DAT-02 | Datenschutz, KI & Informationssicherheit | Pflicht ab 20 datenverarbeitenden Personen oder bei Art.-37-Tatbestand
Die Benennungspflicht hängt nicht an Deiner Mitarbeiterzahl, sondern daran, wie viele Personen ständig mit personenbezogenen Daten arbeiten. Diese Zahl ist meist höher, als Geschäftsführungen vermuten - und die Prüfung selbst ist Pflicht, unabhängig vom Ergebnis.
Achtung, Reform in Sicht: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG bis Ende 2026 aufzuheben, und der Koalitionsausschuss hat das im Juli 2026 bekräftigt. Ein Gesetz ist bis heute nicht in Kraft. Bis dahin gilt die 20-Personen-Schwelle unverändert. Und selbst wenn sie fällt: Die Benennungspflicht aus Art. 37 DSGVO bleibt davon unberührt.
GILT DAS FÜR DICH?
Nach deutschem Recht: wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen - auch Teilzeitkräfte, Auszubildende, Praktikanten, Leiharbeitnehmer und freie Mitarbeitende. Wer regelmäßig ein CRM, ein Warenwirtschaftssystem oder ein E-Mail-Postfach mit Kundenkontakt nutzt, zählt mit.
Nach europäischem Recht - unabhängig von jeder Zahl: wenn Deine Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht (zum Beispiel Detekteien, große Trackinganbieter, umfangreiche Videoüberwachung), oder wenn Du umfangreich besondere Datenkategorien verarbeitest (Kliniken, Arztpraxen, Labore, betriebsärztliche Dienste).
Zusätzlich: Wenn Du eine Datenschutz-Folgenabschätzung durchführen musst, brauchst Du ohnehin fachkundige Begleitung.
DAS MUSST DU TUN
- Zähle nach und dokumentiere das Ergebnis. Erstelle eine kurze Aufstellung, wie viele Personen ständig automatisiert personenbezogene Daten verarbeiten. Dieser Prüfvermerk ist auch dann wichtig, wenn Du unter der Schwelle bleibst.
- Prüfe die Art.-37-Tatbestände gesondert - sie greifen ohne Rücksicht auf die Personenzahl.
- Falls Pflicht: Benenne eine fachkundige und unabhängige Person, intern oder extern. Ein externer Datenschutzbeauftragter ist in der Regel schneller verfügbar, günstiger und frei von Interessenkonflikten.
- Melde die Benennung Deiner Aufsichtsbehörde und veröffentliche die Kontaktdaten, üblicherweise in der Datenschutzerklärung auf Deiner Website.
- Stelle Ressourcen und Zugang sicher: Die Person muss frühzeitig in alle datenschutzrelevanten Fragen eingebunden werden und direkt an die oberste Leitungsebene berichten.
- Beachte den Sonderkündigungsschutz und das Benachteiligungsverbot für interne Datenschutzbeauftragte - das macht eine interne Benennung zu einer Personalentscheidung mit langer Bindung.
GRÜN IST ES, WENN ...
Die Schwellenprüfung ist dokumentiert. Falls die Pflicht besteht, ist eine fachkundige Person benannt, der Aufsichtsbehörde gemeldet und öffentlich als Kontakt hinterlegt.
DIESE NACHWEISE BRAUCHST DU
Prüfvermerk zur Schwelle mit Datum, Bestellurkunde, Meldebestätigung der Aufsichtsbehörde, Nachweis der Fachkunde (Zertifikat, Fortbildungen), Angabe in der Datenschutzerklärung.
DIE RECHTSGRUNDLAGE
- § 38 BDSG - Datenschutzbeauftragte nichtöffentlicher Stellen: Die deutsche Zusatzregelung mit der 20-Personen-Schwelle. Sie geht über die europäischen Mindestanforderungen hinaus.
- Art. 37 bis 39 DSGVO - Benennung, Stellung und Aufgaben: Regelt, wann die Benennung europarechtlich zwingend ist, welche Unabhängigkeit die Person genießt und welche Aufgaben sie hat.
- Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Für die meisten Unternehmen ist allerdings die Landesbehörde zuständig - welche das ist, richtet sich nach Deinem Sitz.
TYPISCHE STOLPERFALLEN
- Falsch gezählt. Nur die IT-Abteilung zu zählen ist der Klassiker. Vertrieb, HR und Kundenservice arbeiten praktisch immer mit personenbezogenen Daten.
- Nicht gemeldet. Die Benennung ohne Meldung an die Aufsichtsbehörde ist ein eigener Verstoß.
- Interessenkonflikt. IT-Leitung, HR-Leitung und Geschäftsführung können nicht gleichzeitig Datenschutzbeauftragte sein - sie würden sich selbst kontrollieren.
- Externer Vertrag ohne gelebte Einbindung. Ein Datenschutzbeauftragter, den man einmal im Jahr sieht, erfüllt die Anforderungen an frühzeitige Einbindung nicht.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Wenn die Benennungspflicht greift, ist die externe Lösung meist die schnellste und günstigste - und sie vermeidet den Interessenkonflikt und den Sonderkündigungsschutz einer internen Benennung.
Externe Datenschutzbeauftragte: Bestellung als externe Datenschutzbeauftragte, laufende Beratung, Kontaktstelle für Behörden und vollständige Dokumentation. Ab 280 Euro im Monat.
Spezialisierte Rechtsberatung: Falls Du unsicher bist, ob die Schwelle überhaupt erreicht ist: rechtliche Einschätzung zur Benennungspflicht nach § 38 BDSG und Art. 37 DSGVO.
Mehr zum Thema: Datenschutzgrundverordnung auf compliance.one
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
