Datenschutzbeauftragter Pflicht? Die 20-Personen-Grenze des § 38 BDSG

„Brauchen wir einen Datenschutzbeauftragten?“ Für die meisten deutschen Unternehmen beantwortet eine einzige Zahl diese Frage: 20. Deutschland hat mit § 38 Abs. 1 BDSG eine scharfe Bestellungspflicht, die deutlich früher greift als viele vermuten. Hier steht, wie die Grenze gezählt wird, welche weiteren Auslöser unabhängig von der Personenzahl existieren und was für Sie gilt, wenn Sie keinen DSB bestellen müssen.

Die 20-Personen-Grenze im Wortlaut

§ 38 Abs. 1 Satz 1 BDSG verpflichtet Verantwortliche und Auftragsverarbeiter, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu bestellen, wenn sie „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. Drei Elemente stecken in diesem Satz:

• „In der Regel“: Es kommt nicht auf den exakten Stand an einem Stichtag an. Wer üblicherweise 20 Personen hat, kann sich nicht darauf berufen, heute seien es zufällig 19.
• „Ständig beschäftigt“: Nicht die Stundenzahl entscheidet, sondern die regelmäßige, nicht nur gelegentliche Tätigkeit mit den Systemen.
• „Automatisierte Verarbeitung“: Gemeint ist die Arbeit mit EDV-Systemen, in denen personenbezogene Daten verarbeitet werden, in der Praxis also nahezu jeder Büroarbeitsplatz.

Wie gezählt wird und wer mitzählt

Gezählt werden Personen, nicht Vollzeitstellen: Teilzeitkräfte, Auszubildende und geringfügig Beschäftigte zählen mit, solange sie regelmäßig mit der automatisierten Verarbeitung zu tun haben. In die Betrachtung fließen auch externe Personen ein, die ständig für das Unternehmen tätig sind. Wer nicht mitzählt: Beschäftigte ohne jede Berührung mit personenbezogenen Daten in Systemen, in modernen Betrieben eine kleine Gruppe.

Praktischer Rat: Zählen Sie ehrlich nach oben statt kreativ nach unten. Die Bestellung eines DSB ist im Zweifel die kleinere Baustelle als die Diskussion mit der Aufsichtsbehörde darüber, warum die 19-Köpfe-Rechnung gerade noch aufgehen sollte.

Die Regel mit der eigenen Zahl durchspielen können Sie auf der Seite Datenschutzbeauftragter: Pflicht ab welcher Personenzahl?. Geprüft wird dort genau eine Regel, nämlich die des § 38 Abs. 1 BDSG, und das Ergebnis sagt das auch.

Weitere Auslöser unabhängig von der Personenzahl

Die 20-Personen-Grenze ist der häufigste, aber nicht der einzige Auslöser. § 38 Abs. 1 BDSG i. V. m. Art. 37 DSGVO verlangt einen DSB auch dann, wenn

• für Ihre Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist,
• oder Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) oder in der umfangreichen, regelmäßigen und systematischen Überwachung besteht.

Konkret heißt das: Eine Arztpraxis mit acht Angestellten kann DSB-pflichtig sein, ein Drei-Personen-Unternehmen mit umfangreicher Videoüberwachung ebenfalls. Die Personenzahl ist nur die erste Prüffrage, nicht die letzte.

Ob eine Datenschutz-Folgenabschätzung ansteht, grenzt die Vorprüfung nach Art. 35 DSGVO ein. Sie fragt die drei Regelbeispiele des Art. 35 Abs. 3 DSGVO einzeln ab. Achten Sie dabei auf das Wort „insbesondere“ im Wortlaut: Der Katalog ist nicht abschließend, und „keiner der drei Fälle“ ist deshalb keine Entwarnung, sondern nur die Aussage, dass die Regelbeispiele nicht greifen. Art. 35 Abs. 1 DSGVO gilt eigenständig weiter, und die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO sind zusätzlich zu prüfen.

Intern oder extern: Wer DSB werden kann

Bestellt werden kann eine geeignete Person aus dem eigenen Haus oder ein externer Dienstleister. Beide Varianten haben dieselbe fachliche Anforderung: Fachkunde auf dem Gebiet des Datenschutzrechts und der Praxis, dazu Unabhängigkeit. Beim internen DSB ist der klassische Konflikt die Doppelrolle: Wer selbst über die Verarbeitung entscheidet (etwa als Geschäftsführer, IT- oder Personal-Leitung), kann sich nicht gleichzeitig wirksam selbst kontrollieren. Der externe DSB umgeht dieses Problem und bringt Routine aus vielen Mandaten mit; der interne kennt die Prozesse von innen. In beiden Fällen gilt: Der DSB berät und überwacht. Die Verantwortung bleibt beim Verantwortlichen.

Was gilt, wenn Sie keinen DSB brauchen

Keine Bestellungspflicht bedeutet keine Pflichtenfreiheit. Die zentralen DSGVO-Pflichten gelten für jedes Unternehmen, unabhängig von Größe und DSB-Frage:

• Betroffenenrechte beantworten: Auskunft, Berichtigung, Löschung und Co., und zwar unverzüglich, in jedem Fall aber binnen eines Monats (Art. 12 Abs. 3, Art. 15–21 DSGVO).
• Datenpannen managen: Meldung an die Aufsichtsbehörde binnen 72 Stunden bei Risiko, Betroffene informieren bei hohem Risiko, jeder Vorfall dokumentiert (Art. 33, 34 DSGVO).
• Rechenschaft ablegen: Sie müssen die Einhaltung nachweisen können (Art. 5 Abs. 2 DSGVO), und dokumentierte Prozesse sind dafür der kürzeste Weg.

Halten Sie außerdem Ihre DSB-Prüfung selbst schriftlich fest: Stichtag, Zählweise, Ergebnis. Und prüfen Sie bei Wachstum neu. Der Sprung über die 20 kommt in der Praxis oft leise.

Ihre Checkliste zur DSB-Frage

• Personen zählen, die ständig mit automatisierter Verarbeitung beschäftigt sind, dabei Teilzeit und Ausbildung einbeziehen
• Ergebnis mit Stichtag und Zählweise schriftlich festhalten
• Weitere Auslöser prüfen: Folgenabschätzung nötig? Kerntätigkeit mit besonderen Daten oder Überwachung?
• Bei Pflicht: intern oder extern bestellen, dabei Unabhängigkeit und Fachkunde sicherstellen
• Ohne Pflicht: Betroffenenrechte, 72-Stunden-Meldung und Dokumentation trotzdem organisieren
• Re-Check im Kalender: bei Wachstum oder neuen Verarbeitungen erneut prüfen

Häufige Fragen

Ab wie vielen Personen ist ein Datenschutzbeauftragter Pflicht?

§ 38 Abs. 1 Satz 1 BDSG verpflichtet Verantwortliche und Auftragsverarbeiter zur Bestellung, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. „In der Regel“ heißt: Es kommt nicht auf den Stand an einem einzelnen Stichtag an.

Zählen Teilzeitkräfte und Auszubildende mit?

Gezählt werden Personen, nicht Vollzeitstellen. Teilzeitkräfte, Auszubildende und geringfügig Beschäftigte zählen mit, solange sie regelmäßig mit der automatisierten Verarbeitung zu tun haben. Auch externe Personen, die ständig für das Unternehmen tätig sind, können mitzählen.

Gibt es Auslöser unabhängig von der Personenzahl?

Ja. § 38 Abs. 1 BDSG in Verbindung mit Art. 37 Abs. 1 lit. b und c DSGVO verlangt eine Bestellung auch dann, wenn für Ihre Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder in der umfangreichen, regelmäßigen und systematischen Überwachung besteht.

Heißt „keiner der drei Fälle des Art. 35 Abs. 3“ automatisch: keine Folgenabschätzung?

Nein. Art. 35 Abs. 3 DSGVO ist mit „insbesondere“ eingeleitet und damit keine abschließende Liste. Art. 35 Abs. 1 DSGVO gilt eigenständig weiter: Eine Folgenabschätzung ist vorab durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dazu kommen die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO, die zusätzlich zu prüfen sind.

Muss der Datenschutzbeauftragte aus dem eigenen Haus kommen?

Nein, intern und extern sind beide möglich. Die fachliche Anforderung ist dieselbe: Fachkunde auf dem Gebiet des Datenschutzrechts und der Praxis, dazu Unabhängigkeit. Beim internen DSB ist die Doppelrolle der kritische Punkt: Wer selbst über die Verarbeitung entscheidet, kann sich nicht gleichzeitig wirksam selbst kontrollieren.

Was gilt, wenn wir keinen Datenschutzbeauftragten bestellen müssen?

Die übrigen Pflichten bleiben unverändert. Betroffenenanfragen sind unverzüglich, in jedem Fall aber binnen eines Monats zu beantworten (Art. 12 Abs. 3, Art. 15 bis 21 DSGVO). Datenpannen sind bei wahrscheinlichem Risiko binnen 72 Stunden ab Kenntnis zu melden (Art. 33 Abs. 1 DSGVO) und in jedem Fall zu dokumentieren (Art. 33 Abs. 5 DSGVO). Und die Einhaltung müssen Sie nachweisen können (Art. 5 Abs. 2 DSGVO).

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Prüfung der Bestellungspflicht im Einzelfall bleibt Ihre Aufgabe. Wenden Sie sich dafür an fachkundige Beratung.