Datenschutzbeauftragten bestellen: Pflichten und Fristen im Mittelstand

16. Juli 2026

Artikel teilen

Unternehmen müssen einen Datenschutzbeauftragten bestellen, sobald bestimmte gesetzliche Schwellenwerte erreicht sind oder besonders sensible Daten verarbeitet werden. Für viele mittelständische Betriebe ist das keine theoretische Frage, sondern eine konkrete Compliance-Pflicht mit Bußgeldrisiko bei Versäumnis. Die Regelungen ergeben sich aus einem Zusammenspiel von Art. 37 bis 39 DSGVO und dem deutschen § 38 Bundesdatenschutzgesetz (BDSG), das im Vergleich zu vielen anderen EU-Staaten strengere Schwellenwerte vorsieht. Wer die Pflicht übersieht oder eine ungeeignete Person benennt, riskiert nicht nur Bußgelder, sondern auch Haftungsfragen für die Geschäftsführung. Dieser Beitrag ordnet die rechtlichen Voraussetzungen ein, vergleicht interne und externe Lösungen und liefert einen praxisnahen Fahrplan für die Bestellung. Im Mittelpunkt stehen die konkreten Schritte, die Geschäftsführer und Compliance-Verantwortliche in mittelständischen Unternehmen tatsächlich umsetzen müssen, wenn sie einen Datenschutzbeauftragten bestellen wollen oder müssen.

Wann gilt die Pflicht, einen Datenschutzbeauftragten zu bestellen?

Die gesetzliche Grundlage für die Bestellpflicht ergibt sich in Deutschland vorrangig aus § 38 Abs. 1 BDSG, der die europäische Öffnungsklausel aus Art. 37 Abs. 4 DSGVO nutzt. Danach müssen nicht-öffentliche Stellen einen Datenschutzbeauftragten bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Der Schwellenwert zählt Köpfe, nicht Vollzeitäquivalente, sodass auch Teilzeitkräfte und Werkstudenten mitgezählt werden, sobald sie regelmäßig mit personenbezogenen Daten arbeiten. Damit reicht bereits eine mittelgroße Buchhaltung, Personalabteilung oder ein Vertriebsteam mit CRM-Zugriff aus, um die Schwelle zu erreichen.

Der 20-Personen-Schwellenwert im Detail

Maßgeblich ist die tatsächliche, nicht die formale Tätigkeit. Wer Kundendaten in einer Software pflegt, E-Mails mit personenbezogenen Inhalten bearbeitet oder Bewerbungsunterlagen sichtet, zählt in der Regel mit. Nicht mitgezählt werden Personen, die nur gelegentlich, etwa im Vertretungsfall, mit solchen Daten in Berührung kommen. In der Praxis lohnt sich eine dokumentierte Erhebung, welche Mitarbeitenden tatsächlich strukturiert und dauerhaft personenbezogene Daten verarbeiten, um den Schwellenwert belastbar zu ermitteln und im Zweifel gegenüber der Aufsichtsbehörde nachweisen zu können.

Bestellpflicht unabhängig von der Mitarbeiterzahl

Neben dem Schwellenwert gibt es Tatbestände, bei denen ein Unternehmen unabhängig von der Beschäftigtenzahl einen Datenschutzbeauftragten bestellen muss. Dazu zählen nach Art. 37 Abs. 1 DSGVO insbesondere die umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen als Kerntätigkeit sowie die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen. Betroffen sind beispielsweise Auskunfteien, Adresshändler, Callcenter mit Profiling-Funktion oder auch kleinere Gesundheitsdienstleister, die deutlich unter 20 Mitarbeitenden liegen können und trotzdem verpflichtet sind.

Für die Praxis bedeutet das: Eine reine Zählung der Belegschaft greift zu kurz. Auch ein Betrieb mit zwölf Beschäftigten kann verpflichtet sein, einen Datenschutzbeauftragten zu bestellen, wenn er etwa als medizinisches Labor systematisch Gesundheitsdaten auswertet oder als Inkassounternehmen umfangreiches Profiling betreibt. Umgekehrt kann ein Handwerksbetrieb mit 25 Beschäftigten unterhalb der Bestellpflicht bleiben, wenn nur ein kleiner Kreis von Personen regelmäßig mit personenbezogenen Daten arbeitet und die übrige Belegschaft ausschließlich operativ tätig ist. Eine saubere Ist-Analyse der tatsächlichen Verarbeitungsprozesse ist deshalb der erste und wichtigste Schritt, bevor eine Entscheidung über die Bestellung getroffen wird.

Auch bei schwankender Beschäftigtenzahl, etwa durch Saisonkräfte oder Projektpersonal, gilt der Grundsatz der „in der Regel“ beschäftigten Personen. Kurzfristige Spitzen oder Unterschreitungen führen nicht automatisch zum Wegfall oder Entstehen der Pflicht. Maßgeblich ist ein für den Betrieb typischer Personalstand über einen längeren Zeitraum, weshalb eine einmalige Momentaufnahme selten ausreicht, um die Bestellpflicht rechtssicher zu beurteilen.

Interner oder externer Datenschutzbeauftragter?

Steht die Bestellpflicht fest, folgt die strategisch wichtigere Frage: intern oder extern besetzen? Beide Modelle sind rechtlich gleichwertig zulässig, unterscheiden sich aber deutlich in Kosten, Verfügbarkeit und Haftungsstruktur. Ein interner Datenschutzbeauftragter kennt die Betriebsabläufe genau, ist aber oft in Interessenkonflikte verwickelt, etwa wenn IT-Leiter oder Personalverantwortliche gleichzeitig für Datenschutz zuständig sein sollen, was nach herrschender Aufsichtspraxis unzulässig ist. Ein externer Datenschutzbeauftragter bringt spezialisiertes Fachwissen und Unabhängigkeit mit, verursacht aber laufende Honorarkosten und benötigt Einarbeitungszeit in die betrieblichen Prozesse.

Kriterium	Interner Datenschutzbeauftragter	Externer Datenschutzbeauftragter
Betriebskenntnis	Hoch, da im Unternehmen tätig	Muss aufgebaut werden
Interessenkonflikte	Erhöhtes Risiko bei Doppelfunktionen	Grundsätzlich gering
Kosten	Personalkosten plus Fortbildung	Laufendes Honorar, meist planbar
Verfügbarkeit	Abhängig von sonstigen Aufgaben	Vertraglich definierter Umfang
Fachliche Aktualität	Regelmäßige Fortbildung nötig	Meist durch Spezialisierung gegeben

In der Praxis mittelständischer Unternehmen hat sich häufig ein hybrides Modell bewährt: eine interne Ansprechperson für den Tagesbetrieb, unterstützt durch einen externen Datenschutzbeauftragten, der die formale Funktion nach Art. 37 DSGVO übernimmt. Diese Konstellation verbindet Betriebsnähe mit rechtlicher Unabhängigkeit, muss aber vertraglich sauber von einer bloßen Datenschutzkoordination abgegrenzt werden, da nur der formell bestellte Datenschutzbeauftragte gegenüber der Aufsichtsbehörde als Ansprechpartner gilt.

Kosten im Vergleich: Was einen externen Datenschutzbeauftragten typischerweise kostet

Die Honorarhöhe eines externen Datenschutzbeauftragten richtet sich in der Praxis nach Betriebsgröße, Branche und Komplexität der Verarbeitungen. Als grobe Orientierung für kleinere Mittelständler dienen häufig monatliche Pauschalen, die den laufenden Beratungsaufwand, jährliche Audits und die Erreichbarkeit für Betroffenenanfragen abdecken. Größere Verarbeitungsvolumina, etwa durch internationale Datenübermittlungen oder umfangreiche Gesundheitsdatenverarbeitung, erhöhen den Aufwand entsprechend. Wichtig für die interne Kalkulation ist, die Kosten eines externen Datenschutzbeauftragten den internen Kosten gegenüberzustellen: Neben dem Gehalt einer internen Fachkraft fallen regelmäßig Fortbildungskosten, Fachliteratur und die Vertretungsregelung im Krankheits- oder Urlaubsfall an, die bei einer externen Lösung vertraglich bereits mit abgedeckt sind.

Qualifikationsanforderungen und Unabhängigkeit

Art. 37 Abs. 5 DSGVO verlangt, dass die bestellte Person über die „erforderliche berufliche Qualifikation“ verfügt, insbesondere Fachwissen zum Datenschutzrecht und zur Datenschutzpraxis sowie die Fähigkeit, die in Art. 39 DSGVO genannten Aufgaben zu erfüllen. Ein anerkanntes Zertifikat ist rechtlich nicht zwingend vorgeschrieben, wird von Aufsichtsbehörden in der Praxis aber häufig als Nachweis erwartet. Wer intern einen Datenschutzbeauftragten bestellen möchte, sollte auf eine belastbare Kombination aus juristischem Grundverständnis, IT-Kenntnissen und Verhandlungsgeschick achten, da die Rolle sowohl mit der Geschäftsführung als auch mit operativen Fachbereichen kommunizieren muss.

Zentral ist zudem die weisungsfreie Stellung. Der Datenschutzbeauftragte darf bei der Erfüllung seiner Aufgaben keine Anweisungen erhalten und muss unmittelbar der obersten Leitungsebene berichten. Eine Kündigung aus Gründen, die mit der Aufgabenerfüllung zusammenhängen, ist gesetzlich untersagt; § 38 Abs. 2 BDSG verweist hierzu auf den besonderen Kündigungsschutz. Diese Absicherung soll verhindern, dass wirtschaftlicher Druck die datenschutzrechtliche Unabhängigkeit untergräbt.

In der praktischen Umsetzung bedeutet Weisungsfreiheit nicht, dass der Datenschutzbeauftragte losgelöst von der Unternehmensorganisation agiert. Er benötigt vielmehr ausreichende Ressourcen, Zugang zu relevanten Systemen und ein direktes Berichtswesen an die Geschäftsführung, ohne dass Fachbereiche seine Bewertungen inhaltlich vorgeben dürfen. In der Aufsichtspraxis wird regelmäßig geprüft, ob diese organisatorische Einbindung tatsächlich gelebt wird oder die Bestellung lediglich auf dem Papier besteht, etwa weil Budget, Zeit oder Systemzugriffe fehlen.

Aufgaben nach Art. 39 DSGVO im Überblick

Unterrichtung und Beratung der Geschäftsleitung sowie der Beschäftigten zu datenschutzrechtlichen Pflichten
Überwachung der Einhaltung der DSGVO, nationaler Datenschutzvorschriften sowie interner Richtlinien
Zuweisung von Zuständigkeiten, Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeitenden
Beratung bei Datenschutz-Folgenabschätzungen und Überwachung von deren Durchführung nach Art. 35 DSGVO
Zusammenarbeit mit der Aufsichtsbehörde und Funktion als deren Anlaufstelle
Anlaufstelle für betroffene Personen bei Fragen zur Verarbeitung ihrer Daten und zur Ausübung ihrer Rechte

Wichtig ist die Abgrenzung: Der Datenschutzbeauftragte berät und überwacht, trifft aber keine operativen Entscheidungen und trägt keine Ergebnisverantwortung für die Rechtmäßigkeit einzelner Verarbeitungen. Diese Verantwortung verbleibt bei der Geschäftsleitung als verantwortlicher Stelle im Sinne von Art. 4 Nr. 7 DSGVO.

Datenschutzbeauftragten bestellen: Fahrplan in fünf Schritten

Bestellpflicht prüfen: Mitarbeitendenzahl mit regelmäßiger Datenverarbeitung erheben und mit den Ausnahmetatbeständen aus Art. 37 Abs. 1 DSGVO abgleichen.
Modell entscheiden: Interne, externe oder hybride Lösung anhand von Betriebsgröße, Budget und vorhandenem Fachwissen auswählen.
Person auswählen und prüfen: Qualifikation, Unabhängigkeit und mögliche Interessenkonflikte, etwa bei Doppelfunktionen in IT oder Personalabteilung, dokumentiert bewerten.
Formell bestellen: Schriftliche Bestellung mit Aufgabenbeschreibung, Beginn und gegebenenfalls Vergütung, plus Meldung an die zuständige Aufsichtsbehörde.
Veröffentlichen und einbinden: Kontaktdaten auf der Website und in der Datenschutzerklärung veröffentlichen, interne Prozesse und Meldewege etablieren.

Wer diesen Fahrplan konsequent durchläuft, wenn er einen Datenschutzbeauftragten bestellen muss, reduziert das Risiko formaler Fehler erheblich. Insbesondere die schriftliche Dokumentation der Bestellung wird bei Prüfungen durch Aufsichtsbehörden regelmäßig angefordert.

Typische Stolperfallen in der Praxis

In der Beratungspraxis wiederholen sich bestimmte Fehler. Häufig wird die Bestellung nur mündlich vollzogen oder die Meldung an die Aufsichtsbehörde vergessen. Ebenso verbreitet ist die Benennung einer Person mit Interessenkonflikt, etwa des IT-Leiters, der zugleich über Systeme entscheidet, die er datenschutzrechtlich kontrollieren müsste. Ein weiterer Klassiker ist die unzureichende Ressourcenausstattung: Ohne Zugang zu Verarbeitungsverzeichnissen, IT-Systemen und Fachabteilungen kann selbst ein qualifizierter Datenschutzbeauftragter seine Aufgaben nicht erfüllen.

Ein weiterer wiederkehrender Fehler betrifft die Übergangsphase beim Wechsel des Datenschutzbeauftragten. Wird eine Person abberufen, ohne dass unmittelbar eine neue Bestellung erfolgt, entsteht eine Lücke, die aufsichtsrechtlich als Verstoß gegen die Bestellpflicht gewertet werden kann. Empfehlenswert ist daher eine geregelte Übergabe mit dokumentierter Wissensübertragung, etwa zu laufenden Verarbeitungsverzeichnissen, offenen Betroffenenanfragen und noch nicht abgeschlossenen Datenschutz-Folgenabschätzungen, damit die Kontinuität der Datenschutzorganisation gewahrt bleibt.

Ein häufig unterschätzter Punkt in Beratungsgesprächen ist die Kündigungssperre: Wird ein interner Datenschutzbeauftragter aus betrieblichen Gründen abberufen, ohne dass ein wichtiger Grund im Sinne des besonderen Kündigungsschutzes vorliegt, drohen arbeitsrechtliche Auseinandersetzungen, die deutlich teurer werden können als die laufenden Kosten einer externen Lösung.

Konsequenzen bei fehlender oder fehlerhafter Bestellung

Verstöße gegen die Bestellpflicht sind nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt. Der Bußgeldrahmen liegt bei bis zu 10 Millionen Euro oder, bei Unternehmen, bis zu 2 Prozent des weltweiten Jahresumsatzes, wobei in der Praxis mittelständischer Fälle die tatsächlich verhängten Bußgelder deutlich niedriger ausfallen und sich an Schwere, Dauer und Kooperationsbereitschaft orientieren. Neben dem unmittelbaren Bußgeldrisiko drohen mittelbare Folgen: Fehlt eine funktionierende Datenschutzorganisation, werden auch andere Pflichtverletzungen, etwa bei Betroffenenrechten oder Meldefristen für Datenschutzvorfälle, wahrscheinlicher und damit ebenfalls sanktionsanfällig.

Für die Geschäftsführung kommt eine zivilrechtliche Dimension hinzu. Verstöße gegen datenschutzrechtliche Organisationspflichten können als Sorgfaltspflichtverletzung im Sinne des § 43 GmbHG oder § 93 AktG gewertet werden und im Innenverhältnis zu Regressansprüchen führen, wenn dem Unternehmen durch die Pflichtverletzung ein Schaden entsteht.

Hinzu kommt ein reputatives Risiko, das in der Praxis oft unterschätzt wird. Wird ein Bußgeldverfahren wegen fehlender Bestellung öffentlich, etwa weil die zuständige Landesdatenschutzbehörde den Fall in ihrem Tätigkeitsbericht aufführt, kann dies bei Geschäftspartnern und im B2B-Vertrieb zu Nachfragen im Rahmen von Auftragsverarbeitungsverträgen und Lieferantenaudits führen. Gerade größere Kunden verlangen zunehmend Nachweise über eine funktionierende Datenschutzorganisation, bevor sie neue Geschäftsbeziehungen eingehen oder bestehende Verträge verlängern.

Checkliste: Muss Ihr Unternehmen einen Datenschutzbeauftragten bestellen?

Verarbeiten regelmäßig mindestens 20 Personen personenbezogene Daten automatisiert?
Gehört umfangreiche, regelmäßige und systematische Überwachung von Personen zur Kerntätigkeit?
Werden umfangreich besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet?
Bestehen bereits Verarbeitungen mit hohem Risiko, für die eine Datenschutz-Folgenabschätzung erforderlich sein könnte?
Gibt es im Unternehmen eine Person ohne Interessenkonflikt und mit ausreichender Qualifikation für die Rolle?

Werden mehrere dieser Fragen mit Ja beantwortet, sollte die formelle Bestellung zeitnah vorbereitet werden, da die Pflicht ab Erreichen der Schwellenwerte unmittelbar gilt und nicht erst mit einer behördlichen Aufforderung entsteht.

FAQ

Muss auch ein kleines Unternehmen mit fünf Mitarbeitenden einen Datenschutzbeauftragten bestellen?
Grundsätzlich nur, wenn einer der Ausnahmetatbestände nach Art. 37 Abs. 1 DSGVO greift, etwa bei umfangreicher Verarbeitung von Gesundheitsdaten. Der 20-Personen-Schwellenwert nach § 38 BDSG wird sonst nicht erreicht.

Kann die Geschäftsführung selbst als Datenschutzbeauftragter fungieren?
Nein, das widerspricht dem Prinzip der Unabhängigkeit, da die Geschäftsleitung als verantwortliche Stelle nicht gleichzeitig deren Kontrolle übernehmen kann.

Wie lange dauert die Suche und Bestellung eines externen Datenschutzbeauftragten typischerweise?
In der Praxis vergehen häufig vier bis acht Wochen zwischen Auswahlprozess, Vertragsabschluss und formeller Meldung an die Aufsichtsbehörde, abhängig von Verfügbarkeit und Betriebsgröße.

Was passiert, wenn die Aufsichtsbehörde eine fehlende Bestellung entdeckt?
Häufig erfolgt zunächst eine Aufforderung zur Nachbesserung mit Fristsetzung. Bei wiederholten oder gravierenden Verstößen sind Bußgeldverfahren nach Art. 83 DSGVO möglich.

Reicht eine externe Datenschutzberatung ohne formelle Bestellung aus?
Nein, eine reine Beratungsleistung ersetzt nicht die formelle Bestellung mit klar definierten Aufgaben, Meldung an die Behörde und Kündigungsschutz nach Art. 37 bis 39 DSGVO.

Muss die Bestellung eines Datenschutzbeauftragten öffentlich gemacht werden?
Die Kontaktdaten müssen veröffentlicht und der Aufsichtsbehörde mitgeteilt werden, damit betroffene Personen und die Behörde die zuständige Stelle erreichen können.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.