Fällt die Pflicht zum Datenschutzbeauftragten? Was die geplante Streichung von § 38 BDSG für Unternehmen bedeutet

Kaum eine datenschutzrechtliche Vorschrift ist in Deutschland so bekannt wie die 20-Personen-Regel: Wer mindestens 20 Beschäftigte ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst, muss einen Datenschutzbeauftragten benennen. Genau diese Regel steht jetzt zur Disposition. Seit Ende 2025 kündigen Bund und Länder an, § 38 Abs. 1 BDSG zu streichen. Viele Geschäftsführungen fragen deshalb, ob sie ihren Datenschutzbeauftragten überhaupt noch brauchen. Die kurze Antwort: Heute ja, und auch nach einer Streichung häufiger, als man denkt.

Was bisher passiert ist

Der Reihe nach, denn in den Medien werden mehrere Vorhaben vermischt:

• Juli 2024: Die damalige Bundesregierung kündigte in ihrer Wachstumsinitiative an, die Schwelle von 20 auf 50 Beschäftigte anzuheben. Umgesetzt wurde das nie; ein entsprechender Vorstoß im Bundesrat scheiterte bereits im März 2024.
• 4. Dezember 2025: Bund und Länder beschließen die Föderale Modernisierungsagenda. Darin heißt es, der Bund werde bis zum 31. Dezember 2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen. Gemeint ist nicht eine höhere Schwelle, sondern der Wegfall der nationalen Sonderregel insgesamt.
• 2. Juli 2026: Die Bundesregierung stellt ein Reformpaket vor, das eine Lockerung der Benennungspflicht für kleine und mittlere Unternehmen ausdrücklich vorsieht.
• Stand Oktober 2026: Ein Gesetzentwurf liegt noch nicht vor. Bis zu einer Änderung gilt § 38 BDSG unverändert, und Aufsichtsbehörden prüfen die Benennung weiterhin.

Was nach einer Streichung gelten würde

Fällt § 38 Abs. 1 BDSG weg, richtet sich die Benennungspflicht allein nach Art. 37 DSGVO. Die Verordnung kennt keine Mitarbeiterzahl, sondern stellt auf das Risiko der Verarbeitung ab. Ein Datenschutzbeauftragter bleibt Pflicht, wenn

• die Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht, etwa bei Tracking-intensiven Online-Diensten, Videoüberwachung im großen Stil oder Standortdaten von Fahrzeugflotten,
• die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 DSGVO liegt, also Gesundheitsdaten, biometrische Daten oder Angaben zu Religion und Gewerkschaftszugehörigkeit; das betrifft Praxen, Pflegeeinrichtungen, Labore, Personaldienstleister und viele Software-Anbieter im Gesundheitsbereich,
• oder eine Behörde oder öffentliche Stelle verarbeitet.

Mit Absatz 1 fiele auch dessen Satz 2 weg. Nach geltendem Recht muss, wer eine Datenschutz-Folgenabschätzung durchführen muss oder geschäftsmäßig Daten zur Übermittlung, zur Markt- oder Meinungsforschung verarbeitet, unabhängig von jeder Personenzahl einen Datenschutzbeauftragten benennen. Die Modernisierungsagenda will auch diese Fälle allein Art. 37 DSGVO überlassen. Die Pflicht zur Datenschutz-Folgenabschätzung selbst bliebe davon unberührt.

Warum die Pflichten nicht mit der Benennung verschwinden

Der häufigste Denkfehler in den aktuellen Diskussionen: Ohne Datenschutzbeauftragten gäbe es weniger Datenschutz zu tun. Das Gegenteil ist der Fall. Sämtliche materiellen Pflichten der DSGVO bleiben bestehen, unabhängig davon, wer sie im Unternehmen verantwortet:

• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO,
• Auftragsverarbeitungsverträge mit Dienstleistern nach Art. 28 DSGVO,
• Informationspflichten, Betroffenenrechte und Löschkonzepte,
• Meldung von Datenpannen innerhalb von 72 Stunden,
• technisch-organisatorische Maßnahmen nach Art. 32 DSGVO,
• Datenschutz-Folgenabschätzungen bei risikoreichen Verarbeitungen.

Bisher bündelt der Datenschutzbeauftragte diese Aufgaben, überwacht sie und ist Ansprechpartner für Aufsichtsbehörde und Betroffene. Entfällt die Benennung, muss die Geschäftsführung diese Rolle selbst organisieren, mit vollem Haftungsrisiko. In der Praxis erleben wir bei Mandanten, dass genau dieser Punkt den Ausschlag gibt: Der externe Datenschutzbeauftragte ist meist die günstigste Form, die Pflichten nachweisbar zu erfüllen, weil er Vorlagen, Prozesse und Erfahrung aus vielen Unternehmen mitbringt.

Was Unternehmen jetzt tun sollten

1. Nichts überstürzen. Bis ein Gesetz im Bundesgesetzblatt steht, gilt die 20-Personen-Schwelle. Eine vorzeitige Abberufung wäre ein Verstoß, der im Bußgeldrahmen des Art. 83 Abs. 4 DSGVO liegt.
2. Prüfen, ob Art. 37 DSGVO ohnehin greift. Wer als Kerntätigkeit Gesundheitsdaten in großem Umfang verarbeitet oder Beschäftigte oder Kunden umfangreich und systematisch überwacht, bleibt auch nach einer Reform benennungspflichtig. Wer heute nur wegen einer Pflicht-DSFA benennen muss, etwa beim Einsatz bestimmter KI-Anwendungen, verlöre diese Grundlage, die DSFA selbst aber nicht. Warum das gerade KI-Projekte betrifft, erklärt der Beitrag zur DSFA bei KI-Einsatz. Eine ausführliche Einordnung der Schwellenwerte und Sonderfälle finden Sie in unserem Leitfaden dazu, wann ein Datenschutzbeauftragter Pflicht ist.
3. Den Verantwortungsübergang planen. Falls die Benennungspflicht tatsächlich entfällt und Sie den Datenschutzbeauftragten abbestellen wollen, muss vorher klar sein, wer Verarbeitungsverzeichnis, Datenpannen und Betroffenenanfragen übernimmt. Ein Datenschutzkoordinator ohne gesetzliche Rolle braucht dieselbe Fachkunde.
4. Informationssicherheit nicht vergessen. Parallel wächst der Druck aus NIS-2, DORA und branchenspezifischen Vorgaben. Viele Unternehmen kombinieren deshalb den Datenschutzbeauftragten mit einem externen Informationssicherheitsbeauftragten, statt beide Rollen abzubauen.

Fazit

Die geplante Streichung von § 38 Abs. 1 BDSG ist politisch beschlossen, rechtlich aber noch nicht wirksam. Sie würde die Benennungspflicht auf den risikobasierten Ansatz der DSGVO zurückführen und nicht auf null. Für die meisten Unternehmen mit sensiblen Daten oder umfangreicher Verarbeitung ändert sich nichts, und für alle anderen bleibt die Frage, wer die Datenschutzpflichten künftig ohne Beauftragten trägt. Wir beobachten das Gesetzgebungsverfahren und informieren unsere Mandanten, sobald ein Entwurf vorliegt.

Quellen: Föderale Modernisierungsagenda, Bundesregierung, 4. Dezember 2025 und § 38 BDSG auf gesetze-im-internet.de.