H&M
35,3 Mio. EUR
2020 · HmbBfDI
Umfassende Mitarbeiterüberwachung im Servicecenter. Personenbezogene Daten ohne Rechtsgrundlage über Jahre gesammelt.
§ 38 BDSG · Art. 37 DSGVO
Brauchst du einen Datenschutzbeauftragten?
Vier Trigger-Kriterien entscheiden, ob du nach BDSG oder DSGVO bestellpflichtig bist. Unser Checker geht sie in 60 Sekunden mit dir durch — anonym, ohne Anmeldung, ohne Datenspeicherung.
- 60s
- Bearbeitungszeit
- 0
- Daten gespeichert
- 5
- Fragen, fertig
Vier Trigger
Eins reicht20+ Personen mit automatisierter Verarbeitung
§ 38 BDSG
Kerntätigkeit: umfangreiche Überwachung
Art. 37 DSGVO
Verarbeitung besonderer Datenkategorien
Art. 9 DSGVO
Behörde / öffentliche Stelle
Art. 37 DSGVO
Kein Trigger?Freiwillig empfohlen
Interaktiver Checker
5 Fragen. Klare Einschätzung.
Antworte mit Ja oder Nein. Bei jedem „Ja" auf einen Trigger zeigt der Checker sofort an, ob die Bestellpflicht greift — und auf welcher Rechtsgrundlage.
Bestellpflicht-Checker
5 Fragen nach § 38 BDSG und Art. 37 DSGVO. Keine Anmeldung, keine Datenspeicherung.
Diese Einschätzung ersetzt keine Rechtsberatung. Im Zweifel beauftrage einen DSB oder einen Fachanwalt für IT-Recht.
Was bei Verstoß droht
Art. 83 Abs. 4 DSGVO
bis 10 Mio. EUR
oder 2 % des weltweiten Konzernumsatzes
— der jeweils höhere Wert
Reine Bestell-Verstöße liegen in der Praxis bei 5.000 bis 50.000 EUR. Aber: eine fehlende DSB-Funktion deutet auf strukturelle Datenschutz-Defizite hin — und die ziehen weitere Verstöße ins Verfahren.
Drei prominente Verfahren
Deutsche Wohnen
14,5 Mio. EUR
2019 · BlnBDI
Personenbezogene Daten ehemaliger Mieter ohne Erforderlichkeit vorgehalten — Verstoß gegen Speicherbegrenzung (Art. 5 DSGVO).
AOK Baden-Württemberg
1,24 Mio. EUR
2020 · LfDI BW
Datenpannen bei einem Mitglieder-Gewinnspiel. Adressen ohne wirksame Einwilligung weiterverarbeitet.
Quellen: Pressemitteilungen der zuständigen Aufsichtsbehörden. Genannte Beträge sind die ursprünglich verhängten Bußgelder.
Die Rechtsgrundlagen
Eine EU-Norm. Eine deutsche Verschärfung.
Art. 37 DSGVO definiert drei Trigger für ganz Europa. § 38 BDSG ergänzt für Deutschland die Mitarbeiter-Schwelle, die alle anderen EU-Länder so nicht haben.
Art. 37 DSGVOEU
Drei Konstellationen — bestellpflichtig.
- a
Behörde / öffentliche Stelle
Bund, Länder, Kommunen, öffentlich-rechtliche Anstalten. Ausnahme: Gerichte in justizieller Tätigkeit.
- b
Kerntätigkeit Überwachung
Umfangreiche regelmäßige systematische Überwachung — Behavioral Targeting, Standortverfolgung, KI-Profiling, große Webanalyse.
- c
Kerntätigkeit besondere Daten
Umfangreiche Verarbeitung von Gesundheits-, Biometrie-, Genetik-, Religions- oder Gewerkschaftsdaten.
§ 38 BDSGNur Deutschland
20-Personen-Schwelle obendrauf.
Über die DSGVO hinaus verlangt § 38 Abs. 1 BDSG einen DSB, sobald in der Regel mindestens 20 Personen ständig automatisiert mit personenbezogenen Daten beschäftigt sind.
„Werkstudenten, Aushilfen und Praktikanten zählen mit, wenn sie regelmäßig im CRM, ERP oder Newsletter-Tool arbeiten. Die Schwelle ist schneller erreicht, als die meisten denken."
Update 2019: Die alte 10-Personen-Regel wurde mit der BDSG-Novelle auf 20 angehoben. Wer mit der 10er-Schwelle plant, rechnet veraltet.
Auch ohne Pflicht
Drei Gründe, freiwillig zu bestellen.
Investoren-Hygienefaktor
Spätestens vor Series-A erwarten VCs einen DSB samt VVT und DPIA-Workflow. Frühe Strukturen kosten weniger als nachträgliche Sanierung.
Enterprise-Vertriebsfähigkeit
Großkunden verlangen im Vendor-Onboarding den Nachweis eines benannten DSB. Ohne DSB scheiterst du an der ersten Compliance-Frage.
Wachstums-Schwelle
Bei schnellem Personalaufbau kippt die 20-Personen-Schwelle in 6–12 Monaten. Rückwirkend zu organisieren ist unangenehm — proaktiv günstig.
Was ein freiwilliger DSB kostet?Kosten ansehen
Häufige Fragen zur Bestellpflicht
Externen Datenschutzbeauftragten anfragen
Wir matchen dich mit einem zertifizierten DSB aus dem Kopexa Partner-Netzwerk – passend zu Branche, Standort und Sprache. Antwort innerhalb eines Werktags.
Partner-Netzwerk statt Einzelkämpfer
Zugriff auf zertifizierte DSB mit unterschiedlichen Branchenschwerpunkten.
Komplette GRC-Suite im Pro-Plan
Kopexa Pro (599 EUR/Monat): unbegrenzte Frameworks, OSCAL-Support, Vendor- und Asset-Management, Cross-Framework-Mapping, Audit & Assessments. Nicht nur DSB-Tooling.
Transparente Pauschalpreise
DSB-Pauschale + Plattform-Lizenz separat ausgewiesen. Keine versteckten Tool-Kosten.
Weiter im Hub
Externer Datenschutzbeauftragter
Übersicht: was ein eDSB leistet, wann er Pflicht ist und wie das Kopexa Partner-Netzwerk vermittelt.
Kosten & Pakete
Preismodelle für externe DSB im Vergleich – Stundenhonorar, Monatspauschale, Pakete nach Unternehmensgröße.
Standorte
Externe DSB nach Region: Berlin, München, Stuttgart, Köln, Bremen und mehr.