Stand: Mai 2026 · Autor: Jens Hagel · Lesezeit: 8 Minuten
Wer einen externen Datenschutzbeauftragten beauftragt, bekommt einmal im Jahr einen Tätigkeitsbericht. Die Frage „muss ich den überhaupt erstellen?” entscheidet sich nicht im Gesetzbuch, sondern im Mandatsvertrag und in der Praxis. Dieser Artikel klärt, was rechtlich verpflichtet ist, was vertraglich Standard wurde — und wie KI dabei hilft, aus 12 Monaten Datenschutz-Arbeit einen lesbaren Bericht zu bauen.
Wer in der DSGVO nach „Tätigkeitsbericht” sucht, findet drei Stellen — und keine davon trifft den betrieblichen DSB:
| Norm | Adressat | Pflicht? |
|---|---|---|
| Art. 39 DSGVO | Betrieblicher DSB — Aufgabenkatalog | Bericht nicht explizit aufgeführt |
| § 38 BDSG | DSB im nicht-öffentlichen Bereich | Verweist auf Art. 39 — kein Bericht |
| § 6 BDSG | DSB öffentliche Stellen Bund | Berichtspflicht nicht zwingend |
| Art. 59 DSGVO | Aufsichtsbehörden | Pflicht zur öffentlichen Jahres-Tätigkeit |
| § 15 BDSG | Bundesbeauftragte (BfDI) | Pflicht zum 2-Jahres-Bericht an Bundestag |
Mit anderen Worten: Der 29. Tätigkeitsbericht des BfDI ist Pflicht — Ihr eigener DSB-Jahresbericht ist es nicht. Die DSGVO-Vorlagen-Plattform und Dr. Datenschutz bestätigen diese Lesart einhellig.
Wir haben in über 200 externen DSB-Mandaten noch keinen einzigen Vertrag gesehen, der ohne jährlichen Tätigkeitsbericht auskäme. Die Branche hat sich darauf geeinigt — formal nicht Pflicht, faktisch Standard. Wer den Bericht weglässt, bekommt vom Auditor, von der Berufsgenossenschaft oder vom Cyberversicherer prompt die Frage gestellt.
Drei Gründe für die Marktdurchdringung trotz fehlender Pflicht:
So sieht ein praxistauglicher DSB-Tätigkeitsbericht 2026 aus:
Ein Tätigkeitsbericht ist kein One-size-fits-all. Drei Zielgruppen, drei Tiefen:
| Stil | Länge | Zielgruppe | Stärke |
|---|---|---|---|
| GF-1-Pager | 1–2 Seiten | Geschäftsführung, Beirat, Aufsichtsrat | Ampel + Top-3-Risiken + Budget-Empfehlung |
| Audit-Report | 8–15 Seiten | Auditor, Compliance-Officer, externer Prüfer | Detail-Tabellen pro Kapitel, Verweise auf Belege |
| Behörden-Format | 12–25 Seiten | Aufsichtsbehörde im Prüfungsfall | BfDI-Struktur, Hash-Chain-Audit-Trail-Anhang |
Hugo generiert alle drei Stile aus den gleichen Stammdaten — PDF, DOCX, HTML, signierbar per QES (siehe QES via D-TRUST Vergleich).
Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern. Der jährliche Tätigkeitsbericht ist genau das Werkzeug, mit dem dieses Aha-Erlebnis stattfindet.
Nils OehmichenDatenschutzberater bei frag.hugo
Der klassische Aufwand für einen guten Tätigkeitsbericht: 6–8 Stunden Schreibarbeit, oft an einem Wochenende kurz vor dem Stichtag. Hugo automatisiert die Roh-Generierung:
Spart 4–6 Stunden pro Bericht und liefert konsistente Qualität — auch bei Mandanten, deren Datenstand der DSB nicht im Schlaf kennt.
Für unsere Mandanten liefern wir den Tätigkeitsbericht standardmäßig zum 31. Januar des Folgejahres. Die Hugo-Plattform erzeugt ihn auf Knopfdruck — Sie als GF bekommen den Magic-Link, lesen, geben frei. Externer Audit-Prüfer ebenfalls per Magic-Link, ohne separate Account-Anlage.
Wer keinen externen DSB hat, findet Strukturvorlagen kostenfrei bei DSGVO-Vorlagen.de und beim BfDI selbst — die letzten Tätigkeitsberichte der Aufsichtsbehörden sind als Strukturvorlage hervorragend geeignet.
Der DSB-Tätigkeitsbericht ist nicht im Gesetz verpflichtend, aber er entscheidet, ob Ihr Datenschutz steuerbar ist oder im Alltag verschwindet. Wer ihn pragmatisch automatisiert, hat in 1–2 Stunden statt 6–8 einen sauberen Jahresabschluss.
Hugo Tätigkeitsbericht-Generator testen
Im Hugo-DSB-Plan ab 149 €/Monat ist der Auto-Generator enthalten — VVT, AVV, Datenpannen, DSAR, TOMs, Schulungen werden automatisch zu drei Stilvarianten verdichtet. 15-Minuten-Erstgespräch mit Nils zur Live-Demo.
Erstgespräch buchen →Nein. Weder Art. 39 DSGVO noch § 38 oder § 6 BDSG verlangen einen Tätigkeitsbericht des betrieblichen DSB. Pflicht haben nur die Aufsichtsbehörden (Art. 59 DSGVO) und der BfDI (§ 15 BDSG). Vertragliche Standardpraxis ist der Bericht aber dennoch — externe DSB-Verträge enthalten ihn fast immer als Jahres-Leistung.
Best Practice sind 9 Kapitel: Stammdaten + Verantwortliche, VVT-Stand, AVV-Bestand mit Drittland-Status, Datenpannen, Betroffenenanfragen (DSAR), TOMs, Schulungen, Audit-Ergebnisse, geplante Maßnahmen für das Folgejahr. Die BfDI- und Landesbeauftragten-Berichte zeigen die Struktur als Vorbild.
Direkt an die Geschäftsführung oder Behördenleitung — nicht an den Aufsichtsbehörden, nicht an Mitarbeitende, nicht öffentlich. Der Bericht ist als „vertrauliche interne Information” zu klassifizieren. Aufsichtsbehörden sehen ihn nur, wenn sie im Rahmen einer Prüfung gezielt danach fragen.
Marktstandard ist einmal jährlich, üblicherweise im 1. Quartal für das abgelaufene Geschäftsjahr (Januar-Bericht). Bei Krisen oder wesentlichen Änderungen — Datenpanne, M&A, neue Software-Einführung — kann ein Zwischenbericht sinnvoll sein.
Ja, in Grenzen. Tools wie Hugo nutzen GPT-4o-Klasse-Modelle, um aus VVT, AVV-Liste, Datenpannen-Historie und Schulungs-Log die Roh-Texte zu generieren. Der DSB editiert anschließend, prüft Zahlen und gibt frei. Reine KI-Generation ohne menschliche Kontrolle ist nicht empfohlen — Halluzinationsrisiko bei rechtlichen Bewertungen.
Konkurrenz-Recherche-Stand: Rechtslage und Marktstandards verifiziert am 8. Mai 2026 über Dr. Datenschutz, DSGVO-Vorlagen.de, Cortina Consult Wissens-DB und § 15 BDSG dsgvo-gesetz.de. Die BfDI-Tätigkeitsberichte dienen als praxiserprobte Strukturvorlage.
Inhaltsverzeichnis
DSGVO-Auskunftsfrist verlängern nach Art. 12 Abs. 3: Wann zulässig, wie formulieren, Mustertext zur Begründung. Plus: 5-Stufen-Eskalation und Tool-Empfehlung.
Weiterlesen
Ab wann ist ein Datenschutzbeauftragter Pflicht? BDSG §38, DSGVO Art. 37 und die Ausnahmen – verständlich erklärt für Hamburger Unternehmen.
Weiterlesen
Einleitung Liebe Leserinnen und Leser, in der heutigen digitalen Geschäftswelt, die sich stetig weiterentwickelt, sind Datenschutz und IT-Sicherheit...
WeiterlesenÜber den Autor
Mitgründer & IT-Unternehmer
Jens führt seit Dezember 2004 die hagel IT-Services GmbH in Hamburg, heute 35+ Mitarbeitende. Mitgründer von frag.hugo Informationssicherheit und der SYNAPSE KI-Agentur. Mehrfach als „Deutschlands beste IT-Dienstleister" (statista / brand eins) ausgezeichnet.
15 Minuten am Telefon mit Nils oder Jens — kostenlos, ohne Verkaufsdruck. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
