Top-Themen im Datenschutz:
Die Datenschutzbeauftragter-Pflicht unter 20 Mitarbeitern ist keine Ausnahme, sondern geltendes Recht. Auch Unternehmen mit weniger als 20 Beschäftigten können gesetzlich verpflichtet sein, einen Datenschutzbeauftragten zu benennen.
Die 20-Personen-Grenze ist eine personenbezogene Schwelle, die nur den ersten von drei möglichen Auslösern für die Benennungspflicht abbildet. § 38 Abs. 1 Satz 1 BDSG knüpft nicht an die gesamte Zahl der Beschäftigten eines Unternehmens an. Nach dem Gesetzeswortlaut müssen nicht-öffentliche Stellen einen DSB benennen, wenn sie „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“.
Besonders relevant ist § 38 Abs. 1 Satz 2 BDSG: Sobald ein Unternehmen eine Verarbeitung vornimmt, für die eine Datenschutz-Folgenabschätzung erforderlich ist, muss es unabhängig von seiner Größe einen Datenschutzbeauftragten benennen. Beim Einsatz von künstlicher Intelligenz kann dieser Tatbestand vergleichsweise schnell einschlägig werden — allerdings löst nicht jede KI-Anwendung automatisch eine DSFA und damit eine DSB-Pflicht aus.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenWie ein externer Datenschutzbeauftragter diese Prüfung übernimmt und welche Kosten damit verbunden sind, zeigt unser Überblick zu den Kosten eines externen Datenschutzbeauftragten. Für eine vollständige Prüfung der DSB-Pflicht müssen drei eigenständige Ebenen betrachtet werden:
Entscheidend ist damit:
Zu berücksichtigen können Voll- und Teilzeitkräfte, Leiharbeitnehmer, Mitglieder der Geschäftsleitung, freie Mitarbeitende oder Ehrenamtliche sein — maßgeblich ist ihre tatsächliche Tätigkeit. Ein Unternehmen mit 50 gewerblichen Beschäftigten, von denen nur fünf regelmäßig digital mit Kunden- oder Personaldaten arbeiten, erreicht die Schwelle möglicherweise nicht. Umgekehrt kann ein Unternehmen mit 15 Arbeitnehmern und mehreren regelmäßig eingebundenen freien Mitarbeitenden auf mindestens 20 relevante Personen kommen.
Die DSB-Pflicht ergibt sich aus drei Rechtsgrundlagen, die selbstständig nebeneinander stehen. Es genügt, wenn eine davon erfüllt ist.
Rechtsgrundlage | Anknüpfungspunkt | Typischer Auslöser |
|---|---|---|
§ 38 Abs. 1 S. 1 BDSG | Kopfzahl | Mind. 20 Personen ständig in automatisierter Verarbeitung |
§ 38 Abs. 1 S. 2 BDSG | Art und Zweck der Verarbeitung | DSFA-pflichtige Verarbeitung oder geschäftsmäßige Übermittlung, Markt- und Meinungsforschung |
Art. 37 Abs. 1 DSGVO | Kerntätigkeit und Umfang | Umfangreiche systematische Überwachung oder umfangreiche Verarbeitung besonders geschützter Daten |
§ 38 Abs. 1 Satz 2 BDSG ist eine tätigkeitsbezogene Benennungspflicht, die unabhängig von der Mitarbeiterzahl greift. Sie enthält zwei Fallgruppen und gilt für Verantwortliche und Auftragsverarbeiter gleichermaßen.
Ein Datenschutzbeauftragter muss benannt werden, wenn der Verantwortliche oder Auftragsverarbeiter Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO unterliegen.
Die rechtliche Kette: Voraussichtlich hohes Risiko → DSFA-Pflicht nach Art. 35 DSGVO → DSB-Pflicht nach § 38 Abs. 1 Satz 2 BDSG.
Die DSFA muss vor Beginn der betreffenden Verarbeitung durchgeführt werden. Steht nach der Vorabprüfung fest, dass eine DSFA erforderlich ist, sollte der Datenschutzbeauftragte bereits in ihre Durchführung einbezogen werden und muss jedenfalls vor Aufnahme der Verarbeitung ordnungsgemäß benannt sein.
Die Benennungspflicht besteht außerdem, wenn personenbezogene Daten geschäftsmäßig verarbeitet werden zum Zweck
„Geschäftsmäßig“ bedeutet, dass die Tätigkeit auf eine gewisse Dauer und Wiederholung angelegt ist; eine Gewinnerzielungsabsicht ist nicht zwingend erforderlich. Typische Beispiele können Auskunfteien, Adresshändler sowie Markt- und Meinungsforschungsinstitute sein.
Nicht jede Datenweitergabe im normalen Geschäftsverkehr erfüllt diesen Tatbestand. Die Übermittlung muss gerade Zweck der geschäftsmäßigen Verarbeitung sein — eine bloße Weitergabe von Daten als untergeordneter Teil einer anderen Dienstleistung genügt nicht ohne Weiteres.
Eine Datenschutz-Folgenabschätzung (DSFA) ist die dokumentierte Vorabprüfung einer Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 DSGVO regelt, wann eine DSFA durchzuführen ist — und über § 38 Abs. 1 Satz 2 BDSG entsteht bei positiver Prüfung zugleich die DSB-Pflicht.
Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele:
Daneben konkretisiert die Muss-Liste der DSK Verarbeitungstätigkeiten, für die eine DSFA zwingend durchzuführen ist. Diese Liste ist nicht abschließend: Eine DSFA kann auch dann erforderlich sein, wenn eine Verarbeitung dort nicht ausdrücklich genannt wird.
Die DSFA-Vorprüfung ist das strukturierte Verfahren, mit dem ein Unternehmen beurteilt, ob eine vollständige DSFA durchzuführen ist. Die vom Europäischen Datenschutzausschuss übernommenen Leitlinien WP 248 nennen neun Kriterien:
Als Faustregel kann das Zusammentreffen von mindestens zwei Kriterien auf eine DSFA-Pflicht hindeuten — das ist jedoch keine starre Zwei-Kriterien-Regel. Abhängig von der Intensität kann bereits ein Kriterium genügen; umgekehrt bleibt stets eine nachvollziehbare Bewertung des konkreten Verarbeitungsvorgangs erforderlich. Das Ergebnis der Vorprüfung sollte dokumentiert werden — auch wenn das Unternehmen zu dem Ergebnis kommt, dass keine DSFA notwendig ist.
Ob ein Datenschutzbeauftragter KI-Anwendungen im Unternehmen zwingend prüfen muss, hängt nicht vom bloßen KI-Einsatz ab, sondern von der konkreten Verarbeitung personenbezogener Daten. Die Datenschutzbeauftragter-Pflicht bei KI entsteht nicht automatisch durch den Einsatz von KI, sondern erst dann, wenn die konkrete KI-Verarbeitung personenbezogener Daten eine DSFA auslöst. Künstliche Intelligenz ist kein eigenständiger gesetzlicher DSFA-Tatbestand — entscheidend ist nicht die Bezeichnung der eingesetzten Software, sondern die konkrete Verarbeitung. Eine differenzierte Prüfung in drei Schritten führt zum richtigen Ergebnis.
Zunächst ist zu prüfen, ob im konkreten KI-Einsatz personenbezogene Daten vorkommen — etwa in Prompts oder hochgeladenen Dokumenten, in Ausgaben des Systems, in Nutzerkonten oder Protokolldaten, in einer angeschlossenen Wissensdatenbank oder innerhalb des Modells selbst.
Werden tatsächlich keinerlei personenbezogene Daten verarbeitet, findet die DSGVO auf diesen Vorgang grundsätzlich keine Anwendung. Eine DSFA-Pflicht kann dann nicht entstehen.
Für KI-Anwendungen ist Nummer 11 der DSK-Muss-Liste besonders wichtig. Danach ist eine DSFA durchzuführen beim „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person.“
Dieser Tatbestand kann etwa einschlägig sein bei KI-gestützter Bewertung von Bewerbern, Bewertung der Leistung oder des Verhaltens von Beschäftigten, personalisierter Beratung durch KI-Chatbots, automatisierter Bewertung von Kunden, Stimmungs- oder Emotionsanalyse und KI-gestütztem Scoring. Dabei ist keine bestimmte Unternehmensgröße vorausgesetzt, und auch die Verarbeitung großer Datenmengen ist für Nr. 11 nicht zwingend erforderlich.
Greift kein ausdrücklicher Eintrag der Muss-Liste, muss trotzdem geprüft werden, ob sich aus Art. 35 Abs. 1 oder 3 DSGVO und den neun Risikokriterien eine DSFA-Pflicht ergibt. Die DSK-Orientierungshilfe „KI und Datenschutz“ (2024) formuliert zutreffend, dass eine DSFA beim Einsatz von KI-Anwendungen „vielfach“ erforderlich sein wird — sie ist jedoch nicht bei jeder KI-Nutzung automatisch vorgeschrieben.
Wie Unternehmen KI datenschutzkonform einsetzen, zeigt im Detail unser vertiefender Beitrag dazu.
Für jede DSFA-pflichtige Konstellation gilt: DSFA-Pflicht nach Art. 35 DSGVO führt nach geltendem § 38 Abs. 1 Satz 2 BDSG zugleich zur Benennungspflicht — unabhängig davon, ob im Unternehmen 8 oder 80 Personen arbeiten. Die Benennung sollte spätestens vor Aufnahme der betreffenden Verarbeitung erfolgen.
KI-Anwendung | DSFA-Einordnung |
|---|---|
Allgemeiner Schreibassistent ohne personenbezogene Daten | Regelmäßig keine DSFA; Personenbezug im gesamten Datenfluss muss ausgeschlossen sein |
Interner KI-Assistent mit gelegentlichen personenbezogenen Eingaben | Keine automatische DSFA; dokumentierte Vorprüfung erforderlich |
Beratungs-Chatbot mit personenbezogenen Kundendaten | Häufig DSFA-pflichtig nach Nr. 11 der DSK-Muss-Liste |
KI-gestützte Bewertung von Bewerbern | Häufig DSFA-pflichtig; Art. 35 Abs. 3 lit. a DSGVO kann zusätzlich greifen |
Leistungs- oder Verhaltenskontrolle von Beschäftigten | Regelmäßig hohes Risiko; Nr. 8 oder Nr. 11 der DSK-Muss-Liste |
Automatisierte Bonitäts- oder Risikobewertung | Häufig DSFA-pflichtig, insbesondere bei Scoring und erheblichen Auswirkungen |
Biometrische Identifizierung | DSFA insbesondere bei zusätzlichem Risikokriterium oder umfangreicher Verarbeitung |
Art. 37 Abs. 1 DSGVO ist die europarechtliche Grundnorm, die eine DSB-Pflicht unabhängig von der Mitarbeiterzahl und unabhängig von einer DSFA begründen kann. Ein Unternehmen muss danach einen Datenschutzbeauftragten benennen, wenn seine Kerntätigkeit in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von Straftatendaten.
„Kerntätigkeit“ sind die wesentlichen Tätigkeiten, die zur Erreichung der Unternehmensziele erforderlich sind — reine Hilfsfunktionen wie die normale Lohnbuchhaltung gehören nicht dazu. Ob eine Verarbeitung „umfangreich“ ist, hängt insbesondere von der Zahl und dem Anteil der Betroffenen, der Datenmenge, der Dauer und der geografischen Reichweite ab.
Eine einzelne Arzt- oder Rechtsanwaltspraxis verarbeitet zwar besonders geschützte Daten, aber nicht automatisch in großem Umfang. Ein kleines Technologieunternehmen kann dagegen trotz weniger Beschäftigter Daten sehr vieler Nutzer systematisch überwachen und dadurch Art. 37 Abs. 1 DSGVO erfüllen.
Wichtig zur Abgrenzung: Eine DSFA-Pflicht und eine DSB-Pflicht nach Art. 37 DSGVO sind nicht identisch. In Deutschland stellt § 38 Abs. 1 Satz 2 BDSG die zusätzliche Verbindung her: Jede DSFA-pflichtige Verarbeitung löst derzeit zugleich die Pflicht zur Benennung eines Datenschutzbeauftragten aus.
Die KI-Verordnung (KI-VO), die DSFA nach Art. 35 DSGVO und die Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 KI-VO sind drei eigenständige Prüfungen, die sich überschneiden können, einander aber nicht automatisch auslösen.
Anhang III Nr. 4 KI-VO erfasst nicht „KI im HR“ allgemein, sondern Systeme mit bestimmten Zwecken — etwa zur Analyse, Filterung oder Bewertung von Bewerbungen, zu Entscheidungen über Arbeitsbedingungen, Beförderung oder Kündigung sowie zur Leistungs- und Verhaltensüberwachung. Systeme ohne erhebliches Risiko können nach Art. 6 Abs. 3 KI-VO aus der Hochrisiko-Einstufung herausfallen; führt das System jedoch Profiling natürlicher Personen durch, gilt es stets als Hochrisiko-System.
Art. 27 KI-VO verpflichtet nicht jeden privaten Arbeitgeber zur FRIA — er richtet sich im Kern an öffentlich-rechtliche Stellen, private Erbringer öffentlicher Dienstleistungen sowie Betreiber bestimmter Bonitäts- und Versicherungsanwendungen.
Wichtig für den Zeithorizont: Nach der derzeit konsolidierten Fassung der KI-Verordnung gelten die Pflichten aus Kapitel III, Abschnitte 1 bis 3, für Hochrisiko-Systeme nach Anhang III grundsätzlich erst ab dem 2. Dezember 2027. Bereits seit dem 2. August 2026 gilt hingegen die Transparenzpflicht des Art. 50 KI-VO.
Unabhängig davon gelten die DSGVO und § 38 BDSG bereits heute. Eine noch nicht anwendbare Verpflichtung der KI-Verordnung verschiebt keine bereits bestehende DSFA- oder DSB-Pflicht. Die KI-Compliance erfordert daher, DSGVO-Pflichten und KI-VO-Pflichten klar auseinanderzuhalten.
Verstöße gegen die Pflicht zur DSB-Benennung und gegen die DSFA-Pflicht können nach Art. 83 Abs. 4 DSGVO mit einer Geldbuße von bis zu 10 Mio. Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Mehrere Landesdatenschutzbehörden nehmen den KI-Einsatz — gerade im Personalbereich — verstärkt in den Blick und versenden Auskunftsersuchen nach Art. 58 DSGVO.
Die mögliche Aufhebung des § 38 Abs. 1 BDSG ist derzeit ein politisches Vorhaben, kein geltendes Recht. In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat die Bundesregierung angekündigt, bis zum 31. Dezember 2026 eine Aufhebung „einzubringen“. Das markiert den Beginn des Gesetzgebungsverfahrens, nicht dessen Abschluss. Solange keine Änderung im Bundesgesetzblatt veröffentlicht und in Kraft getreten ist, gilt § 38 Abs. 1 BDSG unverändert weiter.
Eine vollständige Aufhebung hätte erhebliche Auswirkungen:
Die übrigen datenschutzrechtlichen Pflichten blieben davon unberührt. Dass kein Datenschutzbeauftragter benannt werden muss, bedeutet nicht, dass keine Datenschutzorganisation benötigt wird. Eine vertiefte Einordnung finden Sie in unserem Beitrag zum Wegfall der Bestellpflicht für Datenschutzbeauftragte.
Die Prüfung der Datenschutzbeauftragter-Pflicht unter 20 Mitarbeitern darf nicht bei der 20-Personen-Grenze enden. Insbesondere zwei Konstellationen erfordern eine gesonderte Prüfung:
Als externer Datenschutzbeauftragter prüfen wir die Benennungspflicht — eine unserer zentralen Aufgaben des Datenschutzbeauftragten — bei jeder Bestandsaufnahme über alle drei Ebenen hinweg und dokumentieren das Ergebnis nachvollziehbar. Die Prüfung sollte vor Einführung neuer Systeme erfolgen und bei Änderungen des Einsatzes wiederholt werden.
Eine umfassende Beratung zu allen Themen rund um die DSGVO aus einer Hand, damit Sie gesetzliche Anforderungen effizient umsetzen und Ihre Daten sicher verwalten können.
Möglicherweise ja. Eine Pflicht besteht, wenn das Unternehmen eine DSFA-pflichtige Verarbeitung vornimmt, geschäftsmäßig Daten zu den in § 38 Abs. 1 Satz 2 BDSG genannten Zwecken verarbeitet oder die Voraussetzungen des Art. 37 Abs. 1 DSGVO erfüllt. Außerdem bezieht sich die 20-Personen-Regel nicht auf die Gesamtzahl der Mitarbeiter, sondern auf die Personen, die regelmäßig automatisiert personenbezogene Daten verarbeiten.
Nein. Zunächst muss die KI-Anwendung personenbezogene Daten verarbeiten. Anschließend ist zu prüfen, ob die konkrete Verarbeitung einer DSFA unterliegt. Greift die DSK-Muss-Liste oder ergibt die Risikobewertung ein hohes Risiko, führt die DSFA-Pflicht nach geltendem § 38 Abs. 1 Satz 2 BDSG zugleich zur DSB-Pflicht.
Nicht jeder einfache Chatbot. Verarbeitet eine KI jedoch personenbezogene Daten, um die Interaktion mit Kunden zu steuern oder persönliche Aspekte zu bewerten, kann Nr. 11 der DSK-Muss-Liste unmittelbar greifen — und damit über § 38 Abs. 1 Satz 2 BDSG die DSB-Pflicht.
Nicht allein deshalb, weil sie Gesundheitsdaten verarbeitet. Für Art. 37 DSGVO muss die Verarbeitung umfangreich sein. Eine Pflicht kann aber entstehen, wenn ein konkretes Verfahren einer DSFA unterliegt — etwa wegen einer telemedizinischen oder KI-gestützten Verarbeitung.
Nein. Entscheidend ist der vorgesehene Zweck. Systeme zur Analyse, Filterung oder Bewertung von Bewerbungen fallen unter Anhang III Nr. 4 KI-VO; allgemeine Schreib- oder Organisationshilfen sind dagegen nicht allein wegen ihrer Verwendung im Personalbereich hochriskant. Die Hochrisiko-Pflichten gelten für Anhang-III-Systeme zudem erst ab dem 2. Dezember 2027.
Derzeit nicht. Die angekündigte Aufhebung ist ein politisches Vorhaben ohne verabschiedetes Gesetz. Bis zur Veröffentlichung im Bundesgesetzblatt gilt § 38 Abs. 1 BDSG einschließlich Satz 2 unverändert fort. Selbst nach einer Aufhebung bliebe die Benennungspflicht nach Art. 37 DSGVO bestehen.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen