Datenschutzbeauftragte: Bundesregierung plant Ende der 20-Personen-Regel
Veröffentlicht am: 12.10.2026 um 19:39 Uhr | Redaktion boerse-global.de
Die Bundesregierung plant eine grundlegende Änderung bei den gesetzlichen Vorgaben zur Benennung betrieblicher Datenschutzbeauftragter. Im Rahmen der Föderalen Modernisierungsagenda kündigte die Bundesregierung am 4. Dezember 2025 an, die sogenannte 20-Personen-Regel nach § 38 Absatz 1 des Bundesdatenschutzgesetzes (BDSG) aufheben zu wollen. Die Einbringung des entsprechenden Vorhabens ist bis zum 31. Dezember 2026 vorgesehen.
Die gegenwärtige Rechtslage im Bundesdatenschutzgesetz
Bislang richtet sich die Pflicht zur Bestellung eines Datenschutzbeauftragten in vielen deutschen Betrieben nach starren Schwellenwerten. Nach der noch geltenden Fassung des § 38 Absatz 1 Satz 1 BDSG müssen Unternehmen in der Regel dann eine zuständige Person benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Bei dieser Bemessung werden die Köpfe der Beschäftigten herangezogen und nicht deren Vollzeitäquivalente.
Neben dieser Schwelle enthält das Gesetz jedoch weitere Kriterien, die völlig unabhängig von der Belegschaftsgröße greifen. Gemäß § 38 Absatz 1 Satz 2 BDSG gilt die Benennungspflicht auch dann, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder wenn Daten geschäftsmäßig zum Zweck der Übermittlung oder für die Markt- und Meinungsforschung verarbeitet werden. Unter diesen Voraussetzungen kann die Pflicht zur Benennung eines Datenschutzbeauftragten auch Kleinstbetriebe mit lediglich drei Personen treffen.
Zudem verpflichtet Artikel 37 der Datenschutz-Grundverordnung (DSGVO) Behörden und öffentliche Stellen sowie Unternehmen, deren Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung oder in der umfangreichen Verarbeitung sensibler Datenkategorien besteht.
Wer sich mit der Benennungspflicht befasst, sollte auch die Anforderungen an eine rechtssichere Datenschutz-Folgenabschätzung kennen, um hohe Bußgelder zu vermeiden. Dieser kostenlose Report beantwortet die wichtigsten Fragen und zeigt auf, wann eine Prüfung der Verarbeitungsrisiken zwingend erforderlich ist. Kostenlose Muster-Vorlage und Checklisten für die DSFA sichern
Folgen eines Übergangs zu den europäischen Vorgaben
Sollte der deutsche Gesetzgeber § 38 Absatz 1 BDSG ersatzlos streichen, würde die nationale Schwellenwertregelung entfallen. Für die Frage, ob eine Organisation einen Datenschutzbeauftragten benennen muss, gälte dann ausschließlich der risikobasierte Maßstab aus Artikel 37 DSGVO.
Dieser potenzielle Systemwechsel stößt in der Praxis auf geteilte Reaktionen. Aufsichtsbehörden wie das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein warnen vor einer wachsenden Rechtsunsicherheit für Unternehmen im Falle einer Aufhebung der bisherigen Vorgabe.
Während feste Schwellenwerte eine klare Orientierung böten, erfordere die europäische Regelung eine eigenständige juristische Bewertung des Verarbeitungsrisikos und des Begriffs der Umfangreichkeit.
Unabhängig von künftigen Gesetzesänderungen müssen Unternehmen ihre bestehenden Dokumentationspflichten bereits heute rechtssicher erfüllen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie ein lückenloses Verarbeitungsverzeichnis erstellen und so das Risiko von Sanktionen durch die Aufsichtsbehörden minimieren. Kostenlose Excel-Vorlage für das Verarbeitungsverzeichnis herunterladen
Für die Betriebe bleibt die Einhaltung der jeweils geltenden Vorgaben mit erheblichen Haftungsrisiken verbunden. Ein Verstoß gegen die Pflicht zur ordnungsgemäßen Benennung eines Datenschutzbeauftragten stellt eine Ordnungswidrigkeit dar, die nach Artikel 83 Absatz 4 DSGVO mit empfindlichen Bußgeldern geahndet werden kann. Bis zu einer tatsächlichen gesetzlichen Neuregelung bleibt die bestehende Rechtslage nach dem BDSG für Unternehmen bindend.
