Datenschutzbeauftragter Pflicht KMU 2026: Ab Wann Ist Er Notwendig?
Die Frage klingt einfach: Brauche ich einen Datenschutzbeauftragten oder nicht? In der Praxis ist sie es selten. Denn das Gesetz kennt zwei völlig unterschiedliche Pflichtauslöser — und viele KMU-Inhaber kennen nur den einen.
Die zwei Wege zur gesetzlichen Pflicht
Der erste Weg führt über die Beschäftigtenzahl. Nach § 38 Abs. 1 BDSG müssen nichtffentliche Stellen einen DSB benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Nicht 20 Mitarbeiter insgesamt — 20 Personen mit dieser Tätigkeit. Der Unterschied ist relevant, aber kleiner als gedacht: Wer E-Mails empfängt, ein CRM bedient oder Lohnabrechnungen erstellt, zählt dazu.
Der zweite Weg führt über die Art der Verarbeitung. Art. 37 Abs. 1 lit. b und lit. c DSGVO verpflichten unabhängig von jeder Mitarbeiterzahl, sobald die Kerntätigkeit des Unternehmens bestimmte Datenverarbeitungen umfasst. Hier zählen keine Köpfe — hier zählt, was das Unternehmen mit Daten macht.
Entscheidungsbaum: Braucht mein Unternehmen einen DSB?
Vier Fragen. Wer eine davon mit Ja beantwortet, ist verpflichtet.
-
Verarbeiten 20 oder mehr Personen ständig automatisiert personenbezogene Daten?
→ Ja → Pflicht nach § 38 Abs. 1 BDSG. Auch Teilzeitkräfte zählen, wenn sie regelmäßig Kundendaten, HR-Daten oder ähnliches verarbeiten.
→ Nein → weiter zu Schritt 2 -
Besteht die Kerntätigkeit in umfangreicher Verarbeitung besonderer Datenkategorien (Gesundheit, Biometrie, Religion, politische Meinungen)?
→ Ja → Pflicht nach Art. 37 Abs. 1 lit. b DSGVO, unabhängig von der Belegschaft.
→ Nein → weiter zu Schritt 3 -
Besteht die Kerntätigkeit in systematischer, umfangreicher Überwachung von Personen (CCTV-Netzwerke, GPS-Tracking, Online-Profiling)?
→ Ja → Pflicht nach Art. 37 Abs. 1 lit. c DSGVO, unabhängig von der Belegschaft.
→ Nein → weiter zu Schritt 4 -
Werden regelmäßig in großem Umfang personenbezogene Daten in Drittstaaten (außerhalb EU/EWR) übermittelt?
→ Ja → Prüfpflicht: Abhängig von Umfang und Kontext kann eine freiwillige Benennung rechtlich geboten sein.
→ Nein → Aktuell keine gesetzliche Pflicht. Freiwillige Benennung dennoch empfehlenswert ab 10 Personen mit Datenzugriff.
Klingt einfach? Ist es nicht immer. Der Begriff „Kerntätigkeit“ in Schritt 2 und 3 ist entscheidend — und wird von Aufsichtsbehörden und Gerichten unterschiedlich ausgelegt. Gemeint ist die eigentliche Geschäftstätigkeit, nicht unterstützende Prozesse wie die eigene Personalverwaltung.
Welche Branchen sind ohne 20-MA-Schwelle trotzdem verpflichtet?
Die folgende Tabelle zeigt Branchen, bei denen Art. 37 Abs. 1 lit. b oder lit. c DSGVO greifen kann — unabhängig davon, wie viele Mitarbeiter Daten verarbeiten. Die Angaben beruhen auf Leitfäden der Aufsichtsbehörden (LDA Bayern, LfDI Rheinland-Pfalz, BfDI).
| Branche | Pflichtgrund | Rechtsgrundlage | Hinweis |
|---|---|---|---|
| Arztpraxen / MVZ | Umfangreiche Gesundheitsdatenverarbeitung als Kerntätigkeit | Art. 37 Abs. 1 lit. b DSGVO | LDA Bayern: Kleine Einzelpraxen ohne Verbundstrukturen oft nicht automatisch verpflichtet — Einzelfallprüfung nötig |
| Krankenhäuser / Kliniken | Umfangreiche Verarbeitung von Patientendaten (Art. 9 DSGVO) | Art. 37 Abs. 1 lit. b DSGVO | Klare Pflicht auch bei kleinen Kliniken |
| Steuerberater / Wirtschaftsprüfer | Kerntätigkeit umfasst sensible Finanzdaten; ggf. systematische Datenauswertung | § 38 BDSG oder Art. 37 lit. b DSGVO | LfDI RLP: Pflicht bei Vorliegen der gesetzlichen Voraussetzungen, kein Branchenprivileg |
| HR-SaaS-Anbieter | Kerntätigkeit = systematische Verarbeitung von Beschäftigtendaten im Auftrag Dritter | Art. 37 Abs. 1 lit. b oder lit. c DSGVO | Als Auftragsverarbeiter eigenständig verpflichtet, unabhängig von Kundengröße |
| Online-Händler mit Tracking/Profiling | Systematische Überwachung von Nutzern im großen Maßstab (Werbe-Profiling, Verhaltensanalyse) | Art. 37 Abs. 1 lit. c DSGVO | EDPB-Leitlinie: Online-Tracking gehört zur systematischen Überwachung — ab gewissem Umfang Pflicht |
| Finanzdienstleister / Kreditinstitute | Umfangreiche Verarbeitung von Finanzdaten, regelmäßige Auskunftspflichten | § 38 BDSG und/oder Art. 37 DSGVO | In der Regel durch § 38 BDSG-Schwelle ohnehin abgedeckt; BaFin-Anforderungen kommen hinzu |
Wichtig: Die Einstufung „umfangreich“ ist keine Zahl, die das Gesetz definiert. Die Aufsichtsbehörden orientieren sich an der Anzahl betroffener Personen, dem Umfang der Daten, der Dauer der Verarbeitung und der geografischen Ausdehnung. Eine kleine Arztpraxis mit fünf Mitarbeitern muss daher selbst prüfen — Automatismus gibt es keinen.
Was ist mit § 38 BDSG in 2026? Die Diskussion um die Abschaffung
Die 20-Personen-Schwelle ist eine deutsche Ergänzung zur DSGVO, kein EU-Recht — deshalb kann sie national gestrichen werden, ohne dass Art. 37 DSGVO berührt wird. Selbst bei einer späteren Aufhebung bleibt die Pflicht für Unternehmen mit risikoreichen Kerntätigkeiten (siehe Entscheidungsbaum oben) unverändert bestehen. Wer heute auf Basis von § 38 BDSG verpflichtet ist, sollte die Rechtslage beobachten, aber nicht auf eine Abschaffung spekulieren — bislang ist nichts beschlossen. Den Bestellungsablauf im Detail finden Sie unter Datenschutzbeauftragten bestellen 2026.
Interner vs. externer DSB: Was passt zum KMU?
Für die meisten KMU unter 150 Mitarbeitern ist die externe Lösung die realistischere. Nicht weil intern schlechter wäre — sondern weil die Anforderungen an Unabhängigkeit und Fachkenntnis intern schwer erfüllbar sind, ohne dafür eine ganze Stelle zu schaffen. Ausführliche Zahlen und Kriterien finden Sie im DSB-Kostenvergleich sowie im Vergleich intern vs. extern. Den genauen Bestellungsablauf beschreibt Datenschutzbeauftragten bestellen.
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Kosten | Freistellungszeit + Schulungen | Vertragsbasis, planbar |
| Unabhängigkeit | Oft strukturell eingeschränkt | Gesetzlich besser gewährleistet |
| Fachkenntnis | Muss aufgebaut und aktuell gehalten werden | Spezialisiert, laufend weitergebildet |
| Kündigungsschutz | Gesetzlicher Sonderschutz (§ 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG) | Vertragsregelung, flexibler kündbar |
| Verfügbarkeit | Täglich im Haus | Nach Vereinbarung; bei Vorfällen oft kurzfristig erreichbar |
Qualifikationsanforderungen: Was muss ein DSB können?
Art. 37 Abs. 5 DSGVO verlangt „Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis“. Eine Mindestausbildung nennt das Gesetz nicht — aber Aufsichtsbehörden haben in Beanstandungen klargemacht, was sie erwarten: Kenntnisse der DSGVO und des BDSG, Grundverständnis von IT-Sicherheit, Erfahrung mit Datenschutz-Folgenabschätzungen (DSFA) und Verarbeitungsverzeichnissen sowie Branchenwissen im jeweiligen Sektor. Wer einen IT-Mitarbeiter ohne Datenschutzausbildung zum DSB benennt, geht ein Beanstandungsrisiko ein.
Was droht ohne DSB — und wie wahrscheinlich ist es?
Die deutschen Aufsichtsbehörden — BfDI, LDA Bayern, LfDI der Länder — haben ihre Durchsetzungskapazitäten in den letzten Jahren ausgebaut. Bußgelder für das Fehlen eines DSB fallen im Rahmen von Art. 83 Abs. 4 DSGVO, der Sanktionen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorsieht. In der Praxis liegen Bußgelder gegen KMU bei fehlender Benennung eher im vier- bis fünfstelligen Bereich. Aber: Ein laufendes Bußgeldverfahren kostet auch ohne abschließenden Bescheid erhebliche Zeit und Anwaltskosten.
Daneben eröffnet Art. 82 DSGVO den Weg für zivilrechtliche Schadensersatzansprüche betroffener Personen. Die Rechtsprechung dazu entwickelt sich. Details zu Bußgeldhöhen und Fallbeispielen: DSGVO Bußgelder — Übersicht und Fallbeispiele.
Checkliste: DSB-Benennung korrekt umsetzen
- Schriftliche Bestellungsurkunde mit Datum, Aufgabenbeschreibung und Unterschrift beider Seiten
- Meldung an die zuständige Aufsichtsbehörde (in Bayern: LDA; bundesweit: zuständige Landesdatenschutzbehörde)
- Veröffentlichung der Kontaktdaten des DSB auf der Website / im Impressum (Art. 37 Abs. 7 DSGVO — Name nicht zwingend, aber E-Mail-Adresse schon)
- Ressourcen sicherstellen: DSB muss Zeit, Zugang zu Systemen und Schulungsmöglichkeiten erhalten
- Aufgaben klar abgrenzen: Der DSB berät und kontrolliert — er haftet nicht persönlich für Verstöße des Unternehmens
- Interessenkonflikte prüfen: Ein DSB darf keine Aufgaben haben, die er selbst kontrollieren soll (z.B. kein Geschäftsführer als eigener DSB)
Häufig gestellte Fragen (FAQ)
Ab wann braucht ein KMU einen Datenschutzbeauftragten?
Nach § 38 BDSG ab 20 Personen mit ständiger automatisierter Datenverarbeitung. Unabhängig davon greift Art. 37 DSGVO bei umfangreicher Verarbeitung von Gesundheitsdaten (lit. b) oder systematischer Überwachung (lit. c) — ohne Mitarbeitergrenze.
Gilt die 20-Personen-Schwelle für Teilzeitbeschäftigte?
Ja. Entscheidend ist, ob die Person ständig mit automatisierter Datenverarbeitung beschäftigt ist — nicht das Arbeitszeitmodell. Wer regelmäßig CRM, E-Mails mit Personenbezug oder HR-Systeme nutzt, zählt dazu.
Muss eine Arztpraxis zwingend einen DSB benennen?
Nicht automatisch. Das LDA Bayern stellt klar, dass kleine Einzelpraxen ohne Verbundstrukturen nicht automatisch als umfangreiche Gesundheitsdatenverarbeiter gelten. Trotzdem besteht die Pflicht ab 20 datenverarbeitenden Personen oder bei größeren MVZ-Strukturen.
Wird § 38 BDSG 2026 abgeschafft?
Noch nicht entschieden. Bund und Länder haben am 4. Dezember 2025 (Föderale Modernisierungsagenda, Punkt 160) vereinbart, dass der Bund bis Ende 2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringt — das bedeutet nur, dass ein Gesetzentwurf vorgelegt werden soll, nicht dass bereits etwas beschlossen ist. Bis ein Änderungsgesetz in Kraft tritt, gilt die 20-Personen-Schwelle unverändert. Selbst bei einer späteren Aufhebung bliebe Art. 37 DSGVO unberührt.
Welches Bußgeld droht ohne Datenschutzbeauftragten?
Art. 83 Abs. 4 DSGVO sieht Sanktionen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor. In der Praxis liegen Bußgelder gegen KMU für fehlende DSB-Benennung meist im vier- bis fünfstelligen Bereich.
Muss der DSB auf der Website angegeben werden?
Ja. Art. 37 Abs. 7 DSGVO verlangt die Veröffentlichung der Kontaktdaten — mindestens eine E-Mail-Adresse. Name ist nicht zwingend, aber empfehlenswert. Angabe ins Impressum oder auf die Datenschutzseite.
Kann der Geschäftsführer selbst als DSB fungieren?
Nein. Art. 38 Abs. 6 DSGVO schließt Interessenkonflikte aus. Wer als Geschäftsführer über Datenverarbeitungen entscheidet, kann sich nicht selbst kontrollieren. Aufsichtsbehörden beanstanden diese Konstellation regelmäßig.
Ist ein externer DSB genauso gültig wie ein interner?
Ja. Art. 37 Abs. 6 DSGVO erlaubt externe DSB auf Dienstleistungsbasis ausdrücklich. Für KMU ist das oft die kostengünstigere und rechtssicherere Lösung.