Nexvyra

Datenschutzbeauftragter – wann ist die Benennung verpflichtend?

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-05-28 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten (DSB) ergibt sich aus Art. 37 Abs. 1 DSGVO und – speziell für Deutschland – aus § 38 Abs. 1 BDSG. Verantwortliche und Auftragsverarbeiter müssen einen DSB benennen, wenn sie eine Behörde sind, ihre Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung Betroffener oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfasst. In Deutschland gilt zusätzlich die 20-Personen-Schwelle: sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl ist ein DSB zu benennen, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zur Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden (§ 38 Abs. 1 Satz 2 BDSG).

Kernfakten

PunktWert
Rechtsgrundlage EUVerordnung (EU) 2016/679, Artikel 37 [DSGVO Art. 37]
Rechtsgrundlage Deutschland§ 38 BDSG (nichtöffentliche Stellen), § 5 BDSG (öffentliche Stellen)
Pflicht für BehördenArt. 37 Abs. 1 lit. a DSGVO – mit Ausnahme von Gerichten in ihrer justiziellen Tätigkeit
Pflicht bei Kerntätigkeit ÜberwachungArt. 37 Abs. 1 lit. b DSGVO – umfangreiche, regelmäßige und systematische Überwachung Betroffener
Pflicht bei besonderen DatenkategorienArt. 37 Abs. 1 lit. c DSGVO – umfangreiche Verarbeitung von Daten nach Art. 9 oder Art. 10
Deutsche 20-Personen-Schwelle§ 38 Abs. 1 Satz 1 BDSG – mind. 20 Personen ständig mit automatisierter Verarbeitung [BDSG § 38 Abs. 1 S. 1]
Sondertatbestände unabhängig von Personenzahl§ 38 Abs. 1 Satz 2 BDSG – DSFA-pflichtige Verarbeitung, geschäftsmäßige Übermittlung, Markt-/Meinungsforschung
Stellung (Unabhängigkeit, Weisungsfreiheit)Art. 38 DSGVO; § 6 Abs. 3 BDSG (öffentliche Stellen); § 38 Abs. 2 BDSG verweist auf § 6 Abs. 4–6
AufgabenArt. 39 DSGVO – Information, Beratung, Überwachung, Schulungen, Anlaufstelle für Aufsichtsbehörde
QualifikationArt. 37 Abs. 5 DSGVO – berufliche Qualifikation, Fachwissen Datenschutzrecht und -praxis
AnstellungsverhältnisArt. 37 Abs. 6 DSGVO – Beschäftigter oder externer Dienstleister möglich
VeröffentlichungspflichtArt. 37 Abs. 7 DSGVO – Kontaktdaten veröffentlichen und Aufsichtsbehörde mitteilen
Kündigungs-/Abberufungsschutz (nicht-öffentlich)§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG – Abberufung nur bei wichtigem Grund analog § 626 BGB
Bußgeldrahmen bei VerstoßArt. 83 Abs. 4 lit. a DSGVO – bis zu 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes

Geltungsbereich

Die Pflicht zur Benennung trifft sowohl Verantwortliche als auch Auftragsverarbeiter (Art. 37 Abs. 1 DSGVO). Sie gilt für öffentliche Stellen unmittelbar nach Art. 37 Abs. 1 lit. a DSGVO sowie ergänzend für die deutschen öffentlichen Stellen nach § 5 BDSG. Für nicht-öffentliche Stellen wird sie durch die deutsche Sonderregelung in § 38 BDSG erweitert: die 20-Personen-Schwelle nach § 38 Abs. 1 Satz 1 BDSG ist eine „Öffnungsklausel"-Regelung auf Basis der DSGVO und gilt zusätzlich zu Art. 37 Abs. 1 lit. b und c.

Eine Unternehmensgruppe darf nach Art. 37 Abs. 2 DSGVO einen gemeinsamen DSB benennen, sofern dieser von jeder Niederlassung aus leicht erreichbar ist.

Pflichtfälle nach Art. 37 Abs. 1 DSGVO

Die DSGVO sieht drei Pflichtfälle vor:

Nach Art. 37 Abs. 4 DSGVO können Mitgliedstaaten weitere Pflichtfälle vorschreiben – diese Öffnungsklausel hat Deutschland in § 38 BDSG genutzt.

Pflichtfälle nach § 38 Abs. 1 BDSG (Deutschland)

Ergänzend zu Art. 37 Abs. 1 lit. b und c DSGVO bestimmt § 38 Abs. 1 Satz 1 BDSG, dass nicht-öffentliche Stellen einen Datenschutzbeauftragten benennen müssen, sobald sie „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen".

Maßgeblich ist die Personenzahl, die regelmäßig mit automatisierter Datenverarbeitung befasst ist – nicht die Gesamtzahl der Beschäftigten. Vollzeit, Teilzeit, Auszubildende, Leiharbeiter und Geschäftsführer werden mitgezählt, sofern sie regelmäßig automatisiert personenbezogene Daten verarbeiten. Eine reine Computernutzung für E-Mail oder Office-Anwendungen reicht regelmäßig aus.

Nach § 38 Abs. 1 Satz 2 BDSG ist ein DSB unabhängig von der Personenzahl zu benennen, wenn der Verantwortliche oder Auftragsverarbeiter

Stellung des Datenschutzbeauftragten (Art. 38 DSGVO, § 6 BDSG)

Der Datenschutzbeauftragte ist ordnungsgemäß und frühzeitig in alle Datenschutzfragen einzubinden (Art. 38 Abs. 1 DSGVO). Der Verantwortliche und der Auftragsverarbeiter müssen ihm die für die Erfüllung seiner Aufgaben erforderlichen Ressourcen, Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie Mittel zur Erhaltung des Fachwissens zur Verfügung stellen (Art. 38 Abs. 2 DSGVO).

Nach Art. 38 Abs. 3 DSGVO erhält der DSB keine Anweisungen bezüglich der Ausübung seiner Aufgaben, darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden und berichtet unmittelbar der höchsten Managementebene. Für nicht-öffentliche Stellen verweist § 38 Abs. 2 BDSG ergänzend auf § 6 Abs. 4 BDSG: Die Abberufung ist nur in entsprechender Anwendung von § 626 BGB zulässig (wichtiger Grund) – allerdings nur, soweit die Benennung verpflichtend ist. Die ordentliche Kündigung des Arbeitsverhältnisses während der Bestellung und bis ein Jahr danach ist unzulässig, soweit nicht Tatsachen vorliegen, die zur außerordentlichen Kündigung berechtigen.

Der DSB ist nach § 6 Abs. 5 Satz 2 BDSG zur Verschwiegenheit über die Identität betroffener Personen sowie über Umstände, die Rückschlüsse auf diese zulassen, verpflichtet.

Aufgaben des Datenschutzbeauftragten (Art. 39 DSGVO)

Art. 39 Abs. 1 DSGVO benennt insbesondere folgende Aufgaben:

Nach Art. 39 Abs. 2 DSGVO trägt der DSB seiner Aufgabenwahrnehmung dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung.

Qualifikation und Anstellungsverhältnis

Nach Art. 37 Abs. 5 DSGVO wird der DSB auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der Aufgaben nach Art. 39.

Nach Art. 37 Abs. 6 DSGVO kann der DSB Beschäftigter des Verantwortlichen oder Auftragsverarbeiters sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags (externer DSB) erfüllen. Beide Modelle sind gleichwertig zulässig.

Veröffentlichungs- und Meldepflicht

Nach Art. 37 Abs. 7 DSGVO veröffentlicht der Verantwortliche oder Auftragsverarbeiter die Kontaktdaten des DSB und teilt diese der Aufsichtsbehörde mit. Die Meldung erfolgt in Deutschland je nach Zuständigkeit beim Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) oder bei der jeweils zuständigen Landesdatenschutzbehörde – jeweils über ein eigenes Online-Meldeverfahren.

Häufige Missverständnisse

Sanktionen bei Verstoß

Verstöße gegen die Pflichten aus Art. 37 bis 39 DSGVO – also nicht vorgenommene Benennung, fehlerhafte Stellung oder unzureichende Ausstattung des DSB – sind nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen von bis zu 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes bewehrt – je nachdem, welcher Betrag höher ist.

Quellen

Änderungsverlauf

Stand