Datenschutzbeauftragter: ab wann Pflicht? Stand 2026

Ob ein Unternehmen einen Datenschutzbeauftragten braucht, entscheiden zwei Regelwerke. Die DSGVO nennt in Art. 37 Abs. 1 drei Fälle, die an die Art der Tätigkeit anknüpfen. Das Bundesdatenschutzgesetz ergänzt in § 38 Abs. 1 eine deutsche Sonderregel, die an die Zahl der Beschäftigten anknüpft. Wer eine der Voraussetzungen erfüllt, muss benennen. Die Mitarbeiterzahl ist dabei nur eines von mehreren Kriterien, und sie ist nicht einmal das wichtigste.

Die Schwelle von 20 Personen und wie gezählt wird

Nach § 38 Abs. 1 Satz 1 BDSG benennen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. Die Zahl gilt seit dem 26. November 2019. Vorher lag sie bei zehn, und viele ältere Texte nennen noch diesen Wert.

Für die Zählung kommt es auf drei Begriffe aus dem Gesetzestext an:

• Personen, nicht Vollzeitstellen. Wer in Teilzeit arbeitet, zählt als ganze Person, ebenso Aushilfen, Auszubildende und die Geschäftsführung, wenn sie selbst mit den Daten arbeitet.
• In der Regel: Maßgeblich ist der übliche Personalstand, nicht ein kurzer Ausschlag nach oben oder unten.
• Ständig mit automatisierter Verarbeitung: Erfasst ist, wer regelmäßig mit Kundensystem, Warenwirtschaft, Personalsoftware oder E-Mail an personenbezogenen Daten arbeitet. Gelegentliche Berührung reicht nicht.

In der Praxis erreichen deshalb auch Betriebe die Schwelle, die sich selbst nicht für datenintensiv halten, etwa ein Handwerksbetrieb mit Büro, Planung und Kundendienst.

Wann die Zahl keine Rolle spielt

§ 38 Abs. 1 Satz 2 BDSG verlangt einen Datenschutzbeauftragten „unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen“ in zwei Konstellationen. Die erste betrifft Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Das kann schon ein einzelnes Verfahren auslösen, etwa eine umfangreiche Videoüberwachung oder ein System, das Beschäftigte systematisch bewertet. Die zweite betrifft Unternehmen, die personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für die Markt- und Meinungsforschung verarbeiten, typischerweise Auskunfteien, Adresshändler und Marktforschungsinstitute. Ein Adresshändler mit drei Beschäftigten braucht deshalb einen Datenschutzbeauftragten, ein Betrieb mit 19 Beschäftigten ohne solche Verarbeitung nicht.

Was die DSGVO selbst verlangt

Unabhängig vom BDSG gilt Art. 37 Abs. 1 DSGVO. Er verpflichtet zur Benennung, wenn eine der folgenden Voraussetzungen vorliegt:

1. Die Verarbeitung wird von einer Behörde oder öffentlichen Stelle durchgeführt, mit Ausnahme von Gerichten, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln (lit. a).
2. Die Kerntätigkeit besteht in Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen (lit. b). Die Leitlinien der europäischen Datenschutzbehörden (WP 243) nennen als Beispiele unter anderem den Betrieb eines Telekommunikationsnetzes, Scoring für Kreditvergabe oder Versicherungsprämien, Standortverfolgung über Apps, Treueprogramme und verhaltensbasierte Werbung.
3. Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO (lit. c).

Entscheidend ist in beiden letzten Fällen das Wort Kerntätigkeit. Die Leitlinien unterscheiden die Vorgänge, die zur Erreichung der Unternehmensziele erforderlich sind, von Unterstützungstätigkeiten wie der Entlohnung der Mitarbeiter oder dem Standard-IT-Support. Wer Krankmeldungen für die Lohnabrechnung verarbeitet, erfüllt lit. c deshalb nicht. Bei einem Krankenhaus dagegen gehört die Verarbeitung von Patientendaten zur Kerntätigkeit, weil die Behandlung ohne sie nicht zu erbringen ist.

Benennen, melden, veröffentlichen

Wer benennen muss, wählt den Datenschutzbeauftragten nach beruflicher Qualifikation und Fachwissen im Datenschutzrecht aus (Art. 37 Abs. 5 DSGVO). Es kann eine eigene Beschäftigte oder ein eigener Beschäftigter sein oder ein externer Dienstleister auf Grundlage eines Dienstleistungsvertrags (Art. 37 Abs. 6 DSGVO). Die Kontaktdaten sind zu veröffentlichen, üblicherweise in der Datenschutzerklärung, und der Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO). Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten benennen, wenn er von jeder Niederlassung aus leicht erreichbar ist (Art. 37 Abs. 2 DSGVO).

Bei der internen Lösung ist der Kündigungsschutz zu beachten. Ist die Benennung verpflichtend, gilt über § 38 Abs. 2 BDSG der § 6 Abs. 4 BDSG: Abberufung nur entsprechend § 626 BGB, ordentliche Kündigung ausgeschlossen, und das noch ein Jahr nach dem Ende der Tätigkeit. Bei freiwilliger Benennung greift dieser besondere Schutz nicht.

Was ein Versäumnis kostet

Wer trotz Pflicht keinen Datenschutzbeauftragten benennt oder ihn nicht meldet, verstößt gegen Art. 37 DSGVO. Dafür gilt der Bußgeldrahmen aus Art. 83 Abs. 4 lit. a DSGVO, der die Artikel 25 bis 39 umfasst: bis zu 10 Mio. Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist. In der Praxis fällt das Fehlen meist nicht für sich auf, sondern bei einer Beschwerde oder einer Datenpanne, wenn die Aufsichtsbehörde nach dem Ansprechpartner fragt. Wer die Pflicht verneint, sollte die Prüfung deshalb schriftlich festhalten: Personenzahl zum Stichtag, geprüfte Verarbeitungen, Ergebnis.