Ab wann braucht mein Unternehmen einen Datenschutzbeauftragten?

Fast jedes Unternehmen verarbeitet personenbezogene Daten – von Kundenadressen über Personalakten bis zu Bewerbungen. Doch nicht jedes Unternehmen muss deshalb einen Datenschutzbeauftragten (DSB) bestellen. Ob die Pflicht greift, entscheidet sich an zwei Stellen: dem deutschen Bundesdatenschutzgesetz (§ 38 BDSG) und der europäischen Datenschutz-Grundverordnung (Art. 37 DSGVO). Wer die Schwellen kennt, vermeidet unangenehme Überraschungen.

Was macht ein Datenschutzbeauftragter?

Der DSB ist nicht dafür verantwortlich, dass im Unternehmen alles perfekt läuft – er ist der unabhängige Kontrolleur und Berater. Zu seinen Kernaufgaben zählen die Überwachung der Einhaltung von Datenschutzvorschriften, die Beratung der Geschäftsführung, die Schulung der Mitarbeitenden und die Zusammenarbeit mit der Aufsichtsbehörde. Er ist erste Anlaufstelle für Betroffene und für die Behörde – ohne die Verantwortung der Geschäftsleitung zu ersetzen.

Die 20-Personen-Regel (§ 38 BDSG)

In Deutschland gilt die wohl bekannteste Faustregel: Ein Unternehmen muss einen DSB benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Wichtig ist, was genau gezählt wird:

• Es kommt nicht auf die Gesamtzahl der Mitarbeitenden an, sondern auf die Zahl derjenigen, die tatsächlich ständig mit personenbezogenen Daten arbeiten – am Bildschirm, im CRM, in der Lohnbuchhaltung.
• Mitgezählt werden Vollzeit- und Teilzeitkräfte, Minijobber, Werkstudenten und in der Praxis oft auch die Geschäftsführung.
• Wer regelmäßig E-Mails schreibt oder Kundendaten pflegt, zählt bereits mit.

In vielen Büro- und Dienstleistungsbetrieben ist die Schwelle daher schneller erreicht, als man denkt.

Wann die Pflicht größenunabhängig gilt (Art. 37 DSGVO)

Die DSGVO kennt eine Bestellpflicht, die völlig unabhängig von der Mitarbeiterzahl greift. Ein DSB ist immer erforderlich, wenn die Kerntätigkeit des Unternehmens in einer der folgenden Verarbeitungen besteht:

1. Umfangreiche regelmäßige und systematische Überwachung von Personen – etwa bei Tracking, Scoring, Standortdaten oder umfangreicher Videoüberwachung.
2. Umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO – also Gesundheits-, Sozial-, biometrische, religiöse oder ähnlich sensible Daten (typisch für Arztpraxen, Kliniken, soziale Träger).

Hier reicht bereits ein kleines Team: Auch eine Praxis mit fünf Mitarbeitenden kann bestellpflichtig sein.

Intern oder extern?

Ist die Pflicht ausgelöst, stellt sich die Frage nach der Person. Ein interner DSB kennt die Abläufe gut, darf aber keine Aufgaben übernehmen, die zu einem Interessenkonflikt führen – die IT-Leitung, die Geschäftsführung oder der Personalchef scheiden deshalb in der Regel aus. Hinzu kommen ein besonderer Kündigungsschutz und laufender Fortbildungsaufwand.

Ein externer DSB bringt Fachwissen und Unabhängigkeit von außen mit, ist sofort einsatzbereit und haftet für seine Beratung. Gerade für kleine und mittlere Unternehmen ist das häufig die wirtschaftlichere und rechtssicherere Lösung.

Der Datenschutzbeauftragte muss seine Aufgaben unabhängig und frei von Weisungen ausüben können – Interessenkonflikte sind zwingend zu vermeiden.

So gehen Sie vor

Prüfen Sie zunächst, wie viele Personen bei Ihnen ständig mit personenbezogenen Daten arbeiten, und ob Sie sensible Daten oder Überwachung als Kerntätigkeit verarbeiten. Dokumentieren Sie das Ergebnis. Ist die Pflicht ausgelöst, muss der DSB benannt und der Aufsichtsbehörde gemeldet werden. Wer die Bestellpflicht versäumt, riskiert empfindliche Bußgelder – die DSGVO sieht dafür Sanktionen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.

Sie sind unsicher, ob Ihr Unternehmen einen DSB benötigt? Unser externer Datenschutzbeauftragter übernimmt die Bestellpflicht rechtssicher und entlastet Ihr Team. Eine erste Einschätzung Ihrer Betroffenheit erhalten Sie in unter einer Minute über den kostenlosen Compliance-Check.