Datenschutzbeauftragter: Ab wann ist er wirklich Pflicht?

„Wir sind doch nur 15 Leute, wir brauchen keinen Datenschutzbeauftragten.” Dieser Satz fällt in Beratungsgesprächen regelmäßig — und er ist in etwa der Hälfte der Fälle falsch. Die 20-Mitarbeiter-Schwelle ist die bekannteste Benennungspflicht, aber eben nicht die einzige. Wer sie als alleinigen Maßstab nimmt, übersieht zwei weitere Auslöser, die völlig unabhängig von der Unternehmensgröße greifen.

Schwelle 1: Die 20-Personen-Regel des § 38 BDSG

Deutschland hat die europäische Vorgabe verschärft: Nach § 38 BDSG muss ein Unternehmen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Die häufigsten Zählfehler:

• Es zählen Personen, nicht Vollzeitstellen. Zwei Halbtagskräfte sind zwei Personen. Auch Werkstudenten, Azubis und freie Mitarbeiter zählen mit, wenn sie regelmäßig mit personenbezogenen Daten arbeiten.
• „Ständig” heißt nicht „ausschließlich”. Wer täglich E-Mails mit Kundendaten bearbeitet, im CRM arbeitet oder Bewerbungen sichtet, ist ständig mit Datenverarbeitung beschäftigt — auch wenn das nur ein Teil der Tätigkeit ist. In einem typischen Büro trifft das auf fast jeden Arbeitsplatz zu.
• „In der Regel” glättet Schwankungen. Saisonale Aushilfen im Weihnachtsgeschäft lösen die Pflicht nicht aus, ein dauerhaft gewachsenes Team von 19 auf 21 Personen schon.

Praktisch bedeutet das: Ein Unternehmen mit 25 Beschäftigten, von denen 22 am Rechner mit Kunden-, Personal- oder Lieferantendaten arbeiten, ist benennungspflichtig — unabhängig von Branche und Umsatz.

Schwelle 2: Besondere Datenkategorien — Pflicht ohne Mindestgröße

Art. 37 DSGVO und § 38 BDSG kennen Fälle, in denen die Personenzahl keine Rolle spielt. Wer umfangreich besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet — Gesundheitsdaten, biometrische Daten, Daten zu religiöser oder politischer Überzeugung — braucht den Datenschutzbeauftragten auch als Fünf-Personen-Betrieb.

Typische Kandidaten: Arztpraxen und Physiotherapien, Pflegedienste, Apotheken, aber auch Personaldienstleister, die Gesundheitszeugnisse verwalten. Dazu kommt jedes Unternehmen, das eine Datenschutz-Folgenabschätzung durchführen muss — etwa bei systematischem Scoring oder umfangreicher Videoüberwachung.

Schwelle 3: Kerntätigkeit Überwachung oder sensible Verarbeitung

Die dritte Schwelle aus Art. 37 DSGVO zielt auf das Geschäftsmodell: Besteht die Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen, ist der DSB Pflicht. Das betrifft Detekteien und Bewachungsunternehmen genauso wie Anbieter von Tracking-Software, Adresshändler oder Betreiber großer Kundenbindungsprogramme.

Was passiert, wenn die Benennung fehlt?

Die fehlende Benennung ist kein Kavaliersdelikt, sondern ein eigener Bußgeldtatbestand nach Art. 83 Abs. 4 DSGVO — mit einem Rahmen bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. In der Praxis fallen die Bescheide deutlich kleiner aus, aber die Aufsichtsbehörden fragen die Benennung inzwischen standardmäßig ab, etwa bei der Bearbeitung von Beschwerden oder nach gemeldeten Datenpannen. Wer dann keinen DSB vorweisen kann, hat neben dem Bußgeldrisiko vor allem ein Glaubwürdigkeitsproblem für alles Weitere.

Wichtig außerdem: Die Benennung muss der Aufsichtsbehörde gemeldet werden — in Sachsen über das Online-Formular des Sächsischen Datenschutzbeauftragten. Ein intern ernannter, aber nie gemeldeter DSB erfüllt die Pflicht nur zur Hälfte.

Intern benennen oder extern bestellen?

Wer die Schwelle reißt, hat zwei Wege. Der interne DSB ist scheinbar günstiger, bringt aber Fallstricke mit: Er genießt Sonderkündigungsschutz, darf sich nicht selbst kontrollieren (IT-Leiter und Geschäftsführung scheiden damit aus) und braucht laufende Fortbildung. Der externe Datenschutzbeauftragte kommt ohne diese Interessenkonflikte aus und ist ab einem festen Monatsbetrag kalkulierbar.

Eine ausführliche Aufschlüsselung, wann welche Variante wirtschaftlich sinnvoll ist, liefert unser Portal: Datenschutzbeauftragter: ab wann Pflicht? erklärt die Schwellen im Detail, und die 20-Mitarbeiter-Regel mit Zählbeispielen aus der Praxis.

Kurz-Check für Ihr Unternehmen

1. Arbeiten in der Regel 20 oder mehr Personen ständig mit personenbezogenen Daten? → Pflicht.
2. Verarbeiten Sie umfangreich Gesundheits- oder andere Art.-9-Daten, oder müssen Sie eine DSFA durchführen? → Pflicht, egal wie klein das Team ist.
3. Ist systematische Beobachtung von Personen Ihr Kerngeschäft? → Pflicht.

Wenn keiner der drei Punkte zutrifft, besteht keine Benennungspflicht — die übrigen DSGVO-Pflichten (Verarbeitungsverzeichnis, TOMs, Informationspflichten) bleiben davon allerdings unberührt. Und wer knapp unter der Schwelle liegt, fährt oft besser, die Strukturen jetzt aufzubauen, statt beim 20. Mitarbeiter hektisch nachzurüsten.