Die Frage taucht in fast jedem Erstgespräch auf: „Brauche ich überhaupt einen Datenschutzbeauftragten?“ Die ehrliche Antwort lautet: Es kommt darauf an – aber nicht so kompliziert, wie viele befürchten. Die Pflicht zur Benennung folgt klaren Kriterien. Wer sie kennt, weiß schnell, ob er einen bestellen muss und welches Risiko er eingeht, wenn er es versäumt.
Dieser Ratgeber erklärt, ab wann ein Datenschutzbeauftragter (DSB) Pflicht ist, welche Sonderfälle die bekannte 20-Personen-Grenze aushebeln und warum die Benennungspflicht nicht mit der DSGVO-Pflicht zu verwechseln ist. Denn das ist der häufigste Irrtum überhaupt.
Benennungspflicht ist nicht gleich DSGVO-Pflicht
Bevor es um Schwellenwerte geht, ein entscheidender Punkt: Die Pflicht, einen Datenschutzbeauftragten zu benennen, ist etwas völlig anderes als die Pflicht, die DSGVO einzuhalten. Die Datenschutz-Grundverordnung gilt für jeden, der personenbezogene Daten verarbeitet – vom Ein-Personen-Betrieb über den Verein bis zum Konzern. Ob Sie eine Kundenliste führen, einen Newsletter versenden oder Bewerbungen entgegennehmen: Sie verarbeiten personenbezogene Daten und müssen die DSGVO beachten.
Ein Datenschutzbeauftragter ist dagegen eine zusätzliche Rolle, die nur ein Teil der Verantwortlichen besetzen muss. Wer keinen DSB benennen muss, ist also keineswegs „vom Datenschutz befreit“ – er muss lediglich keine eigene Aufsichtsperson dafür bestellen. Diese Unterscheidung ist wichtig, weil viele kleinere Betriebe und Vereine fälschlich glauben, ohne DSB-Pflicht müssten sie sich um Datenschutz gar nicht kümmern. Das Gegenteil ist der Fall.
Die 20-Personen-Grenze im deutschen Recht
In Deutschland regelt § 38 BDSG den häufigsten Fall: Ein Unternehmen muss einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Zahl wird oft falsch verstanden, deshalb im Detail:
- „Personen“, nicht „Mitarbeiter im Vollzeitäquivalent“: Gezählt wird jeder Kopf, der regelmäßig mit der Datenverarbeitung am Computer zu tun hat – auch Teilzeitkräfte, Minijobber, Auszubildende und tätige Gesellschafter oder Geschäftsführer.
- „Automatisierte Verarbeitung“: Gemeint ist die Verarbeitung mit IT – also alle, die am PC E-Mails schreiben, ins CRM tippen, Rechnungen erstellen oder Tabellen pflegen. Wer ausschließlich körperlich arbeitet und nie Daten am Rechner verarbeitet, zählt nicht mit.
- „In der Regel ständig“: Es geht um die dauerhafte, nicht die einmalige Beschäftigung. Eine Aushilfe für ein Wochenende verschiebt die Schwelle nicht.
Die folgende Tabelle zeigt, wie unterschiedlich die Schwelle in der Praxis greift:
| Betrieb | Personen an der Datenverarbeitung | DSB-Pflicht nach 20er-Grenze? |
|---|---|---|
| Handwerksbetrieb, 8 Personen, davon 3 im Büro | 3 | Nein |
| Steuerkanzlei, 14 Personen, alle am PC | 14 | Nein (aber Sonderfälle prüfen) |
| Online-Händler, 22 Personen, alle mit IT | 22 | Ja |
| Verein, 5 ehrenamtliche Vorstände | unter 20 | Nein |
| Pflegedienst, 25 Personen mit Patientendaten | 25 | Ja |
Wichtig: Die 20er-Grenze ist nur der häufigste Auslöser. Es gibt Konstellationen, in denen die Pflicht unabhängig von der Personenzahl greift – auch beim Drei-Personen-Betrieb.
Die Sonderfälle: DSB-Pflicht trotz weniger als 20 Personen
Unabhängig von der Mitarbeiterzahl muss ein Datenschutzbeauftragter benannt werden, wenn einer der folgenden Fälle vorliegt (Art. 37 DSGVO und § 38 BDSG):
Umfangreiche Verarbeitung besonderer Datenkategorien
Wer in großem Umfang besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet – etwa Gesundheitsdaten, Daten zur ethnischen Herkunft, religiösen Überzeugung oder Gewerkschaftszugehörigkeit –, muss einen DSB benennen, selbst wenn nur eine Handvoll Personen im Betrieb arbeiten. Das betrifft typischerweise Arztpraxen, Pflegedienste, psychotherapeutische Praxen und Labore. Eine Praxis mit fünf Beschäftigten kann also DSB-pflichtig sein, während der Handwerksbetrieb nebenan mit 18 Leuten es nicht ist.
Erforderliche Datenschutz-Folgenabschätzung
Ist für eine Verarbeitung eine Datenschutz-Folgenabschätzung erforderlich – weil sie voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen birgt –, spricht das ebenfalls für eine Benennungspflicht. Das kann etwa bei umfangreichem Tracking, Profiling oder dem Einsatz neuer Technologien der Fall sein.
Kerntätigkeit ist die Überwachung von Personen
Besteht die Kerntätigkeit aus der umfangreichen, regelmäßigen und systematischen Überwachung von Personen – etwa bei Detekteien, Sicherheitsdiensten mit Videoüberwachung oder bestimmten Tracking-Geschäftsmodellen –, ist ein DSB Pflicht.
Intern oder extern – wer darf Datenschutzbeauftragter sein?
Steht fest, dass ein DSB benannt werden muss, folgt die nächste Frage: interne Person oder externer Dienstleister? Beides ist erlaubt. Entscheidend ist die nötige Fachkunde und die Unabhängigkeit. Ein interner DSB darf keine Aufgaben wahrnehmen, bei denen er sich selbst kontrollieren müsste – Geschäftsführer, IT-Leiter oder Personalleiter scheiden als interne DSB deshalb in der Regel aus, weil hier ein Interessenkonflikt entsteht.
Für viele kleine und mittlere Unternehmen ist ein externer Datenschutzbeauftragter die pragmatischere Wahl: Es entstehen keine Schulungs- und Vertretungskosten, die Fachkunde ist von Tag eins vorhanden und der Interessenkonflikt ist ausgeschlossen. Was das kostet, lesen Sie im Ratgeber Externer Datenschutzbeauftragter: Kosten. Welche Aufgaben ein DSB übernimmt, erkläre ich in einem eigenen Beitrag.
Was passiert, wenn man die Benennung versäumt?
Die Benennungspflicht ist kein unverbindlicher Vorschlag. Wer trotz Pflicht keinen Datenschutzbeauftragten benennt, begeht eine Ordnungswidrigkeit, die mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden kann. In der Praxis fallen die Bußgelder gegen KMU deutlich niedriger aus, aber sie sind real – und sie kommen selten allein, weil eine fehlende DSB-Benennung meist nur das erste sichtbare Symptom eines insgesamt vernachlässigten Datenschutzes ist.
Hinzu kommt: Sobald ein DSB benannt ist, müssen seine Kontaktdaten der zuständigen Aufsichtsbehörde gemeldet und in der Datenschutzerklärung veröffentlicht werden. Wer das versäumt, riskiert auch hier ein Bußgeld.
Im Zweifel: Status sauber klären lassen
Die Kriterien klingen eindeutig, doch in der Praxis liegen viele Betriebe im Graubereich: Zählt der Lagerist mit, der zweimal täglich Lieferscheine im System abhakt? Ist die Verarbeitung von Gesundheitsdaten beim Betriebsarzt schon „umfangreich“? Solche Fragen entscheiden über die Pflicht – und über das Bußgeldrisiko.
Genau hier setze ich an. In einem kostenlosen Erstgespräch klären wir, ob Sie einen Datenschutzbeauftragten benennen müssen, und wenn ja, wie Sie das ohne internen Aufwand lösen. Sind Sie nicht pflichtig, sagen ich Ihnen das ehrlich – und zeige, welche DSGVO-Pflichten trotzdem für Sie gelten. So zahlen Sie nicht für eine Rolle, die Sie nicht brauchen, übersehen aber auch keine, die Sie schützt.