Wann brauche ich einen Datenschutzbeauftragten?
Die Richtlinien dazu sind sehr einfach. Es gibt sieben Gründe, aus denen ein Datenschutzbeauftragter bestellt werden muss. Ist keiner der sieben Gründe erfüllt, braucht auch kein Datenschutzbeauftragter bestellt zu werden.
Der Haken: Man kann sich den Vorgaben der DSGVO nicht entziehen. Alle Unternehmen müssen die DSGVO umsetzen, ob mit oder ohne Datenschutzbeauftragten.
Bild: KI-generiert (OpenAI)
Autor: Peer Casper · Veröffentlicht am 1. September 2026 · Aktualisiert am 2. September 2026
Wenn Sie keinen Datenschutzbeauftragten bestellen müssen, kümmert sich Ihre Geschäftsführung selbst darum, die Vorgaben umzusetzen.
Zuerst ein verbreiteter Irrtum
Irrtümlicherweise glauben viele Unternehmerinnen und Unternehmer, dass sie die Vorgaben aus der DSGVO und dem BDSG nicht umzusetzen brauchen, wenn diese Gründe auf sie nicht zutreffen. Das stimmt aber nicht.
Denn die Pflicht zur Umsetzung hat gar nichts damit zu tun, ob Sie einen Datenschutzbeauftragten bestellen müssen oder nicht.
Das sind zwei getrennte Fragen, und die eine beantwortet niemals die andere. Jedes Unternehmen muss die DSGVO umsetzen, egal ob mit oder ohne Datenschutzbeauftragten.
Die sieben Gründe
Zu sehen ist zunächst nur der jeweilige Grund. Wer die Einzelheiten und ein Beispiel dazu lesen möchte, klappt den Punkt auf.
1Die Verantwortliche Stelle ist eine Behörde.+
Die verantwortliche Stelle ist die Organisation, die über die Datenverarbeitung entscheidet – in diesem Fall also eine Behörde oder öffentliche Stelle.
Ausgenommen sind nur Gerichte, soweit sie Recht sprechen.
Das trifft zum Beispiel auf Rathäuser, Schulen und Sozialämter zu.
2Die Kerntätigkeit besteht aus regelmäßiger, systematischer und umfangreicher Verarbeitung personenbezogener Daten.+
Entscheidend ist das Wort Kerntätigkeit. Es geht um das, womit das Unternehmen sein Geld verdient.
Typisch dafür sind Auskunfteien, Detekteien oder Unternehmen für zielgerichtete Werbung.
3Die Kerntätigkeit besteht aus der umfangreichen Verarbeitung sensibler personenbezogener Daten.+
Sensible Daten sind Angaben zu:
- ethnischer Herkunft,
- politischen Meinungen,
- religiösen oder weltanschaulichen Überzeugungen,
- Gewerkschaftszugehörigkeit,
- genetischen Merkmalen,
- biometrischen Merkmalen zur eindeutigen Identifizierung,
- Gesundheit,
- Sexualleben und sexueller Orientierung,
- strafrechtlichen Verurteilungen und Straftaten.
Betroffen sind etwa Krankenhäuser, Gen-Labore, Beratungsstellen wie Pro Familia oder Versandhändler für Erotikartikel.
420 oder mehr Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.+
Gezählt wird jede Person, die regelmäßig mit personenbezogenen Daten arbeitet – auch in Teilzeit oder als Aushilfe.
Ein normaler Büroarbeitsplatz zählt in der Regel mit.
Man denke an ein Handwerksunternehmen mit großer Verwaltung oder eine Steuerkanzlei.
5Eine Verarbeitung unterliegt einer Datenschutz-Folgenabschätzung.+
Eine Datenschutz-Folgenabschätzung ist eine Risikoprüfung vor dem Start. Sie wird fällig, wenn eine Verarbeitung für die Betroffenen voraussichtlich ein hohes Risiko bedeutet.
In der Praxis heißt das: die Videoüberwachung großer öffentlich zugänglicher Bereiche.
6Personenbezogene Daten werden geschäftsmäßig zum Zweck der Übermittlung verarbeitet.+
Gemeint ist die Weitergabe als Geschäftszweck. Das gilt auch dann, wenn die Daten vorher anonymisiert werden.
Das trifft zum Beispiel auf Adresshändler zu.
7Personenbezogene Daten werden für Zwecke der Markt- oder Meinungsforschung verarbeitet.+
Hier kommt es nicht auf den Umfang an. Auch kleine Erhebungen lösen die Pflicht aus.
Typisch dafür sind Meinungsforschungsinstitute und Betreiber von Online-Befragungen.
Randnotiz: Die Bundesregierung hat angekündigt, die Gründe 4 bis 7 – vier deutsche Sonderregeln – bis Ende 2026 abzuschaffen. Ein Gesetzentwurf liegt dafür noch nicht vor. Ob es am Ende drei oder sieben Gründe gibt, einen Datenschutzbeauftragten bestellen zu müssen: Die Pflicht zur Umsetzung der DSGVO bleibt davon unberührt.
Wenn Sie keinen Datenschutzbeauftragten bestellen müssen, was kommt dann auf Sie zu?
Auch wenn keiner dieser Gründe erfüllt ist, kommen Sie um die Umsetzung der DSGVO nicht herum.
Sie müssen alles genau so erstellen und erfüllen, als hätten Sie einen Datenschutzbeauftragten bestellt. Es gibt da keinen Unterschied. In diesem Fall übernimmt die Geschäftsführung die Aufgaben des Datenschutzbeauftragten, und die verlangen eine Person mit Fachkunde und Erfahrung.
Und hier kann es kompliziert werden.
Sie dürfen auch freiwillig einen Datenschutzbeauftragten benennen.
Oft führt die fehlende Fachkenntnis im eigenen Hause zu höheren Kosten und einem höheren Haftungsrisiko für die Geschäftsführung.
Auch wenn Sie zur Bestellung eines Datenschutzbeauftragten nicht verpflichtet sind, können Sie dennoch einen benennen. Diese Benennung stellt nicht nur zu Beginn die DSGVO-Konformität her, sondern sorgt auch fortlaufend für die Einhaltung der Vorgaben.
Das muss auch gar nicht teuer sein. Einen Datenschutzbeauftragten gibt es für kleine Unternehmen auch für kleines Geld.
Weiterlesen: Was macht ein Datenschutzbeauftragter?