Auf den Punkt
Ein SaaS- oder Software-Unternehmen muss einen Datenschutzbeauftragten (DSB) benennen, wenn mindestens 20 Personen ständig personenbezogene Daten automatisiert verarbeiten oder die Kerntätigkeit eine umfangreiche, systematische Überwachung beziehungsweise die Verarbeitung besonderer Datenkategorien umfasst. Gerade bei SaaS ist letzteres oft der eigentliche Auslöser. Der DSB überwacht die Einhaltung der DSGVO, berät die Geschäftsführung und ist Anlaufstelle für Behörden — er kann intern bestellt oder extern beauftragt werden.
SaaS- und Software-Unternehmen verarbeiten von Natur aus große Mengen personenbezogener Daten — eigene und vor allem die ihrer Kunden. Genau das macht die Frage nach dem Datenschutzbeauftragten für diese Branche besonders relevant. Viele Gründer gehen davon aus, dass die Pflicht nur große Konzerne betrifft. Tatsächlich kann sie schon ein kleines Team treffen, sobald die Art der Datenverarbeitung bestimmte Merkmale erfüllt. Dieser Beitrag klärt, wann die Bestellpflicht greift, welche Aufgaben der DSB übernimmt und wann sich die externe Variante für ein Software-Unternehmen rechnet.
Wann ein DSB für SaaS-Unternehmen Pflicht wird
Die Bestellpflicht ergibt sich aus zwei Regelwerken, die parallel gelten. Nach Art. 37 DSGVO ist ein DSB unter anderem dann verpflichtend, wenn die Kerntätigkeit eines Unternehmens in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Datenkategorien — etwa Gesundheits- oder Bonitätsdaten. Ergänzend verlangt das deutsche Recht in § 38 BDSG einen DSB, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Für SaaS-Anbieter ist der erste Punkt oft entscheidender als die reine Mitarbeiterzahl. Wer eine Analyse-, Tracking-, HR- oder Gesundheitsplattform betreibt, verarbeitet die Daten der Endnutzer seiner Kunden in der Regel umfangreich und systematisch — und kann damit schon mit einem kleinen Team bestellpflichtig sein. Es lohnt sich deshalb, beide Kriterien sauber zu prüfen, statt nur auf die 20-Personen-Schwelle zu schauen.
20-Personen-Regel
§ 38 BDSG: DSB-Pflicht ab 20 ständig mit Datenverarbeitung Beschäftigten.
Kerntätigkeit
Art. 37 DSGVO: umfangreiche, systematische Überwachung als Geschäftsmodell.
Besondere Daten
Umfangreiche Verarbeitung von Gesundheits-, Religions- oder ähnlichen Daten.
Auftragsverarbeiter
Auch als reiner Verarbeiter im Kundenauftrag kann die Pflicht greifen.
Die Doppelrolle: Verantwortlicher und Auftragsverarbeiter
Eine Besonderheit von SaaS ist die Doppelrolle. Für die eigenen Mitarbeiter- und Kundendaten ist das Unternehmen Verantwortlicher im Sinne der DSGVO. Für die Daten, die die Kunden in der Software verarbeiten, ist es dagegen meist Auftragsverarbeiter. Beide Rollen lösen Datenschutzpflichten aus — und die Bestellpflicht für einen DSB kann sich aus jeder von beiden ergeben.
Praktisch bedeutet das: Ein SaaS-Anbieter braucht nicht nur saubere interne Prozesse, sondern auch belastbare Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit jedem seiner Kunden. Genau hier setzt ein guter DSB an — er sorgt dafür, dass beide Rollen sauber getrennt, dokumentiert und vertraglich abgesichert sind.
Wichtig: Auch ohne Bestellpflicht bleiben alle übrigen DSGVO-Anforderungen bestehen. Ein Unternehmen unter der 20-Personen-Schwelle muss trotzdem ein Verarbeitungsverzeichnis führen, Betroffenenrechte erfüllen und Datenpannen melden. Die fehlende DSB-Pflicht ist keine Befreiung vom Datenschutz.
Welche Aufgaben der DSB übernimmt
Die Aufgaben des Datenschutzbeauftragten sind in Art. 39 DSGVO klar geregelt. Er ist nicht der „Datenschutz-Polizist”, sondern Berater und Überwacher zugleich. Im Kern geht es um vier Tätigkeiten:
- Unterrichtung und Beratung: Er berät Geschäftsführung und Mitarbeiter zu ihren Pflichten aus der DSGVO.
- Überwachung der Einhaltung: Er prüft, ob die Datenschutzstrategie tatsächlich umgesetzt wird, und stößt Verbesserungen an.
- Beratung zur Datenschutz-Folgenabschätzung: Bei risikoreichen Verarbeitungen — bei SaaS häufig — unterstützt er die Bewertung.
- Anlaufstelle für die Aufsichtsbehörde: Er ist Ansprechpartner für Behörden und kooperiert mit ihnen.
Wichtig ist die Unabhängigkeit: Nach Art. 38 DSGVO darf der DSB wegen seiner Aufgaben nicht abberufen oder benachteiligt werden und berichtet direkt an die höchste Führungsebene. Er darf zudem keine Funktion innehaben, die zu einem Interessenkonflikt führt — der IT-Leiter oder Geschäftsführer selbst scheidet als interner DSB deshalb meist aus.
„Viele Unternehmer denken, ich bin doch zu klein, das betrifft mich nicht. Aber gerade bei Software-Firmen ist es oft genau umgekehrt: Das ganze Geschäftsmodell basiert auf Daten. Dann ist Datenschutz keine Formalie, sondern ein Vertrauensargument gegenüber den eigenen Kunden.“
— Einschätzung von Frag Hugo zur DSB-Pflicht im SaaS-Umfeld
Intern oder extern: Was sich für Software-Firmen lohnt
Ist die Pflicht festgestellt, stellt sich die Frage nach dem Modell. Ein interner DSB ist ein Mitarbeiter, der die Rolle zusätzlich übernimmt; ein externer DSB ist ein beauftragter Dienstleister. Für die meisten kleinen und mittleren SaaS-Unternehmen spricht vieles für die externe Variante:
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Fachwissen | Muss aufgebaut und laufend aktualisiert werden | Bringt gebündelte Erfahrung aus vielen Mandaten mit |
| Unabhängigkeit | Interessenkonflikte möglich, je nach Rolle | Strukturell neutral, kein Konflikt mit anderen Aufgaben |
| Kosten | Schulung, Arbeitszeit, Vertretung | Planbare Pauschale, kein interner Aufwand |
| Kündigungsschutz | Besonderer Schutz des internen DSB | Vertrag ordentlich beendbar |
| Verfügbarkeit | Abhängig von einer Person | Team im Hintergrund, Urlaubsvertretung gesichert |
Für ein wachsendes Software-Unternehmen ist der externe DSB meist die pragmatischere Wahl: Er bringt Spezialwissen mit, vermeidet Interessenkonflikte und bindet keine teure interne Kapazität. Wer einen Datenschutzbeauftragten für SaaS sucht, sollte auf Erfahrung mit Cloud-Architekturen, Auftragsverarbeitung und internationalen Datentransfers achten — denn das sind die Themen, die SaaS von klassischen Branchen unterscheiden.
Die typischen Datenschutz-Themen im SaaS-Alltag
Ob mit internem oder externem DSB — bei Software-Unternehmen tauchen immer wieder dieselben anspruchsvollen Themen auf, die ein generalistischer Datenschutz-Ansatz schnell übersieht:
- Drittlandtransfer: Viele SaaS-Stacks nutzen Cloud-Dienste mit Serverstandort oder Mutterkonzern außerhalb der EU. Solche Übermittlungen brauchen eine gültige Grundlage wie Standardvertragsklauseln und eine Risikobewertung.
- Subprozessoren: Jeder eingesetzte Unterauftragsverarbeiter muss vertraglich eingebunden und gegenüber den eigenen Kunden transparent gemacht werden.
- Datenschutz-Folgenabschätzung: Bei umfangreichem Profiling oder sensiblen Daten ist eine DSFA nach Art. 35 DSGVO oft verpflichtend.
- Löschkonzept: Kundendaten müssen nach Vertragsende sauber und nachweisbar gelöscht werden — inklusive aller Backups und Logs.
- Privacy by Design: Datenschutz sollte schon in der Produktentwicklung mitgedacht werden, nicht erst nachträglich aufgesetzt.
Diese Punkte zeigen, warum bei SaaS Erfahrung mit Cloud- und Software-Architekturen so wertvoll ist. Ein DSB, der nur das klassische Büro-Umfeld kennt, stößt hier schnell an Grenzen. Genau deshalb lohnt sich für Software-Firmen ein Partner, der die technische Seite mitdenkt und Datenschutz nicht als reine Papierübung versteht.
FAQ
Ab wie vielen Mitarbeitern braucht ein SaaS-Unternehmen einen DSB?
Nach § 38 BDSG ab 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten. Unabhängig davon kann die Pflicht nach Art. 37 DSGVO aber schon früher greifen, wenn die Kerntätigkeit in umfangreicher, systematischer Überwachung oder der Verarbeitung besonderer Datenkategorien besteht — bei SaaS ein häufiger Fall.
Kann der Geschäftsführer selbst DSB sein?
In der Regel nicht. Der DSB muss unabhängig sein und darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen. Geschäftsführung und IT-Leitung scheiden deshalb meist aus, weil sie über die Datenverarbeitung selbst entscheiden.
Was kostet ein externer Datenschutzbeauftragter?
Das hängt von Größe, Datenintensität und Beratungsbedarf ab. Üblich sind planbare monatliche Pauschalen, die für kleinere Unternehmen oft deutlich günstiger ausfallen als der Aufbau und die laufende Schulung einer internen Stelle.
Brauche ich als reiner Auftragsverarbeiter einen DSB?
Ja, die Bestellpflicht gilt für Verantwortliche und Auftragsverarbeiter gleichermaßen. Als SaaS-Anbieter, der Kundendaten im Auftrag verarbeitet, können Sie also auch in der Rolle des Auftragsverarbeiters bestellpflichtig werden.
Fazit
Für SaaS- und Software-Unternehmen ist der Datenschutzbeauftragte selten eine reine Formalie. Weil das Geschäftsmodell auf der Verarbeitung personenbezogener Daten beruht, greift die Bestellpflicht oft schon früher als die 20-Personen-Schwelle vermuten lässt — nämlich über die Kerntätigkeit nach Art. 37 DSGVO. Der DSB überwacht die Einhaltung der Vorgaben, berät die Führung und sichert die heikle Doppelrolle aus Verantwortlichem und Auftragsverarbeiter ab. Für die meisten kleineren Anbieter ist die externe Lösung die wirtschaftlich und fachlich überzeugendere: Sie bringt Spezialwissen mit, vermeidet Interessenkonflikte und macht die Kosten planbar. Wer früh prüft, ob die Pflicht greift, vermeidet Bußgeldrisiken — und gewinnt zugleich ein starkes Vertrauensargument gegenüber den eigenen Kunden.
