Ein Datenschutzbeauftragter ist in Deutschland verpflichtend, wenn ein einschlägiger Tatbestand der DSGVO oder des BDSG die Benennung verlangt. Für nichtöffentliche Stellen ist ein solcher Tatbestand erfüllt, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Andere Tatbestände können auch unterhalb dieser Schwelle eine Benennung erfordern.
Prüfen Sie daher die Verarbeitungstätigkeiten und tatsächlichen Zuständigkeiten, statt sich allein auf die Gesamtzahl der Beschäftigten zu stützen.
Dieser Leitfaden richtet sich an private Organisationen, die prüfen möchten, ob sie einen Datenschutzbeauftragten, kurz DSB, benötigen. Er erläutert den Rechtsrahmen, die Zählung der Personen und eine praktische Vorgehensweise für die Prüfung.
Welche Regeln bestimmen die Benennungspflicht?
Die deutschen Regelungen verbinden Artikel 37 DSGVO mit zusätzlichen Anforderungen aus § 38 BDSG.
Ein Verantwortlicher legt die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen. Die Benennungspflicht kann für beide gelten.
Die folgende Übersicht zeigt die maßgeblichen Fragen:
|
Tatbestand für die Benennungspflicht |
Rechtsgrundlage |
Ist die 20-Personen-Schwelle für diesen Tatbestand entscheidend? |
|
Verarbeitung durch eine Behörde oder öffentliche Stelle, ausgenommen Gerichte im Rahmen ihrer justiziellen Tätigkeit. |
Artikel 37 Absatz 1 Buchstabe a DSGVO. |
Nein. |
|
Kerntätigkeiten, die eine umfangreiche, regelmäßige und systematische Überwachung betroffener Personen erfordern. |
Artikel 37 Absatz 1 Buchstabe b DSGVO. |
Nein. |
|
Kerntätigkeiten, die in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten bestehen. |
Artikel 37 Absatz 1 Buchstabe c DSGVO. |
Nein. |
|
In der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. |
§ 38 Absatz 1 Satz 1 BDSG. |
Ja, zusammen mit den gesetzlichen Bedingungen zur Verarbeitung. |
|
Verarbeitung, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegt. |
§ 38 Absatz 1 Satz 2 BDSG. |
Nein. |
|
Geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung. |
§ 38 Absatz 1 Satz 2 BDSG. |
Nein. |
Der Überblick des BayLDA zur Benennungspflicht fasst die Tatbestände für nichtöffentliche Stellen zusammen. Der Leitfaden der Europäischen Kommission zu den Pflichten von Organisationen erläutert auch die Regel für öffentliche Stellen.
Wie funktioniert die deutsche 20-Personen-Regel?
§ 38 Absatz 1 Satz 1 BDSG betrifft Organisationen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Betrachten Sie die Bedingungen gemeinsam:
-
„In der Regel“ bezieht sich auf die übliche Situation.
-
„Mindestens 20 Personen“ schließt genau 20 Personen ein.
-
„Ständig“ beschreibt die erforderliche Einbindung in die Verarbeitung.
-
„Automatisierte Verarbeitung personenbezogener Daten“ bezeichnet die maßgebliche Verarbeitungstätigkeit.
Die Gesamtzahl aller Beschäftigten zeigt nicht, wie diese Bedingungen erfüllt werden. Auch eine Liste aller Personen mit einem Laptop beantwortet die Frage nicht.
Prüfen Sie die tatsächlichen Aufgaben
Beginnen Sie mit den Zuständigkeiten. Welche Informationen werden in der jeweiligen Funktion verarbeitet? Ist diese Verarbeitung ein wesentlicher Teil der Arbeit oder nur eine untergeordnete Tätigkeit?
In seinen FAQ-Hinweisen mit Stand vom 10. Februar 2026 legt das BayLDA „in der Regel“ anhand der üblichen Beschäftigtenzahl aus und lässt kurzfristige Schwankungen außer Betracht. „Ständig“ erläutert es anhand des Tätigkeitsschwerpunkts.
Dabei handelt es sich um behördliche Auslegungshinweise. Berücksichtigen Sie diese zusammen mit dem Gesetzeswortlaut und den tatsächlichen Verhältnissen Ihrer Organisation.
Für Ihre Prüfung ist eine Aufgabenbeschreibung aussagekräftiger als die Bezeichnung einer Abteilung. Halten Sie fest, was die Person tatsächlich tut, bevor Sie entscheiden, ob sie mitzuzählen ist.
Welche Personen zählen zur Schwelle?
Das BayLDA nennt Beispiele, die Tätigkeiten in der Personal- oder Finanzbuchhaltung von untergeordneten digitalen Tätigkeiten bei überwiegend praktischer Arbeit unterscheiden.
|
Beispiel aus den Hinweisen des BayLDA |
Was es verdeutlicht |
|
Beschäftigte in der Personal- oder Finanzbuchhaltung. |
Sie zählen in der Regel mit, weil die betreffende Verarbeitung normalerweise zum Schwerpunkt ihrer Arbeit gehört. |
|
Geschäftsleitung. |
Sie zählt mit, wenn ihre tatsächlichen Tätigkeiten die Bedingungen erfüllen. |
|
Eine handwerklich tätige Person, die Arbeitszeiten oder Auftragsinformationen auf einem Tablet erfasst. |
Überwiegend handwerkliche Arbeit mit untergeordneter Dateneingabe erfüllt die Bedingungen nicht automatisch. |
|
Beschäftigte im Lieferdienst, die elektronische Unterschriften einholen. |
Eine untergeordnete digitale Verarbeitung bei überwiegender Liefertätigkeit entscheidet nicht automatisch über die Zählung. |
Diese Beispiele schließen nicht ganze Berufsgruppen pauschal aus. Veränderte Zuständigkeiten können die Bewertung verändern.
Klären Sie ungewisse Fälle ausdrücklich
Diese Übersicht beantwortet nicht jede Frage zu Beschäftigtengruppen oder Unternehmensgruppen. Wenn Ihre Zählung von Teilzeitbeschäftigten, Auszubildenden, Leiharbeitskräften, freien Mitarbeitenden, ehrenamtlich Tätigen oder getrennten Rechtsträgern abhängt, benötigen Sie Hinweise für die konkrete Konstellation. Unterstellen Sie weder eine Berechnung nach Vollzeitäquivalenten noch eine automatische Zusammenrechnung innerhalb einer Unternehmensgruppe.
Eine hilfreiche interne Dokumentation würde Folgendes festhalten:
-
Die Funktion und die tatsächlichen Verarbeitungstätigkeiten.
-
Die Gründe für die Einbeziehung oder Nichtberücksichtigung.
-
Die Tatsachen, auf denen diese Entscheidung beruht.
-
Fragen, die noch geklärt werden müssen.
Dies ist eine empfohlene Prüfmethode, kein gesetzlich vorgeschriebenes Formular.
Wann besteht die Pflicht unterhalb von 20 zu berücksichtigenden Personen?
Es gibt eigenständige Tatbestände, die an die Verarbeitung anknüpfen. Besonders wichtig sind die Anforderungen der DSGVO an Kerntätigkeiten und die zusätzlichen Bedingungen des BDSG.
Kerntätigkeiten und umfangreiche Verarbeitung
Die DSGVO erfasst Kerntätigkeiten, die eine umfangreiche, regelmäßige und systematische Überwachung erfordern, sowie Kerntätigkeiten mit umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten.
Der Leitfaden des Europäischen Datenschutzausschusses zu Datenschutzbeauftragten erläutert, dass Kerntätigkeiten für die Ziele der Organisation zentral sind. Ob eine Verarbeitung umfangreich ist, hängt unter anderem von der Zahl der betroffenen Personen, der Datenmenge, der Dauer und der geografischen Reichweite ab.
Die Branchenbezeichnung allein beantwortet diese Fragen nicht. Zur Veranschaulichung des Umfangs unterscheidet der Europäische Datenschutzausschuss zwischen der Verarbeitung von Patientendaten in einem Krankenhaus und der Verarbeitung durch einen einzelnen Hausarzt.
Prüfen Sie, welche Verarbeitung stattfindet und wie die rechtlichen Bedingungen darauf anzuwenden sind. Aus „verarbeitet einige sensible Daten“ folgt nicht automatisch eine Benennungspflicht.
Verarbeitung mit erforderlicher Datenschutz-Folgenabschätzung
Für nichtöffentliche Stellen verlangt § 38 BDSG unabhängig von der Zahl der zu berücksichtigenden Personen eine Benennung, wenn die Verarbeitung einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegt.
Eine Datenschutz-Folgenabschätzung, kurz DSFA, untersucht die Risiken einer Verarbeitung für betroffene Personen. Prüfen Sie zunächst, ob die geplante Verarbeitung eine solche Abschätzung erfordert. Unterstellen Sie dies nicht bei jedem neuen Softwareprojekt. Die Hinweise der Europäischen Kommission erläutern die Anknüpfung an hohe Risiken und einschlägige Ausnahmen.
Gesetzlich bezeichnete Zwecke der geschäftsmäßigen Verarbeitung
Das BDSG erfasst außerdem personenbezogene Daten, die geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Prüfen Sie den gesetzlichen Begriff „geschäftsmäßig“ im Zusammenhang. Eine vereinfachte Umschreibung als kommerzielle Verarbeitung sollte die rechtliche Prüfung nicht ersetzen.
Prüfen Sie die gesetzliche Bedingung, statt daraus abzuleiten, dass jedes Unternehmen, das Daten weitergibt, einen Datenschutzbeauftragten benötigt. Die übliche Zusammenarbeit mit einem Dienstleister ist keine Abkürzung zu dieser Schlussfolgerung.
Drei Beispiele zur Prüfung der Benennungspflicht
Die folgenden Szenarien sind hypothetisch. Die Schlussfolgerungen hängen von den ausdrücklich genannten Annahmen ab.
Beispiel 1: Genau 20 zu berücksichtigende Personen
Betrachten Sie eine private Organisation, die in der Regel genau 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
Bewertung: Unter diesen angenommenen Umständen greift der zahlenbezogene Tatbestand des BDSG. „Mindestens 20“ schließt 20 ein.
Beispiel 2: 25 Beschäftigte, weniger als 20 zu berücksichtigende Personen
Betrachten Sie eine Organisation mit 25 Beschäftigten. Bei ihrer aufgabenbezogenen Prüfung werden weniger als 20 Personen ermittelt, die die maßgeblichen Verarbeitungsbedingungen erfüllen.
Bewertung: Die Gesamtzahl der Beschäftigten allein erfüllt den zahlenbezogenen Tatbestand nicht. Bevor die Organisation eine Benennung für entbehrlich hält, muss sie weiterhin die eigenständigen Tatbestände der DSGVO und des BDSG prüfen.
Beispiel 3: Eine kleinere Organisation mit erforderlicher DSFA
Betrachten Sie eine private Organisation mit acht zu berücksichtigenden Personen. Sie führt eine Verarbeitung durch, für die eine DSFA nach Artikel 35 erforderlich ist.
Bewertung: Der eigenständige DSFA-Tatbestand des BDSG verlangt eine Benennung. Die geringere Personenzahl beseitigt diese Pflicht nicht.
Die Beispiele zeigen, warum die Beschäftigtenzahl und die Prüfung der Verarbeitung unterschiedliche Teile der Benennungsfrage beantworten.
So prüfen Sie die Benennungspflicht Ihrer Organisation
Nutzen Sie diese empfohlene Reihenfolge, um die Prüfung zu strukturieren.
-
Klären Sie den Status der Organisation. Stellen Sie fest, ob die Regelungen für öffentliche oder nichtöffentliche Stellen gelten.
-
Prüfen Sie die DSGVO-Tatbestände. Untersuchen Sie Kerntätigkeiten, Überwachung und die einschlägige umfangreiche Verarbeitung.
-
Prüfen Sie eigenständige BDSG-Tatbestände. Klären Sie DSFA-Anforderungen und die gesetzlich bezeichneten Zwecke der geschäftsmäßigen Verarbeitung.
-
Prüfen Sie die zahlenbezogene Bedingung. Untersuchen Sie die übliche Beschäftigtenzahl und die tatsächlichen maßgeblichen Aufgaben.
-
Dokumentieren Sie Ergebnis und Unsicherheiten. Halten Sie die Nachweise fest und klären Sie offene Fragen, soweit erforderlich.
Greift ein Tatbestand, treffen Sie die erforderlichen Vorkehrungen für die Benennung. Wird kein Tatbestand festgestellt, bewahren Sie die Grundlage dieser Schlussfolgerung auf, statt sie als dauerhafte Ausnahme zu behandeln.
Halten Sie die Prüfung kurz schriftlich fest
|
Feld |
Was sollten Sie dokumentieren? |
|
Organisation oder Rechtsträger |
Die geprüfte Organisation. |
|
Verarbeitungstätigkeiten |
Die relevanten Vorgänge und ihren Umfang. |
|
Tatbestände der Benennungspflicht |
Welche Bedingungen geprüft wurden und welches Ergebnis jeweils festgestellt wurde. |
|
Zahl der zu berücksichtigenden Personen |
Die Zahl und ihre Begründung, soweit relevant. |
|
Nachweise |
Aufgabenbeschreibungen, Angaben zur Verarbeitung und Quellenverweise. |
|
Offene Fragen |
Tatsachen oder Auslegungsfragen, die noch geklärt werden müssen. |
|
Prüfdatum |
Wann die Prüfung durchgeführt wurde. |
Dieses Format ist eine praktische Empfehlung. Prüfen Sie die Bewertung erneut, wenn sich Zuständigkeiten, Verarbeitungstätigkeiten oder relevante Anforderungen ändern.
Was sollten Sie tun, wenn eine Benennung erforderlich ist?
Sorgen Sie für eine geeignete Benennung, wenn die Pflicht besteht. Behandeln Sie die Checkliste oder eine künftige Weiterbildung nicht als Grund, die Benennung aufzuschieben.
Ein Datenschutzbeauftragter benötigt geeignete Fachkunde, Unabhängigkeit und Ressourcen. Die Funktion kann unter den maßgeblichen Voraussetzungen durch einen internen Beschäftigten oder im Rahmen einer externen Dienstleistungsvereinbarung wahrgenommen werden. Weitere Aufgaben dürfen keine Interessenkonflikte erzeugen.
Die Organisation muss die Kontaktdaten des Datenschutzbeauftragten veröffentlichen und der zuständigen Aufsichtsbehörde mitteilen. Sie bleibt für die Einhaltung der Anforderungen verantwortlich. Diese Punkte erläutern der Überblick des BayLDA und der Leitfaden des Europäischen Datenschutzausschusses.
Unser Leitfaden „Zertifizierung als Datenschutzbeauftragter in Deutschland: Voraussetzungen, Fachkenntnisse und berufliche Wege“ erläutert, wie Weiterbildung mit Fachkunde und Eignung für die Funktion zusammenhängt.
Bereiten Sie jemanden auf die Funktion vor?
Prüfen Sie den Kurs Data Protection Officer (DPO) Certification Training des German Compliance Institute. Vergleichen Sie Lehrinhalte, Prüfung und Angaben zum Zertifikat mit der Vorbereitung, die die betreffende Person benötigt.
Der Abschluss einer Weiterbildung belegt nicht automatisch die Eignung für eine konkrete Benennung.
Details zur Weiterbildung für Datenschutzbeauftragte ansehen