Diese Seite richtet sich an Menschen, die in einem Unternehmen, einer Praxis, einem Verein oder einer anderen Organisation Verantwortung tragen und eine klare Antwort brauchen. Sie erklärt zuerst die gesetzlichen Grundlagen und zeigt danach, was ein Datenschutzbeauftragter im Alltag tut, wie er eingebunden wird und wann interne oder externe Unterstützung sinnvoll ist.
Nicht die Website braucht einen DSB, sondern die Organisation
Ein Datenschutzbeauftragter wird für einen Verantwortlichen oder einen Auftragsverarbeiter benannt. Das kann ein Unternehmen, eine Praxis, ein Verein, eine Behörde oder auch eine selbständige Person sein.
Die Website ist nur ein Teil der gesamten Datenverarbeitung. Daneben zählen zum Beispiel Personalverwaltung, E-Mail, Kundenverwaltung, Videoüberwachung, Newsletter, Cloud-Dienste oder Patientendokumentation.
Seit wann gibt es diese Rolle?
Datenschutzbeauftragte gab es in Deutschland bereits vor der DSGVO. Die Datenschutz-Grundverordnung hat die Rolle europaweit vereinheitlicht und ihre Stellung, Aufgaben und Unabhängigkeit genauer festgelegt. Die DSGVO wurde 2016 beschlossen und gilt seit dem 25. Mai 2018 unmittelbar.
Für die Pflicht sind heute vor allem zwei Regelwerke entscheidend:
DSGVO: europaweite Grundregeln
Artikel 37 bestimmt, wann ein DSB zu benennen ist. Artikel 38 regelt seine Stellung und Unabhängigkeit. Artikel 39 nennt seine Mindestaufgaben.
BDSG: zusätzliche deutsche Pflichtfälle
§ 38 Bundesdatenschutzgesetz ergänzt die DSGVO. Hier steht unter anderem die bekannte Grenze von mindestens 20 datenverarbeitenden Personen.
Schnellcheck: Trifft mindestens ein Auslöser zu?
Ein einziger Pflichtfall kann genügen. Wenn Du eine Frage sicher mit Ja beantwortest, solltest Du die Benennung unverzüglich fachlich prüfen und umsetzen.
Alle Fragen mit Nein beantwortet? Dann besteht nach diesen Regeln wahrscheinlich keine Pflicht. Deine übrigen DSGVO-Pflichten bleiben trotzdem vollständig bestehen.
Kostenlose Ersteinschätzung anfragenDie sechs gesetzlichen Auslöser verständlich erklärt
Die Pflicht kann aus der DSGVO oder zusätzlich aus dem deutschen Bundesdatenschutzgesetz entstehen. Die folgenden sechs Fälle decken die typischen gesetzlichen Auslöser für Unternehmen, Praxen, Vereine und öffentliche Stellen ab.
Behörde oder öffentliche Stelle
Öffentliche Stellen müssen grundsätzlich einen DSB benennen. Ausgenommen sind Gerichte, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln.
Grundlage: Art. 37 Abs. 1 Buchst. a DSGVOUmfangreiche Überwachung als Kerntätigkeit
Die Haupttätigkeit erfordert eine umfangreiche, regelmäßige und systematische Beobachtung von Menschen. Beispiele können groß angelegtes Profiling, Standortverfolgung, Scoring oder verhaltensbezogene Online-Werbung sein.
Grundlage: Art. 37 Abs. 1 Buchst. b DSGVOBesonders geschützte Daten in großem Umfang
Die Kerntätigkeit besteht in der umfangreichen Verarbeitung etwa von Gesundheitsdaten, genetischen Daten, biometrischen Daten zur Identifizierung oder Daten über Straftaten.
Grundlage: Art. 37 Abs. 1 Buchst. c DSGVOMindestens 20 datenverarbeitende Personen
In der Regel sind mindestens 20 Personen ständig damit beschäftigt, personenbezogene Daten automatisiert zu verarbeiten. Das ist die häufigste zusätzliche deutsche Regel.
Grundlage: § 38 Abs. 1 Satz 1 BDSGDatenschutz-Folgenabschätzung erforderlich
Ist wegen eines voraussichtlich hohen Risikos eine DSFA nach Art. 35 DSGVO nötig, muss unabhängig von der Personenzahl ein DSB benannt werden.
Grundlage: § 38 Abs. 1 Satz 2 BDSGDatenübermittlung oder Markt- und Meinungsforschung
Wer personenbezogene Daten geschäftsmäßig zur Übermittlung, zur anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet, braucht ebenfalls unabhängig von der Personenzahl einen DSB.
Grundlage: § 38 Abs. 1 Satz 2 BDSGWas bedeutet „Kerntätigkeit“?
Eine Kerntätigkeit ist ein wesentlicher Bestandteil des eigentlichen Geschäfts oder Zwecks der Organisation. Die Lohnabrechnung der eigenen Beschäftigten ist für einen gewöhnlichen Handwerksbetrieb zwar notwendig, aber normalerweise nur eine unterstützende Tätigkeit. Bei einem medizinischen Labor gehört die Verarbeitung von Gesundheitsdaten dagegen unmittelbar zum Leistungsangebot.
Wann ist eine Verarbeitung „umfangreich“?
Es gibt keine feste Zahl, die für jede Branche passt. Geprüft werden insbesondere die Zahl der betroffenen Menschen, die Menge und Bandbreite der Daten, die Dauer der Verarbeitung und ihre räumliche Reichweite. Eine Einzelarztpraxis gilt nach Erwägungsgrund 91 DSGVO normalerweise nicht allein wegen der Patientendaten als umfangreiche Verarbeitung. Bei einem großen Gesundheitszentrum, Laborverbund oder Krankenhaus kann das anders sein.
Wer zählt bei den 20 Personen mit?
§ 38 BDSG spricht bewusst von Personen, nicht nur von Vollzeitbeschäftigten. Jede Person zählt einzeln, wenn sie im Rahmen ihrer Aufgabe regelmäßig automatisiert personenbezogene Daten verarbeitet.
Typischerweise mitzuzählen
- Vollzeit- und Teilzeitkräfte
- Auszubildende und Praktikanten
- Leiharbeitnehmende
- Personen im Homeoffice oder in mobiler Arbeit
- regelmäßig eingebundene freie Mitarbeitende, soweit die Voraussetzungen tatsächlich erfüllt sind
- nach der Orientierung des LfDI BW auch die Leitung der Organisation
Nicht automatisch mitzuzählen
- Personen, die ausschließlich ohne digitale Hilfsmittel arbeiten
- Beschäftigte ohne regelmäßigen Umgang mit personenbezogenen Daten
- externe Dienstleister allein deshalb, weil sie einen Auftrag erhalten
- kurzfristige Spitzen, wenn die Personenzahl normalerweise unter 20 bleibt
Was heißt „ständig“ und „automatisiert“?
Ständig bedeutet nicht, dass eine Person jede Minute mit Daten arbeitet. Die Verarbeitung muss zu ihrer regelmäßigen Aufgabe gehören. Automatisiert ist die Verarbeitung mit PC, Notebook, Tablet, Smartphone oder Software. Schon Kundennamen in einer App, digitale Dienstpläne, E-Mail-Kommunikation oder ein CRM können darunter fallen.
Ein Betrieb hat 28 Beschäftigte. 15 arbeiten ausschließlich in der Produktion ohne digitalen Personenbezug. 13 Personen nutzen regelmäßig E-Mail, Zeiterfassung, Kunden- oder Personalsysteme. Für die 20-Personen-Regel zählen hier typischerweise 13, nicht 28. Andere Pflichtauslöser müssen trotzdem separat geprüft werden.
Konkrete Beispiele aus der Praxis
Die Tabelle zeigt typische Einordnungen. Sie ersetzt keine Prüfung des Einzelfalls, macht aber sichtbar, welche Tatsachen wirklich entscheidend sind.
| Organisation | Typische Situation | Einordnung | Begründung |
|---|---|---|---|
| Solo-Selbständiger | Website, Kontaktformular, E-Mail und wenige Kundendaten | meist keine Pflicht | Die Website allein ist kein Auslöser. Die übrigen DSGVO-Pflichten gelten trotzdem. |
| Handwerksbetrieb | 18 Personen insgesamt, davon 8 regelmäßig mit E-Mail, Smartphone oder Kundensoftware | meist keine Pflicht | Die 20-Personen-Grenze ist nicht erreicht. Weitere Auslöser sind gesondert zu prüfen. |
| Onlinehandel | 24 Personen bearbeiten laufend Bestellungen, Kundenkonten, Zahlungen oder Supportfälle | Pflicht wahrscheinlich | Mindestens 20 Personen verarbeiten ständig automatisiert personenbezogene Daten. |
| Einzelpraxis | Ein Arzt oder Therapeut mit kleinem Team und üblicher Patientendokumentation | genau prüfen | Gesundheitsdaten sind besonders geschützt, aber nicht jede Einzelpraxis verarbeitet sie „umfangreich“. DSFA und andere Auslöser bleiben relevant. |
| Labor oder großer Praxisverbund | Gesundheitsdaten vieler Betroffener über längere Zeit und mehrere Standorte | Pflicht wahrscheinlich | Umfangreiche Verarbeitung besonders geschützter Daten kann Kerntätigkeit sein. |
| Marketing- oder Tracking-Plattform | Profile und Verhalten vieler Nutzender werden dauerhaft ausgewertet | Pflicht wahrscheinlich | Umfangreiche regelmäßige und systematische Überwachung kann Kerntätigkeit sein. |
| Marktforschungsinstitut | Personenbezogene Daten werden geschäftsmäßig für Markt- oder Meinungsforschung verarbeitet | Pflicht | Das BDSG nennt diesen Fall unabhängig von der Personenzahl ausdrücklich. |
| Gemeinde oder Behörde | Öffentliche Stelle verarbeitet personenbezogene Daten | Pflicht | Öffentliche Stellen müssen grundsätzlich einen DSB benennen. |
Was macht ein Datenschutzbeauftragter konkret?
Artikel 39 DSGVO nennt Mindestaufgaben. Der DSB ist Berater, unabhängige Kontrollinstanz und Anlaufstelle. Er arbeitet risikoorientiert: Kritische Verarbeitungen erhalten mehr Aufmerksamkeit als einfache Standardvorgänge.
Informieren & beraten
Er erklärt der Leitung und den Beschäftigten ihre Pflichten. Beispiel: Welche Rechtsgrundlage braucht ein neues Kundenportal und welche Informationen müssen Betroffene erhalten?
Einhaltung überwachen
Er prüft Regeln, Zuständigkeiten, Dokumentation und deren praktische Umsetzung. Dazu können Stichproben, Audits und Berichte an die Leitung gehören.
Schulungen begleiten
Er überwacht die Sensibilisierung und Schulung der beteiligten Beschäftigten und kann Inhalte planen, durchführen oder fachlich prüfen.
Bei der DSFA beraten
Bei voraussichtlich hohem Risiko berät er zur Datenschutz-Folgenabschätzung und überwacht ihre Durchführung. Verantwortlich für die DSFA bleibt die Organisation.
Mit der Aufsicht zusammenarbeiten
Er kooperiert mit der zuständigen Datenschutzaufsicht und ist für sie Anlaufstelle bei Fragen zur Verarbeitung.
Für Betroffene erreichbar sein
Kunden, Beschäftigte oder andere Betroffene können sich vertraulich an ihn wenden, etwa bei Fragen zu Auskunft, Löschung oder einer Beschwerde.
Was heißt das im Alltag?
Was ein Datenschutzbeauftragter nicht automatisch übernimmt
In vielen Organisationen werden dem DSB zusätzliche Unterstützungsaufgaben übertragen. Das ist möglich, solange seine Unabhängigkeit erhalten bleibt und kein Interessenkonflikt entsteht. Die folgenden Aufgaben bleiben rechtlich jedoch bei der Organisation:
Entscheidungen treffen
Die Leitung entscheidet über Zwecke, Mittel und Zulässigkeit einer Verarbeitung. Der DSB gibt dazu eine unabhängige Bewertung ab.
Dokumente verantworten
Verzeichnis, Löschkonzept, Datenschutzinformationen und Nachweise gehören in die Verantwortung des Unternehmens, auch wenn der DSB daran mitwirkt.
IT-Sicherheit betreiben
Der DSB prüft und berät zu technischen und organisatorischen Maßnahmen. Er ersetzt nicht die IT-Administration oder Informationssicherheit.
Sich selbst kontrollieren
Er darf nicht erst über eine Verarbeitung entscheiden und später die eigene Entscheidung unabhängig überwachen. Genau deshalb sind Interessenkonflikte so wichtig.
Welche Schulungen gibt es - und müssen sie jährlich stattfinden?
Der DSB überwacht nach Artikel 39 DSGVO auch die Sensibilisierung und Schulung der Personen, die personenbezogene Daten verarbeiten. Die Organisation muss dafür sorgen, dass Beschäftigte ihre Regeln kennen und im Alltag anwenden können.
Die DSGVO schreibt nicht vor, dass exakt einmal pro Kalenderjahr eine Schulung stattfinden muss. Der Umfang und Rhythmus müssen zu Risiken, Tätigkeiten und Veränderungen passen. Eine jährliche Auffrischung ist für viele Betriebe eine sinnvolle Basis, aber keine gesetzlich festgelegte Mindestfrequenz.
Beim Einstieg
Neue Beschäftigte sollten vor oder zu Beginn des Zugriffs auf personenbezogene Daten in die wichtigsten Regeln eingewiesen werden.
Bei Veränderungen
Neue Software, KI-Werkzeuge, Prozesse, Datenarten oder Rechtsänderungen können eine zusätzliche Einweisung erforderlich machen.
Nach Vorfällen
Fehlversand, Phishing, verlorene Geräte oder unzulässige Zugriffe zeigen konkreten Schulungsbedarf und sollten aufgearbeitet werden.
Als Auffrischung
Wiederkehrende kurze Schulungen halten Wissen präsent. Risikoreiche Bereiche wie Personal, Gesundheit oder Kundenservice brauchen oft mehr als allgemeine Grundlagen.
Typische Schulungsinhalte
- Was sind personenbezogene und besonders geschützte Daten?
- Welche Daten dürfen für welchen Zweck genutzt werden?
- Wie werden E-Mails, Anhänge, Ausdrucke, mobile Geräte und Zugriffe sicher behandelt?
- Wie erkennt und meldet man eine Datenschutzverletzung intern sofort?
- Wie werden Auskunfts-, Berichtigungs- oder Löschanfragen weitergeleitet?
- Welche Regeln gelten für Homeoffice, Cloud-Dienste, Messenger und KI-Anwendungen?
- Welche bereichsspezifischen Regeln gelten in Personal, Vertrieb, Praxis, Verein oder Kundenservice?
Dokumentation: Datum, Zielgruppe, Inhalte und Teilnahme sollten nachvollziehbar festgehalten werden. Das hilft bei der Rechenschaftspflicht und zeigt, wo Nachschulungen nötig sind.
Fortbildung des DSB: Auch der Datenschutzbeauftragte selbst muss sein Fachwissen aktuell halten. Die Organisation muss dafür Zeit und Ressourcen bereitstellen. Auch hier gibt es keinen gesetzlichen Satz „ein Zertifikat pro Jahr“, sondern die Pflicht zur kontinuierlich ausreichenden Fachkunde.
So wird ein Datenschutzbeauftragter richtig eingesetzt
Eine E-Mail mit dem Satz „Du bist jetzt Datenschutzbeauftragter“ reicht organisatorisch nicht. Die Benennung sollte nachweisbar erfolgen und die Rolle muss tatsächlich arbeitsfähig sein.
Pflicht prüfen und dokumentieren
Halte fest, welche gesetzlichen Auslöser geprüft wurden und warum eine Pflicht besteht oder nicht besteht. Prüfe erneut, wenn Personal, Geschäftsmodell oder Technik sich wesentlich ändern.
Geeignete Person auswählen
Prüfe Fachkunde, praktische Erfahrung, Verfügbarkeit, Zuverlässigkeit und mögliche Interessenkonflikte. Entscheide bewusst zwischen interner und externer Besetzung.
Benennung schriftlich festhalten
Schriftform ist in der DSGVO nicht ausdrücklich vorgeschrieben, aber aus Nachweisgründen klar zu empfehlen. Bei einem externen DSB werden Aufgaben und Rahmen im Dienstleistungsvertrag geregelt.
Unabhängigkeit und Ressourcen sichern
Lege direkte Berichtslinie zur höchsten Leitung, Zeitbudget, Zugänge, Ansprechpartner, Fortbildungsbudget, Vertraulichkeit und die frühzeitige Beteiligung an neuen Vorhaben fest.
Kontaktdaten veröffentlichen und melden
Veröffentliche direkt nutzbare Kontaktdaten und nenne sie in den Datenschutzinformationen. Teile sie außerdem der zuständigen Aufsichtsbehörde mit.
Beschäftigte informieren
Alle müssen wissen, wer der DSB ist, wie er vertraulich erreicht wird und bei welchen Themen er frühzeitig einzubeziehen ist.
Bestandsaufnahme und Arbeitsplan starten
Der DSB verschafft sich Zugang zu Prozessen und Dokumenten, bewertet Risiken und vereinbart mit der Leitung einen realistischen Prüf-, Beratungs- und Schulungsplan.
Welche Rechte und Rahmenbedingungen braucht der DSB?
Ein Datenschutzbeauftragter kann seine Aufgabe nur erfüllen, wenn die Organisation seine gesetzliche Stellung ernst nimmt. Artikel 38 DSGVO verlangt mehr als einen Titel im Organigramm.
Frühzeitige Beteiligung
Der DSB wird vor Entscheidungen eingebunden, nicht erst kurz vor dem Start eines Systems oder nach einem Vorfall.
Direkter Zugang zur Leitung
Er berichtet unmittelbar an die höchste Managementebene und darf kritische Einschätzungen dort platzieren.
Keine fachlichen Weisungen
Die Leitung darf ihm nicht vorgeben, welches Prüfungsergebnis er erreichen oder welche Rechtsauffassung er vertreten soll.
Zugang und Ressourcen
Er braucht Informationen, Systeme, Prozesse, Zeit, Budget und bei Bedarf weitere Unterstützung.
Vertraulichkeit
Betroffene und Beschäftigte müssen ihn erreichen können, ohne ihre Anfrage zuerst über allgemeine Postfächer oder Vorgesetzte zu leiten.
Kein Interessenkonflikt
Andere Aufgaben sind erlaubt, dürfen aber nicht dazu führen, dass der DSB eigene Entscheidungen kontrolliert.
Bei verpflichtend benannten internen Datenschutzbeauftragten gelten in Deutschland zusätzliche Regeln zum Abberufungs- und Kündigungsschutz. Das sollte vor der internen Besetzung arbeitsrechtlich mitbedacht werden.
Welche Fachkunde muss vorhanden sein?
Die DSGVO schreibt keinen bestimmten Studiengang und kein einzelnes Pflichtzertifikat vor. Die berufliche Qualifikation und das Fachwissen müssen aber zur Komplexität, Branche und zum Risiko der Datenverarbeitung passen. Ein Titel allein genügt nicht.
Zertifikate und Lehrgänge können Fachwissen belegen, ersetzen aber nicht die praktische Eignung. Die Organisation muss dem DSB ermöglichen, sein Wissen kontinuierlich aktuell zu halten.
Interner oder externer Datenschutzbeauftragter?
Beide Modelle sind nach der DSGVO zulässig. Entscheidend ist nicht „intern ist besser“ oder „extern ist besser“, sondern ob Fachkunde, Unabhängigkeit, Erreichbarkeit und ausreichende Ressourcen dauerhaft gesichert sind.
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Organisationskenntnis | Kennt Abläufe und Personen oft bereits gut. | Muss die Organisation strukturiert kennenlernen. |
| Fachwissen | Muss aufgebaut und laufend gepflegt werden. | Bringt spezialisiertes Wissen und Vergleichserfahrung typischerweise mit. |
| Interessenkonflikte | Vor allem in kleinen Teams oft schwer auszuschließen. | Meist leichter organisatorisch zu trennen, aber auch extern zu prüfen. |
| Zeit und Vertretung | Festes Zeitbudget und Vertretung müssen intern geschaffen werden. | Umfang, Reaktionszeiten und Vertretung werden vertraglich vereinbart. |
| Kosten | Arbeitszeit, Schulungen, Literatur und mögliche Freistellung. | Laufende, meist besser kalkulierbare Dienstleistungskosten. |
| Arbeitsrecht | Bei verpflichtender Benennung ist besonderer Schutz zu beachten. | Beendigung richtet sich vor allem nach Dienstleistungsvertrag und DSGVO-Rahmen. |
Intern kann gut passen, wenn...
- eine fachlich geeignete und unabhängige Person vorhanden ist
- ausreichend Arbeitszeit und Fortbildungsbudget bereitstehen
- keine Entscheidungen kontrolliert werden müssen, die diese Person selbst trifft
- die Rolle auch bei Urlaub, Krankheit und Personalwechsel funktioniert
Extern kann gut passen, wenn...
- intern keine konfliktfreie Person verfügbar ist
- Fachwissen schnell und dauerhaft gebraucht wird
- ein unabhängiger Blick von außen sinnvoll ist
- Aufwand und Reaktionszeiten vertraglich planbar sein sollen
Welche Vorteile bringt ein gut eingebundener DSB?
Der Nutzen entsteht nicht durch die Benennungsurkunde, sondern durch die tägliche Arbeit und die frühe Einbindung. Ein wirksamer DSB kann Datenschutz von einer reinen Reaktion auf Probleme zu einem planbaren Teil der Organisation machen.
Frühere Risikoklärung
Probleme bei neuen Tools, Verträgen oder Prozessen werden vor dem Start erkannt und sind dann meist leichter zu lösen.
Klare Zuständigkeiten
Leitung, Fachbereiche, IT und Beschäftigte wissen, wen sie beteiligen und wer welche Entscheidung trifft.
Bessere Reaktion
Auskunftsanfragen, Löschbegehren oder Datenschutzverletzungen können strukturierter und fristgerecht bearbeitet werden.
Nachvollziehbare Entscheidungen
Prüfungen, Empfehlungen und Abweichungen werden dokumentiert. Das stärkt die Rechenschaftsfähigkeit.
Realistische Prioritäten
Risikoreiche Themen werden zuerst behandelt, statt Zeit gleichmäßig auf wichtige und unwichtige Details zu verteilen.
Mehr Vertrauen
Ein erreichbarer, unabhängiger Ansprechpartner kann die Kommunikation mit Beschäftigten, Kunden und Aufsicht verbessern.
Keine Garantie: Auch ein guter DSB verhindert nicht automatisch jeden Fehler und schützt nicht pauschal vor Beschwerden oder Bußgeldern. Er verbessert aber die Voraussetzungen, Datenschutz systematisch zu beherrschen.
Sieben typische Missverständnisse
„Unsere Website braucht keinen DSB.“
Richtig formuliert: Die Website selbst braucht keinen eigenen DSB. Die Organisation dahinter kann aber aufgrund ihrer gesamten Datenverarbeitung benennungspflichtig sein.
„Unter 20 Personen gibt es nie eine Pflicht.“
Falsch. DSFA, umfangreiche Überwachung, umfangreiche besondere Daten als Kerntätigkeit oder Markt- und Meinungsforschung können unabhängig von der Personenzahl auslösen.
„Gesundheitsdaten bedeuten immer DSB-Pflicht.“
So pauschal stimmt das nicht. Nach Art. 37 DSGVO müssen besondere Daten in großem Umfang als Kerntätigkeit verarbeitet werden. Andere Auslöser bleiben zu prüfen.
„Der DSB ist für alles verantwortlich.“
Nein. Er berät und überwacht. Die Organisation trifft Entscheidungen, setzt Maßnahmen um und trägt die Verantwortung.
„Eine jährliche Schulung ist gesetzlich exakt vorgeschrieben.“
Nein. Vorgeschrieben ist eine angemessene Sensibilisierung und Schulung, aber kein starrer Jahrestermin. Ein jährlicher Rhythmus kann dennoch sinnvoll sein.
„Der Geschäftsführer kann das nebenbei machen.“
Typischerweise nicht. Wer über Datenverarbeitungen entscheidet, kann die eigenen Entscheidungen nicht unabhängig kontrollieren.
„Wir nennen freiwillig jemanden DSB, dann sind wir sicher.“
Eine freiwillige formale Benennung bringt grundsätzlich dieselben Anforderungen der Art. 37 bis 39 DSGVO mit. Für reine Unterstützung kann Datenschutzkoordination die passendere Rolle sein.
Kontaktdaten veröffentlichen und dem LfDI BW mitteilen
Sitzt Deine nichtöffentliche Organisation in Baden-Württemberg, ist regelmäßig der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) die zuständige Aufsichtsbehörde. Der LfDI BW stellt ein Online-Formular bereit, mit dem Kontaktdaten eines DSB mitgeteilt, geändert oder gelöscht werden können.
Die Meldung an die Behörde ersetzt nicht die Veröffentlichung. Betroffene müssen den DSB direkt und vertraulich erreichen können. In den Datenschutzinformationen nach Art. 13 und 14 DSGVO werden die Kontaktdaten ebenfalls genannt, wenn ein DSB vorhanden ist.
Was in den ersten Monaten typischerweise auf den Tisch kommt
Der DSB muss das Unternehmen und seine Risiken verstehen. Eine pauschale Dokumentenmappe genügt nicht. Die Reihenfolge wird nach Risiko festgelegt, typischerweise gehören aber folgende Themen in die Bestandsaufnahme:
Organisation
Zuständigkeiten, Standorte, Systeme, Dienstleister und vorhandene Datenschutzrollen erfassen.
Datenverarbeitungen
Verzeichnis der Verarbeitungstätigkeiten sichten und Datenflüsse nachvollziehen.
Rechtsgrundlagen
Zwecke, Rechtsgrundlagen, Einwilligungen und Informationspflichten prüfen.
Dienstleister
Auftragsverarbeitung, Cloud-Dienste und mögliche Drittlandübermittlungen bewerten.
Sicherheit
Technische und organisatorische Maßnahmen, Berechtigungen, Backups und Meldewege betrachten.
Löschen und Aufbewahren
Fristen, Verantwortlichkeiten und tatsächliche Löschabläufe nachvollziehbar festlegen.
Betroffenenrechte
Prozesse für Auskunft, Berichtigung, Löschung, Widerspruch und Identitätsprüfung testen.
Risiken und DSFA
Hochrisikoverarbeitungen erkennen und erforderliche Folgenabschätzungen priorisieren.
Schulung und Prüfung
Risikobasierten Schulungs-, Kontroll- und Berichtsplan mit der Leitung abstimmen.
Der DSB kann bei all diesen Punkten beraten und kontrollieren. Die zuständigen Fachbereiche und die Leitung müssen Informationen liefern, Entscheidungen treffen und vereinbarte Maßnahmen umsetzen.
Freiwilliger DSB oder lieber Datenschutzberatung?
Auch ohne Pflicht kann eine Organisation einen DSB freiwillig benennen. Dann gelten für diese Rolle grundsätzlich ebenfalls die Anforderungen aus Art. 37 bis 39 DSGVO, insbesondere Unabhängigkeit, Ressourcen, Aufgaben und Erreichbarkeit.
Freiwillige formale Benennung
Passt, wenn dauerhaft eine unabhängige, gesetzlich definierte Kontroll- und Beratungsrolle eingerichtet werden soll.
Datenschutzberatung oder -koordination
Passt, wenn praktische Hilfe, Dokumentation oder Projektbegleitung gebraucht wird, ohne formal einen DSB im Sinne der DSGVO zu benennen.
Wichtig: Keine DSB-Pflicht bedeutet nicht keine DSGVO-Pflichten. Datenschutzhinweise, Rechtsgrundlagen, Sicherheit, Auftragsverarbeitung, Löschung, Betroffenenrechte und Nachweise bleiben Aufgabe der Organisation.
Häufige Fragen
Ab wann brauche ich einen Datenschutzbeauftragten?
In Deutschland besteht eine Pflicht insbesondere dann, wenn in der Regel mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten. Unabhängig von dieser Zahl kann die Pflicht zum Beispiel bei einer erforderlichen Datenschutz-Folgenabschätzung, umfangreicher Überwachung als Kerntätigkeit, umfangreicher Verarbeitung besonders geschützter Daten als Kerntätigkeit oder geschäftsmäßiger Datenübermittlung entstehen.
Brauche ich für meine Website einen Datenschutzbeauftragten?
Eine Website allein löst normalerweise keine Benennungspflicht aus. Geprüft wird die gesamte Organisation hinter der Website, also etwa das Unternehmen, die Praxis oder der Verein. Wenn bereits ein Datenschutzbeauftragter benannt ist, müssen seine Kontaktdaten in den einschlägigen Datenschutzinformationen genannt werden.
Zählen Teilzeitkräfte bei der 20-Personen-Regel mit?
Ja, wenn sie im Rahmen ihrer Aufgabe regelmäßig automatisiert personenbezogene Daten verarbeiten. Entscheidend sind weder Wochenstunden noch Stellenumfang. Auch Auszubildende, Leiharbeitnehmende und Praktikanten können mitzählen. Jede Person zählt als eine Person.
Sind Gesundheitsdaten automatisch ein Grund für einen Datenschutzbeauftragten?
Nein. Nach Artikel 37 DSGVO muss die umfangreiche Verarbeitung besonders geschützter Daten zur Kerntätigkeit gehören. Eine Einzelpraxis ist deshalb nicht allein wegen ihrer Patientendaten automatisch benennungspflichtig. Eine erforderliche Datenschutz-Folgenabschätzung oder ein anderer Auslöser kann die Pflicht trotzdem begründen.
Muss eine Datenschutzschulung jedes Jahr stattfinden?
Die DSGVO schreibt keinen starren jährlichen Turnus vor. Schulungen und Sensibilisierung müssen zum Risiko und zur Organisation passen. Eine jährliche Auffrischung ist häufig sinnvoll, zusätzlich zu Einweisungen beim Einstieg, bei neuen Systemen oder Prozessen und nach relevanten Vorfällen.
Kann der Geschäftsführer Datenschutzbeauftragter sein?
In aller Regel nein. Die Geschäftsführung entscheidet über Zwecke und Mittel der Datenverarbeitung und müsste als Datenschutzbeauftragter die eigenen Entscheidungen kontrollieren. Das führt typischerweise zu einem unzulässigen Interessenkonflikt.
Kann die IT-Leitung Datenschutzbeauftragter sein?
Das ist häufig problematisch. Wer selbst wesentliche Entscheidungen über IT-Systeme, Zugriffe oder Sicherheitsmaßnahmen trifft, dürfte diese Entscheidungen später als Datenschutzbeauftragter nicht unabhängig kontrollieren. Die tatsächlichen Aufgaben der Stelle müssen im Einzelfall geprüft werden.
Was macht ein Datenschutzbeauftragter konkret?
Er informiert und berät, überwacht die Einhaltung der Datenschutzregeln, begleitet Schulungen und Kontrollen, berät bei Datenschutz-Folgenabschätzungen und arbeitet mit der Aufsichtsbehörde zusammen. Er ist außerdem Anlaufstelle für die Aufsichtsbehörde und für betroffene Personen.
Wer bleibt für den Datenschutz verantwortlich?
Verantwortlich bleibt die Organisation beziehungsweise ihre Leitung. Der Datenschutzbeauftragte berät und überwacht, trifft aber nicht anstelle der Geschäftsführung die operativen Entscheidungen und übernimmt nicht deren gesetzliche Verantwortung.
Muss der Name des Datenschutzbeauftragten auf die Website?
Öffentlich verlangt die DSGVO die Kontaktdaten, nicht zwingend den Namen. Eine direkt erreichbare Funktionsadresse wie datenschutz@unternehmen.de kann Teil dieser Kontaktangaben sein. Beschäftigte müssen intern über den Namen und die Kontaktdaten informiert werden. Die Datenschutzinformationen müssen die Kontaktdaten enthalten, wenn ein Datenschutzbeauftragter benannt ist.
Muss ich den Datenschutzbeauftragten der Aufsichtsbehörde melden?
Ja. Nach Artikel 37 Absatz 7 DSGVO müssen die Kontaktdaten veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden. In Baden-Württemberg stellt der LfDI BW dafür ein Online-Formular bereit.
Was gilt, wenn keine Benennungspflicht besteht?
Alle übrigen Datenschutzpflichten gelten trotzdem. Die Organisation braucht unter anderem passende Datenschutzinformationen, sichere Prozesse, Verträge mit Auftragsverarbeitern, Löschregeln, ein Verfahren für Betroffenenrechte und einen Umgang mit Datenschutzverletzungen. Dafür kann auch eine Datenschutzberatung oder interne Koordination ohne formale DSB-Benennung genutzt werden.
Was ist bei einer freiwilligen Benennung zu beachten?
Wer freiwillig einen Datenschutzbeauftragten im Sinne der DSGVO benennt, muss grundsätzlich ebenfalls die Vorgaben der Artikel 37 bis 39 DSGVO einhalten. Wenn nur praktische Unterstützung gebraucht wird, kann stattdessen eine Datenschutzberatung oder Datenschutzkoordination ohne formale Benennung sinnvoller sein.
Was kostet ein externer Datenschutzbeauftragter?
Die Kosten hängen von Größe, Branche, Risiken, Zahl und Art der Verarbeitungen, vorhandener Dokumentation und gewünschtem Betreuungsumfang ab. Eine seriöse Kalkulation setzt deshalb eine Bestandsaufnahme voraus.
Wie PerliTech unterstützen kann
PerliTech prüft mit Dir zunächst, ob überhaupt eine Benennungspflicht besteht. Wenn externe DSB-Begleitung oder praktische Datenschutzunterstützung sinnvoll ist, werden Umfang, Zuständigkeiten und nächste Schritte transparent festgelegt. PerliTech verbindet Datenschutzorganisation mit technischem Verständnis für Websites, Formulare, Cloud-Dienste und Microsoft 365.
Offizielle Quellen
Die Inhalte wurden anhand der folgenden Gesetzestexte und Veröffentlichungen von Datenschutzbehörden aufgebaut. Ältere Orientierungshilfen können noch die bis November 2019 geltende Grenze von zehn Personen nennen. Maßgeblich ist heute § 38 BDSG mit mindestens 20 Personen. Diese Seite ersetzt keine Rechtsberatung im Einzelfall.
- EUR-Lex: Datenschutz-Grundverordnung, insbesondere Art. 13, 14, 35 und 37 bis 39
- Gesetze im Internet: § 38 BDSG - Datenschutzbeauftragte nichtöffentlicher Stellen
- LfDI BW: Praxisratgeber Datenschutzbeauftragte, Teil I - Benennungspflicht
- LfDI BW: Praxisratgeber Datenschutzbeauftragte, Teil II - Benennung, Stellung und Aufgaben
- LfDI BW: Datenschutzbeauftragte online mitteilen, ändern oder löschen
- BfDI: Info 4 - Die Datenschutzbeauftragten in Behörden und Betrieben
- Europäischer Datenschutzausschuss: bestätigte Leitlinien, darunter WP243 rev.01 zum DSB
- Europäischer Datenschutzausschuss: Bericht 2024 zur Stellung von Datenschutzbeauftragten
Willst Du Deine Pflicht sauber einordnen?
Dann prüfen wir zuerst die tatsächlichen Auslöser. Die Ersteinschätzung ist kostenlos, verständlich und ohne vorschnelle DSB-Empfehlung.
- 20-Personen-Regel korrekt zählen
- besondere Pflichtfälle prüfen
- intern oder extern ehrlich vergleichen
- nächste Schritte klar festlegen