Ein Datenschutzbeauftragter (DSB) ist eine Person, die in einem Unternehmen oder einer Behörde die Einhaltung des Datenschutzrechts überwacht, berät und als Ansprechpartner für Betroffene und Aufsichtsbehörden dient. Die Benennungspflicht ergibt sich aus Art. 37 DSGVO und ergänzend aus § 38 BDSG — in Deutschland unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Was ist ein Datenschutzbeauftragter?
Ein Datenschutzbeauftragter (DSB) ist eine Person, die in einem Unternehmen oder einer Behörde die Einhaltung des Datenschutzrechts überwacht, berät und als Ansprechpartner für Betroffene und Aufsichtsbehörden dient. Die Benennungspflicht ergibt sich aus Art. 37 DSGVO und ergänzend aus § 38 BDSG. Der DSB ist ein Kernbaustein der Compliance im Umgang mit personenbezogenen Daten und arbeitet eng mit den Regeln der DSGVO zusammen.
Wichtig ist die Rollenverteilung: Der DSB kontrolliert und berät, entscheidet aber nicht selbst. Die Verantwortung für den Datenschutz bleibt bei der Unternehmensleitung. Die deutsche Wikipedia zum Datenschutzbeauftragten beschreibt ihn daher als weisungsfreie, aber nicht entscheidungsbefugte Instanz. Er darf wegen seiner Tätigkeit nicht benachteiligt werden und genießt einen besonderen Kündigungsschutz.
Der DSB ist nicht zu verwechseln mit dem Verantwortlichen im Sinne der DSGVO — das ist die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, in der Regel die Geschäftsführung. Der DSB berät diesen Verantwortlichen, trägt aber nicht dessen Haftung.
Welche Aufgaben hat ein Datenschutzbeauftragter?
Der DSB unterrichtet und berät die Geschäftsführung und die Mitarbeitenden in Datenschutzfragen, überwacht die Einhaltung der DSGVO und interner Richtlinien, wirkt an der Datenschutz-Folgenabschätzung mit und ist Anlaufstelle für betroffene Personen und die Aufsichtsbehörde. Er führt oder prüft das Verzeichnis von Verarbeitungstätigkeiten und unterstützt bei technischen und organisatorischen Maßnahmen.
Der DSB kann intern benannt werden — ein geschulter Mitarbeitender — oder extern als Dienstleister. Wichtig sind Fachkunde, Zuverlässigkeit und die Vermeidung von Interessenkonflikten: Personen, die über Zwecke und Mittel der Verarbeitung entscheiden — etwa Geschäftsführer oder IT-Leiter —, kommen in der Regel nicht in Frage. Aufsichtsbehörden wie das Bayerische Landesamt für Datenschutzaufsicht veröffentlichen dazu praxisnahe Hinweise. Eine regelmäßige Datenschutz-Schulung der Mitarbeitenden gehört zu seinen typischen Aufgaben.
In der Praxis überwacht der DSB auch neue Vorhaben, bevor sie starten: die Einführung eines Tools, die Umstellung eines Bewerbungsprozesses oder eine neue Marketing-Kampagne mit Datenerhebung. Diese begleitende Kontrolle ist wirksamer als eine nachträgliche Prüfung, weil sich Datenschutz von Anfang an in die Prozesse einbauen lässt.
Wer muss einen Datenschutzbeauftragten benennen?
Nach der DSGVO besteht die Pflicht unter anderem, wenn die Kerntätigkeit in umfangreicher regelmäßiger Überwachung von Personen oder in umfangreicher Verarbeitung sensibler Daten besteht. Das deutsche BDSG ergänzt eine Schwelle: Beschäftigen in der Regel mindestens 20 Personen ständig automatisierte Datenverarbeitung — was in Büroumgebungen schnell erreicht ist —, muss ein DSB benannt werden. Die genauen Kriterien regelt § 38 BDSG in Verbindung mit Art. 37 DSGVO.
Auch unterhalb dieser Schwellen kann eine Benennung sinnvoll sein, etwa für Kanzleien und Steuerberatungsgesellschaften, die durchgehend sensible Mandatsdaten verarbeiten und ohnehin der Verschwiegenheitspflicht unterliegen. Ob im Einzelfall eine Pflicht besteht, sollte fachlich geprüft werden — die Kriterien sind auslegungsbedürftig. Verstöße gegen die Benennungspflicht können ein Bußgeld nach DSGVO nach sich ziehen.
Datenschutzbeauftragter in der Praxis
Der benannte DSB muss der Aufsichtsbehörde gemeldet und seine Kontaktdaten müssen veröffentlicht werden — üblicherweise in der Datenschutzerklärung der Website. Im Marketing-Alltag ist der DSB ein wichtiger Sparringspartner: Er prüft neue Tracking-Setups, bewertet Tools vor der Einführung — etwa eine Consent-Management-Platform oder ein neues Analyse-Werkzeug — und unterstützt bei Betroffenenanfragen wie dem Auskunftsrecht oder dem Recht auf Löschung.
Besonders relevant wird seine Einbindung bei der Auftragsverarbeitung durch Dienstleister und beim Drittlandtransfer, wenn Daten in Länder außerhalb der EU fließen. Externe DSB werden häufig im Rahmen von Monats- oder Jahrespauschalen beauftragt; die Kosten variieren je nach Unternehmensgröße und Komplexität erheblich. Kommt es zu einer Datenpanne, koordiniert der DSB die fristgerechte Meldung an die Aufsichtsbehörde und dokumentiert den Vorfall.
Interner oder externer DSB — und was zu beachten ist
Die Wahl zwischen internem und externem DSB hängt von Größe, Branche und vorhandenem Know-how ab. Ein interner DSB kennt die Abläufe genau, braucht aber Zeit, Schulung und Unabhängigkeit; ein externer bringt breite Erfahrung mit und vermeidet Interessenkonflikte, ist mit den internen Prozessen aber weniger vertraut. Entscheidend ist weniger die Frage intern oder extern, sondern dass der DSB früh eingebunden wird.
Nachträgliche Korrekturen an Tracking- oder Newsletter-Prozessen — etwa bei fehlender Einwilligung oder einem unsauberen Double-Opt-in — sind aufwendiger als eine Prüfung vor dem Start. Der Grundsatz Privacy by Design empfiehlt, Datenschutz von Anfang an mitzudenken, statt ihn im Nachhinein aufzusetzen. So wird der DSB vom Kontrolleur zum Ermöglicher rechtssicherer Kampagnen.
Der DSB und das Marketing
Gerade im digitalen Marketing berührt fast jede Maßnahme personenbezogene Daten: Websitebesuche, Newsletter-Anmeldungen, Retargeting, Formulareingaben. Der DSB hilft, diese Prozesse rechtssicher zu gestalten, ohne das Marketing lahmzulegen — indem er praktikable Lösungen wie eine saubere Einwilligung, datensparsame Tools und transparente Hinweise vorschlägt.
Ein gutes Zusammenspiel entsteht, wenn Marketing und DSB neue Vorhaben früh gemeinsam besprechen. Statt fertige Setups nachträglich abzunicken oder zu blockieren, entwickelt der DSB dann Alternativen mit. Das schützt vor Bußgeldern und Abmahnungen und schafft zugleich Vertrauen bei den Nutzern, deren Daten sorgsam behandelt werden — ein Wettbewerbsvorteil, der über die reine Pflichterfüllung hinausgeht.
Zusammenarbeit, Ressourcen und Grenzen
Ein Datenschutzbeauftragter kann seine Aufgabe nur erfüllen, wenn ihm ausreichend Zeit, Ressourcen und Zugang zu den relevanten Prozessen eingeräumt werden. Die DSGVO verlangt ausdrücklich, ihn frühzeitig und ordnungsgemäß in alle Fragen des Datenschutzes einzubinden. In der Praxis scheitert wirksamer Datenschutz oft nicht an fehlender Fachkunde, sondern daran, dass der DSB zu spät oder gar nicht gefragt wird.
Zugleich sind die Grenzen der Rolle zu beachten: Der DSB überwacht und berät, haftet aber nicht für Entscheidungen der Leitung und darf nicht in einen Interessenkonflikt geraten. Für Betroffene ist er Anlaufstelle bei Anfragen, etwa zum Auskunftsrecht, ersetzt aber keine Rechtsberatung im Einzelfall. Ergänzt wird seine Arbeit durch klare interne Regeln, etwa eine KI-Richtlinie im Unternehmen, wenn neue Technologien personenbezogene Daten berühren.
Für kleinere Unternehmen ohne Benennungspflicht bleibt der Datenschutz dennoch verpflichtend — nur eben ohne formalen DSB. Auch dann müssen Verarbeitungen dokumentiert, Einwilligungen sauber eingeholt und Betroffenenrechte gewahrt werden. Viele Betriebe entscheiden sich freiwillig für einen externen Ansprechpartner, um Rechtssicherheit zu gewinnen, ohne internes Personal dauerhaft zu binden. Entscheidend ist am Ende weniger der Titel als die gelebte Praxis: Wer Datenschutz früh mitdenkt, Prozesse dokumentiert und im Zweifel fachlichen Rat einholt, erfüllt nicht nur die gesetzlichen Vorgaben, sondern signalisiert Kunden und Mandanten einen sorgsamen Umgang mit ihren Daten — ein Vertrauensvorschuss, der gerade in sensiblen Branchen zählt. Datenschutz wird so vom lästigen Pflichtthema zu einem Qualitätsmerkmal, das ein Unternehmen im Wettbewerb positiv von weniger sorgfältigen Anbietern abhebt. Ein gut aufgestellter Datenschutz signalisiert Professionalität und schützt zugleich vor teuren Zwischenfällen, die den Ruf nachhaltig beschädigen könnten.