Datenschutzbeauftragter Pflicht? Die 20-Personen-Grenze des § 38 BDSG

„Brauchen wir einen Datenschutzbeauftragten?" — für die meisten deutschen Unternehmen beantwortet eine einzige Zahl diese Frage: 20. Deutschland hat mit § 38 Abs. 1 BDSG eine scharfe Bestellungspflicht, die deutlich früher greift als viele vermuten. Hier steht, wie die Grenze gezählt wird, welche weiteren Auslöser unabhängig von der Personenzahl existieren und was für Sie gilt, wenn Sie keinen DSB bestellen müssen.

Die 20-Personen-Grenze im Wortlaut

§ 38 Abs. 1 Satz 1 BDSG verpflichtet Verantwortliche und Auftragsverarbeiter, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu bestellen, wenn sie „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen". Drei Elemente stecken in diesem Satz:

• „In der Regel": Es kommt nicht auf den exakten Stand an einem Stichtag an. Wer üblicherweise 20 Personen hat, kann sich nicht darauf berufen, heute seien es zufällig 19.
• „Ständig beschäftigt": Nicht die Stundenzahl entscheidet, sondern die regelmäßige, nicht nur gelegentliche Tätigkeit mit den Systemen.
• „Automatisierte Verarbeitung": Gemeint ist die Arbeit mit EDV-Systemen, in denen personenbezogene Daten verarbeitet werden — in der Praxis also nahezu jeder Büroarbeitsplatz.

Wie gezählt wird — und wer mitzählt

Gezählt werden Personen, nicht Vollzeitstellen: Teilzeitkräfte, Auszubildende und geringfügig Beschäftigte zählen mit, solange sie regelmäßig mit der automatisierten Verarbeitung zu tun haben. In die Betrachtung fließen auch externe Personen ein, die ständig für das Unternehmen tätig sind. Wer nicht mitzählt: Beschäftigte ohne jede Berührung mit personenbezogenen Daten in Systemen — in modernen Betrieben eine kleine Gruppe.

Praktischer Rat: Zählen Sie ehrlich nach oben statt kreativ nach unten. Die Bestellung eines DSB ist im Zweifel die kleinere Baustelle als die Diskussion mit der Aufsichtsbehörde darüber, warum die 19-Köpfe-Rechnung gerade noch aufgehen sollte.

Weitere Auslöser unabhängig von der Personenzahl

Die 20-Personen-Grenze ist der häufigste, aber nicht der einzige Auslöser. § 38 Abs. 1 BDSG i. V. m. Art. 37 DSGVO verlangt einen DSB auch dann, wenn

• für Ihre Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist,
• oder Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) oder in der umfangreichen, regelmäßigen und systematischen Überwachung besteht.

Konkret heißt das: Eine Arztpraxis mit acht Angestellten kann DSB-pflichtig sein, ein Drei-Personen-Unternehmen mit umfangreicher Videoüberwachung ebenfalls. Die Personenzahl ist nur die erste Prüffrage — nicht die letzte.

Intern oder extern: Wer DSB werden kann

Bestellt werden kann eine geeignete Person aus dem eigenen Haus oder ein externer Dienstleister. Beide Varianten haben dieselbe fachliche Anforderung: Fachkunde auf dem Gebiet des Datenschutzrechts und der Praxis — und Unabhängigkeit. Beim internen DSB ist der klassische Konflikt die Doppelrolle: Wer selbst über die Verarbeitung entscheidet (etwa als Geschäftsführer, IT- oder Personal-Leitung), kann sich nicht gleichzeitig wirksam selbst kontrollieren. Der externe DSB umgeht dieses Problem und bringt Routine aus vielen Mandaten mit; der interne kennt die Prozesse von innen. In beiden Fällen gilt: Der DSB berät und überwacht — die Verantwortung bleibt beim Verantwortlichen.

Was gilt, wenn Sie keinen DSB brauchen

Keine Bestellungspflicht bedeutet keine Pflichtenfreiheit. Die zentralen DSGVO-Pflichten gelten für jedes Unternehmen, unabhängig von Größe und DSB-Frage:

• Betroffenenrechte beantworten: Auskunft, Berichtigung, Löschung und Co. — binnen eines Monats (Art. 12 Abs. 3, Art. 15–21 DSGVO).
• Datenpannen managen: Meldung an die Aufsichtsbehörde binnen 72 Stunden bei Risiko, Betroffene informieren bei hohem Risiko, jeder Vorfall dokumentiert (Art. 33, 34 DSGVO).
• Rechenschaft ablegen: Sie müssen die Einhaltung nachweisen können (Art. 5 Abs. 2 DSGVO) — dokumentierte Prozesse sind dafür der kürzeste Weg.

Halten Sie außerdem Ihre DSB-Prüfung selbst schriftlich fest: Stichtag, Zählweise, Ergebnis. Und prüfen Sie bei Wachstum neu — der Sprung über die 20 kommt in der Praxis oft leise.

Ihre Checkliste zur DSB-Frage

• Personen zählen, die ständig mit automatisierter Verarbeitung beschäftigt sind — Teilzeit und Ausbildung einbeziehen
• Ergebnis mit Stichtag und Zählweise schriftlich festhalten
• Weitere Auslöser prüfen: Folgenabschätzung nötig? Kerntätigkeit mit besonderen Daten oder Überwachung?
• Bei Pflicht: intern oder extern bestellen — Unabhängigkeit und Fachkunde sicherstellen
• Ohne Pflicht: Betroffenenrechte, 72-Stunden-Meldung und Dokumentation trotzdem organisieren
• Re-Check im Kalender: bei Wachstum oder neuen Verarbeitungen erneut prüfen

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Prüfung der Bestellungspflicht im Einzelfall bleibt Ihre Aufgabe — wenden Sie sich dafür an fachkundige Beratung.