Kostenloses Tool
Brauche ich einen Datenschutzbeauftragten?
Sechs kurze Fragen nach Art. 37 DSGVO und § 38 BDSG. Am Ende steht ein Ergebnis mit Begründung – und was jetzt zu tun ist.
- Dauert 1 Minute
- Mit Fundstellen
- Nichts wird gespeichert
DSB-Pflicht-Check
Sechs Fragen, ein klares Ergebnis.
Brauche ich einen Datenschutzbeauftragten?
Dieses Werkzeug braucht JavaScript. Es läuft vollständig in Ihrem Browser – es wird nichts übertragen oder gespeichert.
Alle Eingaben bleiben in Ihrem Browser – nichts wird übertragen oder gespeichert. Das Ergebnis ist eine erste Einschätzung, keine Rechtsberatung. Stand: Oktober 2026.
Hintergrund
Wann die Pflicht greift
Zwei Regelwerke entscheiden: die DSGVO für ganz Europa und das Bundesdatenschutzgesetz als deutsche Ergänzung. Es reicht, wenn eine Regel zutrifft.
20 Personen
In der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG). Gezählt werden Köpfe, nicht Stellen.
Kerngeschäft Überwachung
Umfangreiche, regelmäßige und systematische Überwachung von Personen als Kerntätigkeit (Art. 37 Abs. 1 lit. b DSGVO).
Kerngeschäft sensible Daten
Umfangreiche Verarbeitung von Gesundheitsdaten und anderen besonderen Kategorien als Kerntätigkeit (Art. 37 Abs. 1 lit. c DSGVO).
Unabhängig von der Größe
Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung sowie geschäftsmäßige Übermittlung oder Markt- und Meinungsforschung (§ 38 Abs. 1 Satz 2 BDSG).
§ 38 BDSG soll fallen
Bund und Länder haben am 4. Dezember 2025 vereinbart, § 38 Abs. 1 BDSG insgesamt aufzuheben – die 20-Personen-Schwelle und die nationalen Sonderfälle; dann gälte nur noch Art. 37 DSGVO. Der Bund will bis Ende 2026 einen Entwurf einbringen. Bis eine Änderung in Kraft tritt, gilt § 38 BDSG unverändert. Die Pflichten aus Art. 37 DSGVO bleiben in jedem Fall – und die DSGVO selbst gilt ohnehin für jedes Unternehmen.
Fragen
Häufige Fragen
Zählen Teilzeitkräfte und Auszubildende mit?
Ja. Es zählen Köpfe, nicht Vollzeitstellen. Auch Auszubildende, Minijobber, freie Mitarbeitende und die Geschäftsführung zählen mit, wenn sie ständig mit personenbezogenen Daten am Computer arbeiten.
Darf der Datenschutzbeauftragte extern sein?
Ja. Art. 37 Abs. 6 DSGVO erlaubt ausdrücklich einen externen Dienstleister. Das vermeidet Interessenkonflikte und den Aufwand für Ausbildung und Fortbildung.
Wir haben keine Pflicht – müssen wir trotzdem etwas tun?
Ja. Die DSGVO gilt für jedes Unternehmen: Verzeichnis der Verarbeitungstätigkeiten, Datenschutzerklärung, AV-Verträge, Betroffenenrechte, Meldung von Datenpannen. Ohne Datenschutzbeauftragten liegt das alles bei der Geschäftsführung.
Was passiert, wenn wir keinen benennen, obwohl wir müssen?
Das ist ein Verstoß, den die Aufsichtsbehörde mit Bußgeld ahnden kann (Art. 83 Abs. 4 DSGVO). Auffallen kann es bei jeder Beschwerde oder Datenpanne.
Unterstützung
Pflicht? Dann richtig.
Als externer Datenschutzbeauftragter übernehme ich die Benennung, die Dokumentation und den laufenden Datenschutz – ganzheitlich, mit technischem Verständnis.