Brauche ich einen Datenschutzbeauftragten? (Pflicht-Check)

„Brauchen wir einen Datenschutzbeauftragten?“ beantworten die meisten KMU zu spät - und meist mit der falschen Annahme, DSBs seien nur etwas für große Unternehmen. Auslöser ist nicht die Größe, sondern Art und Umfang Ihrer Verarbeitung, und in Deutschland fängt eine zusätzliche Mitarbeiter-Regel die meisten KMU. Dieser Leitfaden gibt Ihnen die Kriterien in klarer Sprache und eine schnelle Entscheidungstabelle. Um nach der Klärung Modelle und Kosten zu vergleichen, siehe den Pillar zum externen DSB.

Wann ist ein DSB Pflicht?

Was sind die genauen Kriterien?

Ein DSB ist in jeder dieser Situationen Pflicht:

• Art. 37 DSGVO - umfangreiche systematische Überwachung von Personen (Verhaltensanalyse, tracking-basierte Werbung, Profiling in großem Umfang).
• Art. 37 DSGVO - umfangreiche sensible Daten (Gesundheit, Biometrie, ethnische Herkunft, politische oder religiöse Daten).
• Art. 37 DSGVO - öffentliche Stelle (unabhängig von der Größe).
• § 38 BDSG - 20+ Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten befasst sind.
• § 38 BDSG - DPIA-pflichtige Verarbeitung, unabhängig von der Mitarbeiterzahl (z. B. KI-gestützte Entscheidungen über Personen).

„Ständig befasst“ heißt nicht Vollzeit-Datenarbeit - es heißt, der Umgang mit personenbezogenen Daten gehört zur regulären Rolle. Vertrieb mit CRM, HR mit Bewerbungen, Marketing mit Kampagnen: alle zählen mit.

Schnelle Entscheidungstabelle

Trifft das auf mein Unternehmen zu?

Was, wenn wir freiwillig bestellen?

Gibt es Bedingungen?

Ja. Einmal bestellt, hat ein freiwilliger DSB dieselben gesetzlichen Schutzrechte wie ein pflichtgemäßer: keine Abberufung ohne Grund, keine Benachteiligung für die Tätigkeit, dieselbe strukturelle Unabhängigkeit (Art. 38). Bestellen Sie freiwillig erst, nachdem Sie geklärt haben, dass die Pflicht nicht ohnehin greift - sonst übernehmen Sie die Pflichten ungewollt.

Quellen & weiterführende Links