Datenschutzbeauftragter: Wann besteht die Pflicht?

Sowohl die DSGVO als auch das deutsche Bundesdatenschutzgesetz (BDSG) enthalten Regelungen zur Benennungspflicht eines Datenschutzbeauftragten. Die DSGVO nennt im Kern drei Fallgruppen, in denen ein Datenschutzbeauftragter benannt werden muss.

Zunächst besteht eine Pflicht für Behörden und öffentliche Stellen gemäß Art. 37 Abs. 1 lit. a) DSGVO, mit Ausnahme von Gerichten, sofern sie im Rahmen ihrer justiziellen Tätigkeit handeln. Hierzu zählen beispielsweise das Finanzamt, das Jobcenter oder auch die Baubehörde.

Überwachung von Personen als Kerntätigkeit

Die Variante von lit. b) schreibt eine Benennungspflicht vor, wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen liegt, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von Personen erforderlich machen.

In Erwägungsgrund 97 wird erläutert, dass sich die Kerntätigkeit eines Verantwortlichen auf „seine Haupttätigkeiten und nicht auf die Verarbeitung personenbezogener Daten als Nebentätigkeit“ bezieht. Dabei lassen sich als „Kerntätigkeit“ die wichtigsten Arbeitsabläufe betrachten, die zur Erreichung der Ziele des Verantwortlichen oder des Auftragsverarbeiters erforderlich sind.

Regelmäßigkeit liegt vor, wenn die Überwachung fortlaufend oder periodisch stattfindet. Systematisch ist die Überwachung, wenn sie einem methodischen oder organisierten Ansatz folgt oder Teil einer umfassenderen Strategie ist. Beispiele für derartige Branchen sind Auskunfteien, Detekteien oder auch Apps, deren Kernfunktionalität die Analyse von Standortdaten erfordert, etwa Sport- oder Navigations-Apps.

Umfangreiche Verarbeitung nach Art. 9 und Art. 10 DSGVO

Eine Pflicht zur Benennung besteht nach lit. c) auch in solchen Fällen, in denen die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO besteht.

Ob eine Verarbeitung auch umfangreich im Sinne dieser Norm ist, ist im Einzelfall zu bestimmen. Beispielsweise verarbeiten Einzel-Arzt-Praxen Gesundheitsdaten gemäß Art. 9 DSGVO und das gewiss auch in einer größeren Zahl. Dies dürfte jedoch noch keine Benennungspflicht auslösen. Anders dürfte es sich verhalten, wenn es um größere Praxen mit vielen Ärztinnen und Ärzten oder auch um medizinische Labore geht.

Aber nicht nur die DSGVO macht konkrete Vorgaben, sondern auch das deutsche Bundesdatenschutzgesetz (BDSG) gibt Fallgruppen vor, in denen ein Datenschutzbeauftragter zwingend benannt werden muss. Die wohl wichtigste ist die Anknüpfung an die Anzahl der Mitarbeitenden.

Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht, wenn mindestens 20 Mitarbeitende ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. § 38 Abs. 1 Satz 1 BDSG ergänzt damit die Vorgaben der DSGVO. Tatsächlich lag die Grenze früher bei 10 Personen. Dies hat sich mit der Novellierung des BDSG im Jahre 2019 geändert (Art. 12 Nr. 9 des 2. DSAnpUG-EU).

Was bedeutet ständig mit automatisierter Verarbeitung beschäftigt?

Mit der automatisierten Verarbeitung beschäftigt meint, dass Personen unter Nutzung von IT‑Systemen wie Bildschirmarbeitsplätzen, Smartphones oder Tablets personenbezogene Daten verarbeiten.

Was konkret unter den unbestimmten Rechtsbegriffen „in der Regel“ und „ständig“ zu verstehen ist, nennt das Gesetz nicht explizit. Nach verbreiteter Ansicht ist der Begriff weit auszulegen. Es kommt daher nicht darauf an, ob die Personen in Voll- oder Teilzeit beschäftigt sind. Ebenso marginal ist der faktische Anteil der Arbeitszeit, der auf die Verarbeitung verwendet wird. Das bedeutet im Einzelfall, dass auch schon ein Teil der regelmäßigen Arbeitszeit ausreichen kann, um als Person im Sinne des § 38 Abs. 1 Satz 1 BDSG klassifiziert zu werden. Entsprechend schnell ist die Schwelle von 20 Personen überschritten. Hierauf sollten Unternehmen besonders achten.

Weitere Benennungspflichten nach § 38 BDSG

Daneben nennt das BDSG in § 38 Abs. 1 Satz 2 zwei weitere Szenarien, in denen Unternehmen einen Datenschutzbeauftragten benennen müssen. Einerseits in Fällen, in denen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO notwendig ist, und andererseits in Konstellationen, in denen sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.

Beispiel für den erstgenannten Fall ist ein Unternehmen, das flächendeckend Fingerabdrucksensoren zur Zutrittskontrolle für bestimmte Bereiche einsetzt. Hierfür wäre im Zweifel eine Datenschutz-Folgenabschätzung notwendig und damit auch die Benennung eines Datenschutzbeauftragten nach § 38 Abs. 1 Satz 2 Alt. 1 BDSG. Beispielhaft für die zweite Konstellation sind Auskunfteien oder Bewertungsportale.

Auch wenn Unternehmen keine Pflicht trifft, können sie trotzdem auf freiwilliger Basis einen Datenschutzbeauftragten benennen. Diese Möglichkeit ist in Art. 37 Abs. 4 DSGVO geregelt. Der freiwillig benannte Datenschutzbeauftragte hat dabei grundsätzlich dieselbe Stellung wie der verpflichtend benannte. Dies gilt auch für Regelungen des Zeugnisverweigerungsrechts nach § 38 Abs. 2 i.V.m. § 6 Abs. 6 BDSG oder die Verschwiegenheitsverpflichtung nach § 38 Abs. 2 i.V.m. § 6 Abs. 5 Satz 2 BDSG, jedoch explizit nicht für die Abberufung oder Kündigung des Datenschutzbeauftragten nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG.

Wer darauf verzichtet, kann interne Mitarbeitende oder externe Berater mit bestimmten Datenschutzaufgaben betrauen. In solchen Fällen muss jedoch sichergestellt werden, dass sowohl den Parteien als auch etwaigen Kommunikationspartnern klar ist, dass es sich bei der tätigen Person nicht um einen Datenschutzbeauftragten handelt. Eine weitere Option ist ein externer Datenschutzbeauftragter, der die Funktion vollständig übernimmt.ichtsbehördliche Maßnahmen und – abhängig von den Umständen des Einzelfalls – auch ein Bußgeld in Betracht.

Kommt eine verantwortliche Stelle der gesetzlichen Benennungspflicht nicht nach, stellt dies grundsätzlich einen Verstoß gegen Art. 37 DSGVO dar. Der Aufsichtsbehörde steht dann der vollständige Maßnahmen-Katalog des Art. 58 DSGVO zur Verfügung. Wohl am härtesten ist dabei die Verhängung eines Bußgelds nach Art. 83 DSGVO. Dieses kann gemäß Art. 83 Abs. 4 lit. a DSGVO bis zu 10.000.000 EUR oder im Fall eines Unternehmens bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs betragen.

Erschwerend kommt häufig hinzu, dass die Aufsichtsbehörden vom Umstand des fehlenden Datenschutzbeauftragten regelmäßig erst dann Kenntnis erlangen, wenn sie bereits wegen eines möglichen anderweitigen Verstoßes ermitteln. Ein solches Zusammentreffen von DSGVO-Verstößen wiegt erfahrungsgemäß schwerer als der singuläre Verstoß allein. Als Beispiel dient eine Entscheidung des Bundesverwaltungsgerichts der Republik Österreich, in dem die österreichische Aufsichtsbehörde das ursprünglich anvisierte Bußgeld erhöhte, weil das Unternehmen neben einem DSGVO-Verstoß auch keinen Datenschutzbeauftragten benannt hatte.

Weitere Bußgelder wurden wie folgt verhängt:

• 64.000 EUR gegen „Mr. Wash“, wovon 10.000 EUR alleine für die Nichtbenennung eines Datenschutzbeauftragten (Landesbeauftragter für Datenschutz und Informationsfreiheit (LDI) Nordrhein-Westfalen)
• 51.000 EUR gegen die Facebook Germany GmbH (Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit, 2019, S. 105f.)
• 75.000 EUR gegen das griechische Tourismusministerium wegen verspäteter Benennung eines Datenschutzbeauftragten (Datenschutzaufsichtsbehörde Griechenland)

Jedes Unternehmen und jede sonstige Stelle, die personenbezogene Daten verarbeitet, sollte in festen Abständen prüfen, ob die genannten Kriterien auf sie zutreffen, und bei Bedarf eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen. Anlass für eine erneute Prüfung geben vor allem Personalwachstum, neue IT‑Systeme und veränderte Geschäftsmodelle.

Ein benannter und ausreichend ausgestatteter Datenschutzbeauftragter legt zudem die Grundlage dafür, insgesamt datenschutzrechtlich zulässig aufgestellt zu sein. Hierdurch können DSGVO-Verstöße und Verfahren vor den Aufsichtsbehörden schon im Ansatz verhindert werden.

Die 20-Personen-Schwelle ist eine deutsche Sonderregelung. Die europäische Datenschutz-Grundverordnung kennt in Art. 37 keine vergleichbare Mitarbeiterzahl, sondern knüpft die Benennungspflicht allein an Art und Risiko der Datenverarbeitung. Deutschland hat mit § 38 BDSG also bewusst eine niedrigere Hürde geschaffen. Das Ergebnis: Auch kleine Unternehmen ohne risikoreiche Datenverarbeitung mussten allein aufgrund ihrer Mitarbeiterzahl einen DSB benennen. Genau hier setzt die Kritik an.

Fällt § 38 Abs. 1 BDSG wie geplant weg, entfällt nicht nur die starre 20-Personen-Grenze. Auch die spezifisch deutschen Pflichten bei Markt- und Meinungsforschung oder bei Vorliegen einer Datenschutz-Folgenabschätzung fallen in dieser Form weg. Es gilt dann für alle Unternehmen, ob Großkonzern oder Startup, ausschließlich der risikobasierte Ansatz des Art. 37 DSGVO.

Die Debatte ist nicht neu. Bereits am 22. März 2024 befasste sich das Bundesratsplenum mit einer Ausschussempfehlung, § 38 Abs. 1 BDSG zu streichen. Die Empfehlung fand damals jedoch keine Mehrheit. Mit der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat das Thema jedoch neuen Schwung bekommen. Im Beschlusspapier heißt es in Nr. 160 sinngemäß:

„Der Bund wird bis zum 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen und damit die Pflicht zur Bestellung von Datenschutzbeauftragten im nichtöffentlichen Bereich auf die Regelung in Artikel 37 DSGVO beschränken.“

Damit ist die Abschaffung politisch gewollt, aber rechtlich noch nicht vollzogen. Ein konkreter Gesetzentwurf liegt zum jetzigen Zeitpunkt noch nicht vor.

Befürworter der Abschaffung argumentieren vor allem mit dem Bürokratieabbau. Gerade kleine und mittlere Unternehmen empfinden die Pflicht zur Benennung eines DSB als Belastung, besonders dann, wenn ihre Datenverarbeitung kein erhöhtes Risiko birgt.

Zudem bestehe mit Art. 37 DSGVO ein ausreichendes Regelwerk, das die Benennung europaweit einheitlich und am tatsächlichen Risiko ausgerichtet regelt.

Kritik an der Abschaffung der DSB Pflicht

Kritiker warnen vor den Folgen. Der Berufsverband der Datenschutzbeauftragten (BvD) hatte sich bereits 2024 gegen eine Streichung ausgesprochen und sieht im DSB einen unverzichtbaren Ansprechpartner. Alle Anforderungen der DSGVO würden weiter gelten, nur die fachkundige interne Unterstützung für die Umsetzung entfiele. Das Problem sei die gebündelte Komplexität europarechtlicher Verpflichtungen und nicht die Pflicht aus § 38 BDSG.

„Wer sollte denn am besten das Risiko einer hochkomplexen Datenverarbeitung im Zeitalter von KI und internationalen Datentransfers einschätzen können, wenn nicht der DSB?“
Berufsverband der Datenschutzbeauftragten, 2024

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hat sich in seinem Tätigkeitsbericht 2026 ebenfalls gegen den Wegfall ausgesprochen. Ohne die klare 20-Personen-Schwelle entstehe Rechtsunsicherheit: Unternehmen müssten künftig selbst beurteilen, ob ihre Verarbeitung unter Art. 37 DSGVO fällt.

Die wichtigste Klarstellung vorweg: Eine Streichung von § 38 Abs. 1 BDSG bedeutet keine Streichung von Datenschutzpflichten. Sämtliche materiellen Anforderungen der DSGVO bleiben vollständig bestehen. Die Abschaffung reduziert also nicht die Pflichten, sondern entfernt nur die Person, die bei deren Erfüllung hilft.

„In Deutschland sind sie seit 1977, als sie im BDSG verankert wurden, eine Erfolgsstory: die betrieblichen und behördlichen Datenschutzbeauftragten, die vor Ort überall dort unterstützen, wo Datenschutzkenntnisse gefragt sind.“
Marit Hansen, ULD Schleswig-Holstein, Tätigkeitsbericht 2026, Ziffer 1.5

Folgende Unternehmen müssen voraussichtlich also auch ohne die deutsche Schwelle weiterhin einen DSB benennen:

• Unternehmen mit Überwachungsfokus: Deren Kerntätigkeit besteht in der umfangreichen, regelmäßigen und systematischen Überwachung (z. B. Auskunfteien, Scoring-Dienstleister, Verlage mit Tracking).
• Unternehmen mit sensiblen Daten: Wenn im großen Umfang besondere Kategorien personenbezogener Daten verarbeitet werden (z. B. Gesundheitsdaten in Kliniken oder größeren Arztpraxen).

Für ein Handwerksunternehmen mit 30 Mitarbeitenden, das primär Kunden- und Beschäftigtendaten verwaltet, würde die Pflicht dagegen vermutlich entfallen. Für ein Health-Tech-Startup mit Gesundheitsdaten dürfte sie über Art. 37 DSGVO fortbestehen. Die Grauzone dazwischen dürfte für Unsicherheit sorgen.

Auch wenn die politische Richtung klar scheint, gilt die aktuelle Rechtslage. Wer heute die 20-Personen-Schwelle überschreitet, muss weiterhin einen DSB benennen. Sinnvoll ist jedoch eine vorausschauende Prüfung:

• Art. 37 DSGVO prüfen: Würde die Benennungspflicht auch ohne § 38 BDSG bestehen? Wer diese Frage mit Ja beantwortet, für den ändert sich ohnehin nichts.
• Risikobewertung dokumentieren: Wer künftig keinen DSB mehr benennt, sollte nachvollziehbar dokumentieren, warum Art. 37 DSGVO nicht greift.
• Gesetzgebungsverfahren beobachten: Zwischen Ankündigung und Inkrafttreten können sich Details ändern. Noch ist nichts endgültig beschlossen.

Zudem kann ein DSB auch ohne gesetzliche Pflicht ein wertvolles Instrument sein, um Fachwissen zu bündeln und Verantwortung zu signalisieren. Dies gilt auch für kleine und mittlere Unternehmen.

Gründe für einen Datenschutzbeauftragten auch ohne Pflicht

Strukturen wachsen nicht von allein. Ein Unternehmen mit 15 Mitarbeitenden regelt den Datenschutz oft noch nebenbei. Ab 20 bis 30 Personen steigen jedoch die internen Datenströme oft drastisch an, etwa durch HR-Software, CRM-Systeme und komplexere IT‑Infrastrukturen. Wer in dieser Wachstumsphase keinen festen Verantwortlichen benennt, schleppt Altlasten und unsaubere Prozesse mit, die später nur unter massivem Kosten- und Zeitaufwand korrigiert werden können.

Der Kipppunkt zu Art. 37 DSGVO kommt schleichend. Je größer ein Unternehmen wird, desto eher führt es neue Tools ein, sei es KI-gestützte Kundenanalyse oder automatisierte Verhaltensüberwachung der Beschäftigten. Ohne einen DSB, der frühzeitig Prozesse lenkt, läuft das Unternehmen Gefahr, unbemerkt die Schwelle des Art. 37 DSGVO zu überschreiten, ohne die gesetzlich geforderten Kontrollen etabliert zu haben.

Hinzu kommt die Professionalität im Außenauftritt. Kunden, Investoren und Partner fragen heute standardmäßig nach dem Datenschutzkonzept, oft im Rahmen von Compliance-Audits oder Auftragsverarbeitungsverträgen. Ein offiziell benannter DSB, ob intern oder extern, signalisiert Professionalität und schafft Vertrauen, noch bevor das Unternehmen in die Riege der Großkonzerne aufsteigt.

Stand heute besteht die Pflicht zur Benennung eines Datenschutzbeauftragten nach § 38 Abs. 1 BDSG weiterhin fort. Eine Rechtsänderung ist trotz der politischen Ankündigung bislang nicht in Kraft getreten. Unabhängig davon bleibt die Benennungspflicht nach Art. 37 DSGVO bestehen.

Die mögliche Abschaffung von § 38 Abs. 1 BDSG ist jedoch kein Freifahrtschein. Sie verlagert die Verantwortung von einer klaren numerischen Schwelle hin zu einer risikobasierten Einzelfallbewertung. Wer den Datenschutzbeauftragten bislang nur als bürokratische Pflicht betrachtet hat, sollte die aktuelle Debatte zum Anlass nehmen, seine Rolle neu zu bewerten. Nicht als regulatorische Last, sondern als strategischen Vorteil in einer datengetriebenen Wirtschaft.

Dr. Alina Weskamp-Nordmann, LL.M.

Juristin

Ich berate Sie gerne

Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular.

+49 40 790 235 0

sales@intersoft-consulting.de

Termin vereinbaren