Matomo Tracking

Datenschutzbeauftragter: ab wann er Pflicht ist – und wen es trifft

Die Frage ist selten „brauchen wir einen?“, sondern „ab wann genau?“. Zwei Regelwerke greifen ineinander: Art. 37 DSGVO beschreibt drei Fälle, in denen die Benennung zwingend ist, § 38 BDSG setzt für nichtöffentliche Stellen eine Personenzahl obendrauf. Wer beide prüft, kommt zu einer belastbaren Antwort – und nicht zu der Zahl, die im Umlauf ist.

Drei Fälle, in denen die DSGVO einen Datenschutzbeauftragten verlangt

Art. 37 Abs. 1 DSGVO nennt drei Konstellationen. Bei der ersten und zweiten kommt es auf die Kerntätigkeit an – also auf das, was das Unternehmen tatsächlich betreibt, nicht auf eine Nebentätigkeit:

Zwei Begriffe entscheiden dabei über die Auslegung, und beide sind im Gesetz nicht ausdefiniert: Kerntätigkeit und umfangreich. Die Aufsichtsbehörden ziehen dafür unter anderem die Menge der Daten, die Zahl der Betroffenen, die Dauer der Verarbeitung und die Ebene der Verarbeitung heran. Genau hier wird eine Einordnung im Einzelfall nötig, statt einer Faustregel aus dem Netz.

Die 20-Personen-Grenze des § 38 BDSG – und was sie nicht bedeutet

Art. 37 Abs. 4 DSGVO erlaubt den Mitgliedstaaten weitergehende Vorschriften. Deutschland hat das genutzt: Nach § 38 Abs. 1 Satz 1 BDSG müssen Verantwortliche und Auftragsverarbeiter benennen, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Bis November 2019 lag diese Grenze bei zehn Personen.

Der häufigste Fehlschluss lautet: „Wir sind unter 20, also nicht betroffen.“ Das ist falsch, weil Satz 2 der Vorschrift eine zweite, personenunabhängige Pflicht danebenstellt: Wer Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wer personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet, muss unabhängig von der Anzahl der Beschäftigten benennen. Und die Fälle des Art. 37 Abs. 1 lit. b und c DSGVO gelten ohnehin ohne Personenbezug.

Die Zahl ist also ein Auslöser, kein Freibrief. Wer sie prüft, sollte gleich mitschreiben, welche Verarbeitungen die Pflicht auslösen – diese Begründung ist Teil der Dokumentation.

Wer bei den 20 Personen mitgezählt wird

Die Personenzahl ist keine Personalstatistik. Entscheidend ist, wer tatsächlich mit automatisierter Verarbeitung personenbezogener Daten beschäftigt ist:

Verantwortlicher und Auftragsverarbeiter werden getrennt gerechnet: Beschäftigte des Dienstleisters zählen beim Kunden nicht mit und umgekehrt. Wer mehrere Gesellschaften betreibt, prüft je Rechtsträger.

Intern oder extern – das ist keine Geschmacksfrage

Art. 37 Abs. 7 DSGVO lässt beides zu: eigene Beschäftigte oder eine externe Person auf Dienstleistungsvertrag. Die Anforderungen sind in beiden Fällen dieselben – Fachwissen und Zuverlässigkeit nach Art. 37 Abs. 5 DSGVO – und es kommt eine Bedingung hinzu, die intern oft nicht erfüllbar ist: Nach Art. 38 Abs. 6 DSGVO darf der Datenschutzbeauftragte wegen seiner Tätigkeit keine Interessenkonflikte haben. Wer als IT-Leiter über Systeme und Verfahren entscheidet, kann nicht gleichzeitig unabhängig prüfen, ob diese Entscheidungen datenschutzkonform sind.

Die Aufgaben stehen in Art. 39 DSGVO: Unterrichtung und Beratung, Überwachung der Einhaltung, Beratung zur Folgenabschätzung, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für Betroffene. Das ist ein laufender Aufwand – keine Unterschrift unter einer Bestellungsurkunde.

Wenn die Benennung fehlt

Art. 83 Abs. 4 lit. a DSGVO stellt den Verstoß gegen die Pflichten aus Art. 37 und 38 in eine Reihe mit weiteren Pflichtverstößen: Geldbuße bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Praktisch schwerer wiegt oft etwas anderes: Ohne benannte Stelle bleiben Betroffenenanfragen, Löschfristen, Auftragsverarbeitungsverträge und die Meldung von Datenschutzverletzungen liegen – und das sind die Punkte, an denen eine Prüfung zuerst ansetzt.

Häufige Fragen zur Benennungspflicht

Ab welcher Unternehmensgröße ist ein Datenschutzbeauftragter Pflicht?

Für nichtöffentliche Stellen ergänzt § 38 Abs. 1 Satz 1 BDSG die DSGVO: Benannt werden muss, wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Die Grenze lag bis November 2019 bei zehn Personen. Unabhängig von der Personenzahl gilt die Pflicht außerdem, wenn die Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Datenkategorien (Art. 37 Abs. 1 lit. b und c DSGVO).

Wir haben weniger als 20 Mitarbeiter — brauchen wir trotzdem einen?

Möglich, ja. § 38 Abs. 1 Satz 2 BDSG verlangt die Benennung unabhängig von der Personenzahl, wenn Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Dazu kommt der Fall des Art. 37 Abs. 1 lit. c DSGVO: Wer umfangreich Gesundheits-, Religions- oder ähnlich geschützte Daten verarbeitet, kann auch mit kleinem Team benennungspflichtig sein.

Wer zählt bei den 20 Personen mit?

Nur Personen, die mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — also mit Datenverarbeitungsanlagen arbeiten und für die das Teil ihrer Aufgaben ist. Die Art des Beschäftigungsverhältnisses spielt keine Rolle: Leitung, Angestellte, Aushilfen, Auszubildende und Leiharbeitnehmer zählen mit, Vollzeit wie Teilzeit. Wer gar nicht mit personenbezogenen Daten umgeht — in der Regel Reinigungskräfte, Fahrer oder Gärtner — zählt nicht mit. Ständig heißt auf Dauer angelegt, nicht lückenlos.

Kann der Datenschutzbeauftragte extern sein?

Ja. Nach Art. 37 Abs. 7 DSGVO kann der Datenschutzbeauftragte ein Beschäftigter des Verantwortlichen oder eine externe Person sein, die auf der Grundlage eines Dienstleistungsvertrags tätig wird. Entscheidend sind die fachliche Qualifikation und Zuverlässigkeit nach Art. 37 Abs. 5 DSGVO sowie die Weisungsfreiheit: Der Datenschutzbeauftragte darf wegen seiner Tätigkeit keine Interessenkonflikte haben (Art. 38 Abs. 6 DSGVO). Wer selbst über die Verarbeitungen entscheidet, kann diese Aufgabe nicht wirksam daneben erfüllen.

Was passiert, wenn die Benennung fehlt, obwohl sie Pflicht wäre?

Ein Verstoß gegen die Benennungspflicht ist bußgeldbewehrt: Art. 83 Abs. 4 lit. a DSGVO sieht dafür Geldbußen von bis zu 10 Millionen Euro oder von bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor — der höhere Betrag gilt. Unabhängig davon fehlt die Stelle, die Betroffenenanfragen, Löschfristen und Meldepflichten im Blick hält; in den meisten Fällen sind genau das die Punkte, an denen eine Prüfung zuerst ansetzt.

Was kostet die Begleitung durch einen externen Datenschutzbeauftragten?

Das hängt vom Umfang ab und lässt sich ohne Kenntnis der Verarbeitungen nicht seriös beziffern: Anzahl der Verfahren, Anzahl der Standorte, Sensibilität der Daten und die vorhandene Dokumentation entscheiden über den Aufwand. Deshalb beginnt es mit einem kostenlosen Erstgespräch und einer Prüfung der Ausgangslage — nicht mit einer Preisliste für Leistungen, die vielleicht gar nicht nötig sind.

Diese Seite beschreibt die Rechtslage und die einschlägigen Vorschriften (Art. 37, Art. 38 Abs. 6, Art. 39, Art. 83 Abs. 4 lit. a DSGVO; § 38 Abs. 1 BDSG in der seit 26.11.2019 geltenden Fassung; Auslegungshinweise der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zur Benennung von Datenschutzbeauftragten). Sie ersetzt keine Rechtsberatung im Einzelfall. Ob eine Benennungspflicht besteht, hängt von den tatsächlichen Verarbeitungen ab – diese Prüfung gehört zu einem externen Datenschutzbeauftragten oder in die Rechtsberatung.