.

1. Pflicht prüfen: § 38 BDSG oder Art. 37 DSGVO. Zuerst die Personenzahl (in der Regel mindestens 20 Personen, ständig automatisierte Verarbeitung), dann die vier personenzahlunabhängigen Auslöser aus Abschnitt 1. Für österreichische Standorte entfällt der erste Schritt — dort zählt allein Art. 37 DSGVO.
2. Intern oder extern entscheiden (Kosten + Verfügbarkeit). Entscheidungskriterien und die drei Leitfragen stehen in Abschnitt 3; die Doppelrollen-Prüfung sollte vor der Kostenrechnung stehen, weil sie interne Kandidaten ausschließen kann.
3. Mandat-Vertrag ausarbeiten (extern) oder Bestellungsurkunde (intern). Der Aufgabenkatalog aus Abschnitt 4 gehört in beide Dokumente. Für AT-Mandate zusätzlich § 5 DSG abbilden.
4. Bestellung schriftlich dokumentieren. Praxisempfehlung: Datum, Person, Aufgabenumfang und den ausgelösten Pflichttatbestand aufnehmen; die Nachweisrichtung folgt der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
5. Aufsichtsbehörde informieren (formloses Schreiben). Inhalt (Praxisempfehlung): Name und Kontaktdaten des Datenschutzbeauftragten, die benennende Stelle, das Datum der Bestellung und die Angabe, ob intern oder extern benannt wurde. Wer zuständig ist, hängt von Rechtsraum und Stellung ab (Tabelle unten).
6. Kontaktdaten in Datenschutzerklärung Website ergänzen. Für österreichische Websites zusätzlich prüfen, ob die österreichische Datenschutzbehörde als Beschwerdestelle genannt ist (Art. 13 Abs. 2 lit. d DSGVO) — mit Adresse und Beschwerdeweg.
7. Mitarbeitende über DSB informieren. Der DSB ist zugleich Anlaufstelle für betroffene Personen (Art. 38 Abs. 4 DSGVO) — Beschäftigte wenden sich mit eigenen Datenschutzanliegen ebenfalls dorthin. Die Information gehört deshalb in denselben Umlauf wie die Schulung nach Art. 39 Abs. 1 lit. b DSGVO.
8. Jährlicher DSB-Tätigkeitsbericht an Geschäftsleitung. Praxis-Rhythmus, keine gesetzliche Frist. Sinnvoller Inhalt sind die Punkte, die im Aufsichtsverfahren ohnehin abgefragt werden: Stand des Verarbeitungsverzeichnisses, offene AVV, durchgeführte Schulungen, DSFA-Fälle, Datenpannen.

Schritt 5 im Detail — an wen die Anzeige geht:

Praxisempfehlung für den Wiedervorlage-Rhythmus: die Pflichtprüfung aus Schritt 1 einmal jährlich und zusätzlich bei jeder Änderung wiederholen — neue Systeme, neue Standorte, neue Verarbeitungstätigkeiten, Wechsel der Personenzahl. Für Unternehmen mit stark wachsender Belegschaft hat sich ein quartalsweiser Blick bewährt. Beides sind Praxis-Rhythmen, keine gesetzlichen Fristen.