Pflicht auf dem Prüfstand: Warum der Datenschutzbeauftragte in Deutschland zur Debatte steht
Ein Bildungsanbieter wirbt mit neuen, TÜV-zertifizierten Datenschutz-Kursen. Dahinter steht eine größere Frage: Wer in Deutschland überhaupt einen Datenschutzbeauftragten braucht – und warum die bekannte 20-Personen-Grenze bald fallen könnte.
Ein Institut für berufliche Bildung meldet dieser Tage, es habe drei Weiterbildungsmodule im Datenschutz um eine unabhängige Personenzertifizierung ergänzt. Was zunächst wie eine gewöhnliche Produktmeldung klingt, trifft einen Nerv: Der Bedarf an ausgebildeten Datenschutzbeauftragten ist in den vergangenen Jahren spürbar gewachsen – und ausgerechnet jetzt steht die Rechtsgrundlage, die diesen Bedarf in Deutschland mitgeschaffen hat, zur Disposition.
Wann ein Datenschutzbeauftragter Pflicht ist
Ob ein Unternehmen jemanden benennen muss, ergibt sich aus zwei Ebenen. Europaweit schreibt die Datenschutz-Grundverordnung in Artikel 37 einen Datenschutzbeauftragten vor, wenn eine Stelle ihre Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen hat oder in großem Umfang besonders sensible Daten verarbeitet – etwa Gesundheits- oder Strafdaten. Das betrifft in erster Linie Krankenhäuser, Auskunfteien oder große Online-Plattformen.
Deutschland geht darüber hinaus. Nach Paragraf 38 des Bundesdatenschutzgesetzes muss zusätzlich jeder Betrieb einen Datenschutzbeauftragten bestellen, in dem in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Entscheidend ist dabei nicht die Gesamtzahl der Belegschaft, sondern nur, wie viele Menschen tatsächlich regelmäßig mit solchen Daten arbeiten. Diese vergleichsweise niedrige Schwelle sorgt dafür, dass in Deutschland auch viele kleinere Unternehmen betroffen sind.
Die deutsche Sonderregel wackelt
Genau diese Sonderregel könnte bald verschwinden. In ihrer sogenannten Modernisierungsagenda von Anfang Dezember 2025 kündigte die Bundesregierung an, Paragraf 38 Absatz 1 BDSG bis Ende 2026 zu streichen. Fiele die nationale Vorschrift weg, richtete sich die Benennungspflicht nur noch nach den engeren Vorgaben der DSGVO. Für viele kleine und mittlere Betriebe entfiele damit die formale Pflicht zur Bestellung eines Datenschutzbeauftragten.
Wichtig ist die Einordnung: Es handelt sich bislang um ein politisches Vorhaben, nicht um geltendes Recht. Ob und in welcher Form der Gesetzgeber die Änderung umsetzt, ist offen. Und selbst wer künftig keinen Beauftragten mehr benennen müsste, bliebe an sämtliche übrigen Pflichten der DSGVO gebunden – von der Rechenschaftspflicht über technische Schutzmaßnahmen bis zum Verzeichnis der Verarbeitungstätigkeiten. Der Wegfall einer Position ist nicht dasselbe wie der Wegfall der Aufgabe.
Ein ungeschützter Titel – und die Frage nach der Qualität
Bemerkenswert ist, dass „Datenschutzbeauftragter" kein geschützter Begriff ist. Anders als etwa beim Steuerberater gibt es keine staatlich reglementierte Ausbildung und keinen Titelschutz. Das Gesetz verlangt lediglich, dass die benannte Person über die „erforderliche Fachkunde" und Zuverlässigkeit verfügt. Was das konkret bedeutet, hängt von Größe und Risiko der jeweiligen Datenverarbeitung ab.
In diese Lücke stoßen die Weiterbildungs- und Zertifizierungsangebote. Eine Personenzertifizierung nach anerkannten Normen kann die geforderte Fachkunde belegen und nach außen sichtbar machen. Ein rechtlicher Freifahrtschein ist sie nach Angaben der Anbieter jedoch nicht: Sie dokumentiert einen Wissensstand, ersetzt aber weder die laufende Fortbildung noch die Verantwortung des Unternehmens, die passende Person auszuwählen.
Was Betriebe jetzt bedenken sollten
Für Unternehmen ergibt sich daraus eine paradoxe Lage. Einerseits könnte die formale Pflicht für viele bald entfallen. Andererseits wächst die praktische Bedeutung des Themas mit jeder neuen Anwendung, die Daten sammelt – von der Videoüberwachung bis zu KI-gestützten Auswertungen. Fachleute raten daher, die Aufgabe unabhängig von der Rechtslage ernst zu nehmen: Wer intern niemanden mit dem nötigen Wissen hat, kann die Rolle auch extern vergeben. Die Debatte um Paragraf 38 verschiebt am Ende vor allem eine formale Grenze – nicht die Frage, wie sorgsam ein Betrieb mit den Daten seiner Kunden und Beschäftigten umgeht.
Dieser Beitrag ist eine redaktionelle Einordnung eines Branchenthemas und ersetzt keine Rechts- oder Steuerberatung. Ob im Einzelfall eine Bestellpflicht besteht, sollte mit fachkundiger Beratung geklärt werden.