„Wir sind nur acht Leute. Trotzdem will unser neuer Großkunde den Namen unseres Datenschutzbeauftragten wissen.“
Diesen Satz hören wir von kleinen Unternehmen in Bonn, Köln und NRW immer öfter. Das Gesetz verlangt den Datenschutzbeauftragten erst ab einer bestimmten Größe. Der Auftraggeber verlangt ihn oft sofort. Hier die wichtigsten Antworten.
Ab wann ist ein Datenschutzbeauftragter gesetzlich Pflicht?
Nach § 38 BDSG in der Regel dann, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen – auch Teilzeitkräfte, Auszubildende und Praktikanten, wenn sie regelmäßig am Computer mit Kunden- oder Mitarbeiterdaten arbeiten.
Unabhängig von der Personenzahl gilt die Pflicht nach Art. 37 DSGVO und § 38 BDSG zum Beispiel, wenn eine Datenschutz-Folgenabschätzung nötig ist oder wenn die Kerntätigkeit die umfangreiche Verarbeitung besonders sensibler Daten ist, etwa Gesundheitsdaten.
Warum verlangen Auftraggeber einen Datenschutzbeauftragten?
Große Unternehmen und öffentliche Auftraggeber haften für ihre Dienstleister mit. Wenn Sie in deren Auftrag personenbezogene Daten verarbeiten, brauchen sie nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung – und wollen sehen, dass Sie den Datenschutz im Griff haben. Deshalb tauchen in Lieferanten-Fragebögen und Ausschreibungen Fragen wie diese auf:
- Wer ist Ihr Datenschutzbeauftragter?
- Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten?
- Welche technischen und organisatorischen Maßnahmen (TOM) setzen Sie ein?
- Sind Ihre Mitarbeitenden im Datenschutz geschult?
- Wie melden Sie Datenpannen?
Wer hier keine Antworten hat, verliert den Auftrag – unabhängig davon, ob das Gesetz einen Datenschutzbeauftragten vorschreibt.
Gilt die DSGVO auch ohne Datenschutzbeauftragten?
Ja. Das ist der häufigste Irrtum. Die DSGVO gilt für jedes Unternehmen, auch für Ein-Personen-Betriebe. Verzeichnis von Verarbeitungstätigkeiten, Informationspflichten, Datenpannen-Meldung innerhalb von 72 Stunden – all das müssen Sie auch ohne Datenschutzbeauftragten erfüllen. Der Datenschutzbeauftragte sorgt dafür, dass es tatsächlich passiert.
Intern oder extern – was ist für KMU besser?
Ein interner Datenschutzbeauftragter braucht Fachkunde, Zeit und genießt einen besonderen Kündigungsschutz. Geschäftsführer oder IT-Leiter dürfen die Rolle wegen Interessenkonflikten in der Regel nicht übernehmen. Für kleine Unternehmen ist ein externer Datenschutzbeauftragter deshalb meist die einfachere Lösung: planbare Kosten, keine eigene Ausbildung, sofort ein Nachweis für den Auftraggeber.
Was hat Datenschutz mit ISO 27001 zu tun?
Sehr viel. Die TOM nach Art. 32 DSGVO und die Maßnahmen aus ISO 27001 betreffen dieselben Themen: Zugriffsrechte, Backups, Verschlüsselung, Lieferanten. Wer beides getrennt angeht, macht doppelte Arbeit. Wenn Ihr Auftraggeber zusätzlich einen Nachweis zur Informationssicherheit verlangt, lesen Sie ISO 27001 Zertifizierung: Was muss ich zuerst tun?
Das Wichtigste in Kürze
- Gesetzliche Pflicht in der Regel ab 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten.
- Auftraggeber und Ausschreibungen verlangen den Datenschutzbeauftragten oft schon bei kleineren Unternehmen.
- Die DSGVO gilt für jedes Unternehmen – auch ohne Datenschutzbeauftragten.
- Für KMU ist ein externer Datenschutzbeauftragter meist die einfachste Lösung.
- Datenschutz und ISO 27001 gemeinsam aufbauen spart doppelte Arbeit.
Häufige Fragen (FAQ)
Zählen Teilzeitkräfte und Azubis bei der 20-Personen-Grenze mit?
Ja. Gezählt werden Personen, nicht Vollzeitstellen – sofern sie ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Kann der Geschäftsführer selbst Datenschutzbeauftragter sein?
In der Regel nicht, weil er sich sonst selbst kontrollieren würde. Das gilt meist auch für IT- oder Personalleitung.
Muss der Datenschutzbeauftragte gemeldet werden?
Ja. Die Kontaktdaten müssen veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden, in NRW der LDI NRW.
Wird ein externer Datenschutzbeauftragter gefördert?
Die laufende Tätigkeit als Datenschutzbeauftragter wird nicht gefördert. Für Beratung zum Aufbau von Informationssicherheit kann für KMU eine Förderung über BAFA oder INQA infrage kommen. Alle Angaben ohne Gewähr.
Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Ihr Auftraggeber verlangt einen Datenschutzbeauftragten?
Wir übernehmen die Rolle extern und liefern die Datenschutz-Nachweise – für KMU in Bonn, Köln und NRW.
Mittagspause für den Mittelstand in Bonn
Jeden letzten Freitag im Monat, 12–14 Uhr: Unternehmerinnen und Unternehmer aus Bonn, Köln und der Region tauschen sich in kleiner Runde aus – maximal 12 Unternehmen pro Treffen.
Autor: Reza Abdi
Wirtschaftsingenieur, gelisteter BAFA-Berater und INQA-Coach. Berater und interner Auditor für ISO 9001, ISO 27001 und ISO 42001. QPFG, c/o Innovation Club DACH, Bonn.
Stand: 9. November 2026
Jetzt kostenfreies Erstgespräch buchen
Ing. Reza Abdi, M.Sc. Wirtschaftsingenieurwesen
Gelisteter BAFA-Berater · Autorisierter INQA-Coach · DGQ-Regionalkreisleiter Köln-Bonn
15+ Jahre Erfahrung mit Managementsystemen im Mittelstand
📞 +49 172 8410356
✉️ reza.abdi@qpfg.de
🔗 LinkedIn: linkedin.com/in/rezaabdi
📍 c/o Innovation Club DACH, Vorgebirgsstraße 80, 53119 Bonn