Datenschutz auf dich zugeschnitten.
Bist du DSB-pflichtig? Finde es in 2 Minuten heraus — bevor's das Bußgeld tut.
Beantworte 7 kurze Fragen zu Mitarbeitern, Branche und Datenart. Du erfährst sofort, ob du nach §38 BDSG oder Art. 37 DSGVO einen Datenschutzbeauftragten bestellen musst — inklusive realistischer Kostenspanne. Kostenlos, ohne E-Mail.
- Kostenlos & ohne E-Mail
- Rechtsgrundlagen DE & AT
- 2 Minuten Aufwand
• Was du dir sparst
Du sparst dir das Rätselraten um die DSB-Pflicht.
Statt §38 BDSG, Art. 37 DSGVO und unzählige Foren-Diskussionen selbst zu durchforsten — der Pflichtrechner liefert dir die klare Einschätzung in 2 Minuten.
2 Min
Pflicht-Status klar
Schluss mit „Vielleicht brauchen wir einen DSB" — du erhältst eine eindeutige Einschätzung auf Basis der geltenden Rechtsgrundlage.
10 Mio
Bußgeld vermeiden
Eine fehlende DSB-Bestellung kann bei Aufsichtsprüfungen Bußgelder bis zu 10 Mio. € oder 2 % des Jahresumsatzes auslösen.
3
Vorqualifizierte Angebote
Falls du pflichtig bist: 3 vorqualifizierte DSB-Anbieter aus unserem Netzwerk — kostenfrei vermittelt, auf deinen Bedarf zugeschnitten.
DSB-PFLICHT PRÜFEN
Keine Zeit für §-Paragraphen? Mach den 2-Minuten-Check.
7 Fragen. Sofortiges Ergebnis. Ohne E-Mail.
• Rechtsgrundlagen
Wer ist DSB-pflichtig — und warum?
Vier Trigger entscheiden über die Bestellpflicht. Schon einer reicht — alle anderen Faktoren werden dann irrelevant.
20-MA-Schwelle
Ab 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten, ist die Bestellung gesetzlich verpflichtend — unabhängig von Branche oder Datenart.
Kerntätigkeit
Datenverarbeitung ist dein Kerngeschäft? (Online-Shop, Agentur, Versicherung, Personalvermittlung) → Pflicht ab dem ersten Mitarbeiter.
Sensible Daten
Gesundheit, Religion, biometrische Daten als Kerntätigkeit? Dann besteht DSB-Pflicht — auch ohne MA-Schwelle, auch in Österreich.
Überwachung
Tracking, Videoüberwachung mit Personenanalytik, Standortverfolgung in großem Umfang lösen ebenfalls eine DSB-Bestellpflicht aus.
• Du spielst mit dem Feuer
Du sparst dir die Millionen-Strafe.
Oder eben nicht.
Vier Trigger entscheiden über die Bestellpflicht. Schon einer reicht — alle anderen Faktoren werden dann irrelevant.
Bußgeldrahmen nach DSGVO
10.000.000€
... oder 2 % deines weltweiten Jahresumsatzes — was höher ist. Eine fehlende DSB-Bestellung gilt als verschärfender Faktor: Sie macht das Bußgeld höher, nicht niedriger.
§ Art. 83 Abs. 4 DSGVO
Harald Orendi · ComplyDeal Jurist
"
Viele KMU unterschätzen, wann die DSB-Pflicht greift — und merken es erst, wenn das Bußgeld kommt. Unser DSB-Pflicht-Check zeigt dir in 2 Minuten, ob du betroffen bist. Bevor es jemand anderes prüft.
• So einfach geht's
In 3 Schritten zur DSB-Klarheit
Vom ersten Klick bis zur Entscheidung — ohne Anwalt, ohne Wartezeit.
Pflichtprüfung starten
In 2 Minuten ausfüllen
7 Fragen zu Mitarbeitern, Branche und Datenart — keine Anmeldung, kein Vorwissen nötig.
Ergebnis erhalten
Status + Kostenspanne
Du erfährst sofort, ob du DSB-pflichtig bist, auf welcher Rechtsgrundlage — und was externe Betreuung kosten würde.
Optional
3 passende Angebote
Wenn du einen DSB brauchst, vermitteln wir dir kostenfrei 3 vorqualifizierte Anbieter — du entscheidest in Ruhe.
Klarheit ist günstiger als ein Bußgeld.
7 Fragen, 2 Minuten, sofortiges Ergebnis. Kostenlos und ohne E-Mail-Eingabe.
bereits über 3.500 zufriedene Unternehmen
Wir wollten IT-Security sauber aufsetzen, ohne Wochen Recherche. Ablauf war logisch, die Auswahl seriös – Ergebnis: Anbieter gefunden, Projekt gestartet, läuft richtig gut.
Arbeitssicherheit war bei uns ein Baustellen-Thema. ComplyDeal hat uns super geführt – und wir haben einen Dienstleister gefunden, der schnell vor Ort war und alles geregelt hat.
Ich muss zugeben: Daten eintragen war erst eine kleine Hürde. Aber danach ging’s flott – wir haben ein top Angebot bekommen und sind mit dem beauftragten Anbieter sehr happy.
Wir brauchten Hinweisgebersystem + Datenschutz aus einer Hand. Der Bedarfsabgleich war auf den Punkt, Matching stark – am Ende den passenden Anbieter gewählt, super Umsetzung.
Wir hatten Angst vor Blendern. ComplyDeal hat sauber vorqualifiziert – dadurch haben wir einen seriösen Datenschutz-Partner gefunden, fairer Preis und gute Kommunikation.
Bei uns war Compliance immer ‘irgendwann’. ComplyDeal hat’s sortiert: Bedarf, Call, Matching – jetzt haben wir einen Partner für Datenschutz & Arbeitssicherheit und alles läuft.
Wir wollten IT-Security sauber aufsetzen, ohne Wochen Recherche. Ablauf war logisch, die Auswahl seriös – Ergebnis: Anbieter gefunden, Projekt gestartet, läuft richtig gut.
Arbeitssicherheit war bei uns ein Baustellen-Thema. ComplyDeal hat uns super geführt – und wir haben einen Dienstleister gefunden, der schnell vor Ort war und alles geregelt hat.
Ich muss zugeben: Daten eintragen war erst eine kleine Hürde. Aber danach ging’s flott – wir haben ein top Angebot bekommen und sind mit dem beauftragten Anbieter sehr happy.
Wir brauchten Hinweisgebersystem + Datenschutz aus einer Hand. Der Bedarfsabgleich war auf den Punkt, Matching stark – am Ende den passenden Anbieter gewählt, super Umsetzung.
Wir hatten Angst vor Blendern. ComplyDeal hat sauber vorqualifiziert – dadurch haben wir einen seriösen Datenschutz-Partner gefunden, fairer Preis und gute Kommunikation.
Bei uns war Compliance immer ‘irgendwann’. ComplyDeal hat’s sortiert: Bedarf, Call, Matching – jetzt haben wir einen Partner für Datenschutz & Arbeitssicherheit und alles läuft.
ComplyDeal ist die kostenlose und unabhängige Nr. 1 Vergleichsplattform, wenn es um das Thema Arbeitssicherheit geht – von externer Fachkraft für Arbeitssicherheit bis zur Unterstützung bei der rechtssicheren Organisation im Unternehmen.
FAQ – Häufige Fragen
In Deutschland ist die Bestellung eines Datenschutzbeauftragten Pflicht, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§38 Abs. 1 BDSG). Gezählt wird nach Köpfen, nicht nach Stellenanteilen — Teilzeit, Minijobs und Auszubildende zählen mit, sofern sie regelmäßig mit personenbezogenen Daten umgehen.
Unabhängig von der Mitarbeiterzahl entsteht die Pflicht auch dann, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordert, oder wenn Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.
In Österreich gibt es keine gesonderte Mitarbeiter-Schwelle. Maßgeblich ist allein Art. 37 DSGVO: Ein DSB ist verpflichtend, wenn die Kerntätigkeit in der umfangreichen Verarbeitung sensibler Daten oder in systematischer Überwachung in großem Umfang besteht.
In den meisten Fällen ja. Online-Shops gelten typischerweise als Kerngeschäft im Sinne von Art. 37 DSGVO, weil sie regelmäßig und umfangreich personenbezogene Daten von Kunden verarbeiten — von Bestelldaten über Zahlungsinformationen bis hin zu Tracking-Daten.
In Deutschland greift zusätzlich die 20-Personen-Schwelle nach §38 BDSG. Wer mehr als 20 Beschäftigte mit Datenzugriff hat, ist unabhängig vom Kerngeschäft pflichtig.
Der Pflichtrechner prüft anhand deiner konkreten Angaben (Mitarbeiterzahl, Datenkategorien, Tracking-Intensität), welcher Tatbestand für deinen Shop greift.
Die Marktspanne für externe DSB-Betreuung in DACH liegt grob bei 80 bis 400 € pro Monat, abhängig von Unternehmensgröße, Branche und Komplexität der Datenverarbeitung. Kleinunternehmen mit Standard-Datenverarbeitung liegen am unteren Ende, größere Unternehmen mit sensiblen Daten oder hohem Verarbeitungsvolumen entsprechend höher.
Zusätzlich fällt für die einmalige Aufsetzung (Verarbeitungsverzeichnis, TOMs, AV-Verträge, Datenschutzerklärung) oft eine separate Position an — typisch 1.500 bis 5.000 € einmalig, je nach Aufwand und Bestandsdokumentation.
Der Pflichtrechner liefert dir nach den 7 Fragen eine individuelle Spanne für dein Unternehmen.
Beides ist gesetzlich erlaubt. Die DSGVO und das BDSG schreiben nicht vor, ob die Bestellung intern oder extern erfolgen muss.
Beide Varianten haben praktische Implikationen: Ein interner DSB muss fachlich qualifiziert, weisungsfrei und vor Abberufung geschützt sein. Er genießt zudem einen besonderen Kündigungsschutz nach §6 Abs. 4 BDSG, der ein Jahr nachwirkt. Bei kleineren Unternehmen ist das organisatorisch und arbeitsrechtlich oft schwer abzubilden.
Ein externer DSB wird über einen Dienstleistungsvertrag eingebunden, bringt fachliche Expertise mit und ist meist günstiger als die interne Lösung mit allen Folgekosten (Schulung, Kündigungsschutz, Vertretungsregelung).
Weder die DSGVO noch das BDSG nennen eine konkrete Frist. In der herrschenden Auslegung bedeutet das: Die Bestellung muss erfolgen, sobald die Voraussetzungen erfüllt sind — also unmittelbar, nicht „bei nächster Gelegenheit".
In der Praxis akzeptieren Aufsichtsbehörden eine kurze Übergangszeit für die Auswahl und vertragliche Einbindung. Wer aber bei einer Prüfung keinen Bestellnachweis vorlegen kann und die Voraussetzungen objektiv erfüllt, riskiert eine Beanstandung — unabhängig davon, wie lange die Pflicht objektiv schon bestand.
Praxistipp: Auch wenn keine Schriftform gesetzlich vorgeschrieben ist, sollte die Bestellung schriftlich dokumentiert und der Aufsichtsbehörde gemeldet werden (Art. 37 Abs. 7 DSGVO).
Verstöße gegen die Bestellpflicht fallen in den Bußgeldrahmen nach Art. 83 Abs. 4 DSGVO: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes — der höhere Betrag von beiden gilt.
Das ist der theoretische Oberrahmen. In der Praxis bei KMU werden Bußgelder im vier- bis sechsstelligen Bereich verhängt, abhängig von Schwere des Verstoßes, Umsatz und vorwerfbarem Verschulden. Eine versäumte DSB-Bestellung fließt in die Bemessung als Indiz für mangelnde organisatorische Maßnahmen ein.
Hinzu kommen mögliche Anschlussprüfungen und — bei groben Mängeln — zivilrechtliche Haftungsfragen gegenüber Betroffenen.
Nein. Die Bundesregierung hat im Juli 2024 ein Positionspapier vorgelegt, das eine Anhebung der Schwelle von 20 auf 50 Mitarbeitende vorsieht. Beschlossen ist diese Änderung bislang nicht. Bis zur Verabschiedung gilt die 20-Personen-Schwelle nach §38 BDSG unverändert.
Wichtig: Selbst wenn die Anhebung kommt, ändert sich nichts an der DSB-Pflicht nach Art. 37 DSGVO — also bei sensibler Datenverarbeitung, Kerngeschäft Datenverarbeitung oder systematischer Überwachung. Diese Tatbestände bleiben unabhängig von der nationalen Schwelle bestehen.
Nein. Der Pflichtrechner liefert eine fundierte Ersteinschätzung auf Basis von §38 BDSG und Art. 37 DSGVO. Er ersetzt keine individuelle Rechtsberatung — gerade an den Grenzen (etwa bei der Frage, ob „umfangreiche Verarbeitung" oder „Kerntätigkeit" vorliegt) bedarf es einer Einzelfallprüfung durch eine qualifizierte Person.
Für eine verbindliche Bewertung empfehlen wir das Gespräch mit einem zertifizierten Datenschutzbeauftragten — wir vermitteln dir auf Wunsch 3 passende Anbieter aus unserem Netzwerk.