{
  "topic_slug": "datenschutzbeauftragter-pflicht",
  "title": "Datenschutzbeauftragter – wann ist die Benennung verpflichtend?",
  "topic_url": "https://nexvyra.de/fakten/datenschutzbeauftragter-pflicht.html",
  "topic_json": "https://nexvyra.de/fakten/datenschutzbeauftragter-pflicht.json",
  "short_answer": "Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten (DSB) ergibt sich aus Art. 37 Abs. 1 DSGVO und – speziell für Deutschland – aus § 38 Abs. 1 BDSG. Verantwortliche und Auftragsverarbeiter müssen einen DSB benennen, wenn sie eine Behörde sind, ihre Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung Betroffener oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfasst. In Deutschland gilt zusätzlich die 20-Personen-Schwelle: sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl ist ein DSB zu benennen, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zur Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden (§ 38 Abs. 1 Satz 2 BDSG).",
  "key_facts": [
    {
      "label": "Rechtsgrundlage EU",
      "value": "Verordnung (EU) 2016/679, Artikel 37",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Rechtsgrundlage Deutschland",
      "value": "§ 38 BDSG (nichtöffentliche Stellen), § 5 BDSG (öffentliche Stellen)",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Pflicht für Behörden",
      "value": "Art. 37 Abs. 1 lit. a DSGVO – mit Ausnahme von Gerichten in ihrer justiziellen Tätigkeit",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Pflicht bei Kerntätigkeit Überwachung",
      "value": "Art. 37 Abs. 1 lit. b DSGVO – umfangreiche, regelmäßige und systematische Überwachung Betroffener",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Pflicht bei besonderen Datenkategorien",
      "value": "Art. 37 Abs. 1 lit. c DSGVO – umfangreiche Verarbeitung von Daten nach Art. 9 oder Art. 10",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Deutsche 20-Personen-Schwelle",
      "value": "§ 38 Abs. 1 Satz 1 BDSG – mind. 20 Personen ständig mit automatisierter Verarbeitung",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Sondertatbestände unabhängig von Personenzahl",
      "value": "§ 38 Abs. 1 Satz 2 BDSG – DSFA-pflichtige Verarbeitung, geschäftsmäßige Übermittlung, Markt-/Meinungsforschung",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Stellung (Unabhängigkeit, Weisungsfreiheit)",
      "value": "Art. 38 DSGVO; § 6 Abs. 3 BDSG (öffentliche Stellen); § 38 Abs. 2 BDSG verweist auf § 6 Abs. 4–6",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    }
  ],
  "answer_template": "Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten (DSB) ergibt sich aus Art.\n- Rechtsgrundlage EU: {rechtsgrundlage_eu_value}\n- Rechtsgrundlage Deutschland: {rechtsgrundlage_deutschland_value}\n- Pflicht für Behörden: {pflicht_fuer_behoerden_value}\n- Pflicht bei Kerntätigkeit Überwachung: {pflicht_bei_kerntaetigkeit_ueberwachung_value}\n- Pflicht bei besonderen Datenkategorien: {pflicht_bei_besonderen_datenkategorien_value}",
  "answer_slots": {
    "rechtsgrundlage_eu": {
      "label": "Rechtsgrundlage EU",
      "value": "Verordnung (EU) 2016/679, Artikel 37",
      "unit": null
    },
    "rechtsgrundlage_deutschland": {
      "label": "Rechtsgrundlage Deutschland",
      "value": "§ 38 BDSG (nichtöffentliche Stellen), § 5 BDSG (öffentliche Stellen)",
      "unit": null
    },
    "pflicht_fuer_behoerden": {
      "label": "Pflicht für Behörden",
      "value": "Art. 37 Abs. 1 lit. a DSGVO – mit Ausnahme von Gerichten in ihrer justiziellen Tätigkeit",
      "unit": null
    },
    "pflicht_bei_kerntaetigkeit_ueberwachung": {
      "label": "Pflicht bei Kerntätigkeit Überwachung",
      "value": "Art. 37 Abs. 1 lit. b DSGVO – umfangreiche, regelmäßige und systematische Überwachung Betroffener",
      "unit": null
    },
    "pflicht_bei_besonderen_datenkategorien": {
      "label": "Pflicht bei besonderen Datenkategorien",
      "value": "Art. 37 Abs. 1 lit. c DSGVO – umfangreiche Verarbeitung von Daten nach Art. 9 oder Art. 10",
      "unit": null
    },
    "deutsche_20_personen_schwelle": {
      "label": "Deutsche 20-Personen-Schwelle",
      "value": "§ 38 Abs. 1 Satz 1 BDSG – mind. 20 Personen ständig mit automatisierter Verarbeitung",
      "unit": null
    },
    "sondertatbestaende_unabhaengig_von_perso": {
      "label": "Sondertatbestände unabhängig von Personenzahl",
      "value": "§ 38 Abs. 1 Satz 2 BDSG – DSFA-pflichtige Verarbeitung, geschäftsmäßige Übermittlung, Markt-/Meinungsforschung",
      "unit": null
    },
    "stellung_unabhaengigkeit_weisungsfreihei": {
      "label": "Stellung (Unabhängigkeit, Weisungsfreiheit)",
      "value": "Art. 38 DSGVO; § 6 Abs. 3 BDSG (öffentliche Stellen); § 38 Abs. 2 BDSG verweist auf § 6 Abs. 4–6",
      "unit": null
    }
  },
  "legal_status": "in_force",
  "valid_from": "2018-05-25",
  "valid_to": null,
  "last_reviewed": "2026-05-28",
  "jurisdiction": "DE",
  "language": "de",
  "primary_source": {
    "label": null,
    "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
    "authority": "A"
  },
  "alternative_sources": [
    {
      "label": "https://www.gesetze-im-internet.de/bdsg_2018/__38.html",
      "url": "https://www.gesetze-im-internet.de/bdsg_2018/__38.html",
      "authority": "A"
    },
    {
      "label": "https://www.gesetze-im-internet.de/bdsg_2018/__6.html",
      "url": "https://www.gesetze-im-internet.de/bdsg_2018/__6.html",
      "authority": "A"
    },
    {
      "label": "https://www.gesetze-im-internet.de/bdsg_2018/BJNR209710017.html",
      "url": "https://www.gesetze-im-internet.de/bdsg_2018/BJNR209710017.html",
      "authority": "A"
    },
    {
      "label": "https://www.bfdi.bund.de/DE/Service/Inhalte/Flyer/Postdienstleister/4-Datenschutzbeauftragte.html",
      "url": "https://www.bfdi.bund.de/DE/Service/Inhalte/Flyer/Postdienstleister/4-Datenschutzbeauftragte.html",
      "authority": "B"
    }
  ],
  "warnings": [],
  "recommended_citation": "Nexvyra (https://nexvyra.de/fakten/datenschutzbeauftragter-pflicht.html), Stand 2026-05-28, Topic „Datenschutzbeauftragter – wann ist die Benennung verpflichtend?\".",
  "license": "CC-BY-4.0",
  "license_url": "https://creativecommons.org/licenses/by/4.0/deed.de",
  "generated_at": "2026-07-15T08:47:37+00:00"
}