Datenschutzbeauftragter ab wann? DSB-Pflicht 2026

1. DSB-Pflicht in Deutschland

Drei alternative Voraussetzungen — eine reicht aus:

1. § 38 BDSG: ab 20 ständigen Beschäftigten, die mit personenbezogener Datenverarbeitung beschäftigt sind
2. Art. 37 Abs. 1 lit. b DSGVO: Kerntätigkeit Profiling oder regelmäßige + systematische Überwachung im großen Maßstab
3. Art. 37 Abs. 1 lit. c DSGVO: Kerntätigkeit Verarbeitung besonderer Kategorien (Art. 9) oder strafrechtlicher Daten in großem Umfang

2. DSB-Pflicht AT/CH

Kurzantwort: Die DSB-Pflicht ist DACH-weit unterschiedlich geregelt: In Deutschland greift sie ab 20 ständigen Beschäftigten mit Datenzugriff (§ 38 BDSG). Österreich kennt keine Mitarbeiterschwelle und stützt sich allein auf Art. 37 DSGVO + § 5 DSG — die Pflicht greift damit oft früher als in DE. In der Schweiz besteht seit dem revidierten DSG (09/2023) keine DSB-Pflicht mehr; die Bestellung ist nur noch empfohlen (Art. 10 nDSG).

3. Intern oder extern?

Kurzantwort: Ein interner DSB kostet KMU typischerweise 50.000-100.000 EUR/Jahr (FTE-Anteil), bringt hohes Unternehmens-Wissen und Vollzeit-Verfügbarkeit, birgt aber Konflikt-Risiken bei Doppelrollen (z.B. mit IT-Leitung). Ein externer DSB liegt bei 1.500-8.000 EUR/Jahr, bietet hohe Unabhängigkeit und übernimmt Schulung sowie Zertifikate selbst — startet aber initial mit niedrigerem Unternehmens-Wissen.

4. Aufgaben des DSB (Art. 39 DSGVO)

Kurzantwort: Art. 39 DSGVO definiert sieben Kernaufgaben des Datenschutzbeauftragten: Unterrichtung und Beratung der Verantwortlichen, Überwachung der DSGVO-Einhaltung, Schulung der Mitarbeitenden, Beratung bei Datenschutz-Folgenabschätzungen (DSFA), Zusammenarbeit mit der Aufsichtsbehörde sowie Anlaufstelle sowohl für die Aufsichtsbehörde als auch für betroffene Personen.

1. Unterrichtung + Beratung
2. Überwachung der Einhaltung der DSGVO
3. Schulung der Mitarbeitenden
4. Beratung bei DSFA
5. Zusammenarbeit mit Aufsichtsbehörde
6. Anlaufstelle für Aufsichtsbehörde
7. Anlaufstelle für Betroffene

5. Kosten + Marktpreise externer DSB

Kurzantwort: Externe DSB-Marktpreise skalieren mit der Mitarbeitendenzahl: 1.500-3.000 EUR/Jahr für 1-20 MA, 3.000-5.000 EUR/Jahr für 20-100 MA, 5.000-8.000 EUR/Jahr für 100-250 MA, 8.000-15.000 EUR/Jahr für 250-1.000 MA und 15.000-50.000 EUR/Jahr für Unternehmen mit über 1.000 Beschäftigten.

6. Kündigungsschutz

§ 6 Abs. 4 BDSG: Kündigung des DSB nur aus wichtigem Grund analog § 626 BGB. Bestellungswiderruf nur bei Tatsachen, die einer Beendigung des Arbeitsverhältnisses gleichkommen würden. EuGH C-453/21 (Werner Müller, 2023): Kündigungsschutz greift unabhängig von der Konzernkonstellation.

7. DSB-Bestellungs-Checkliste

Kurzantwort: Eine vollständige DSB-Bestellung erfolgt in acht Schritten: Pflicht prüfen (§ 38 BDSG oder Art. 37 DSGVO), Entscheidung intern oder extern (Kosten + Verfügbarkeit), Mandat-Vertrag (extern) oder Bestellungsurkunde (intern) ausarbeiten, Bestellung schriftlich dokumentieren, Aufsichtsbehörde formlos informieren, Kontaktdaten in der Datenschutzerklärung der Website ergänzen, Mitarbeitende über den DSB informieren und jährlich einen DSB-Tätigkeitsbericht an die Geschäftsleitung erstellen.

1. Pflicht prüfen: § 38 BDSG oder Art. 37 DSGVO
2. Intern oder extern entscheiden (Kosten + Verfügbarkeit)
3. Mandat-Vertrag ausarbeiten (extern) oder Bestellungsurkunde (intern)
4. Bestellung schriftlich dokumentieren
5. Aufsichtsbehörde informieren (formloses Schreiben)
6. Kontaktdaten in Datenschutzerklärung Website ergänzen
7. Mitarbeitende über DSB informieren
8. Jährlicher DSB-Tätigkeitsbericht an Geschäftsleitung