Datenschutzbeauftragter im Unternehmen: Ab wann Sie einen benennen müssen und was er kostet

Sobald ein Betrieb wächst, taucht irgendwann die Frage auf: Brauchen wir jetzt einen Datenschutzbeauftragten? Meist kommt sie zum ungünstigsten Zeitpunkt, etwa wenn ein Kunde nach dem DSB fragt, eine Behörde sich meldet oder der Steuerberater den Finger hebt.

Die gute Nachricht: Ob Sie einen benennen müssen, lässt sich klar beantworten. Und die zweite Frage, ob intern oder extern günstiger ist, hat für die meisten kleinen und mittleren Betriebe eine ebenso klare Antwort. Dieser Artikel führt Sie durch beide, mit Zahlen und Paragraphen zum Nachprüfen. Stand: 2026-08-10.

Ab wann ist ein Datenschutzbeauftragter Pflicht?

In Deutschland müssen Sie einen Datenschutzbeauftragten benennen, sobald mindestens 20 Personen in Ihrem Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das regelt § 38 Abs. 1 BDSG. Unabhängig von dieser Zahl kann die Pflicht schon früher greifen, das regelt Art. 37 DSGVO.

Es gibt also zwei Türen in die Pflicht: die Personenzahl nach deutschem Recht und bestimmte Tätigkeiten nach europäischem Recht. Es reicht, wenn eine der beiden Türen aufgeht. Viele Geschäftsführer kennen nur die 20er-Grenze und übersehen, dass ihr Betrieb schon über die zweite Tür in der Pflicht sein kann.

Quelle: Bundesdatenschutzgesetz (BDSG)

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Die 20-Personen-Grenze: Wer wirklich mitzählt

Die 20-Personen-Grenze ist keine Grenze der Mitarbeiterzahl, sondern der Datenverarbeitung. Gezählt wird jede Person, die regelmäßig am Computer mit personenbezogenen Daten arbeitet. Entscheidend ist die Zahl der Köpfe, nicht der Vollzeitstellen. Teilzeitkräfte, Minijobber und Auszubildende zählen genauso voll wie eine Vollzeitkraft.

Das führt bei vielen Betrieben zu einem Aha-Moment. Ein Handwerksbetrieb mit 25 Beschäftigten, von denen 18 auf der Baustelle arbeiten und nur 7 im Büro am Rechner sitzen, liegt unter der Grenze. Ein Bürobetrieb mit 22 Beschäftigten, die alle E-Mails schreiben und Kundendaten pflegen, liegt darüber.

Was "ständig" bedeutet: regelmäßig und wiederkehrend, nicht nur einmalig. Die Sachbearbeiterin, die täglich Rechnungen und Kundendaten erfasst, zählt mit. Der Lagerarbeiter, der einmal im Jahr eine Adressliste exportiert, zählt nicht. Auch der Geschäftsführer, der selbst E-Mails beantwortet und ins CRM schaut, zählt zu den 20 Personen dazu.

Die 20-Personen-Grenze gilt in dieser Form seit 2019. Zuvor lag sie bei 10 Personen und wurde durch das zweite Datenschutz-Anpassungsgesetz angehoben, ausdrücklich zur Entlastung kleiner und mittlerer Betriebe. Zuständig für die Auslegung sind die Datenschutzbehörden der Länder, für die Pfalz und Rhein-Neckar der Landesbeauftragte für den Datenschutz Rheinland-Pfalz, für Rhein-Main der Hessische Beauftragte für Datenschutz.

Quelle: Der Hessische Beauftragte für Datenschutz: Datenschutzbeauftragter erst ab 20 Personen

Die zweite Tür: Pflicht unabhängig von der Mitarbeiterzahl

Auch ein Betrieb mit drei Personen kann zur Benennung verpflichtet sein. Nach Art. 37 DSGVO und § 38 Abs. 1 Satz 2 BDSG entsteht die Pflicht unabhängig von der Personenzahl, wenn bestimmte Tätigkeiten die Kerntätigkeit des Unternehmens ausmachen oder eine förmliche Risikoprüfung nötig ist. Hier zählt nicht, wie viele Köpfe am Rechner sitzen, sondern was mit den Daten geschieht.

Die wichtigsten Fälle für KMU:

• Umfangreiche Verarbeitung sensibler Daten als Kerngeschäft. Gemeint sind besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, Daten über Weltanschauung, Gewerkschaftszugehörigkeit, biometrische Daten. Wenn die Verarbeitung solcher Daten das Geschäftsmodell trägt, greift die Pflicht sofort.
• Umfangreiche, regelmäßige und systematische Beobachtung von Personen. Klassisch bei großflächiger Videoüberwachung oder umfangreichem Tracking und Profiling.
• Verarbeitung, die eine Datenschutz-Folgenabschätzung erfordert. Immer wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet, ist eine solche Folgenabschätzung Pflicht, und damit auch der Datenschutzbeauftragte.
• Geschäftsmäßige Verarbeitung zur Übermittlung oder zur Markt- und Meinungsforschung. Wer personenbezogene Daten gewerblich zur Übermittlung an Dritte verarbeitet, wie Adresshändler oder Auskunfteien, ist unabhängig von der Personenzahl in der Pflicht.

Achtung: Die 20-Personen-Grenze könnte bis Ende 2026 fallen

Hier ist Vorsicht angebracht, weil das Thema in Bewegung ist. Die Bundesregierung hat am 4. Dezember 2025 im Rahmen ihrer Modernisierungsagenda angekündigt, § 38 Abs. 1 BDSG und damit die nationale 20-Personen-Grenze bis Ende 2026 zu streichen. Ziel ist die Entlastung kleiner Betriebe und Vereine. Ein entsprechendes Gesetz ist zum Stand dieses Artikels aber noch nicht in Kraft.

Solange kein Gesetz beschlossen und verkündet ist, gilt die 20-Personen-Grenze unverändert weiter. Wichtig auch: Selbst wenn die nationale Grenze fällt, bleibt Art. 37 DSGVO bestehen. Die Pflicht über die zweite Tür, also bei sensiblen Daten, Folgenabschätzung oder systematischer Beobachtung, verschwindet dadurch nicht.

Quelle: Dr. Datenschutz: Fällt die Pflicht zum Datenschutzbeauftragten bis Ende 2026?

Intern oder extern: Was günstiger ist

Für die meisten kleinen und mittleren Betriebe ist ein externer Datenschutzbeauftragter günstiger und mit weniger Risiko verbunden als eine interne Lösung. Ein externer DSB bringt die Fachkunde mit, haftet für seine Beratung selbst, hat kein Eigeninteresse im Unternehmen und lässt sich ohne besonderen Kündigungsschutz wieder wechseln. Eine interne Stelle lohnt sich erst ab einer gewissen Größe.

Der Grund liegt in den versteckten Kosten der internen Lösung. Ein interner Datenschutzbeauftragter braucht nachweisbare Fachkunde und muss laufend fortgebildet werden. Diese Schulungen kosten Geld und Arbeitszeit. Dazu kommt die reine Arbeitszeit für die DSB-Aufgaben, die dann an anderer Stelle fehlt. Und: Ein benannter interner DSB genießt einen besonderen Abberufungs- und Kündigungsschutz, ähnlich dem eines Betriebsrats. Wer die Rolle einmal vergibt, wird sie so schnell nicht wieder los.

Ein externer DSB rechnet dagegen eine planbare monatliche Pauschale ab, vergleichbar mit einer IT-Pauschale. Sie zahlen für Fachkunde und Verfügbarkeit, ohne eigene Kapazität aufbauen zu müssen. Das passt gut zu dem Grundgedanken, den wir bei der DSGVO für KMU beschreiben: Pflichten erfüllen, ohne den Betrieb mit Bürokratie zu lähmen.

Was ein Datenschutzbeauftragter kostet

Ein externer Datenschutzbeauftragter kostet für KMU marktüblich zwischen rund 30 Euro pro Monat für Kleinstbetriebe mit langer Vertragsbindung und etwa 800 Euro pro Monat im gehobenen Mittelstand. Die Basis-Betreuung beginnt häufig bei rund 100 bis 150 Euro monatlich. Der genaue Preis hängt von der Betriebsgröße und vor allem vom Umfang und der Sensibilität Ihrer Datenverarbeitung ab.

Wichtig ist, genau hinzusehen, was die Pauschale abdeckt. Die Monatsgebühr ist selten der Gesamtpreis. Ein Erst-Audit zu Beginn, die Prüfung von Auftragsverarbeitungsverträgen, eine Datenschutz-Folgenabschätzung, ein Löschkonzept, Mitarbeiterschulungen und Vor-Ort-Termine rechnen viele Anbieter zusätzlich ab. Die niedrigsten Einstiegspreise sind fast immer an eine Laufzeit von 24 oder 36 Monaten gebunden.

Quelle: datenschutz.org: Externer Datenschutzbeauftragter, Kosten 2026

Rechnen Sie eine interne Lösung ehrlich gegen. Wenn eine Bürokraft einen halben Tag pro Woche für Datenschutz aufwendet, dazu ein bis zwei Schulungen im Jahr kommen und diese Person gleichzeitig im Kerngeschäft fehlt, sind Sie schnell über den Kosten eines externen DSB, ohne dessen Fachkunde und Haftung zu haben.

Warum Chef und IT-Leiter nicht selbst DSB sein dürfen

Der häufigste Fehler bei der internen Lösung: Der Geschäftsführer oder der IT-Leiter übernimmt die Rolle selbst. Das ist nach Art. 38 Abs. 6 DSGVO unzulässig, wenn dadurch ein Interessenkonflikt entsteht. Und genau das ist bei Führungsrollen der Regelfall, weil diese Personen selbst über die Datenverarbeitung entscheiden und sich als DSB anschließend selbst kontrollieren müssten.

Die Datenschutzbehörden nennen ausdrücklich Positionen, bei denen ein Interessenkonflikt regelmäßig oder häufig vorliegt: Geschäftsführer und Vorstände, Inhaber, Gesellschafter, IT-Leiter, Personalleiter und Vertriebsleiter. Wer die eigene Datenverarbeitung gestaltet, kann sie nicht unabhängig beaufsichtigen.

Dass die Behörden das ernst nehmen, zeigt ein Fall aus Berlin: Die Berliner Datenschutzbehörde verhängte ein Bußgeld von 525.000 Euro, weil ein interner Datenschutzbeauftragter zugleich in einer Rolle war, die zum Interessenkonflikt führte. Geeignet als interner DSB sind daher meist nur Beschäftigte ohne Entscheidungsmacht über die Verarbeitung, und die brauchen dann trotzdem die nötige Fachkunde.

Quelle: Bundesbeauftragte für den Datenschutz

Quelle: activeMind AG: 525.000 Euro Bußgeld wegen Interessenkonflikt beim internen DSB

Was passiert, wenn Sie keinen benennen

Wenn Sie zur Benennung verpflichtet sind und es nicht tun, ist das ein eigenständiger Verstoß gegen die DSGVO. Nach Art. 83 Abs. 4 DSGVO drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für KMU fallen die Bußgelder in der Praxis deutlich niedriger aus, das Risiko ist aber real.

Entscheidend ist, wie so ein Verstoß ans Licht kommt. Kaum eine Behörde klopft grundlos an. Auffällig wird die fehlende Benennung fast immer im Zusammenhang mit etwas anderem: nach einer Datenpanne durch Ransomware, nach der Beschwerde eines Mitarbeiters oder Kunden oder nach einer Auskunftsanfrage, die nicht fristgerecht beantwortet wurde. Dann prüft die Behörde den gesamten Datenschutz, und die fehlende Benennung ist einer von mehreren Punkten, die zusammen das Bußgeld bestimmen.

Neben der Benennung selbst wird oft übersehen, dass der DSB der Aufsichtsbehörde gemeldet und seine Kontaktdaten veröffentlicht werden müssen, üblicherweise im Impressum und in der Datenschutzerklärung. Auch das gehört zur Pflicht dazu.

In fünf Schritten zum benannten Datenschutzbeauftragten

Wenn Sie festgestellt haben, dass die Pflicht greift, ist der Weg überschaubar. Diese Reihenfolge funktioniert für die meisten Betriebe:

1. 1
   Ehrlich zählen
   Personalliste durchgehen und jede Person markieren, die ständig am Computer mit personenbezogenen Daten arbeitet. Köpfe zählen, nicht Vollzeitstellen. Prüfen, ob zusätzlich die zweite Tür nach Art. 37 DSGVO greift, etwa durch sensible Daten.
2. 2
   Intern oder extern entscheiden
   Interne Kandidaten auf Interessenkonflikt und Fachkunde prüfen. Führungsrollen scheiden aus. In den meisten KMU ist die externe Lösung günstiger und schneller einsatzbereit.
3. 3
   Angebote vergleichen
   Bei externer Lösung mehrere Angebote einholen und genau prüfen, was die Pauschale abdeckt und was extra kostet. Auf Vertragslaufzeit achten. Bei interner Lösung Schulung und Freistellung von Arbeitszeit einplanen.
4. 4
   Benennen und melden
   Den DSB förmlich benennen, der zuständigen Landesbehörde melden und die Kontaktdaten in Impressum und Datenschutzerklärung veröffentlichen.
5. 5
   Arbeitsgrundlage schaffen
   Dem DSB Zugang zu Verarbeitungsverzeichnis, technisch-organisatorischen Maßnahmen und den relevanten Systemen geben. Ohne diese Grundlagen kann auch der beste DSB nicht arbeiten.

Die technischen Grundlagen, auf die ein Datenschutzbeauftragter zugreift, sind dieselben, die auch für MFA und sichere Zugänge und ein sauberes Onboarding neuer Mitarbeitender zählen. Datenschutz und IT-Sicherheit sind zwei Seiten derselben Sache: Der DSB beschreibt, was geschützt sein muss, die IT setzt es um.

Wie ITCC dabei unterstützt

ITCC ist Ihr externer IT-Dienstleister, kein Anwalt und keine Datenschutzkanzlei. Den Datenschutzbeauftragten selbst stellen wir nicht, und die rechtliche Bewertung überlassen wir datenschutzrechtlichen Partnern. Was wir tun: Wir sorgen dafür, dass die technische Seite stimmt, auf die ein DSB sich stützt. Benutzerrechte, Verschlüsselung, Backup, MFA, dokumentierte technisch-organisatorische Maßnahmen und saubere Auftragsverarbeitung mit Ihren Dienstleistern.

In der Praxis heißt das: Wir arbeiten mit Ihrem internen oder externen Datenschutzbeauftragten zusammen und liefern die IT-Dokumentation und die Umsetzung, die er braucht. Für Betriebe im Raum Pfalz, Rhein-Neckar und Rhein-Main ist ein Erstgespräch der einfachste Weg zu einer ehrlichen Einschätzung, wo Sie stehen und was als Nächstes sinnvoll ist.

Gespräch vereinbaren