Benennungspflicht für Datenschutzbeauftragte: die Schwellen und ihre Ausnahmen

In Gesprächen über Datenschutzorganisation fällt fast immer derselbe Satz: „Wir sind nur zwölf Leute, für uns gilt das nicht." Die Zahl 20 hat sich als Faustregel so weit durchgesetzt, dass sie in vielen Betrieben als einzige Prüffrage behandelt wird. Wer darunter liegt, hakt das Thema ab und wendet sich wieder dem Tagesgeschäft zu.

Diese Rechnung geht in etwa der Hälfte der Fälle auf. Die Kopfzahl ist nur eine von mehreren Auslöserinnen der Benennungspflicht, und sie ist die einzige, die sich ohne Blick auf das Geschäftsmodell beantworten lässt. Drei Tatbestände in Artikel 37 Absatz 1 DSGVO und zwei weitere in § 38 Absatz 1 Satz 2 BDSG knüpfen nicht an die Zahl der Beschäftigten an, sondern an die Art der Verarbeitung. Sie greifen bei fünf Beschäftigten genauso wie bei fünfhundert.

Was die 20-Personen-Schwelle tatsächlich zählt

Der Wortlaut von § 38 Absatz 1 Satz 1 BDSG ist enger, als er in der Kurzfassung klingt. Gezählt werden nicht Beschäftigte, sondern Personen, die „in der Regel ... ständig mit der automatisierten Verarbeitung personenbezogener Daten" befasst sind. Das Merkmal knüpft an die Tätigkeit an, nicht an den Arbeitsvertrag: Wer regelmäßig an einem System arbeitet, in dem Kunden-, Lieferanten- oder Beschäftigtendaten liegen, zählt mit — unabhängig vom Umfang der Stelle.

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit beschreibt die Zählpraxis für das Gesundheitswesen ausdrücklich: Mitzuzählen sind auch Auszubildende sowie Beschäftigte in Mutterschutz und Elternzeit, ebenso die Praxisinhaberin oder der Praxisinhaber selbst. Nicht mitgezählt wird Reinigungspersonal ohne Zugriff auf Verfahren. Weil der Chef mitzählt, liegt die faktische Grenze dort bei 19 Mitarbeitenden. Teilzeit kürzt nichts: Zwanzig Halbtagskräfte sind zwanzig Personen, nicht zehn.

Sechs Tatbestände, fünf davon ohne Kopfzahl

Die Benennungspflicht speist sich aus zwei Rechtsquellen, die nebeneinander gelten. Artikel 37 Absatz 1 DSGVO gilt unmittelbar in der gesamten Union, § 38 BDSG tritt für nichtöffentliche Stellen in Deutschland ergänzend hinzu. Erfüllt ein Betrieb auch nur einen der Tatbestände, entsteht die Pflicht. Es genügt nicht, die Kopfzahl zu prüfen und die übrigen Fälle zu übergehen.

Kerntätigkeit und Umfang: die beiden Wörter, an denen alles hängt

Zwei unbestimmte Rechtsbegriffe entscheiden über die Tatbestände des Artikels 37. „Kerntätigkeit" meint nach der Auslegung des Europäischen Datenschutzausschusses solche Verarbeitungsvorgänge, die zur Erreichung der Ziele des Verantwortlichen von entscheidender Bedeutung sind oder einen untrennbaren Teil seiner Tätigkeit bilden. Unterstützende Funktionen fallen ausdrücklich nicht darunter: Gehaltsabrechnung und allgemeiner IT-Support sind Nebentätigkeiten, auch wenn ohne sie nichts läuft.

„Umfangreich" bemisst sich nach der Menge der Daten, der Zahl der betroffenen Personen — absolut oder als Anteil der einschlägigen Grundgesamtheit —, der Dauer und der geografischen Reichweite. Der Datenschutzausschuss nennt als umfangreich unter anderem Patientendaten im Tagesbetrieb eines Krankenhauses und Kundendaten einer Bank oder Versicherung. Ausdrücklich nicht umfangreich sind die Patientendaten eines einzelnen niedergelassenen Arztes und die Straftatendaten eines einzelnen Rechtsanwalts. Die Grenze verläuft also nicht zwischen sensiblen und unsensiblen Daten, sondern zwischen Einzelpraxis und Betrieb.

Der übersehene zweite Satz des § 38 BDSG

Praktisch bedeutsamer als die Artikel-37-Tatbestände ist für kleine Betriebe der zweite Satz des § 38 Absatz 1 BDSG. Er nennt zwei Fälle, in denen „unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen" zu benennen ist. Der erste knüpft an die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO an: Wer eine durchführen muss, muss auch benennen. Der zweite trifft die geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung.

Diese zweite Alternative ist eine deutsche Besonderheit ohne Vorbild in der Verordnung, und sie wirkt hart. Ein Marktforschungsinstitut mit vier Beschäftigten ist benennungspflichtig, weil die Übermittlung von Ergebnissen sein Geschäftszweck ist. Dasselbe gilt für Auskunfteien und für Adresshändler, deren gesamtes Modell darin besteht, Daten weiterzugeben. Auf die Größe kommt es in keinem dieser Fälle an.

Welche kleinen Betriebe es wirklich trifft — und welche nicht

An dieser Stelle korrigiert die Aufsichtspraxis eine verbreitete Annahme. Die Vorstellung, jede Arztpraxis brauche wegen der Gesundheitsdaten zwingend einen Datenschutzbeauftragten, hält der Prüfung nicht stand. Der Hessische Beauftragte hält fest, es sei „von der DSGVO nicht gewollt, dass jede Arztpraxis oder Apotheke einen Datenschutzbeauftragten bestellen oder eine Datenschutz-Folgenabschätzung durchführen muss, nur weil Gesundheitsdaten verarbeitet werden". Eine Folgenabschätzung komme im Praxisalltag nur bei besonderen Verfahren in Betracht, etwa bei Analysen von Genmaterial oder beim Einsatz neuer Technologien.

Getroffen werden stattdessen Geschäftsmodelle, bei denen die Datenverarbeitung selbst das Produkt ist. Personaldienstleister, die Bewerberprofile systematisch bewerten und weitergeben. Detekteien und Inkassounternehmen, deren Kerngeschäft die Übermittlung von Erkenntnissen über Personen ist. Anbieter von Webanalyse und zielgerichteter Werbung, die der Datenschutzausschuss ausdrücklich als benennungspflichtige Auftragsverarbeiter benennt. Betreiber flächendeckender Videoüberwachung. In all diesen Fällen rechnet in einem Zehn-Personen-Betrieb selten jemand mit einer Pflicht.

Was ein Verstoß kostet und wie er auffällt

Die fehlende oder fehlerhafte Benennung fällt unter Artikel 83 Absatz 4 Buchstabe a DSGVO und damit in den unteren der beiden Bußgeldrahmen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. In der Praxis ist die Nichtbenennung selten der Anlass einer Prüfung. Sie fällt auf, wenn aus anderem Grund geprüft wird — nach einer Beschwerde, einer gemeldeten Datenpanne oder einer Betroffenenanfrage, die unbeantwortet blieb.

Ein dokumentierter deutscher Fall zeigt, wie das abläuft. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängte am 20. September 2022 ein Bußgeld von 525.000 Euro gegen die Tochtergesellschaft eines Berliner Handelskonzerns. Der benannte Datenschutzbeauftragte war zugleich Geschäftsführer zweier Dienstleistungsgesellschaften, die im Auftrag genau jenes Unternehmens Daten verarbeiteten, das er überwachen sollte. Die Behörde hatte 2021 zunächst verwarnt; erst als eine erneute Prüfung den unveränderten Zustand ergab, folgte das Bußgeld. Bußgeldmindernd wirkte die Zusammenarbeit im Verfahren, erhöhend die vorsätzliche Weiterbenennung über fast ein Jahr.

Intern oder extern: der Interessenkonflikt entscheidet mit

Wer benennen muss, hat die Wahl zwischen einer beschäftigten Person und einem externen Dienstleister. Diese Wahl ist rechtlich vorgezeichnet, sobald man Artikel 38 Absatz 6 DSGVO ernst nimmt. Danach darf der Datenschutzbeauftragte andere Aufgaben wahrnehmen, der Verantwortliche muss aber sicherstellen, dass daraus kein Interessenkonflikt entsteht. Das Bundesarbeitsgericht hat den Maßstab konkretisiert: Ein abberufungsrelevanter Konflikt liegt vor, wenn die Person eine Position bekleidet, die die Festlegung von Zwecken und Mitteln der Verarbeitung umfasst. Geschäftsführung, IT-Leitung und Personalleitung scheiden damit regelmäßig aus.

In kleinen Betrieben führt diese Anforderung in eine Sackgasse. Wer die Datenverarbeitung fachlich überblickt, verantwortet sie dort meist auch. Betriebe, deren Pflicht nicht an der 20-Personen-Schwelle, sondern an einem tätigkeitsbezogenen Tatbestand hängt, müssen deshalb häufig einen externen Datenschutzbeauftragten bestellen — nicht aus Bequemlichkeit, sondern weil im Haus niemand übrig bleibt, der die Rolle konfliktfrei ausfüllen könnte. Zur Benennung gehört anschließend die Veröffentlichung der Kontaktdaten und ihre Mitteilung an die zuständige Aufsichtsbehörde.

Der Kündigungsschutz gilt nur bei Pflichtbenennung

Ein Umstand wird bei der Wahl zwischen intern und extern regelmäßig übersehen. § 38 Absatz 2 BDSG erklärt § 6 Absatz 4 BDSG für anwendbar — und damit den besonderen Schutz vor Abberufung und Kündigung. Die Abberufung ist nur in entsprechender Anwendung des § 626 BGB zulässig, die ordentliche Kündigung des Arbeitsverhältnisses ist unzulässig, und dieser Schutz wirkt nach dem Ende der Tätigkeit noch ein Jahr fort. Das Bundesarbeitsgericht hat mit Urteil vom 6. Juni 2023 entschieden, dass dieser über die Verordnung hinausgehende Schutz mit Unionsrecht vereinbar ist.

Der entscheidende Halbsatz steht am Ende der Norm: § 6 Absatz 4 findet Anwendung, „jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist". Wer freiwillig benennt, verschafft der benannten Person also keinen Sonderkündigungsschutz. Wer dagegen eine Pflicht übersieht und trotzdem jemanden intern benennt, bindet sich stärker, als ihm bewusst ist. Bei einem externen Datenschutzbeauftragten entfällt die Frage: Für ihn gilt § 6 BDSG nicht, das Mandat endet nach den Regeln des Dienstvertrags.

Was passiert, wenn § 38 Absatz 1 BDSG fällt

Der Streit um die Schwelle ist politisch offen. Bund und Länder haben am 4. Dezember 2025 die Föderale Modernisierungsagenda beschlossen; deren Punkt 160 lautet, der Bund werde bis zum 31. Dezember 2026 eine Aufhebung des § 38 Absatz 1 BDSG einbringen und die Benennungspflicht im nichtöffentlichen Bereich damit auf die Regelung in Artikel 37 DSGVO beschränken. Ein früherer Anlauf zur Streichung fand im Bundesrat keine Mehrheit.

Für die Frage, wer künftig benennen muss, ist die Folge weniger dramatisch, als die Debatte nahelegt — und für kleine Betriebe unangenehmer. Fiele § 38 Absatz 1 vollständig, entfiele mit Satz 1 die Kopfzahlgrenze, mit Satz 2 aber auch die Erweiterung um Folgenabschätzung und Übermittlungsgeschäft. Übrig blieben die drei Tatbestände des Artikels 37, die mit „Kerntätigkeit" und „umfangreich" gerade jene unbestimmten Begriffe enthalten, die eine Einzelfallprüfung erzwingen. Die 20-Personen-Grenze ist bürokratisch, aber sie ist mit einer Personalliste zu beantworten. Ihr Wegfall ersetzt eine zählbare Schwelle durch eine Auslegungsfrage.

Die Prüfung in fünf Schritten

Für die Feststellung, ob eine Pflicht besteht, genügt eine überschaubare Reihenfolge. Sie ist einmal jährlich zu wiederholen, weil sich Beschäftigtenzahl und Verarbeitungszwecke ändern — und weil die Pflicht mit dem Erreichen der Voraussetzungen entsteht, nicht mit ihrer Feststellung.

1. Personen zählen, nicht Stellen Alle Personen erfassen, die ständig mit automatisierter Verarbeitung befasst sind — einschließlich Leitung, Auszubildenden, Teilzeitkräften und Beschäftigten in Elternzeit.
2. Kerntätigkeit bestimmen Prüfen, ob die Datenverarbeitung untrennbarer Teil der Leistung ist oder nur unterstützende Funktion. Gehaltsabrechnung und IT-Support zählen nicht.
3. Verarbeitungsverzeichnis gegen Artikel 9 und 10 abgleichen Gesundheits-, Gewerkschafts-, Religions- und Straftatendaten markieren und den Umfang bewerten.
4. Folgenabschätzungspflicht prüfen Die Muss-Listen der zuständigen Aufsichtsbehörde nach Artikel 35 Absatz 4 DSGVO gegen die eigenen Verfahren halten.
5. Geschäftszweck prüfen Klären, ob geschäftsmäßig zum Zweck der Übermittlung oder für Markt- und Meinungsforschung verarbeitet wird — dann besteht die Pflicht ohne Rücksicht auf die Größe.

Häufige Fragen

Ab wie vielen Mitarbeitern ist ein Datenschutzbeauftragter Pflicht?

Nach § 38 Absatz 1 Satz 1 BDSG ab 20 Personen, die in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle ist jedoch nur einer von sechs Auslösetatbeständen. Fünf weitere — drei aus Artikel 37 Absatz 1 DSGVO, zwei aus § 38 Absatz 1 Satz 2 BDSG — greifen unabhängig von der Beschäftigtenzahl.

Zählen Teilzeitkräfte und Auszubildende bei der 20-Personen-Schwelle mit?

Ja. Gezählt werden Personen, nicht Vollzeitäquivalente; zwanzig Halbtagskräfte sind zwanzig Personen. Nach der Zählpraxis des Hessischen Beauftragten für Datenschutz und Informationsfreiheit zählen auch Auszubildende, Beschäftigte in Mutterschutz und Elternzeit sowie die Inhaberin oder der Inhaber selbst mit. Reinigungspersonal ohne Zugriff auf Verfahren zählt nicht.

Braucht eine Arztpraxis mit fünf Beschäftigten einen Datenschutzbeauftragten?

In der Regel nicht allein wegen der Gesundheitsdaten. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hält fest, dass die DSGVO nicht jede Praxis oder Apotheke erfassen soll, nur weil dort Gesundheitsdaten anfallen. Eine Pflicht entsteht erst, wenn die Verarbeitung als umfangreich im Sinne des Artikels 37 Absatz 1 Buchstabe c DSGVO einzustufen ist oder eine Datenschutz-Folgenabschätzung erforderlich wird, etwa bei genetischen Analysen oder neuen Technologien.

Welches Bußgeld droht, wenn kein Datenschutzbeauftragter benannt wird?

Verstöße gegen die Artikel 37 bis 39 DSGVO fallen unter Artikel 83 Absatz 4 Buchstabe a DSGVO: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Ein dokumentierter Fall aus Deutschland ist das Bußgeld der Berliner Aufsichtsbehörde vom 20. September 2022 über 525.000 Euro, das nicht die fehlende Benennung, sondern den Interessenkonflikt des benannten Datenschutzbeauftragten betraf.

Fällt die Benennungspflicht mit der Streichung des § 38 BDSG weg?

Nein. Punkt 160 der Föderalen Modernisierungsagenda vom 4. Dezember 2025 sieht vor, dass der Bund bis zum 31. Dezember 2026 eine Aufhebung des § 38 Absatz 1 BDSG einbringt und die Pflicht damit auf Artikel 37 DSGVO beschränkt. Die drei unionsrechtlichen Tatbestände blieben bestehen. Wegfallen würde neben der Kopfzahlgrenze auch die Erweiterung des § 38 Absatz 1 Satz 2 BDSG; an ihre Stelle träte die Einzelfallprüfung der Begriffe Kerntätigkeit und Umfang.