Ein Datenschutzbeauftragter (DSB) ist die unabhängige Kontroll- und Beratungsinstanz für den Umgang mit personenbezogenen Daten in deinem Unternehmen. Für viele KMU wird die Frage erst mit dem Einsatz von KI-Tools konkret: Ein Chatbot, eine KI-gestützte Bewerbervorauswahl oder eine automatisierte Kundenanalyse verarbeiten oft große Mengen personenbezogener Daten – und genau das kann die Pflicht zur Bestellung eines DSB auslösen, auch wenn dein Team klein ist.
Was bedeutet ein Datenschutzbeauftragter (DSB)?
Der DSB prüft, ob dein Unternehmen die Datenschutzregeln einhält, berät Geschäftsführung und Team im Alltag und ist Ansprechpartner sowohl für Aufsichtsbehörden als auch für Kund:innen oder Mitarbeitende, die Fragen zu ihren Daten haben. Er kann intern bestellt werden (eine Person aus dem Team, die dafür freigestellt wird) oder extern, etwa über eine Kanzlei oder einen spezialisierten Dienstleister. Wichtig zu wissen: Der DSB trifft keine eigenen Entscheidungen, er berät und kontrolliert. Für die DSGVO-Compliance bleibt das Unternehmen verantwortlich; die Bestellung eines DSB verlagert diese Verantwortung nicht auf ihn.
Zu den typischen Aufgaben gehören:
- Beratung vor der Einführung neuer Tools, etwa eines KI-Assistenten
- laufende Kontrolle, ob die Datenschutzregeln im Tagesgeschäft eingehalten werden
- Ansprechpartner für Aufsichtsbehörde, Kund:innen und Mitarbeitende
- Unterstützung bei einer Datenschutz-Folgenabschätzung (DSFA), falls nötig
Warum ist ein DSB für mein Unternehmen wichtig – gerade beim Einsatz von KI?
Ob du einen DSB bestellen musst, hängt nicht an einer einzigen Zahl, sondern an mehreren Auslösern, die durch KI-Nutzung schneller erreicht werden als viele KMU denken:
- Behörde oder öffentliche Stelle: Dann besteht die Pflicht immer – für die meisten Freelancer und KMU nicht relevant.
- In der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Teilzeitkräfte zählen mit. Bei Freelancern und anderen externen Personen kommt es darauf an, wie stark sie tatsächlich in eure Datenverarbeitung eingebunden sind – Grenzfälle lässt du am besten prüfen. Für ein Fünf-Personen-Team ist das meist kein Thema, für ein wachsendes Team ab etwa 20 Personen, die dauerhaft mit Daten arbeiten, aber schon.
- Unabhängig von der Teamgröße, wenn eure Verarbeitung eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erfordert. Das ist bei manchen KI-Anwendungen der Fall, etwa wenn ein Tool Bewerber:innen oder Kund:innen automatisiert bewertet oder scort.
- Wenn eure Kerntätigkeit selbst in umfangreicher, systematischer Überwachung von Personen besteht (Art. 37 Abs. 1 lit. b DSGVO). Das betrifft in der Praxis nur Unternehmen, deren Geschäftsmodell auf Scoring, Tracking oder Verhaltensanalyse aufbaut – nicht ein normales KMU, das ChatGPT oder ein CRM-Tool im Alltag als Hilfsmittel nutzt.
- Wenn eure Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa Gesundheits- oder biometrische Daten) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) besteht (Art. 37 Abs. 1 lit. c DSGVO). Das kann bei KI-Anwendungen im Gesundheits- oder Biometriebereich relevant werden. Alle drei Bedingungen müssen zusammenkommen: Kerntätigkeit, umfangreiche Verarbeitung und diese besonderen Datenarten.
Nutzt du KI nur unterstützend, etwa für Textentwürfe oder interne Recherche, löst das allein in der Regel noch keine DSB-Pflicht aus. Sobald ein Tool aber Personen automatisiert bewertet oder große Profile bildet, solltest du vorab prüfen, ob eine DSFA nötig wird.
(Stand: 2026-09) Die Bundesregierung hat in der Föderalen Modernisierungsagenda vom 4. Dezember 2025 angekündigt, die Abschaffung von § 38 Abs. 1 BDSG bis Ende 2026 auf den Weg zu bringen (Bericht dazu bei dr-datenschutz.de). Danach würde nur noch der risikobasierte Ansatz aus Art. 37 DSGVO gelten. Das ist bisher eine politische Absicht, kein geltendes Recht: Ein Gesetzentwurf lag zu diesem Zeitpunkt noch nicht vor, die aktuelle Regelung gilt also bis auf Weiteres unverändert.
Ein Datenschutzbeauftragter in der Praxis
Eine 12-köpfige Marketing-Agentur führt ein KI-Tool ein, das Bewerbungen automatisiert vorsortiert und bewertet. Die Teamgröße liegt klar unter der 20-Personen-Schwelle – trotzdem lohnt sich ein zweiter Blick: Automatisiertes Scoring von Bewerber:innen zählt zu den klassischen Fällen, in denen eine Datenschutz-Folgenabschätzung nötig werden kann. Ist das bei euch der Fall, greift die DSB-Pflicht unabhängig von der Mitarbeiterzahl. In der Praxis heißt das: vor dem Rollout prüfen, ob das Tool personenbezogene Daten automatisiert bewertet, bei Bedarf einen externen DSB beauftragen, gemeinsam die DSFA durchführen und den Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter checken. Aktuelle Details zu Funktionsumfang und Vertragsunterlagen solltet ihr dabei direkt beim jeweiligen Anbieter prüfen.
Häufige Fragen
Muss ein Fünf-Personen-Freelancer-Team einen Datenschutzbeauftragten bestellen?
In der Regel nicht. Die Pflicht greift meist erst ab 20 Personen, die in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder wenn eure Verarbeitung eine Datenschutz-Folgenabschätzung erfordert, etwa bei systematischem KI-Scoring von Kund:innen oder Bewerber:innen. Ebenso kann die umfangreiche Verarbeitung besonderer Datenkategorien als Kerntätigkeit eine Pflicht auslösen.
Zählen Freelancer und Teilzeitkräfte bei der 20-Personen-Schwelle mit?
Teilzeitkräfte zählen mit. Nach Paragraf 38 BDSG kommt es darauf an, dass eine Person in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist. Bei Freelancern und anderen externen Personen hängt es von ihrer tatsächlichen Einbindung ab; Grenzfälle solltest du prüfen lassen.
Reicht ein externer Datenschutzbeauftragter für ein KMU aus?
Ja. Ein extern beauftragter Datenschutzbeauftragter, etwa über eine Kanzlei oder einen spezialisierten Dienstleister, erfüllt die gesetzlichen Anforderungen genauso wie eine interne Bestellung und ist für viele KMU die praktikablere Lösung.
Macht der Einsatz eines KI-Chatbots automatisch einen Datenschutzbeauftragten nötig?
Nicht automatisch. Entscheidend ist, ob die Nutzung zur Kerntätigkeit mit umfangreicher, systematischer Überwachung wird oder eine Datenschutz-Folgenabschätzung erfordert. Reine Unterstützung im Alltag, etwa für Textentwürfe, reicht dafür in der Regel nicht aus.