DSB-Tätigkeitsbericht 2026: Pflicht oder freiwillig? Vorlage + Auto-Generator

Inhalt in Kürze

• Keine gesetzliche Pflicht für betriebliche DSB nach DSGVO oder BDSG — aber vertraglicher Standard in praktisch jedem externen-DSB-Mandat.
• 9 Pflicht-Kapitel als Marktstandard: Stammdaten, VVT, AVV, Datenpannen, DSAR, TOMs, Schulungen, Audit-Ergebnisse, Plan Folgejahr.
• 3 Stilvarianten: GF-1-Pager (Ampel + Top-3), Audit-Report (Detail-Doku), Behörden-Format (BfDI-Struktur). Jeweils unterschiedliche Tiefe.
• Auto-Generator in Hugo erzeugt einen Entwurf aus VVT, AVV-Liste, Datenpannen, Betroffenenanfragen, TOMs, Schulungen und Audits, mit Vorjahresvergleich. Der DSB ergänzt die Bewertung.

Stand: Mai 2026 · Autor: Jens Hagel · Lesezeit: 8 Minuten

Wer einen externen Datenschutzbeauftragten beauftragt, bekommt einmal im Jahr einen Tätigkeitsbericht. Die Frage „muss ich den überhaupt erstellen?” entscheidet sich nicht im Gesetzbuch, sondern im Mandatsvertrag und in der Praxis. Dieser Artikel klärt, was rechtlich verpflichtet ist, was vertraglich Standard wurde — und wie ein Generator hilft, aus 12 Monaten Datenschutz-Arbeit einen lesbaren Bericht zu bauen.

Die Pflicht-Frage: Art. 39 vs § 38 BDSG vs Art. 59

Wer in der DSGVO nach „Tätigkeitsbericht” sucht, findet drei Stellen — und keine davon trifft den betrieblichen DSB:

Mit anderen Worten: Der 34. Tätigkeitsbericht des BfDI ist Pflicht — Ihr eigener DSB-Jahresbericht ist es nicht. Die DSGVO-Vorlagen-Plattform und Dr. Datenschutz bestätigen diese Lesart einhellig.

Warum jeder externe DSB einen Bericht liefert

Vier Gründe für die Marktdurchdringung trotz fehlender Pflicht:

1. Nachweis-Funktion gegenüber GF: Datenschutz ist Chefsache nach Art. 24 DSGVO. Die Geschäftsführung haftet — der Bericht dokumentiert, dass der DSB seine Arbeit gemacht hat.
2. Prüfungs-Vorbereitung: Bei einer Aufsichtsbehörden-Prüfung ist der letzte Tätigkeitsbericht die schnellste Aktualstandsaufnahme. Wer keinen hat, beginnt mit der Vorbereitung am Tag der Prüfung.
3. Zertifizierungs-Voraussetzung: ISO 27001, TISAX-Audit, B3S-Krankenhaus — alle wollen sehen, dass das Datenschutz-Management dokumentiert ist. Ein Tätigkeitsbericht ist dafür ein naheliegender Nachweis.
4. Versicherungs-Anforderung: Cyberversicherer fragen im Antrag etwa nach einem Datenschutzbeauftragten und nach regelmäßigen Datenschutz-Schulungen — ein jährlicher DSB-Bericht belegt beides.

9 Pflicht-Kapitel — die Marktstandard-Struktur

So sieht ein praxistauglicher DSB-Tätigkeitsbericht 2026 aus:

• Kapitel 1 — Stammdaten: Verantwortlicher, DSB, Berichtszeitraum, Mandanten-ID. Eine Seite, klar strukturiert.
• Kapitel 2 — VVT-Stand: Anzahl Verfahren, neu hinzugekommen, geändert, archiviert. Verweis auf das aktuelle Verzeichnis. Mehr Hintergrund: VVT-Vorlagen-Vergleich 2026.
• Kapitel 3 — AVV-Bestand: Liste der Auftragsverarbeiter mit Drittland-Ampel, neue Verträge im Berichtszeitraum, Schrems-II-Status. Siehe AVV-Vorlage 2026.
• Kapitel 4 — Datenpannen: Anzahl, davon meldepflichtig (Art. 33 DSGVO), Bearbeitungsstand, Ursachen-Cluster. Vorlage in unserem 72-Stunden-Frist-Artikel.
• Kapitel 5 — Betroffenenanfragen (DSAR): Anzahl, Art (Auskunft / Löschung / Widerspruch), Bearbeitungsdauer. Mehr in DSAR-Portal-Vergleich 2026.
• Kapitel 6 — TOMs: Aktuelle Maßnahmen, Reviews, Schwachstellen-Audit-Ergebnisse.
• Kapitel 7 — Schulungen: Durchgeführte Trainings, Teilnahmequote, geplante Themen Folgejahr.
• Kapitel 8 — Audit-Ergebnisse: Interne und externe Prüfungen, Befunde, Status der Maßnahmen. Siehe Datenschutz-Audit-Software-Vergleich.
• Kapitel 9 — Plan Folgejahr: Konkrete Maßnahmen mit Verantwortlichen, Budget, Zeitrahmen. Wichtigster Teil — hier wird der Bericht zum Steuerungsinstrument.

3 Stilvarianten je nach Adressat

Ein Tätigkeitsbericht ist kein One-size-fits-all. Drei Zielgruppen, drei Tiefen:

Hugo erzeugt alle drei Stile aus denselben Daten im Mandanten-Account. Den Bericht laden Sie als HTML herunter, speichern ihn über den Druckdialog als PDF oder geben der Geschäftsführung einen Lese-Link, der 30 Tage gilt und kein Konto braucht.

Aus der Praxis

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern. Der jährliche Tätigkeitsbericht ist genau das Werkzeug, mit dem dieses Aha-Erlebnis stattfindet.

Nils OehmichenDatenschutzberater bei frag.hugo

Auto-Generator: wie Hugo aus VVT/AVV/Datenpannen einen Bericht baut

Der klassische Aufwand für einen guten Tätigkeitsbericht: 6–8 Stunden Schreibarbeit, oft an einem Wochenende kurz vor dem Stichtag. Hugo automatisiert die Roh-Generierung:

1. Datenextraktion: VVT-Stand, AVV-Liste mit Drittland-Status, Datenpannen, Betroffenenanfragen, TOMs, Schulungen und Audit-Ergebnisse, alles aus dem Hugo-Mandanten-Account. Dazu kommt der Vergleich mit dem Vorjahr.
2. Vorlage je Stil: Hugo setzt die Kennzahlen in die feste Gliederung des gewählten Stils ein. Eine KI ist dabei nicht beteiligt, jede Zahl stammt direkt aus den Daten.
3. Bewertung durch den DSB: Der DSB nimmt den Entwurf, ergänzt seine persönliche Bewertung und die geplanten Maßnahmen.
4. Übergabe: Der fertige Bericht geht als PDF oder als Lese-Link an die Geschäftsführung.

Spart 4–6 Stunden pro Bericht und liefert konsistente Qualität — auch bei Mandanten, deren Datenstand der DSB nicht im Schlaf kennt.

Mustervorlage und Hugo-Generator

Für unsere Mandanten liefern wir den Tätigkeitsbericht standardmäßig zum 31. Januar des Folgejahres. Die Hugo-Plattform erzeugt den Entwurf auf Knopfdruck, die Bewertung ergänzt Ihr DSB.

Wer keinen externen DSB hat, findet Strukturvorlagen kostenfrei bei DSGVO-Vorlagen.de und beim BfDI selbst — die letzten Tätigkeitsberichte der Aufsichtsbehörden sind als Strukturvorlage hervorragend geeignet.

Fazit / Ihr nächster Schritt

Der DSB-Tätigkeitsbericht ist nicht im Gesetz verpflichtend, aber er entscheidet, ob Ihr Datenschutz steuerbar ist oder im Alltag verschwindet. Wer ihn pragmatisch automatisiert, hat in 1–2 Stunden statt 6–8 einen sauberen Jahresabschluss.

Häufige Fragen (FAQ)

Ist ein Tätigkeitsbericht des Datenschutzbeauftragten gesetzliche Pflicht?

Nein. Weder Art. 39 DSGVO noch § 38 oder § 6 BDSG verlangen einen Tätigkeitsbericht des betrieblichen DSB. Pflicht haben nur die Aufsichtsbehörden (Art. 59 DSGVO) und der BfDI (§ 15 BDSG). Vertragliche Standardpraxis ist der Bericht aber dennoch — externe DSB-Verträge enthalten ihn fast immer als Jahres-Leistung.

Was muss in einen DSB-Tätigkeitsbericht?

Best Practice sind 9 Kapitel: Stammdaten + Verantwortliche, VVT-Stand, AVV-Bestand mit Drittland-Status, Datenpannen, Betroffenenanfragen (DSAR), TOMs, Schulungen, Audit-Ergebnisse, geplante Maßnahmen für das Folgejahr. Die BfDI- und Landesbeauftragten-Berichte zeigen die Struktur als Vorbild.

An wen wird der Tätigkeitsbericht adressiert?

Direkt an die Geschäftsführung oder Behördenleitung — nicht an den Aufsichtsbehörden, nicht an Mitarbeitende, nicht öffentlich. Der Bericht ist als „vertrauliche interne Information” zu klassifizieren. Aufsichtsbehörden sehen ihn nur, wenn sie im Rahmen einer Prüfung gezielt danach fragen.

Wie oft muss der Bericht erstellt werden?

Marktstandard ist einmal jährlich, üblicherweise im 1. Quartal für das abgelaufene Geschäftsjahr (Januar-Bericht). Bei Krisen oder wesentlichen Änderungen — Datenpanne, M&A, neue Software-Einführung — kann ein Zwischenbericht sinnvoll sein.

Kann KI den Tätigkeitsbericht automatisch erstellen?

In Grenzen. Ein Sprachmodell kann aus VVT, AVV-Liste, Datenpannen-Historie und Schulungs-Log Rohtexte formulieren. Die rechtliche Bewertung bleibt beim DSB, denn Sprachmodelle erfinden bei rechtlichen Einschätzungen gelegentlich Fakten. Hugo setzt dafür keine KI ein: Der Generator füllt eine feste Gliederung mit den Kennzahlen aus dem Mandanten-Account, der DSB ergänzt die Bewertung.

Stand der Vergleichsdaten: Rechtslage und Marktstandards verifiziert am 8. Mai 2026 über Dr. Datenschutz, DSGVO-Vorlagen.de, Cortina Consult Wissens-DB und § 15 BDSG dsgvo-gesetz.de. Die BfDI-Tätigkeitsberichte dienen als praxiserprobte Strukturvorlage.