Stand: 29. Oktober 2026 — § 38 BDSG verlangt einen Datenschutzbeauftragten, wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind oder wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig übermittelt werden. Zuerst die Zählung schriftlich dokumentieren, dann die Auffangtatbestände prüfen. Bei Überschreiten: interne oder externe Fachkraft bestellen, Mitteilung an die Aufsichtsbehörde und Veröffentlichung der Kontaktdaten vorbereiten.
Gesicherte Fakten und Anwendungsbereich
§ 38 BDSG verlangt einen Datenschutzbeauftragten, wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind oder wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig übermittelt werden.
Vor jeder Bewertung ist der Anwendungsbereich zu fixieren: Gilt für Verantwortliche und Auftragsverarbeiter mit Sitz oder Niederlassung in Deutschland. Zu klären: Zählweise der Beschäftigten, Rechtsform, Konzernstruktur und ob die Schwelle dauerhaft oder nur zeitweise überschritten wird. Was außerhalb dieser Menge liegt, ist eine eigene Frage mit eigenem Nachweisbedarf; werden beide vermischt, entsteht regelmäßig ein Plan, der intern nicht durchsetzbar ist.
Praktisch lässt sich der Anwendungsbereich prüfen, indem man fragt, welche Teile von „FAQ zur Bestellung eines Datenschutzbeauftragten nach § 38 BDSG: Schwellenwerte, Fachkunde, Interessenkonflikt und Mitteilung an die Aufsichtsbehörde“ auch bei einem Wechsel von Lieferant, Einheit oder Produktlinie unverändert blieben. Was unverändert bleibt, gehört zur Regelungsebene und lässt sich aus amtlichen Veröffentlichungen belegen; was nicht bleibt, gehört zur Betriebsebene und muss aus Rechnungen, Lagerdaten, Zollanmeldungen oder Plattformauszügen neu aufgebaut werden. Werden beide Ebenen verwechselt, wird entweder übererfüllt oder eine Frist übersehen.
Für eine Entscheidung zu „FAQ zur Bestellung eines Datenschutzbeauftragten nach § 38 BDSG: Schwellenwerte, Fachkunde, Interessenkonflikt und Mitteilung an die Aufsichtsbehörde“ sind drei Ebenen getrennt zu führen: die veröffentlichte Regel oder Statistik, die eigenen Auftrags- und Prozessdaten des Unternehmens und die noch ungeprüften Annahmen. Die erste Ebene beschreibt die äußeren Bedingungen, die zweite belegt den eigenen Sachverhalt, die dritte trägt das eigentliche Risiko. Öffentliche Quellen ersetzen weder Vertrag noch Systemprotokoll, Muster oder Test.
Auswirkungen auf den Betrieb
Die Schwelle knüpft an die Zahl der mit automatisierter Verarbeitung befassten Personen, nicht an die Grösse der IT-Abteilung. Wer sie unterschreitet, kann über die Auffangtatbestände der Nummern 2 und 3 dennoch zur Bestellung verpflichtet sein.
Verbreitete Fehler sind das Zählen nur der EDV-Abteilung, die Annahme einer Bagatellgrenze und eine fehlende Dokumentation der Zählung. Der Beauftragte darf keinem Interessenkonflikt unterliegen; Kontaktdaten sind zu veröffentlichen und zu melden.
In eine Abfolge übersetzt heißt das: Die Schwelle knüpft an die Zahl der mit automatisierter Verarbeitung befassten Personen, nicht an die Grösse der IT-Abteilung. Wer sie unterschreitet, kann über die Auffangtatbestände der Nummern 2 und 3 dennoch zur Bestellung verpflichtet sein. Die Reihenfolge ist entscheidend — zuerst Anwendbarkeit prüfen, dann den Übertragungsschritt, erst danach die Größe des Unterschieds bei Kosten oder Zeitpunkt. Lässt sich ein Zwischenschritt nicht belegen, ist der ehrliche Weg eine engere Fassung der Aussage und nicht der Rückgriff auf einen Branchendurchschnitt.
Entscheidung
Zuerst die Zählung schriftlich dokumentieren, dann die Auffangtatbestände prüfen. Bei Überschreiten: interne oder externe Fachkraft bestellen, Mitteilung an die Aufsichtsbehörde und Veröffentlichung der Kontaktdaten vorbereiten.
Die Bedingungen gehören schriftlich festgehalten, damit die Entscheidung nachvollziehbar bleibt: Gilt für Verantwortliche und Auftragsverarbeiter mit Sitz oder Niederlassung in Deutschland. Zu klären: Zählweise der Beschäftigten, Rechtsform, Konzernstruktur und ob die Schwelle dauerhaft oder nur zeitweise überschritten wird. Liegen sie vor, wird wie beschrieben verfahren; fehlt eine, wird zuerst die Lücke geschlossen. Keine Rechtsberatung im Einzelfall und keine Aussage zur Aufsichtspraxis einzelner Landesbehörden; die Auslegung ist landesspezifisch und ändert sich mit der Rechtsprechung.
Zwei Stränge laufen dabei parallel. Der Dokumentationsstrang schließt die formale Seite von „FAQ zur Bestellung eines Datenschutzbeauftragten nach § 38 BDSG: Schwellenwerte, Fachkunde, Interessenkonflikt und Mitteilung an die Aufsichtsbehörde“ — Anmeldungen, Bestätigungen, Nachweise —, während der kaufmännische Strang Liefertermin, bereits zugesagte Preise und Kundenversprechen schützt, die auf der früheren Lesart der Regeln beruhten. Werden beide als eine Warteschlange geführt, werden aus kleinen Formalücken versäumte Termine, weil die kaufmännische Seite auf ein Zertifikat wartet, das eine Woche früher hätte angefordert werden können. Je Strang eine verantwortliche Person und ein gemeinsames Statusblatt verhindern das; ein roter Punkt auf einer Seite friert nur den betroffenen Auftrag ein, nicht das ganze Geschäft.
Umsetzungsplan
- Beschäftigtenzahl mit Verarbeitungsbezug schriftlich erfassen.
- Auffangtatbestände des § 38 Abs. 1 BDSG prüfen.
- Bestellung und Kontaktdaten der Aufsicht melden.
- Je eine entscheidende und ausführende Person plus ein Prüfdatum benennen.
- Quellseite, Abrufdatum, betroffene Einheit und Belege ablegen.
- Bei Änderung nur die betroffene Bewertung neu öffnen.
Nachweis und Kontrolle
Zuerst der kleinste Test, der die Antwort ändern kann: Beschäftigtenzahl mit Verarbeitungsbezug schriftlich erfassen. Dafür einen realen Vorgang oder einen repräsentativen Fall wählen, die Bedingungen für Fortsetzen, Beobachten und Stopp vorab festhalten und Eingangsversion, Verantwortliche, Startzeit und tatsächliches Ergebnis dokumentieren. Der erste Durchgang prüft nur entscheidungsrelevante Fakten.
Der zweite Durchgang erfolgt über „Auffangtatbestände des § 38 Abs. 1 BDSG prüfen“, anschließend prüft eine nicht beteiligte Person einen kritischen Beleg stichprobenartig. Verbreitete Fehler sind das Zählen nur der EDV-Abteilung, die Annahme einer Bagatellgrenze und eine fehlende Dokumentation der Zählung. Der Beauftragte darf keinem Interessenkonflikt unterliegen; Kontaktdaten sind zu veröffentlichen und zu melden. Eine einzelne geringe Abweichung lässt sich gezielt korrigieren; erst eine wiederholte Abweichung oder eine berührte gesetzliche Pflicht rechtfertigt das Aussetzen.
Nach „Bestellung und Kontaktdaten der Aufsicht melden“ wird das Ergebnis gegen den Ausgangswert verglichen und nicht gegen den Eindruck des Teams. Zuerst die Zählung schriftlich dokumentieren, dann die Auffangtatbestände prüfen. Bei Überschreiten: interne oder externe Fachkraft bestellen, Mitteilung an die Aufsichtsbehörde und Veröffentlichung der Kontaktdaten vorbereiten. Bei Ausweitung auf weitere Produkte, Kunden oder Prozesse gilt derselbe Erfolgsmaßstab, je Charge mit einem vollständigen Datensatz.
Grenzen der Einordnung
Keine Rechtsberatung im Einzelfall und keine Aussage zur Aufsichtspraxis einzelner Landesbehörden; die Auslegung ist landesspezifisch und ändert sich mit der Rechtsprechung.
Die Grenzen sind strukturell und nicht bloß vorsichtige Formulierung. Öffentliche Quellen beschreiben Regeln und Marktbedingungen; sie beobachten „FAQ zur Bestellung eines Datenschutzbeauftragten nach § 38 BDSG: Schwellenwerte, Fachkunde, Interessenkonflikt und Mitteilung an die Aufsichtsbehörde“ nicht im konkreten Unternehmen. Wo eine Sekundärdarstellung zitiert wird, muss die Originalveröffentlichung erreichbar bleiben, und eine nicht zurückführbare Zahl gehört nicht in die Entscheidungstabelle. Wo die Aussage an Gilt für Verantwortliche und Auftragsverarbeiter mit Sitz oder Niederlassung in Deutschland. Zu klären: Zählweise der Beschäftigten, Rechtsform, Konzernstruktur und ob die Schwelle dauerhaft oder nur zeitweise überschritten wird hängt, ist sie nur so aktuell wie die letzte Prüfung dieser Bedingungen.
