Wann ist ein Datenschutzbeauftragter Pflicht? Aktuelle Regeln und mögliche Abschaffung der 20-Personen-Regel

Die Bundesregierung will § 38 Abs. 1 BDSG aufheben, noch gilt die 20-Personen-Grenze in Deutschland. Die ituso GmbH erklärt, wer heute und künftig einen Datenschutzbeauftragten braucht.

Dachau, Oktober 2026. Ab wann muss ein Unternehmen einen Datenschutzbeauftragten benennen? Die Frage schien in Deutschland lange durch eine einfache Zahl beantwortet: 20 Personen. Doch die Regel ist in Bewegung. In ihrer Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat die Bundesregierung angekündigt, bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen. Die Datenschutzexperten der ituso GmbH aus Dachau bei München ordnen ein, was heute gilt, was sich ändern könnte und warum die Verantwortung in keinem Fall wegfällt.

Die Rechtslage heute: drei Wege in die Benennungspflicht
1. Die 20-Personen-Regel nach § 38 Abs. 1 Satz 1 BDSG. Ein Datenschutzbeauftragter ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen. Teilzeitkräfte, Auszubildende oder Aushilfen können also mitzählen, sofern sie regelmäßig mit personenbezogenen Daten am Rechner arbeiten. Entscheidend ist die tatsächliche Tätigkeit: In einer Steuerkanzlei arbeitet praktisch jede Person ständig mit personenbezogenen Daten, ein Bauunternehmen mit eigenen Handwerkern kann dagegen auch mit 50 Beschäftigten unter der Grenze liegen.

2. Unabhängig von der Größe nach § 38 Abs. 1 Satz 2 BDSG. Eine Benennungspflicht besteht auch dann, wenn Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden. Das kann auch ein Unternehmen mit drei Personen betreffen.

3. Direkt aus Artikel 37 DSGVO. Europaweit gilt die Pflicht für Behörden und öffentliche Stellen sowie für Unternehmen, deren Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonders sensibler Daten wie Gesundheitsdaten.

Was die geplante Reform ändern würde
Wird § 38 Abs. 1 BDSG wie angekündigt aufgehoben, entfällt die deutsche Sonderregel. Die Benennungspflicht richtet sich dann ausschließlich nach dem risikobasierten Maßstab des Artikels 37 DSGVO. Für viele kleine und mittlere Unternehmen mit überschaubarer Datenverarbeitung würde die Pflicht damit entfallen, für Unternehmen mit Überwachungsschwerpunkt oder umfangreicher Verarbeitung sensibler Daten bliebe sie bestehen. Datenschutzaufsichtsbehörden wie das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein warnen vor Rechtsunsicherheit, weil Unternehmen künftig selbst beurteilen müssten, ob sie unter Artikel 37 fallen.

Wichtig für die Praxis: Bis eine Gesetzesänderung tatsächlich in Kraft tritt, gilt die bestehende Rechtslage unverändert. Wer heute die Voraussetzungen erfüllt, muss einen Datenschutzbeauftragten benennen und dessen Kontaktdaten der zuständigen Aufsichtsbehörde mitteilen. Ein Verstoß gegen die Benennungspflicht kann nach Artikel 83 Absatz 4 DSGVO mit einem Bußgeld geahndet werden.

Weniger Pflicht bedeutet nicht weniger Verantwortung
Auch Unternehmen, die keinen Datenschutzbeauftragten benennen müssen, unterliegen sämtlichen Pflichten der DSGVO. Die Verantwortung liegt bei der Geschäftsführung. Dazu gehören unter anderem:

- das Verzeichnis der Verarbeitungstätigkeiten
- angemessene technische und organisatorische Maßnahmen
- Datenschutzhinweise und Informationspflichten
- die fristgerechte Bearbeitung von Auskunfts- und Löschanfragen
- die Meldung von Datenpannen innerhalb von 72 Stunden an die Aufsichtsbehörde
- Auftragsverarbeitungsverträge mit Dienstleistern

Entfällt der Datenschutzbeauftragte, entfällt nicht die Arbeit, sondern nur die Person, die sie fachkundig begleitet. Viele Unternehmen beauftragen deshalb auch ohne gesetzliche Pflicht einen externen Datenschutzbeauftragten, um die Aufgabe wirksam zu delegieren und das eigene Team zu entlasten.

Selbstcheck in fünf Fragen
- Arbeiten in der Regel 20 oder mehr Personen ständig mit personenbezogenen Daten am Computer?
- Gibt es Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern, etwa Videoüberwachung, Ortung oder bestimmte KI-Anwendungen?
- Verarbeitet das Unternehmen in großem Umfang Gesundheitsdaten oder andere besonders sensible Daten?
- Besteht das Geschäftsmodell im Kern aus Tracking, Scoring oder systematischer Beobachtung von Personen?
- Werden Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet?

Wer eine dieser Fragen mit Ja beantwortet, sollte die Benennungspflicht fachlich prüfen lassen. Einen kompakten Einstieg bietet der Datenschutz-Beratertag von ituso, bei dem die Pflichtenlage geklärt und erste Maßnahmen direkt umgesetzt werden. Für Übergangsphasen, etwa wenn ein interner Beauftragter ausfällt, stellt ituso auch Interim-Manager im Datenschutz.

Häufige Fragen
Ab wie vielen Mitarbeitern braucht man einen Datenschutzbeauftragten?
Nach aktueller Rechtslage in Deutschland ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen.

Fällt die Pflicht zum Datenschutzbeauftragten 2026 weg?
Die Bundesregierung hat angekündigt, bis Ende 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen. Bis eine Änderung in Kraft tritt, gilt die bisherige Regel. Die Pflicht nach Artikel 37 DSGVO bleibt in jedem Fall bestehen.

Kann auch ein kleines Unternehmen einen Datenschutzbeauftragten benötigen?
Ja, etwa wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder in großem Umfang sensible Daten wie Gesundheitsdaten verarbeitet werden.

Was droht, wenn kein Datenschutzbeauftragter benannt wird?
Ein Verstoß gegen die Benennungspflicht kann nach Artikel 83 Absatz 4 DSGVO mit einem Bußgeld geahndet werden. Unabhängig davon bleibt die Geschäftsführung für die Einhaltung aller DSGVO-Pflichten verantwortlich.

Verantwortlicher für diese Pressemitteilung:

ituso GmbH
Herr Mirko Tasch
Fraunhoferstraße 9
85221 Dachau
Deutschland

fon ..: +49 8142 420 50 20
web ..: https://ituso.de/
email : info@ituso.de

Die ituso GmbH mit Hauptsitz in Dachau bei München ist seit 2015 Ansprechpartner für Datenschutz und Informationssicherheit. Das Beratungsunternehmen betreut kleine und mittelständische Unternehmen sowie Fachabteilungen unterschiedlicher Branchen und Größen in der Region D-A-CH, von Hamburg bis München und von Köln bis Dresden. Zum Leistungsspektrum gehören die Stellung externer Datenschutzbeauftragter, Datenschutzberatung und Datenschutz-Audits, der Datenschutz-Beratertag, die Stellung externer Informationssicherheitsbeauftragter sowie die Begleitung beim Aufbau eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001. Die gesamte Datenschutzdokumentation der Kunden wird in einer webbasierten Datenschutzmanagement-Software geführt, auf die Kunden jederzeit Zugriff haben.

Das Team aus zertifizierten Datenschutzbeauftragten, Datenschutz- und Informationssicherheits-Auditoren, IT-Sicherheitsbeauftragten und Projektmanagern arbeitet nach dem Motto "Wir kümmern uns". Rund 75 Prozent der Neukunden kommen auf Empfehlung. Geschäftsführer sind Mirko Tasch und Florian Padberg. Kunden in der Schweiz und in Liechtenstein betreut die Schwesterfirma ituso Schweiz GmbH mit Sitz in Wallisellen bei Zürich.

Pressekontakt:

ituso GmbH
Herr Mirko Tasch
Fraunhoferstraße 9
85221 Dachau

fon ..: +49 8142 420 50 20
web ..: https://ituso.de/
email : info@ituso.de