Inhaltsverzeichnis
Einen Datenschutzbeauftragten musst du in Deutschland benennen, wenn in deinem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Mitarbeiterzahl ist er Pflicht, wenn deine Kerntätigkeit sensible Daten in großem Umfang verarbeitet, Menschen systematisch überwacht oder eine Datenschutz-Folgenabschätzung nötig ist. Die Bundesregierung will die 20-Personen-Regel abschaffen. Ein Gesetz dazu gibt es bisher nicht (Stand: Oktober 2026). Dieser Artikel ersetzt keine individuelle Rechts- oder Steuerberatung.
Das Wichtigste in Kürze
- Pflicht ab 20 Personen, die ständig mit personenbezogenen Daten am Computer arbeiten. Teilzeitkräfte, Auszubildende, Leiharbeitnehmer und Geschäftsführer zählen mit.
- Pflicht unabhängig von der Größe bei umfangreicher Verarbeitung von Gesundheits- oder anderen besonderen Daten, systematischer Überwachung als Kerngeschäft, Datenschutz-Folgenabschätzung oder geschäftsmäßigem Datenhandel.
- Intern oder extern: Beides ist erlaubt. Geschäftsführer und IT-Leitung scheiden wegen Interessenkonflikt aus.
- Melden und veröffentlichen: Kontaktdaten gehören auf die Website und an die Datenschutz-Aufsichtsbehörde.
- Reform geplant: Der Bund will die nationale 20-Personen-Schwelle bis Ende 2026 zur Aufhebung einbringen. Bis dahin gilt sie unverändert.
Wann ist ein Datenschutzbeauftragter Pflicht?
Die Pflicht ergibt sich aus zwei Rechtsquellen: der europäischen Datenschutz-Grundverordnung (Art. 37 DSGVO) und dem deutschen Bundesdatenschutzgesetz (§ 38 BDSG), das die Pflicht für Deutschland ausweitet.
| Auslöser | Rechtsgrundlage | Beispiel |
|---|---|---|
| Mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt | § 38 Abs. 1 Satz 1 BDSG | Agentur mit 22 Mitarbeitern, die alle mit CRM und E-Mail arbeiten |
| Kerntätigkeit: umfangreiche, regelmäßige und systematische Überwachung von Personen | Art. 37 Abs. 1 lit. b DSGVO | Tracking-Startup, Auskunftei, Detektei |
| Kerntätigkeit: umfangreiche Verarbeitung besonderer Kategorien (Art. 9) oder von Strafdaten (Art. 10) | Art. 37 Abs. 1 lit. c DSGVO | Gesundheits-App, Telemedizin-Plattform |
| Verarbeitung, die eine Datenschutz-Folgenabschätzung erfordert | § 38 Abs. 1 Satz 2 BDSG | Videoüberwachung großer Bereiche, Scoring |
| Geschäftsmäßige Verarbeitung zur Übermittlung oder für Markt- und Meinungsforschung | § 38 Abs. 1 Satz 2 BDSG | Adresshandel, Umfrageinstitut |
Die Fälle in den unteren vier Zeilen gelten auch für ein Startup mit zwei Gründern. Gerade Health-Tech- und Adtech-Gründungen brauchen den Datenschutzbeauftragten oft ab dem ersten Tag.
Wer bei den 20 Personen mitzählt
Entscheidend ist nicht die Zahl der Arbeitsverträge, sondern wer regelmäßig mit personenbezogenen Daten am Rechner arbeitet. Nach Hinweisen der IHK zählen auch Teilzeitkräfte, Auszubildende, Leiharbeitnehmer und Geschäftsführer. Eine Teilzeitkraft zählt dabei als ganze Person, nicht anteilig.
„Ständig“ bedeutet, dass die Datenverarbeitung zu den regelmäßigen Aufgaben gehört. Wer täglich E-Mails mit Kundendaten bearbeitet, ein CRM nutzt oder Rechnungen schreibt, fällt darunter. Lagermitarbeiter, die nie an einem System mit Personendaten arbeiten, eher nicht.
Beispiel: Ein E-Commerce-Startup hat 12 Vollzeitkräfte im Büro, 6 Werkstudenten im Kundenservice, 3 Teilzeitkräfte in der Buchhaltung und 2 Geschäftsführer, die alle mit Shop-Backend, Mailprogramm und Ticketsystem arbeiten. Das sind 23 Personen. Ein Datenschutzbeauftragter ist Pflicht, obwohl das Unternehmen umgerechnet weniger als 20 Vollzeitstellen hat.
Die geplante Abschaffung der 20-Personen-Regel
In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat sich der Bund verpflichtet, bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen. Der Koalitionsausschuss hat im Juli 2026 bekräftigt, dass kleine und mittlere Unternehmen seltener einen Datenschutzbeauftragten benennen müssen sollen.
Für deine Planung heißt das:
- „Einbringen“ heißt, einen Gesetzentwurf vorzulegen. In Kraft ist damit noch nichts.
- Bis eine Änderung im Bundesgesetzblatt verkündet ist, gilt die 20-Personen-Schwelle.
- Die Pflichten aus Art. 37 DSGVO bleiben auch nach einer Reform bestehen. Wer sensible Daten im Kerngeschäft verarbeitet, braucht weiter einen Datenschutzbeauftragten.
- Alle anderen DSGVO-Pflichten gelten ohnehin für jedes Unternehmen, auch ohne Datenschutzbeauftragten.
Intern oder extern?
| Kriterium | Interner Datenschutzbeauftragter | Externer Datenschutzbeauftragter |
|---|---|---|
| Wer | eigener Mitarbeiter | Dienstleister mit Vertrag |
| Fachkunde | muss erst aufgebaut werden, Fortbildung zahlt der Arbeitgeber | bringt Erfahrung mit |
| Kündigungsschutz | bei Pflichtbenennung nur außerordentlich kündbar, bis ein Jahr nach Ende der Tätigkeit | entfällt |
| Kosten | Arbeitszeit, Schulungen | laufendes Honorar |
| Interessenkonflikte | Geschäftsführer, Leitung von IT, Personal oder Marketing scheiden aus | in der Regel unproblematisch |
Für Startups ist ein externer Datenschutzbeauftragter oft die pragmatische Lösung, weil niemand im Team die nötige Fachkunde und gleichzeitig keine Leitungsfunktion hat. Ein interner Datenschutzbeauftragter muss fachkundig und zuverlässig sein und darf in seiner Aufgabe keine Weisungen erhalten.
Aufgaben des Datenschutzbeauftragten
Nach Art. 39 DSGVO und den Hinweisen der IHK gehören dazu:
- Unternehmensleitung und Beschäftigte zum Datenschutz informieren und beraten
- Einhaltung der Datenschutzvorschriften und internen Richtlinien überwachen
- bei Datenschutz-Folgenabschätzungen beraten
- Mitarbeiter schulen
- als Ansprechpartner für die Aufsichtsbehörde und für Betroffene dienen
Wichtig: Der Datenschutzbeauftragte berät und kontrolliert. Verantwortlich für den Datenschutz bleibt die Geschäftsführung. Er schreibt also nicht deine Datenschutzerklärung und haftet nicht für Verstöße des Unternehmens.
So benennst du einen Datenschutzbeauftragten
- Pflicht prüfen: Zähle die Personen nach den Kriterien oben und prüfe die größenunabhängigen Auslöser.
- Person oder Dienstleister auswählen: Achte auf Fachkunde und darauf, dass kein Interessenkonflikt besteht.
- Schriftlich benennen: Bei internen Datenschutzbeauftragten per Benennungsschreiben, bei externen per Dienstleistungsvertrag.
- Kontaktdaten veröffentlichen: zum Beispiel in der Datenschutzerklärung auf deiner Website. Wie die rechtlichen Pflichtangaben auf der Startup-Website aussehen, ergänzt Impressum erstellen.
- Der Aufsichtsbehörde melden: über das Meldeportal der zuständigen Landesdatenschutzbehörde.
- Einbinden: Der Datenschutzbeauftragte muss frühzeitig bei neuen Tools und Prozessen beteiligt werden, etwa bei einem neuen Chatbot oder Trackingsystem.
Was droht ohne Datenschutzbeauftragten?
Verstöße gegen die Benennungspflicht können mit einem Bußgeld von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Vorjahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Das ist der Rahmen, nicht der Regelfall. Die Aufsichtsbehörden berücksichtigen Größe und Umstände des Unternehmens. Häufiger fällt das Fehlen bei einer Beschwerde oder Prüfung auf und wird dann mit anderen Mängeln zusammen beanstandet.
Datenschutz ist ein Baustein deiner rechtlichen Grundausstattung. Einen Überblick über alle Pflichten vom Konzept bis zum ersten Kunden gibt Rechtliche Grundlagen der Gründung. Wenn du Software oder digitale Dienste anbietest, prüfe zusätzlich die Anforderungen aus NIS2.
Häufige Fragen
Ab wann ist ein Datenschutzbeauftragter Pflicht?
In Deutschland ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon, wenn dein Kerngeschäft sensible Daten in großem Umfang verarbeitet, Menschen systematisch überwacht oder eine Datenschutz-Folgenabschätzung erfordert.
Wo ist die Pflicht zur Bestellung eines Datenschutzbeauftragten geregelt?
In Art. 37 DSGVO für die ganze EU und ergänzend in § 38 BDSG für Deutschland. Die 20-Personen-Schwelle ist eine deutsche Besonderheit.
Ab wann ist ein externer Datenschutzbeauftragter Pflicht?
Einen externen Datenschutzbeauftragten musst du nie zwingend wählen. Die Pflicht betrifft die Benennung an sich. Ob du sie intern oder extern erfüllst, entscheidest du selbst.
Kann der Geschäftsführer Datenschutzbeauftragter sein?
Nein. Er würde sich selbst kontrollieren. Die IHK rät auch von Leitern der IT-, Personal- oder Marketingabteilung ab, weil sie über die Datenverarbeitung entscheiden.
Fällt die Pflicht Ende 2026 weg?
Das ist nicht sicher. Die Bundesregierung hat angekündigt, bis Ende 2026 einen Gesetzentwurf zur Aufhebung von § 38 Abs. 1 BDSG einzubringen. Bis eine Änderung verkündet ist, gilt die bisherige Regel. Die Pflichten aus der DSGVO bleiben in jedem Fall.
