Ab wann braucht mein Unternehmen einen Datenschutzbeauftragten?

Fast jedes Unternehmen verarbeitet personenbezogene Daten – von Kundenadressen über Personalakten bis zu Bewerbungen. Doch nicht jedes Unternehmen muss deshalb einen Datenschutzbeauftragten (DSB) bestellen. Ob die Pflicht greift, entscheidet sich an zwei Stellen: dem deutschen Bundesdatenschutzgesetz (§ 38 BDSG) und der europäischen Datenschutz-Grundverordnung (Art. 37 DSGVO). Wer die Schwellen kennt, vermeidet unangenehme Überraschungen.

Was macht ein Datenschutzbeauftragter?

Der DSB ist nicht dafür verantwortlich, dass im Unternehmen alles perfekt läuft – er ist der unabhängige Kontrolleur und Berater. Zu seinen Kernaufgaben zählen die Überwachung der Einhaltung von Datenschutzvorschriften, die Beratung der Geschäftsführung, die Schulung der Mitarbeitenden und die Zusammenarbeit mit der Aufsichtsbehörde. Er ist erste Anlaufstelle für Betroffene und für die Behörde – ohne die Verantwortung der Geschäftsleitung zu ersetzen.

Die 20-Personen-Regel (§ 38 BDSG)

In Deutschland gilt die wohl bekannteste Faustregel: Ein Unternehmen muss einen DSB benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Wichtig ist, was genau gezählt wird:

• Es kommt nicht auf die Gesamtzahl der Mitarbeitenden an, sondern auf die Zahl derjenigen, die tatsächlich ständig mit personenbezogenen Daten arbeiten – am Bildschirm, im CRM, in der Lohnbuchhaltung.
• Mitgezählt werden Vollzeit- und Teilzeitkräfte, Minijobber, Werkstudenten und in der Praxis oft auch die Geschäftsführung.
• Wer regelmäßig E-Mails schreibt oder Kundendaten pflegt, zählt bereits mit.

In vielen Büro- und Dienstleistungsbetrieben ist die Schwelle daher schneller erreicht, als man denkt.

Wann die Pflicht größenunabhängig gilt (Art. 37 DSGVO)

Die DSGVO kennt eine Bestellpflicht, die völlig unabhängig von der Mitarbeiterzahl greift. Ein DSB ist immer erforderlich, wenn die Kerntätigkeit des Unternehmens in einer der folgenden Verarbeitungen besteht:

1. Umfangreiche regelmäßige und systematische Überwachung von Personen – etwa bei Tracking, Scoring, Standortdaten oder umfangreicher Videoüberwachung.
2. Umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO – also Gesundheits-, Sozial-, biometrische, religiöse oder ähnlich sensible Daten (typisch für Arztpraxen, Kliniken, soziale Träger).

Hier reicht bereits ein kleines Team: Auch eine Praxis mit fünf Mitarbeitenden kann bestellpflichtig sein.

Intern oder extern?

Ist die Pflicht ausgelöst, stellt sich die Frage nach der Person. Ein interner DSB kennt die Abläufe gut, darf aber keine Aufgaben übernehmen, die zu einem Interessenkonflikt führen – die IT-Leitung, die Geschäftsführung oder der Personalchef scheiden deshalb in der Regel aus. Hinzu kommen ein besonderer Kündigungsschutz und laufender Fortbildungsaufwand.

Ein externer DSB bringt Fachwissen und Unabhängigkeit von außen mit, ist sofort einsatzbereit und haftet für seine Beratung. Gerade für kleine und mittlere Unternehmen ist das häufig die wirtschaftlichere und rechtssicherere Lösung. Besteht keine Bestellpflicht, ist statt der Benennung oft eine punktuelle Datenschutz-Beratung der passendere Weg.

Der Datenschutzbeauftragte muss seine Aufgaben unabhängig und frei von Weisungen ausüben können – Interessenkonflikte sind zwingend zu vermeiden.

Was der Datenschutzbeauftragte tatsächlich tut

Art. 39 Abs. 1 DSGVO listet die Aufgaben auf, und sie reichen deutlich über die Beratung hinaus: Unterrichtung und Beratung des Verantwortlichen, Überwachung der Einhaltung der Verordnung und der internen Strategien – einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der beteiligten Mitarbeiter sowie der diesbezüglichen Überprüfungen. Hinzu kommen die Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und die Zusammenarbeit mit der Aufsichtsbehörde, für die er zugleich Anlaufstelle ist.

Art. 38 Abs. 3 sichert die Stellung ab: Der Datenschutzbeauftragte erhält bei der Erfüllung dieser Aufgaben keine Anweisungen, darf deswegen nicht benachteiligt werden und berichtet unmittelbar der höchsten Leitungsebene.

Genau dieser Berichtsweg ist der Punkt, an dem es in der Praxis hakt: Er existiert auf dem Papier und wird selten genutzt. Ein jährlicher Tätigkeitsbericht schließt die Lücke – er dokumentiert die Überwachung, bringt offene Punkte auf die entscheidungsfähige Ebene und liefert die Grundlage für die Planung des Folgejahres.

Die Meldung an die Aufsichtsbehörde

Mit der Benennung allein ist die Pflicht nicht erfüllt. Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen.

Beides wird häufiger versäumt als die Benennung selbst. Die Veröffentlichung erfolgt üblicherweise in der Datenschutzerklärung; die Meldung läuft über das Online-Formular der zuständigen Landesbehörde. Wer den Datenschutzbeauftragten wechselt, muss die Meldung aktualisieren – auch das geht regelmäßig unter.

Der Kündigungsschutz und seine Grenze

Ein Punkt, der bei der Entscheidung zwischen interner und externer Lösung selten mitbedacht wird: Der interne Datenschutzbeauftragte genießt besonderen Schutz. Über § 38 Abs. 2 BDSG gilt § 6 Abs. 4 BDSG entsprechend – die Abberufung ist nur in entsprechender Anwendung des § 626 BGB zulässig, die Kündigung des Arbeitsverhältnisses ist grundsätzlich untersagt, und sie bleibt es für ein Jahr nach dem Ende der Tätigkeit.

Dieser Schutz greift allerdings nur, wenn die Benennung verpflichtend ist. § 38 Abs. 2 BDSG stellt das ausdrücklich klar. Wer freiwillig benennt, löst ihn nicht aus – ein Unterschied, der in der Praxis zu Fehleinschätzungen auf beiden Seiten führt.

Wer darf nicht Datenschutzbeauftragter sein?

Art. 38 Abs. 6 DSGVO erlaubt dem Datenschutzbeauftragten andere Aufgaben, solange daraus kein Interessenkonflikt entsteht. Die Abgrenzung ist einfacher, als sie klingt: Wer über Zwecke und Mittel von Verarbeitungen mitentscheidet, kann diese Verarbeitungen nicht unabhängig kontrollieren.

Praktisch scheiden damit die Geschäftsführung, die Leitung der IT und die Leitung des Personalwesens aus. Ebenso problematisch sind Positionen, die den Datenschutzbeauftragten zum Kontrolleur seiner eigenen Arbeit machen würden – etwa die Verantwortung für ein CRM-System, das er anschließend prüfen soll.

In kleineren Unternehmen bleibt nach dieser Prüfung oft niemand übrig, der die Rolle intern ausfüllen könnte. Das ist der eigentliche Grund, warum die externe Lösung im Mittelstand überwiegt – nicht der Preis. Womit im Übrigen zu rechnen ist, zeigt der Beitrag Was kostet ein externer Datenschutzbeauftragter?

So gehen Sie vor

Prüfen Sie zunächst, wie viele Personen bei Ihnen ständig mit personenbezogenen Daten arbeiten, und ob Sie sensible Daten oder Überwachung als Kerntätigkeit verarbeiten. Dokumentieren Sie das Ergebnis. Ist die Pflicht ausgelöst, muss der DSB benannt und der Aufsichtsbehörde gemeldet werden. Wer die Bestellpflicht versäumt, riskiert empfindliche Bußgelder – die DSGVO sieht dafür Sanktionen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.

Sie sind unsicher, ob Ihr Unternehmen einen DSB benötigt? Unser externer Datenschutzbeauftragter übernimmt die Bestellpflicht rechtssicher und entlastet Ihr Team. Eine erste Einschätzung Ihrer Betroffenheit erhalten Sie in unter einer Minute über den kostenlosen Compliance-Check. Wie sich die Datenschutzpflichten mit Arbeitsschutz und Hinweisgeberschutz bei einem Partner bündeln lassen, beschreibt der Beitrag Compliance aus einer Hand.