Top-Themen im Datenschutz:
Der Bund plant, die Bestellpflicht für einen externen Datenschutzbeauftragten bis Ende 2026 abzuschaffen – warum das für Unternehmen mehr Risiko als Entlastung bedeutet.
Am 4. Dezember 2025 kündigte die Bundesregierung in ihrer Föderalen Modernisierungsagenda (Nr. 160) an, § 38 Abs. 1 BDSG bis Ende 2026 abzuschaffen. Diese Regelung verpflichtete bislang nicht-öffentliche Stellen zur Bestellung eines Datenschutzbeauftragten, sobald mindestens 20 Personen regelmäßig und automatisiert mit personenbezogenen Daten arbeiten. Was bleibt: Artikel 37 der DSGVO.
Dieser greift unabhängig von der deutschen Schwellenwertregelung – bei umfangreicher systematischer Überwachung, bei der Verarbeitung besonderer Datenkategorien oder bei Pflicht zur Datenschutz-Folgenabschätzung. Der Wegfall der Bestellpflicht ist kein Datenschutz-Freifahrtschein.
Die geplante Streichung entlastet Unternehmen von exakt einer Sache – der formalen Benennungspflicht. Alle materiellen DSGVO-Pflichten bleiben unverändert bestehen. Für den Mittelstand wird die Reform deshalb nicht zum Befreiungsschlag, sondern zum Risikobeschleuniger. Cortina Consult empfiehlt klar: Halten Sie an einem professionellen Datenschutzbeauftragten fest – ob Pflicht oder nicht.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie politische Argumentation suggeriert, dass mit der Streichung des § 38 Abs. 1 BDSG Bürokratie abgebaut wird. Das Gegenteil ist der Fall. Sämtliche Dokumentations-, Melde- und Nachweispflichten der DSGVO – Verzeichnis der Verarbeitungstätigkeiten, 72-Stunden-Meldefrist bei Datenpannen, Betroffenenrechte, Datenschutz-Folgenabschätzungen – bleiben vollumfänglich bestehen. Was wegfällt, ist nicht die Arbeit, sondern die Person, die sie qualifiziert erledigt.
Datenschutzbehörden wie das ULD (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein) warnen ausdrücklich vor diesem Trugschluss: Die formale Entpflichtung bedeutet keine inhaltliche.
Die 20-Personen-Schwelle des § 38 BDSG war ein klares, objektiv prüfbares Kriterium. An ihre Stelle treten die unbestimmten Rechtsbegriffe des Art. 37 DSGVO: „Kerntätigkeit“, „umfangreiche, regelmäßige und systematische Überwachung“, „umfangreiche Verarbeitung besonderer Kategorien“. Für ein mittelständisches Unternehmen ohne datenschutzrechtliche Fachkompetenz im Haus wird die Frage „Brauchen wir einen DSB?“ damit schwieriger zu beantworten als zuvor.
Gerade angesichts neuer Regelwerke wie KI-Verordnung, Data Act und NIS-2 wächst die regulatorische Komplexität weiter – ein denkbar schlechter Zeitpunkt, um Fachkompetenz im Unternehmen abzubauen.
Diese Unsicherheit verschwindet auch nicht durch bloßen Verzicht: Wer sich gegen eine Bestellung entscheidet, weil Art. 37 DSGVO nach eigener Einschätzung nicht greift, muss diese Einschätzung nachvollziehbar dokumentieren können.
Genau diese Risikobewertung erfordert wiederum die datenschutzrechtliche Fachkunde, die durch den Wegfall der Bestellpflicht gerade nicht mehr automatisch im Unternehmen vorgehalten wird. Der vermeintliche Verzicht erzeugt damit neuen Beratungsbedarf – nur eben einmalig statt kontinuierlich, und mit dem vollen Risiko einer fehlerhaften Selbstauskunft beim Verantwortlichen.
Ohne DSB schlägt die operative Last ungefiltert in der Geschäftsleitung auf. Die persönliche Haftung bei Datenschutzverstößen nach Art. 82, 83 DSGVO trifft Geschäftsführer dann ohne das Sicherheitsnetz einer fachkundigen Beratung.
Gerade im KMU-Umfeld, wo keine eigene Rechtsabteilung existiert, erhöht das die Risikoexposition erheblich. Unternehmen ohne DSB müssen im Ernstfall letztlich teurere externe Rechtsberatung ad hoc einkaufen – mit höheren Kosten und schlechterer Qualität als ein laufendes, strukturiertes Mandatsverhältnis.
Die Zusammenarbeit mit Ihrem DSB endet in Kürze oder Sie wollen die Aufgaben von intern nach extern deligieren?
Wachsende Unternehmen überschreiten die Schwelle zur Benennungspflicht nach Art. 37 DSGVO nicht an einem klar erkennbaren Stichtag, sondern schleichend: mit jeder neuen HR-Software, jedem neuen CRM-System, jedem KI-gestützten Analyse- oder Überwachungstool. Zwischen etwa 20 und 30 Mitarbeitenden wachsen interne Datenströme in aller Regel überproportional – ohne dass automatisch jemand im Unternehmen dafür zuständig ist, diesen Wandel laufend zu bewerten.
Ohne einen kontinuierlich eingebundenen Datenschutzbeauftragten bemerken Unternehmen diesen Kipppunkt oft erst, wenn es zu spät ist: wenn eine neue Überwachungs- oder Analysefunktion faktisch bereits „umfangreich und systematisch“ im Sinne von Art. 37 Abs. 1 lit. b DSGVO betrieben wird, ohne dass die dafür nötigen Kontrollen, Dokumentationen und Prozesse etabliert wurden.
Die nachträgliche Aufarbeitung ist dann regelmäßig aufwändiger, teurer und mit größerem Haftungsrisiko verbunden, als eine kontinuierliche Begleitung von Anfang an gewesen wäre. Ein extern bestellter Datenschutzbeauftragter wirkt hier als laufendes Frühwarnsystem – unabhängig davon, ob im jeweiligen Moment eine gesetzliche Pflicht formal besteht oder nicht.
Mit dem Wegfall der 20-Personen-Schwelle drohen typische Fehleinschätzungen, die Unternehmen teuer zu stehen kommen können:
Paradoxerweise stärkt die geplante Reform das Modell des externen Datenschutzbeauftragten. Denn:
Nutzen Sie unsere Expertise in verschiedenen Branchen, um Datenschutz in Ihrem Unternehmen zum Wettbewerbsvorteil zu machen.
Sofort: Keine Änderung des Status quo. Die gesetzliche Pflicht nach § 38 Abs. 1 BDSG besteht heute fort. Ein Verzicht auf den DSB ist aktuell rechtswidrig.
Im Übergang: Jedes Unternehmen sollte schon jetzt prüfen lassen, ob unabhängig von § 38 BDSG eine Benennungspflicht nach Art. 37 DSGVO besteht – insbesondere bei Verarbeitung von Gesundheitsdaten (HR, BEM, Krankmeldungen), systematischem Tracking (Webshops, CRM, Scoring), KI-Einsatz mit personenbezogenen Daten oder Auftragsverarbeitung im größeren Umfang.
Wachstumsphasen aktiv begleiten: Wer neue Systeme, Tools oder KI-Anwendungen einführt, sollte dies vorab auf eine mögliche Art.-37-Relevanz prüfen lassen – nicht erst rückwirkend, wenn der Kipppunkt bereits überschritten ist.
Langfristig: Wer Datenschutz als strategisches Risikomanagement begreift und nicht als lästige Pflichtübung, wird auch ohne gesetzlichen Zwang einen qualifizierten Datenschutzbeauftragten einsetzen. Die Frage verschiebt sich von „Müssen wir?“ zu „Wie machen wir es richtig?“ – und genau das ist die Kernkompetenz eines externen DSB-Mandats.
Cortina Consult begleitet Sie unabhängig vom Ausgang der Gesetzesänderung: mit einer strukturierten Art.-37-Prüfung, einer laufenden externen DSB-Betreuung und einem Blick auf Ihre Wachstumsphase, bevor der Kipppunkt erreicht ist.
Sprechen Sie uns an – wir ordnen Ihre aktuelle Situation gemeinsam mit Ihnen ein.
Die Bundesregierung hat in der Föderalen Modernisierungsagenda vom 4. Dezember 2025 angekündigt, § 38 Abs. 1 BDSG bis Ende 2026 abzuschaffen. Solange kein entsprechendes Gesetz in Kraft getreten ist, gilt die bisherige 20-Personen-Schwelle unverändert. Unternehmen, die aktuell zur Bestellung verpflichtet sind, müssen ihren DSB weiterhin vorhalten.
Nein. Artikel 37 der DSGVO bleibt vollständig in Kraft. Er verpflichtet zur Bestellung eines DSB, wenn die Kerntätigkeit des Unternehmens in umfangreicher, regelmäßiger und systematischer Überwachung von Personen besteht, wenn besondere Datenkategorien (z. B. Gesundheitsdaten) in großem Umfang verarbeitet werden oder wenn eine Datenschutz-Folgenabschätzung erforderlich ist. Diese Fälle sind unabhängig von der Mitarbeiterzahl.
Wer die Pflicht zur Benennung eines DSB gemäß Art. 37 DSGVO verletzt, riskiert Bußgelder nach Art. 83 Abs. 4 DSGVO von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Zusätzlich besteht das Risiko zivilrechtlicher Haftungsansprüche bei Datenschutzverstößen, die durch fehlende Fachkompetenz begünstigt wurden.
Für die meisten mittelständischen Unternehmen: ja. Ein freiwillig bestellter externer DSB sichert Haftungsrisiken ab, begleitet Wachstumsphasen und schützt vor dem schleichenden Kipppunkt, an dem Art. 37 DSGVO ohne Vorwarnung greift. Im Vergleich zu Ad-hoc-Rechtsberatung im Schadensfall ist ein laufendes Mandat in aller Regel günstiger und wirksamer.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen