Kurzdefinition: § 38 BDSG erweitert die DSGVO-Pflicht zur Benennung eines Datenschutzbeauftragten. In Deutschland ist er zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung befasst sind. [N-BDSG-38]
Der Normwortlaut
§ 38 Abs. 1 BDSG bestimmt: Ergänzend zu Artikel 37 der DSGVO benennen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. [N-BDSG-38]
Wann muss ein Datenschutzbeauftragter benannt werden?
Ab der 20-Personen-Schwelle. Über die Fälle des Art. 37 DSGVO hinaus verlangt § 38 BDSG die Benennung, wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind. Maßgeblich ist die Zahl der befassten Personen, nicht die Unternehmensgröße insgesamt. [N-BDSG-38] [N-DSGVO-37]
Gibt es weitere Auslöser?
Ja, unabhängig von der Personenzahl. Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter auch dann zu benennen, wenn Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden. [N-BDSG-38] [N-DSGVO-35]
Wie verhält sich das zur DSGVO?
Es ergänzt Art. 37 DSGVO. Die DSGVO verlangt einen Datenschutzbeauftragten bei Kerntätigkeiten mit umfangreicher Überwachung oder besonderen Datenkategorien. § 38 BDSG fügt die nationale 20-Personen-Schwelle hinzu, sodass in Deutschland deutlich mehr Unternehmen benennungspflichtig sind. [N-BDSG-38]
Wie wird die 20-Personen-Schwelle gezählt?
Umfassend. Maßgeblich sind alle Personen, die in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — dazu zählen auch Teilzeit-, Aushilfs-, Leih- und freie Mitarbeitende. Es kommt nicht auf Vollzeitäquivalente an, sondern auf die Zahl der befassten Köpfe. [N-BDSG-38]
Gilt die Pflicht auch für Auftragsverarbeiter?
Ja. § 38 Abs. 1 BDSG verpflichtet Verantwortliche und Auftragsverarbeiter gleichermaßen, einen Datenschutzbeauftragten zu benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigen. [N-BDSG-38]
Häufige Fehlannahmen
- „Nur große Unternehmen brauchen einen Datenschutzbeauftragten.“ Nein. Schon ab 20 ständig mit automatisierter Verarbeitung befassten Personen besteht die Pflicht. [N-BDSG-38]
- „Teilzeitkräfte und Aushilfen zählen nicht mit.“ Doch. Auch Teilzeit-, Aushilfs-, Leih- und freie Mitarbeitende zählen bei der 20-Personen-Schwelle voll mit. [N-BDSG-38]
- „Unterhalb von 20 Personen ist nie ein DSB nötig.“ Doch. Unabhängig von der Personenzahl besteht die Pflicht etwa bei DSFA-pflichtigen Verarbeitungen sowie bei geschäftsmäßiger Datenübermittlung oder Markt- und Meinungsforschung. [N-BDSG-38] [N-DSGVO-35]
- „Die DSGVO regelt die Benennungspflicht abschließend.“ Nein. § 38 BDSG ergänzt Art. 37 DSGVO um die nationale 20-Personen-Schwelle. [N-BDSG-38] [N-DSGVO-37]
- „Die 20-Personen-Pflicht ist bereits abgeschafft.“ Nein. Eine Aufhebung ist politisch angekündigt, bislang aber nicht in Kraft getreten; die Schwelle gilt fort. [N-BDSG-38]
- „Die Benennungspflicht trifft nur Verantwortliche, nicht Auftragsverarbeiter.“ Nein. § 38 BDSG erfasst Verantwortliche und Auftragsverarbeiter. [N-BDSG-38]
Was die Geschäftsleitung tun sollte
- Schwelle prüfen. Zahl der mit Verarbeitung befassten Personen ermitteln.
- Sonderfälle beachten. DSFA-pflichtige und Übermittlungs-Verarbeitungen prüfen.
- DSB benennen. Bei Pflicht einen fachkundigen Datenschutzbeauftragten bestellen.
- Meldung sicherstellen. Den Datenschutzbeauftragten der Aufsichtsbehörde mitteilen.
Für die Geschäftsleitung
§ 38 BDSG senkt die Schwelle für den Datenschutzbeauftragten deutlich: Schon ab 20 mit automatisierter Verarbeitung befassten Personen ist er zu benennen. Viele Unternehmen sind damit benennungspflichtig, auch wenn die DSGVO allein sie nicht erfassen würde — ein Punkt, den die Geschäftsleitung nicht übersehen sollte.
Quellen
- [N-BDSG-38] § 38 BDSG (Datenschutzbeauftragte nichtöffentlicher Stellen), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bdsg_2018/__38.html
- [N-DSGVO-37] Art. 37 DSGVO (Benennung des Datenschutzbeauftragten). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-35] Art. 35 DSGVO (Datenschutz-Folgenabschätzung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
