BasiQ Wissenswertes · Datenschutz
Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten?
Kurz erklärt
Die 20-Personen-Grenze ist nur ein Prüfpunkt. Kerntätigkeit, besondere Datenverarbeitung und Datenschutz-Folgenabschätzung können die Pflicht früher auslösen.
Die Größe allein entscheidet nicht
Für private Unternehmen greifen die DSGVO und ergänzend § 38 BDSG. Nach der deutschen Regel müssen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. „Ab 20 Mitarbeitern“ ist als pauschale Aussage zu ungenau.
Welche Personen zählen?
Es geht um Personen, deren regelmäßige Aufgaben automatisierte Verarbeitung personenbezogener Daten umfassen, beispielsweise in Verwaltung, Personal, Vertrieb oder Teilnehmerbetreuung. Die Verarbeitung muss nicht ihre einzige Aufgabe sein. Teilzeitkräfte sind Personen und werden hierfür nicht in Vollzeitstellen umgerechnet. Eine bloße Gesamtzahl aller Arbeitsverträge oder Computer liefert deshalb noch keine verlässliche Antwort.
Unser Beispiel: Ein Betrieb hat 27 Mitarbeiter. Ob die nationale Schwelle erreicht wird, hängt davon ab, wie viele von ihnen regelmäßig entsprechend mit personenbezogenen Daten arbeiten. Umgekehrt können 20 regelmäßig damit befasste Teilzeitkräfte die Schwelle erreichen, obwohl ihre Arbeitszeit deutlich weniger als 20 Vollzeitstellen entspricht.
Wann greift eine Pflicht unabhängig von dieser Zahl?
Artikel 37 DSGVO erfasst unter anderem Kerntätigkeiten mit umfangreicher regelmäßiger und systematischer Überwachung von Personen sowie Kerntätigkeiten mit umfangreicher Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten. Für Behörden und öffentliche Stellen gilt ebenfalls eine eigene Regel. Nicht jede gelegentliche Verarbeitung eines Gesundheitsdatums bedeutet bereits eine umfangreiche Kerntätigkeit.
§ 38 BDSG nennt zusätzlich Verarbeitungen, für die eine Datenschutz-Folgenabschätzung nach Artikel 35 erforderlich ist. Außerdem erfasst er die geschäftsmäßige Verarbeitung zu den dort genannten Übermittlungs-, Markt- oder Meinungsforschungszwecken. Diese Fälle sind unabhängig von der Personenzahl zu prüfen.
Ein Datenschutzbeauftragter braucht Unabhängigkeit
Die Funktion kann intern oder extern besetzt werden. Erforderlich sind Fachkunde, angemessene Ressourcen und eine Stellung ohne Interessenkonflikte. Wer selbst maßgeblich Zwecke und Mittel der Verarbeitung bestimmt, kann die unabhängige Kontrolle der eigenen Entscheidungen regelmäßig nicht übernehmen. Deshalb ist eine Benennung der Geschäftsführung oder einer entsprechend verantwortlichen IT-Leitung kritisch zu prüfen.
Die Kontaktdaten sind zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen. Der Datenschutzbeauftragte berät und überwacht die Einhaltung; die Verantwortung für rechtmäßige Verarbeitung verbleibt beim Unternehmen.
Unser Prüfablauf
- Regelmäßige Datenverarbeitung und beteiligte Personen erfassen.
- Kerntätigkeiten und deren Umfang bewerten.
- Prüfen, ob eine Datenschutz-Folgenabschätzung notwendig ist.
- Weitere Tatbestände des § 38 BDSG abgleichen.
- Ergebnis begründet dokumentieren und bei Änderungen überprüfen.
Auch ohne Benennungspflicht gelten die übrigen Datenschutzanforderungen. Bestimmen Sie deshalb in jedem Fall, wer Anfragen, Vorfälle, Zugriffsrechte und die laufende Dokumentation organisiert.
Quellen und Originaldokumente
Originalquellen zuletzt geprüft am 20.10.2026. Die verlinkten Veröffentlichungen können vom Herausgeber aktualisiert werden. Beispiele und Umsetzungsvorschläge stammen von BasiQ.
Die Umsetzung im Unternehmen klären
Sie möchten Zuständigkeiten, Abläufe und Nachweise sinnvoll organisieren? Sprechen Sie mit uns über Ihren konkreten Bedarf.