Datenschutzbeauftragter Pflicht: Ab wann Sie einen DSB brauchen

Ab wann ist ein Datenschutzbeauftragter Pflicht?

Nach geltendem Recht müssen Unternehmen und Vereine einen Datenschutzbeauftragten (DSB) benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (§ 38 Abs. 1 Satz 1 BDSG). Unabhängig von der Zahl besteht die Pflicht bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern, bei bestimmten Datenhandels- und Forschungszwecken (§ 38 Abs. 1 Satz 2 BDSG) und in den Fällen des Art. 37 Abs. 1 DSGVO, etwa für Behörden.

Die Bundesregierung plant, die Grenze von 20 Personen zu streichen. Beschlossen ist das nicht. Bis zu einer Gesetzesänderung gilt § 38 BDSG unverändert. Den Stand finden Sie im Ausblick.

§ 38 BDSG: Pflicht ab 20 Personen und Sonderfälle

§ 38 BDSG ergänzt die DSGVO für nichtöffentliche Stellen, also Unternehmen, Selbstständige und Vereine. Er gilt für Verantwortliche und für Auftragsverarbeiter. Es gibt zwei Auslöser:

• Personenzahl (Satz 1): In der Regel mindestens 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
• Art der Verarbeitung (Satz 2): Sie nehmen Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder Sie verarbeiten personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung. Dann gilt die Pflicht unabhängig von der Personenzahl.

Wann eine Folgenabschätzung nötig ist, erklärt die Seite Datenschutz-Folgenabschätzung (DSFA).

§ 38 Abs. 2 BDSG: Kündigungsschutz und Verschwiegenheit des Datenschutzbeauftragten

§ 38 Abs. 2 BDSG überträgt drei Schutzregeln aus § 6 BDSG, die eigentlich für öffentliche Stellen gelten, auf Unternehmen und Vereine:

• Abberufung und Kündigungsschutz (§ 6 Abs. 4 BDSG): Der Datenschutzbeauftragte darf nur aus wichtigem Grund entsprechend § 626 BGB abberufen werden. Die Kündigung seines Arbeitsverhältnisses ist nur zulässig, wenn ein Grund zur fristlosen Kündigung vorliegt. Dieser Schutz wirkt ein Jahr nach dem Ende der Tätigkeit als Datenschutzbeauftragter nach.
• Verschwiegenheit (§ 6 Abs. 5 Satz 2 BDSG): Über die Identität von Betroffenen, die sich an ihn wenden, und über Umstände, die Rückschlüsse auf sie zulassen, muss der Datenschutzbeauftragte schweigen, solange die Betroffenen ihn nicht davon befreien.
• Zeugnisverweigerungsrecht (§ 6 Abs. 6 BDSG): Erfährt er bei seiner Arbeit Daten, für die im Unternehmen ein berufliches Zeugnisverweigerungsrecht besteht, etwa in einer Arztpraxis, steht ihm dieses Recht ebenfalls zu.

Der besondere Kündigungsschutz gilt nur, wenn die Benennung Pflicht ist. Wer einen Datenschutzbeauftragten freiwillig benennt, löst ihn nicht aus. Er betrifft außerdem nur interne Datenschutzbeauftragte mit Arbeitsvertrag. Bei einem externen Datenschutzbeauftragten regelt der Dienstleistungsvertrag Laufzeit und Kündigung. Mehr dazu im Vergleich interner oder externer Datenschutzbeauftragter und unter Datenschutzbeauftragten wechseln.

Art. 37 DSGVO: Pflicht unabhängig von der Größe

Die DSGVO selbst verlangt einen DSB in drei Fällen (Art. 37 Abs. 1 DSGVO):

• Behörden und öffentliche Stellen, mit Ausnahme von Gerichten im Rahmen ihrer justiziellen Tätigkeit
• Umfangreiche regelmäßige und systematische Überwachung von Personen als Kerntätigkeit, etwa Scoring zur Bonitätsprüfung, Standortverfolgung per App oder verhaltensbasierte Werbung
• Umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, oder von Daten über Straftaten nach Art. 10 DSGVO als Kerntätigkeit

Kerntätigkeit meint das eigentliche Geschäft, nicht unterstützende Aufgaben wie die Lohnzahlung oder die übliche IT-Betreuung. Ein Krankenhaus verarbeitet Gesundheitsdaten dagegen als Kerntätigkeit (Leitlinien WP 243 der Artikel-29-Datenschutzgruppe). Für Praxen und andere Gesundheitsberufe siehe Datenschutz in der Arztpraxis und den Artikel zu besonderen Kategorien personenbezogener Daten.

Datenschutzbeauftragter ab wieviel Mitarbeiter? So zählen Sie

Maßgeblich ist nicht die Zahl der Arbeitsverträge, sondern die Zahl der Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die Aufsichtsbehörden legen die drei Merkmale so aus:

• Automatisiert: Arbeit mit Computer, Tablet, Smartphone oder ähnlichen Geräten (LDI NRW).
• Ständig: Die Aufgabe ist auf Dauer angelegt, auch wenn sie nur in Abständen anfällt, etwa monatlich (LDI NRW). Das BayLDA legt enger aus: Die Datenverarbeitung muss ein Schwerpunkt der Tätigkeit sein.
• In der Regel: Es zählt die übliche Zahl. Kurzfristige Unter- oder Überschreitungen bleiben außer Betracht (BayLDA).

Die Beschäftigten eines Auftragsverarbeiters, etwa eines externen Lohnbüros, zählen nicht zu Ihren Personen (LDI NRW). Liegen Sie knapp an der Grenze, dokumentieren Sie Ihre Zählung. Nachlesen können Sie bei BayLDA und LDI NRW.

Checkliste: Brauche ich einen Datenschutzbeauftragten?

Wenn Sie eine Frage mit Ja beantworten, ist nach heutigem Recht ein DSB Pflicht:

• Arbeiten in der Regel 20 oder mehr Personen ständig mit personenbezogenen Daten am Computer, Tablet oder Smartphone?
• Braucht eine Ihrer Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO?
• Handeln Sie geschäftsmäßig mit Daten oder betreiben Sie Markt- oder Meinungsforschung?
• Sind Sie eine Behörde oder öffentliche Stelle?
• Besteht Ihr Kerngeschäft in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen?
• Besteht Ihr Kerngeschäft in der umfangreichen Verarbeitung von Gesundheitsdaten oder anderen Daten nach Art. 9 oder Art. 10 DSGVO?

Lautet jede Antwort Nein, können Sie freiwillig einen DSB benennen. Die übrigen Pflichten der DSGVO bleiben in jedem Fall. Ein externer DSB ist eine Option, siehe Kosten externer Datenschutzbeauftragter.

Bestellung des Datenschutzbeauftragten: Form, Meldung, Veröffentlichung

Für die Benennung schreibt weder die DSGVO noch das BDSG eine bestimmte Form vor. Wegen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO sollten Sie die Benennung aber schriftlich festhalten, mit Datum, Aufgaben und Unterschrift beider Seiten. Bei einem externen DSB regelt das der Dienstleistungsvertrag (Art. 37 Abs. 6 DSGVO).

Nach der Benennung sind zwei Schritte Pflicht (Art. 37 Abs. 7 DSGVO):

1. Veröffentlichen: Die Kontaktdaten des DSB gehören an eine leicht auffindbare Stelle, üblich ist die Datenschutzerklärung. Nach den Leitlinien der Artikel-29-Datenschutzgruppe, die der EDSA übernommen hat, muss der Name dort nicht stehen. Eine eigene E-Mail-Adresse oder Telefonnummer genügt.
2. Melden: Die Kontaktdaten teilen Sie der zuständigen Aufsichtsbehörde mit. Gegenüber der Behörde ist auch der Name wichtig. Die meisten Landesbehörden bieten dafür ein Online-Formular an, etwa das BayLDA in Bayern oder der LfDI Baden-Württemberg.

Benannt werden kann, wer die nötige Fachkunde hat (Art. 37 Abs. 5 DSGVO) und keinem Interessenkonflikt unterliegt (Art. 38 Abs. 6 DSGVO). Geschäftsführung, IT-Leitung oder Personalleitung scheiden deshalb in der Regel aus. Welche Aufgaben der DSB hat, erklärt der Artikel zur Rolle des Datenschutzbeauftragten.

Was passiert, wenn kein Datenschutzbeauftragter bestellt wird?

Wer trotz Pflicht keinen DSB benennt, die Kontaktdaten nicht veröffentlicht oder nicht an die Behörde meldet, verstößt gegen Art. 37 DSGVO. Art. 83 Abs. 4 lit. a DSGVO sieht dafür Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die Aufsichtsbehörde kann die Benennung auch anordnen (Art. 58 Abs. 2 lit. d DSGVO).

Dass Behörden auch formale Fehler ahnden, zeigt ein Fall aus Hamburg: Der Hamburgische Beauftragte für Datenschutz verhängte 2019 gegen die Facebook Germany GmbH ein Bußgeld von 51.000 Euro, weil der Datenschutzbeauftragte der Behörde nicht gemeldet worden war. Benannt war er, nur die Meldung fehlte (28. Tätigkeitsbericht Datenschutz 2019 des HmbBfDI).

Ausblick: Fällt die Pflicht nach § 38 BDSG bis Ende 2026?

Bund und Länder haben am 04.12.2025 die Föderale Modernisierungsagenda beschlossen. Unter Maßnahme 160 heißt es: „Der Bund wird bis zum 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen und damit die Pflicht zur Bestellung von Datenschutzbeauftragten im nichtöffentlichen Bereich auf die Regelung in Art. 37 DSGVO beschränken.“

„Einbringen“ heißt: Bis Ende 2026 soll ein Gesetzentwurf vorgelegt werden. Ein solcher Entwurf ist nach unserer Recherche bis Ende September 2026 nicht veröffentlicht. Danach müssten Bundestag und Bundesrat beraten und beschließen. Eine Empfehlung von Bundesratsausschüssen, § 38 Abs. 1 BDSG zu streichen, fand im Bundesrat am 22.03.2024 keine Mehrheit. Wann und ob die Änderung in Kraft tritt, ist offen.

Selbst wenn § 38 Abs. 1 BDSG gestrichen wird, ändert sich nur, ob Sie eine Person benennen müssen. Art. 37 DSGVO gilt als europäisches Recht weiter, also für Behörden, für umfangreiche Überwachung und für die umfangreiche Verarbeitung von Gesundheitsdaten und anderen besonderen Kategorien. Alle übrigen Pflichten bleiben ebenfalls:

• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, siehe Was ist das VVT?
• technische und organisatorische Maßnahmen nach Art. 32 DSGVO, siehe TOM
• Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, siehe AVV
• Meldung von Datenpannen nach Art. 33 und 34 DSGVO, siehe Datenpanne melden
• Informationspflichten nach Art. 13 und 14 DSGVO und die Rechte der Betroffenen

Ohne DSB muss die Geschäftsführung diese Aufgaben selbst organisieren. Ein freiwillig benannter oder externer DSB bleibt deshalb für viele Betriebe sinnvoll. Beachten Sie: Der besondere Kündigungsschutz nach § 6 Abs. 4 BDSG gilt nach § 38 Abs. 2 BDSG nur, wenn die Benennung Pflicht ist.

Datenschutzbeauftragter von Datenkodex

Ob Pflicht oder freiwillig: Datenkodex übernimmt die Rolle des externen Datenschutzbeauftragten für KMU, Vereine und die öffentliche Hand. Unsere Datenschutzbeauftragten verfügen über eine DEKRA-zertifizierte Fachkunde. Im kostenlosen Erstgespräch gehen wir Ihre Situation anhand der Kriterien oben durch und übernehmen auf Wunsch Benennung, Meldung und die laufende Betreuung. Alle Leistungen finden Sie unter Leistungen, Vereine auf der Seite Datenschutz für Vereine. Termin über die Kontaktseite oder unter 089 / 2000 1420.