Aktualisiert am: 18.09.2026

Datenschutzbeauftragter (DSB): Pflicht, Aufgaben, Stellung – intern oder extern

Der Datenschutzbeauftragte (DSB) ist die Person, die ein Unternehmen oder eine Behörde in allen Fragen des Datenschutzes berät, die Einhaltung der Datenschutz-Grundverordnung und des Bundesdatenschutzgesetzes überwacht und als Ansprechpartner für Betroffene und Aufsichtsbehörden dient. Er ist unabhängig, weisungsfrei und berichtet direkt an die Geschäftsleitung – trägt aber keine operative Verantwortung: Verantwortlich für den Datenschutz bleibt das Unternehmen. Viele Unternehmen müssen einen DSB benennen; sie können die Aufgabe intern besetzen oder an einen externen Datenschutzbeauftragten vergeben.

Wann ist ein Datenschutzbeauftragter Pflicht?

Nach Art. 37 DSGVO: bei Behörden und öffentlichen Stellen; bei Unternehmen, deren Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht; und bei Unternehmen, deren Kerntätigkeit die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheit, Religion, Biometrie) oder von Daten über Straftaten ist.
Nach § 38 BDSG zusätzlich in Deutschland: wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – gezählt werden alle, die regelmäßig am Rechner mit solchen Daten arbeiten, auch Teilzeitkräfte; außerdem unabhängig von der Personenzahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig zur Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.

Die Benennung ist der zuständigen Aufsichtsbehörde mitzuteilen, die Kontaktdaten des DSB sind zu veröffentlichen – etwa in der Datenschutzerklärung. Wer ohne Pflicht einen DSB benennt, unterliegt denselben Regeln.

Aufgaben nach Art. 39 DSGVO

Unterrichten und beraten: Geschäftsführung und Beschäftigte zu ihren datenschutzrechtlichen Pflichten, bei neuen Verarbeitungen, Verträgen, Systemen.
Überwachen: die Einhaltung der DSGVO und der eigenen Datenschutzregeln, einschließlich Zuweisung von Zuständigkeiten, Sensibilisierung und Schulung (siehe Datenschutz-Awareness) und Überprüfungen.
Datenschutz-Folgenabschätzung: auf Anfrage beraten und die Durchführung überwachen – siehe DSFA.
Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für sie – etwa bei Beschwerden und Datenpannen.
Anlaufstelle für Betroffene bei Fragen und Anfragen zu ihren Rechten – siehe Betroffenenanfrage.

In der Praxis kommen hinzu: Aufbau und Pflege des Datenschutzmanagementsystems, Mitwirkung am Verzeichnis der Verarbeitungstätigkeiten, Prüfung von Auftragsverarbeitungsverträgen, Bewertung von Datenschutzvorfällen und ein jährlicher Bericht an die Geschäftsführung. Formal verantwortlich für Verzeichnis, Verträge und Maßnahmen bleibt aber das Unternehmen – der DSB führt sie nicht selbst, sondern überwacht und berät.

Stellung, Qualifikation, Haftung

Der DSB muss frühzeitig in alle Datenschutzfragen eingebunden werden, erhält die nötigen Ressourcen und darf wegen seiner Aufgaben nicht benachteiligt oder abberufen werden (Art. 38); interne Pflicht-DSB genießen in Deutschland zusätzlich Kündigungsschutz (§ 6 Abs. 4 BDSG). Er muss über Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen und darf keine Interessenkonflikte haben – Geschäftsführer, IT-Leiter oder Personalleiter scheiden daher aus. Der DSB haftet nicht für Datenschutzverstöße des Unternehmens; Bußgelder treffen den Verantwortlichen. Mehrere Unternehmen einer Gruppe können einen gemeinsamen DSB benennen.

Intern oder extern?

Ein interner DSB kennt das Unternehmen, braucht aber Ausbildung, laufende Fortbildung, Zeit und ist nur begrenzt abrufbar; sein Kündigungsschutz ist für kleine Betriebe ein Faktor. Ein externer DSB bringt Fachwissen und Erfahrung aus vielen Betrieben mit, ist frei von Interessenkonflikten, kostet nur die benötigten Stunden und lässt sich mit dem Informationssicherheitsbeauftragten kombinieren. Für die meisten kleinen und mittleren Unternehmen ist die externe Lösung wirtschaftlicher; entscheidend ist ein fester Ansprechpartner im Haus, der die Zusammenarbeit koordiniert.

Häufige Fragen zum Datenschutzbeauftragten

Ab wie vielen Mitarbeitern ist ein Datenschutzbeauftragter Pflicht?

In Deutschland nach § 38 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl ist ein DSB Pflicht bei Behörden, bei Kerntätigkeiten mit umfangreicher Überwachung oder Verarbeitung besonderer Datenkategorien, bei Verarbeitungen mit Datenschutz-Folgenabschätzung sowie bei geschäftsmäßiger Datenübermittlung oder Markt- und Meinungsforschung.

Wer darf Datenschutzbeauftragter sein?

Jede Person mit Fachwissen im Datenschutzrecht und in der Datenschutzpraxis, die keinen Interessenkonflikt hat – also nicht selbst über Zwecke und Mittel der Datenverarbeitung entscheidet. Geschäftsführer, IT-, Personal- oder Marketingleiter scheiden deshalb aus. Eine bestimmte Ausbildung ist nicht vorgeschrieben, Zertifikatslehrgänge sind aber üblich. Auch ein externer Dienstleister kann benannt werden.

Haftet der Datenschutzbeauftragte für Verstöße?

Grundsätzlich nicht. Verantwortlich für die Einhaltung der DSGVO ist das Unternehmen; Bußgelder richten sich gegen den Verantwortlichen. Der DSB berät und überwacht, entscheidet aber nicht. Eine Haftung kommt nur bei grober Pflichtverletzung in Betracht, etwa wenn er wesentliche Risiken erkennt und nicht meldet.