Ihr wachst, das Team wird größer und plötzlich steht die Frage im Raum: Brauchen wir einen Datenschutzbeauftragten im Startup oder nicht? Typisches Bild: CRM, Support-Postfach, Bewerbertool, Cloud-Hosting, Analytics, Newsletter und inzwischen ein paar KI-Tools. Überall fließen personenbezogene Daten.
Ein Datenschutzbeauftragter (DSB) ist eine unabhängige Funktion, die ein Unternehmen bei der Einhaltung der DSGVO berät und die Umsetzung überwacht. Die Benennung ist in Deutschland Pflicht, wenn in der Regel mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten oder bestimmte Risikokriterien nach DSGVO und BDSG erfüllt sind.
Die verbreitete Annahme „Wir sind unter 20 Personen, also betrifft uns das nicht“ ist zu kurz gedacht. Die 20-Personen-Regel ist ein zentraler deutscher Maßstab, aber es gibt Sonderfälle, die auch ein Sechs-Personen-Team treffen können. In diesem Artikel sortiert ihr eure Ausgangslage, versteht die Rollen, vergleicht interne und externe Lösungen und bekommt eine umsetzbare 30-Tage-Liste. Und noch etwas vorweg: Ein benannter DSB ersetzt weder sichere Produktentscheidungen noch Verträge, Zugriffsregeln oder Löschprozesse. Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Prüfung des Einzelfalls.
Inhaltsverzeichnis
- Erst die Rollen trennen, dann die Pflicht prüfen
- Die Entscheidungslogik nach DSGVO und BDSG
- Fünf typische Geschäftsmodelle richtig einordnen
- Intern besetzen oder externe Expertise nutzen?
- Nach der Benennung beginnt die eigentliche Arbeit
- Datenschutz-Basisprozesse und 30-Tage-Startplan
- Häufige Fehlannahmen zum Schluss
- Fazit
Erst die Rollen trennen, dann die Pflicht prüfen
Bevor ihr über eine Benennung nachdenkt, lohnt sich ein Blick auf drei Rollen, die in der Praxis ständig verwechselt werden.
Verantwortlicher ist in der Regel euer Startup als Unternehmen. Ihr entscheidet über Zweck und Mittel der Verarbeitung: warum Kundendaten im CRM landen, wie Bewerbungen bearbeitet werden, welche Produktnutzungsdaten ihr auswertet. Die rechtliche und operative Verantwortung bleibt hier – daran ändert auch kein Dienstleister etwas.
Auftragsverarbeiter ist ein Dienstleister, der personenbezogene Daten weisungsgebunden für euch verarbeitet. Klassisch: Hosting, Lohnbuchhaltung, Newsletter-Versand oder ein Support-System. Ob diese Rolle wirklich passt, hängt vom einzelnen Prozess ab und nicht vom Anbieterlabel.
Datenschutzbeauftragter ist eine unabhängige beratende und überwachende Funktion. Der DSB unterstützt, sensibilisiert, überwacht die Einhaltung und ist Anlaufstelle für Betroffene und Aufsichtsbehörde. Er entscheidet aber nicht anstelle der Geschäftsführung über Datenzwecke oder Produktarchitektur.
Damit löst sich auch der häufigste Irrtum auf: Ein Auftragsverarbeitungsvertrag (AVV) regelt die Zusammenarbeit zwischen Verantwortlichem und Auftragsverarbeiter. Er ersetzt keinen DSB und schafft auch keine Datenschutzorganisation im Unternehmen.
Ein Praxisbeispiel: Ein SaaS-Startup ist für die eigenen Beschäftigtendaten selbst verantwortlich und kann bei der Verarbeitung von Kundendaten je nach Produkt und Weisungslage als Auftragsverarbeiter handeln. Die Rolle muss pro Verarbeitung geprüft werden, nicht pauschal pro Unternehmen.
Die Entscheidungslogik nach DSGVO und BDSG
Die Prüfung funktioniert am besten als kurze Entscheidungskette. Nach jedem Schritt notiert ihr direkt, was ihr im Unternehmen konkret erfassen müsst.
Schritt 1: Die deutsche Team-Schwelle
Nach § 38 BDSG müssen nichtöffentliche Stellen grundsätzlich einen DSB benennen, wenn sie „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“.
Wichtig: Es geht nicht schlicht um 20 Arbeitsverträge oder 20 Vollzeitstellen. Relevant sind Personen, deren berufliche Aufgabe regelmäßig automatisierte Verarbeitung umfasst – also CRM-Zugriff, Support, Shop-Bestellungen, Rechnungsstellung, HR, Marketing-Listen, Bewerbungen oder Produkt-Analytics. Teilzeitkräfte, Werkstudierende, Leiharbeitnehmende und Teammitglieder mit gemischten Aufgaben können mitzählen, wenn ihnen solche Verarbeitung dauerhaft übertragen ist. Ausschlaggebend ist die tatsächliche Tätigkeit, nicht die Stellenbezeichnung.
Schritt 2: Die DSGVO-Kernfälle
Art. 37 DSGVO verlangt eine Benennung unter anderem dann, wenn die Kerntätigkeit eine umfangreiche, regelmäßige und systematische Überwachung von Personen erfordert oder wenn besondere Kategorien personenbezogener Daten beziehungsweise Daten über Straftaten umfangreich verarbeitet werden.
„Kerntätigkeit“ meint dabei Verarbeitung, die für euer Geschäftsmodell wesentlich ist – nicht bloß unterstützende Standardprozesse wie die Lohnabrechnung. „Regelmäßig und systematisch“ beschreibt geplante, fortlaufende oder organisierte Beobachtung, etwa dauerhaftes Tracking, Profilbildung oder systematische Verhaltensauswertung. Und „umfangreich“ hängt von Zahl der Betroffenen, Datenmenge, Dauer und geografischer Reichweite ab. Eine feste Nutzerzahl gibt es dafür nicht.
Schritt 3: Deutsche Sonderfälle unabhängig von der Teamgröße
Die Datenschutzbeauftragter Pflicht besteht nach § 38 BDSG auch, wenn eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich ist. Ebenso bei geschäftsmäßiger Verarbeitung personenbezogener Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- und Meinungsforschung.
Eine DSFA ist vor Beginn einer Verarbeitung notwendig, wenn diese voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Bei Profiling mit erheblichen Auswirkungen, sensiblen Daten oder bestimmten KI-Anwendungen kann das relevant werden. Nicht jedes KI-Feature löst automatisch eine DSFA aus.
Der Entscheidungsausgang: Trifft mindestens ein Pflichtkriterium zu, organisiert und dokumentiert ihr die Benennung zeitnah. Ist die Einordnung von Umfang, Risiko oder Rolle unklar, lasst Datenfluss und Verarbeitung fachlich prüfen, statt aus der Teamgröße zu schließen. Trifft kein Kriterium zu, begründet ihr die Entscheidung kurz schriftlich und prüft bei Teamwachstum, neuen Tools oder Produktänderungen erneut.
Quellen: DSGVO, Art. 35 und Art. 37 bis 39 | § 38 BDSG | BfDI-Infobroschüre zu Datenschutzbeauftragten
Fünf typische Geschäftsmodelle richtig einordnen
Nicht das Etikett „digital“ entscheidet, sondern Datenarten, Datenflüsse, Umfang, Zugriffe und die Bedeutung der Verarbeitung für euer Geschäftsmodell. Fünf Fälle, die in der Gründungsberatung immer wieder auftauchen:
| Fall | Worauf ihr konkret schaut |
|---|---|
| SaaS mit Kundendaten | Verarbeitet ihr nur klar begrenzte Kundendaten im Auftrag oder wertet ihr Nutzungsverhalten für eigene Zwecke aus? Beim SaaS Datenschutz zählen Nutzerzahl, Tracking, Admin-Zugriffe, Logdaten, Profilbildung, Speicherfristen und die Rollenverteilung gegenüber Geschäftskunden. Ein SaaS-Produkt führt nicht automatisch zur DSB-Pflicht. |
| Bewerbermanagement | Bewerbungsunterlagen sind schutzbedürftig, ihre Verarbeitung allein bedeutet aber keine automatische Pflicht. Prüft Bewerbungsvolumen, Zugriffsberechtigte, das eingesetzte HR-Tool, die Weitergabe an Fachbereiche und Löschfristen nach Abschluss des Verfahrens. |
| KI-Tool mit Prompts und Logs | Beim KI Datenschutz gilt: Sind Eingaben, Ausgaben oder Nutzungslogs personenbezogen? Werden Daten für Training genutzt? Gibt es automatisierte Bewertungen, Profiling, sensible Inhalte, Drittlandtransfers oder schwer löschbare Protokolle? Bei voraussichtlich hohem Risiko die DSFA früh in der Konzeption prüfen, nicht kurz vor dem Rollout. |
| Agentur mit Kundenzugängen | Zugriff auf CRM, Werbekonten oder Analytics der Kundschaft spricht häufig für weisungsgebundene Verarbeitung. Prüft Berechtigungen nach Need-to-know, dokumentierte Weisungen, sichere Konten, MFA und die vertragliche Rollenklärung. Ein AVV kann erforderlich sein, beantwortet aber nicht die DSB-Frage. |
| E-Commerce mit Marketing-Stack | Shop, Zahlung, Newsletter, Retargeting und Webanalyse ergeben viele Datenflüsse. Prüft Tracking und Einwilligungen, Empfänger, Zugriffskreise, Betrugsprävention, Profilbildung und Löschfristen. Das Risiko steigt nicht durch „E-Commerce“ an sich, sondern durch Tiefe und Umfang der Auswertung. |
Quelle: DSK-Orientierungshilfe „KI und Datenschutz“
Intern besetzen oder externe Expertise nutzen?
Wenn ein DSB verpflichtend ist, dürft ihr die Rolle intern oder extern besetzen. Eine freiwillige Benennung ist grundsätzlich ebenfalls möglich – dann solltet ihr die Anforderungen an die Rolle aber genauso ernst nehmen.
Interne Besetzung hat einen klaren Vorteil: Die Person kennt Prozesse, Produkt und Teams, Rückfragen im Alltag gehen schnell. Der Preis: Fachkunde muss vorhanden sein und aktuell gehalten werden, das Zeitbudget muss real im Kalender stehen und Interessenkonflikte müssen ausgeschlossen sein.
Konkret heißt das: Personen, die über Zwecke und Mittel der Verarbeitung entscheiden oder diese maßgeblich kontrollieren, sind regelmäßig ungeeignet. Geschäftsführung oder die Leitung von IT und Produkt sind je nach Struktur also kritisch zu prüfen.
Ein externer Datenschutzbeauftragter bringt Spezialwissen, einen unabhängigen Blick und planbare Unterstützung mit. Für kleine, schnell wachsende Teams ist das oft die pragmatischere Lösung. Der Haken: Externe kennen eure Abläufe nicht ohne aktive Einbindung. Sie brauchen Zugang zu Informationen, feste Ansprechpartner und erledigen die operative Umsetzung nicht allein.
Vier Kriterien helfen bei der Entscheidung:
- Komplexität des Tool-Stacks: Viele Systeme, viele Schnittstellen, viele Drittländer sprechen für externe Routine.
- Risikoprofil der Daten: Sensible Daten, Profiling oder Gesundheitsbezug erhöhen den Anspruch an Fachkunde deutlich.
- Interne Fachkunde und Kapazität: Gibt es jemanden mit Wissen, Zeit und ohne Rollenkonflikt?
- Erwartetes Wachstum: Wer in zwölf Monaten das Team verdoppelt, sollte nicht auf eine Übergangslösung setzen.
Quelle: EDSA-Leitlinien zum Datenschutzbeauftragten
Nach der Benennung beginnt die eigentliche Arbeit
Ein DSB auf dem Papier bringt euch wenig. Entscheidend ist die frühzeitige Einbindung, besonders bei neuen datenintensiven Features, KI-Einsatz, Tracking-Konzepten und neuen Dienstleistern.
Diese Rahmenbedingungen müsst ihr sicherstellen:
- ausreichend Zeit, Informationen, Zugang zu relevanten Teams und Ressourcen bereitstellen
- Weisungsfreiheit in der Aufgabenwahrnehmung gewährleisten und Interessenkonflikte vermeiden
- Kontaktdaten veröffentlichen und der zuständigen Aufsichtsbehörde mitteilen
- den DSB als Kontaktstelle für betroffene Personen und die Aufsicht etablieren
- Entscheidungen, Risiken und Maßnahmen nachvollziehbar festhalten
Praxisbeispiel: Beim geplanten KI-Feature wird der DSB bereits einbezogen, wenn Datenquellen, Zwecke, Anbieter, Training und Löschbarkeit festgelegt werden. Nicht erst beim finalen Datenschutzhinweis kurz vor dem Launch.
Die Aufgaben selbst sind klar umrissen: Der DSB unterrichtet und berät, überwacht die Einhaltung, unterstützt bei der DSFA und arbeitet mit der Aufsichtsbehörde zusammen. Die Verantwortung bleibt bei der Geschäftsführung.
Datenschutz-Basisprozesse und 30-Tage-Startplan
Diese Grundlagen braucht ihr unabhängig davon, ob eine Benennung Pflicht ist. In vier Wochen kommt ihr sehr weit.
Woche 1 – Transparenz schaffen: Erfasst alle Prozesse und Tools: CRM, Hosting, Support, HR, Buchhaltung, Marketing, Analyse, KI. Notiert pro Vorgang Zweck, Datenarten, betroffene Personen, Speicherort, Zugriffe, Empfänger und Speicherdauer. Das ist bereits die Basis eures Verzeichnisses von Verarbeitungstätigkeiten (VVT).
Woche 2 – Rollen und Pflicht bewerten: Prüft pro Prozess, ob ihr Verantwortlicher, Auftragsverarbeiter oder gegebenenfalls gemeinsam verantwortlich seid. Zählt, welche Personen regelmäßig automatisiert Daten verarbeiten. Haltet die Kriterien aus Art. 37 DSGVO und § 38 BDSG gegen euer Geschäftsmodell und dokumentiert das Ergebnis samt Datum und Begründung.
Woche 3 – Schutz und Löschung priorisieren: Konkretisiert eure technischen und organisatorischen Maßnahmen: rollenbasierte Berechtigungen, MFA, Verschlüsselung, sichere Backups, Trennung von Test- und Echtdaten sowie geregelte Admin-Zugriffe. Legt ein Löschkonzept für Bewerbungs-, Kunden-, Nutzer- und Logdaten fest, mit Fristen, Verantwortlichen und technischer Umsetzung.
Woche 4 – Vorfälle und Wachstum absichern: Erstellt einen Incident-Prozess: Vorfall melden, Systeme und Zugänge sichern, Umfang feststellen, intern eskalieren, Risiko bewerten und mögliche Meldefristen prüfen. Legt außerdem fest, wann ihr die DSB-Prüfung wiederholt – bei starkem Teamwachstum, neuen Märkten, neuem Tracking oder KI-Funktionen.
Ein Detail zum VVT: Verlasst euch nicht allein auf die Ausnahme für Unternehmen unter 250 Beschäftigten. Für regelmäßige, risikobehaftete oder nicht nur gelegentliche Verarbeitungen bleibt ein VVT relevant. Und praktisch ist es ohnehin eure Arbeitsgrundlage für Tool-Review, Rollenklärung und Risikoprüfung.
Quelle: BfDI-Muster für ein Verzeichnis von Verarbeitungstätigkeiten
Häufige Fehlannahmen zum Schluss
Mythos: „Unter 20 Personen brauchen wir nie einen DSB.“
Fakt: Sonderfälle nach DSGVO und BDSG können unabhängig von der Teamgröße greifen, etwa bei DSFA-Pflicht oder Markt- und Meinungsforschung.
Mythos: „Ein AVV löst unser Datenschutzproblem.“
Fakt: Der Vertrag regelt nur eine konkrete Auftragsverarbeitung. Verantwortlichkeit, TOMs, Löschung und eine mögliche DSB-Pflicht bleiben davon unberührt.
Mythos: „Ein externer DSB macht Datenschutz komplett für uns.“
Fakt: Externe Expertise ist oft sehr sinnvoll, aber Informationen, Entscheidungen und Umsetzung müssen im Startup verankert bleiben.
Häufige Fragen zum Datenschutzbeauftragten im Startup
Ab wie vielen Mitarbeitern braucht ein Startup einen Datenschutzbeauftragten?
Nach § 38 BDSG bei in der Regel mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Gezählt werden Personen mit entsprechender Aufgabe, auch in Teilzeit oder als Werkstudierende, nicht Vollzeitstellen.
Kann die Geschäftsführung selbst Datenschutzbeauftragte sein?
In der Regel nicht. Wer über Zwecke und Mittel der Verarbeitung entscheidet, gerät in einen Interessenkonflikt. Das gilt je nach Struktur auch für die Leitung von IT oder Produkt.
Was kostet ein externer Datenschutzbeauftragter?
Die Preise variieren stark nach Unternehmensgröße, Tool-Stack und Risikoprofil. Üblich sind monatliche Pauschalen mit definiertem Leistungsumfang. Vergleicht immer, welche Leistungen enthalten sind, etwa Schulungen, VVT-Pflege oder DSFA-Begleitung.
Löst der Einsatz von KI-Tools automatisch eine DSB-Pflicht aus?
Nein. Entscheidend ist, ob Eingaben, Ausgaben oder Logs personenbezogen sind, ob Profiling stattfindet und ob wegen hohen Risikos eine DSFA nötig wird. Erst dann kann die Pflicht greifen.
Reicht ein freiwillig benannter Datenschutzbeauftragter aus?
Eine freiwillige Benennung ist möglich und kann sinnvoll sein. Dann gelten aber dieselben Anforderungen an Unabhängigkeit, Fachkunde und Ressourcen wie bei einer Pflichtbenennung.
Fazit: Erst prüfen, dann passend organisieren
Die 20-Personen-Regel ist ein wichtiger Startpunkt, aber keine vollständige Antwort. Für SaaS Datenschutz und KI Datenschutz zählen vor allem die konkreten Datenflüsse, der Umfang, mögliches Profiling und die Risiken. Wer die Pflicht sauber prüft und die Basisprozesse aufsetzt, vermeidet sowohl Alibi-Strukturen als auch unnötige Lücken.
Pro-Tipp: Plant diese Woche 60 Minuten für eine Liste eurer Tools, Datenflüsse und regelmäßig datenverarbeitenden Personen ein. Danach lässt sich die DSB-Frage deutlich belastbarer entscheiden – und ihr habt die Grundlage für euer VVT schon in der Hand.
Transparenzhinweis: Dieser Beitrag wurde unter Zuhilfenahme künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft. Alle Zahlen und Angaben wurden gegen die im Text verlinkten Primärquellen abgeglichen.
