Viele Unternehmen müssen derzeit einen Datenschutzbeauftragten benennen. Die Bundesregierung plant jedoch, die zusätzliche deutsche Regelung abzuschaffen, nach der grundsätzlich bereits ab 20 regelmäßig mit personenbezogenen Daten beschäftigten Personen eine Bestellpflicht besteht. Für kleinere und mittlere Betriebe könnte dadurch eine formale Pflicht entfallen. Die Verantwortung für einen rechtmäßigen Umgang mit personenbezogenen Daten bleibt jedoch vollständig beim Unternehmen.

Wann ist ein Datenschutzbeauftragter heute Pflicht?

Für deutsche Unternehmen ergeben sich die Voraussetzungen aus zwei Regelwerken: der europäischen Datenschutz-Grundverordnung (DS-GVO) und dem Bundesdatenschutzgesetz (BDSG).

Nach § 38 BDSG muss ein Unternehmen grundsätzlich einen Datenschutzbeauftragten benennen, wenn es in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Dabei geht es nicht nur um Mitarbeiter der IT-Abteilung. Erfasst sein können beispielsweise auch Beschäftigte aus Personalwesen, Vertrieb, Buchhaltung oder Kundenservice, die regelmäßig mit digitalen Kundendaten, Personaldaten oder anderen personenbezogenen Informationen arbeiten.

Unabhängig von dieser Personenzahl besteht die Pflicht auch dann, wenn das Unternehmen Datenverarbeitungen durchführt, für die eine Datenschutz-Folgenabschätzung erforderlich ist. Gleiches gilt insbesondere bei einer geschäftsmäßigen Verarbeitung personenbezogener Daten zum Zweck der Übermittlung sowie für Markt- oder Meinungsforschung.

Wann greift die DSGVO unabhängig von der Betriebsgröße?

Art. 37 DSGVO enthält eigene europäische Vorgaben. Danach muss insbesondere dann ein Datenschutzbeauftragter benannt werden, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht.

Eine Bestellpflicht kann außerdem entstehen, wenn die Kerntätigkeit eine umfangreiche Verarbeitung besonders sensibler Daten umfasst. Dazu gehören beispielsweise Gesundheitsdaten, biometrische Daten oder Informationen über religiöse Überzeugungen. Auch kleinere Unternehmen können deshalb unter die europäische Bestellpflicht fallen.

Entscheidend sind somit nicht allein Mitarbeiterzahl und Umsatz, sondern die Art, der Umfang und das Risiko der Datenverarbeitung.

Welche Pflicht soll künftig entfallen?

Die Regierungskoalition hat in ihrem Programm für Aufschwung und Beschäftigung vom 2. Juli 2026 angekündigt, den nationalen Datenschutz zu vereinfachen und in kleinen und mittleren Unternehmen die Zahl der betrieblichen Datenschutzbeauftragten zu reduzieren. Zudem sollen betriebliche Beauftragte, deren Bestellung nicht auf EU-Vorgaben beruht, bei Erhalt des Schutzniveaus abgeschafft werden. Davon könnte insbesondere die rein nationale Regel des § 38 Abs. 1 BDSG erfasst sein, nach der bereits ab 20 regelmäßig mit automatisierter Datenverarbeitung beschäftigten Personen ein Datenschutzbeauftragter erforderlich ist.

Ein konkretes Inkrafttreten steht damit jedoch noch nicht fest. Solange das Gesetz nicht geändert wurde, gilt die bisherige Bestellpflicht unverändert weiter.

Auch nach einer Abschaffung der deutschen Zusatzregel blieben die unmittelbar geltenden Vorgaben des Art. 37 DSGVO bestehen. Unternehmen mit umfangreicher Überwachung oder besonders risikoreichen Kerntätigkeiten müssten daher weiterhin einen Datenschutzbeauftragten benennen.

Weniger Formpflicht bedeutet nicht weniger Verantwortung

Der Datenschutzbeauftragte berät das Unternehmen und überwacht die Einhaltung der Datenschutzvorschriften. Verantwortlich für rechtmäßige Datenverarbeitungen bleibt aber schon heute die Unternehmensleitung.

Entfällt künftig die Benennungspflicht, müssen Unternehmen weiterhin Rechtsgrundlagen prüfen, Betroffene informieren, Auskunfts- und Löschungsanträge bearbeiten, technische Schutzmaßnahmen umsetzen und Datenschutzverletzungen gegebenenfalls melden. Auch die übrigen Dokumentationspflichten der DSGVO verschwinden dadurch nicht automatisch.

Bei Verstößen drohen weiterhin aufsichtsrechtliche Maßnahmen, Schadensersatzansprüche und erhebliche Bußgelder. Die DSGVO sieht je nach Verstoß Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vor.

Datenschutz bleibt Aufgabe der Geschäftsführung

Die geplante Reform könnte vor allem kleinere Unternehmen von einer personellen Formalpflicht entlasten. Sie schafft jedoch keine Datenschutzfreiheit. Geschäftsführungen sollten daher zunächst prüfen, ob neben § 38 BDSG auch die europäischen Voraussetzungen des Art. 37 DSGVO erfüllt sind. Selbst ohne Bestellpflicht muss intern klar geregelt sein, wer den Datenschutz organisiert, kontrolliert und dokumentiert.