In Erstgesprächen höre ich seit Monaten dieselbe Hoffnung: „Wenn § 38 BDSG fällt, sind wir den Datenschutzbeauftragten los.“ Die politische Debatte um eine Entlastung kleinerer Unternehmen ist real. Aber Hoffnung ist kein Gesetz. Und selbst wenn die deutsche Zusatzpflicht gelockert würde, bliebe die europäische Ebene – allen voran Art. 37 DSGVO.
Dieser Ratgeber ordnet den Stand vorsichtig ein: Was diskutiert wird, was heute gilt, welches Risiko entsteht, wenn man den DSB vorschnell streicht, und wann externe Betreuung für KMU weiter wirtschaftlich und organisatorisch sinnvoll ist. Es handelt sich um allgemeine Orientierung, keine Rechtsberatung im Einzelfall.
Reformstatus: Ankündigung ist nicht Inkrafttreten
Fachmedien und politische Akteure diskutieren Anpassungen der deutschen Benennungspflicht nach § 38 BDSG – häufig mit Blick auf die bekannte Schwelle von in der Regel 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Solche Debatten können in Referentenentwürfe, Kabinettsbeschlüsse und parlamentarische Verfahren münden. Entscheidend für Ihre Praxis ist jedoch nur der Text, der verkündet wurde und in Kraft getreten ist.
Bis dahin gilt der aktuelle Rahmen. Wer Verträge kündigt, Websites umbaut oder die LfDI-Meldung „auf Verdacht“ zurückzieht, handelt auf einer unsicheren Grundlage. In meiner Beratung aktualisiere ich Mandate erst, wenn die Rechtslage belastbar ist – nicht wenn eine Überschrift viral geht.
Was heute gilt: Art. 37 DSGVO und § 38 BDSG
Art. 37 DSGVO verpflichtet zur Benennung eines Datenschutzbeauftragten unter bestimmten Voraussetzungen, unter anderem wenn die Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Beobachtung von Betroffenen besteht oder wenn besondere Kategorien personenbezogener Daten nach Art. 9 in großem Umfang verarbeitet werden. Das ist Unionsrecht und bleibt unabhängig von nationalen Entlastungsdebatten relevant.
§ 38 BDSG ergänzt in Deutschland den häufigsten Fall über die Personenzahl an der automatisierten Verarbeitung. Viele Handwerks- und Dienstleistungsbetriebe in Tübingen, Reutlingen und dem Zollernalbkreis sind genau über diese Schwelle in die Benennung gerutscht – nicht über Art. 9.
Wichtig: Keine DSB-Pflicht bedeutet nie „keine DSGVO“. Auskunft, Löschung, TOMs, Verarbeitungsverzeichnis und Rechenschaftspflicht gelten weiter.
Was bleibt, selbst wenn § 38 gelockert wird
Selbst in einem Szenario mit abgeschwächter deutscher Zusatzpflicht bleiben typische Pflichtfälle nach Art. 37 bestehen. Beispiele:
- Arztpraxen, Pflegedienste und ähnliche Stellen mit umfangreicher Gesundheitsdatenverarbeitung
- Geschäftsmodelle mit intensiver, systematischer Beobachtung oder Profiling
- Konstellationen, in denen eine Datenschutz-Folgenabschätzung und hohe Risiken eng mit der Benennungspflicht verknüpft diskutiert werden
Zusätzlich können Vertragspartner, Ausschreibungen und Konzernvorgaben einen benannten DSB verlangen – unabhängig vom Gesetz. Wer nur „Pflicht weg = Rolle weg“ denkt, übersieht diese Ebene.
Risiko, den externen DSB vorschnell zu streichen
Ein abruptes Ende des Mandats erzeugt oft drei Lücken gleichzeitig: fehlende Fachkunde im Haus, unklare Zuständigkeit bei Vorfällen und Auskunftsersuchen sowie brüchige Dokumentation. Die Aufsicht sieht in einer fehlenden oder veralteten Benennung häufig ein Symptom – und schaut dann tiefer.
Praktisch riskant sind auch Übergaben ohne Plan: Der alte Dienstleister ist weg, der neue noch nicht da, die Datenschutzerklärung nennt noch den alten Namen, die Meldung an die Aufsicht ist unverändert. Genau diese Inkonsistenzen entstehen, wenn Reformschlagzeilen zum Aktionismus führen.
Wann ein externer DSB weiter sinnvoll bleibt
Auch ohne gesetzliche Pflicht bleibt externe Betreuung für viele KMU die robustere Lösung:
- Interessenkonflikte (GF, IT, HR) werden vermieden
- Fachkunde und Vertretung sind vorhanden, ohne interne FTE zu binden
- Cloud-, KI- und Hinweisgeber-Themen brauchen ohnehin Begleitung
- Schulungen und AV-Verträge bleiben nicht an „jemand nebenbei“ hängen
Gerade wachsende Betriebe zwischen 15 und 60 Personen erleben, dass die Komplexität der Tools schneller steigt als die Kopfzahl. Der DSB ist dann weniger Paragraphenhüter als Betriebsversicherung für Prozesse.
Fahrplan für KMU: entscheiden, nicht spekulieren
- Dokumentieren Sie, warum der DSB heute benannt ist (Art. 37, § 38, freiwillig, Vertragspartner).
- Verfolgen Sie die Reform, handeln Sie aber erst bei Inkrafttreten.
- Prüfen Sie Sonderfälle (Gesundheit, Monitoring, Gruppenstrukturen).
- Wenn Sie dennoch beenden: Übergabe, Aufsichtsmeldung, Website und Löschbestätigung synchron fahren.
- DSGVO-Mindeststandard unabhängig vom DSB absichern.
Festpreise und Modelle für die externe Rolle finden Sie auf externer-datenschutzbeauftragter-kosten.de. Für die regionale Perspektive vor Ort lohnt der Blick auf datenschutzbeauftragter-regio.de. Und wenn Sie den Status für Ihr Unternehmen klären wollen: Das kostenlose Erstgespräch ist genau dafür da.
Fazit: Die Frage „Fällt § 38?“ ist politisch spannend. Operativ zählt, welches Recht heute gilt und welche Risiken Sie tragen, wenn Sie die Rolle ersatzlos streichen. Art. 37 DSGVO und die Realität moderner Cloud-Organisationen verschwinden nicht mit einer nationalen Reformdebatte.
Für Geschäftsführungen in der Region Neckar-Alb empfiehlt sich eine nüchterne Kosten-Nutzen-Rechnung statt Symbolpolitik. Was kostet das externe Mandat im Jahr – und was kostet ein einziger schlecht gelaufener Auskunfts- oder Vorfallprozess ohne klare Zuständigkeit? Häufig ist die Antwort eindeutig, sobald man interne Stunden ehrlich bewertet.
Beobachten Sie parallel die Kommunikation der Aufsichtsbehörden und Fachverbände. Sobald ein Reformgesetz greift, werden Auslegungshinweise folgen: Übergangsfristen, Meldewege, Empfehlungen zum freiwilligen Beibehalten. Diese Hinweise sind operativ oft wichtiger als die politische Überschrift.
Wer heute investiert, investiert in Nachweise: saubere Verzeichnisse, aktualisierte AV-Verträge, geschulte Teams. Das bleibt wertvoll, egal wie § 38 am Ende formuliert wird. Wer nur auf das Streichen der Rolle wartet, verschiebt Arbeit – er spart sie nicht.
Abschließend: Nutzen Sie das Erstgespräch, um Ihren konkreten Status zu kartieren. Pflicht, freiwillig, vertraglich gefordert oder Mischform – erst die Diagnose, dann die Entscheidung. Links zu Festpreisen und zur regionalen Betreuung finden Sie oben; die Umsetzung bleibt Handwerk.
Kurz beantwortet aus der Praxis
Muss ich sofort handeln, weil „2026“ in der Überschrift steht? Nein – handeln Sie auf Basis geltenden Rechts und Ihres Risikoprofils. Sollte ich den DSB „auf Probe“ abmelden? In der Regel nein; Abmeldungen ohne belastbare Grundlage erzeugen mehr Probleme als sie lösen. Reicht ein interner Mitarbeiter als Ersatz? Nur mit Fachkunde und ohne Interessenkonflikt – das scheitert in KMU häufig an Kapazität und Rolle.
Wenn Sie unsicher sind, ist das kein Zeichen von Schwäche, sondern der Normalzustand in einer laufenden Reformdebatte. Strukturierte Klärung schlägt Bauchgefühl – besonders wenn Bußgeldrahmen und Kundenanforderungen im Raum stehen.