Datenschutzbeauftragter: ab wann Pflicht — und was 2026 wirklich im Gesetz steht
Kaum eine Datenschutzfrage wird so oft gestellt und so oft falsch beantwortet: Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten? Die Antwort hat zwei Ebenen — eine europäische, die nach dem Risiko fragt, und eine deutsche, die schlicht Personen zählt. Und um genau diese deutsche Schwelle gibt es seit Ende 2025 eine Ankündigung, die viele schon für geltendes Recht halten. Ist sie nicht.
Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am
Die EU-Regel: Art. 37 DSGVO fragt nach dem Risiko, nicht nach der Größe
Europaweit ist die Benennung nur in drei Fällen Pflicht: für Behörden und öffentliche Stellen, bei einer Kerntätigkeit mit umfangreicher, regelmäßiger und systematischer Überwachung von Personen und bei einer Kerntätigkeit mit umfangreicher Verarbeitung besonderer Datenkategorien — etwa Gesundheitsdaten. Entscheidend ist das Wort Kerntätigkeit: Ein Handelsunternehmen, das eine Kundendatei führt, verarbeitet Daten als Mittel zum Zweck, nicht als Geschäftsmodell. Nach der EU-Regel braucht ein typisches Vertriebs-, Handels- oder Handwerks-KMU deshalb keinen Datenschutzbeauftragten.
Die deutsche Zusatzregel: § 38 BDSG zählt Personen
Deutschland hat von der Öffnungsklausel Gebrauch gemacht: Beschäftigen Sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten, müssen Sie benennen — unabhängig vom Risiko. Gezählt wird jede Person, die regelmäßig am Rechner mit Kunden-, Personal- oder Lieferantendaten arbeitet, auch in Teilzeit. Malta und Österreich kennen keine solche Zusatzschwelle; dort bleibt es bei Art. 37.
Die Streichung ist angekündigt — nicht Gesetz
In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat der Bund zugesagt, bis Ende 2026 einen Gesetzentwurf zur Aufhebung von § 38 Abs. 1 BDSG einzubringen. Zugesagt ist die Einbringung, nicht das Inkrafttreten — und mit Stand 1. September 2026 liegt kein Entwurf vor. Wer heute plant, rechnet mit der 20-Personen-Schwelle. Sobald sich das ändert, steht es auf unserer Seite Rechtslage.
Kein Datenschutzbeauftragter heißt nicht: kein Datenschutz
Das ist das häufigste Missverständnis. Die Benennungspflicht ist eine einzelne Pflicht unter vielen. Ohne Datenschutzbeauftragten bleiben bestehen: das Verzeichnis von Verarbeitungstätigkeiten (Art. 30), Auftragsverarbeitungsverträge (Art. 28), technische und organisatorische Maßnahmen (Art. 32) — und die Pflicht, all das nachweisen zu können (Rechenschaftspflicht, Art. 5 Abs. 2). Geschulte Mitarbeitende sind einer dieser Nachweise. Wer keinen Datenschutzbeauftragten braucht, muss erst recht dokumentieren, dass die Organisation trotzdem steht.
Intern oder extern benennen?
Beides ist zulässig. Intern gilt: Die Person braucht Fachkunde und darf keinem Interessenkonflikt unterliegen — Geschäftsführung, IT-Leitung und Personalleitung scheiden regelmäßig aus, weil sie sich selbst kontrollieren würden. Extern kaufen viele KMU die Rolle als Dienstleistung ein. In beiden Fällen ist die Benennung der Aufsichtsbehörde mitzuteilen. Ein staatliches Zulassungsverfahren für die Fachkunde gibt es nicht; marktüblich sind privatwirtschaftliche Fachkundezertifikate.
In zwei Minuten selbst prüfen
Unser kostenloser DSB-Bedarfs-Check führt durch genau diese Prüfung — fünf Fragen, ein begründetes Ergebnis nach Art. 37 DSGVO und § 38 BDSG, samt Textbaustein für Ihre Unterlagen. Denn auch das Ergebnis „keine Pflicht“ gehört dokumentiert: „geprüft am, Ergebnis, Grundlage“ ist genau der Satz, den ein Prüfer oder Geschäftskunde sehen will.
Der Startpunkt
Erst der DSB-Check, dann der 2-Minuten-Check für das Gesamtbild aus KI-Verordnung und Datenschutz. Schulung mit prüfbarem Nachweis je Person, Tool-Inventar und Nachweis-Akte übernimmt das Abo ab 49 €/Monat — monatlich kündbar.
Häufige Fragen
Gilt die 20-Personen-Schwelle noch, obwohl die Streichung angekündigt ist?
Ja. Die Modernisierungsagenda vom 4. Dezember 2025 sagt nur einen Gesetzentwurf bis Ende 2026 zu; mit Stand 1. September 2026 existiert kein Entwurf. Bis ein Gesetz in Kraft tritt, gilt § 38 BDSG unverändert — wer 20 oder mehr Personen ständig mit automatisierter Verarbeitung beschäftigt, muss benennen.
Entfallen ohne Datenschutzbeauftragten die übrigen DSGVO-Pflichten?
Nein. Verzeichnis der Verarbeitungen, Auftragsverarbeitungsverträge, Sicherheitsmaßnahmen und die nachweisbare Sensibilisierung des Teams gelten unabhängig von der Benennungspflicht — und müssen nach Art. 5 Abs. 2 DSGVO nachweisbar sein.
Wo steht Ihr Unternehmen?
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlosArt. 37 DSGVO — Benennung eines Datenschutzbeauftragten
§ 38 BDSG — Datenschutzbeauftragte nichtöffentlicher Stellen