Datenschutzbeauftragte abschaffen? Warum das Problem damit nicht gelöst ist

Die Bundesregierung möchte den Datenschutz vereinfachen, Verfahren verschlanken und insbesondere kleine und mittlere Unternehmen von bürokratischen Vorgaben entlasten. Diskutiert wird dabei auch, die Pflicht zur Benennung von Datenschutzbeauftragten außer Kraft zusetzen. Für Unternehmen bedeutet das jedoch nicht automatisch weniger Datenschutz: Die Verantwortung für den rechtmäßigen Umgang mit personenbezogenen Daten bleibt bestehen.

Datenschutz soll einfacher und stärker am Risiko ausgerichtet werden

Unter der Überschrift „Moderner Datenschutz für mehr Wachstum“ hat der Koalitionsausschuss im Juli 2026 verschiedene Maßnahmen angekündigt. Der nationale Datenschutz soll vereinfacht und die bestehenden Spielräume der Datenschutz-Grundverordnung konsequenter genutzt werden.

Geplant sind unter anderem schlankere Datenschutzverfahren, gebündelte Aufsichtsstrukturen, eine stärkere Zuständigkeitskonzentration beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sowie eine gesetzliche Verankerung der Datenschutzkonferenz. Zusätzlich soll ein Datengesetzbuch geschaffen werden, das unterschiedliche Regelungen des Datenrechts harmonisiert und verständlicher gestaltet. In kleinen und mittleren Unternehmen soll außerdem die Zahl der betrieblichen Datenschutzbeauftragten reduziert werden.

Auf europäischer Ebene möchte sich die Bundesregierung darüber hinaus dafür einsetzen, dass nicht-kommerzielle Tätigkeiten, kleine und mittlere Unternehmen sowie risikoarme Datenverarbeitungen teilweise vom Anwendungsbereich der DSGVO ausgenommen werden können.

Dabei ist eine wichtige Unterscheidung erforderlich: Bei diesen Aussagen handelt es sich zunächst um politische Ziele. Unternehmen sind aufgrund des Koalitionspapiers noch nicht von bestehenden Pflichten befreit.

Wann muss ein Unternehmen Datenschutz beachten?

Grundsätzlich gilt: Datenschutz ist keine Frage der Unternehmensgröße. Sobald ein Unternehmen personenbezogene Daten verarbeitet, muss es die dafür geltenden datenschutzrechtlichen Anforderungen beachten.

Personenbezogene Daten fallen in nahezu jedem Unternehmen an. Dazu gehören beispielsweise:

Kontaktdaten von Kunden und Geschäftspartnern
Bewerber- und Beschäftigtendaten
Rechnungs- und Vertragsdaten
E-Mail-Adressen und Telefonnummern
IP-Adressen und Nutzungsdaten von Websitebesuchern
Aufzeichnungen aus Videoüberwachungs- oder Zutrittssystemen

Davon zu unterscheiden ist die Frage, ob ein Unternehmen zusätzlich einen Datenschutzbeauftragten benennen muss.

Nach der aktuell geltenden deutschen Regelung des § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter grundsätzlich zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Darüber hinaus kann die Benennung unabhängig von dieser Personenzahl erforderlich sein, beispielsweise wenn eine Datenschutz-Folgenabschätzung durchgeführt werden muss oder bestimmte geschäftsmäßige Datenverarbeitungen stattfinden.

Auch Art. 37 DSGVO enthält eigene Benennungspflichten. Diese knüpfen nicht an eine feste Mitarbeiterzahl an, sondern vor allem an Art, Umfang und Risiko der Verarbeitung. Eine Pflicht kann insbesondere bestehen, wenn die Kerntätigkeit eines Unternehmens in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonders sensibler Daten besteht.

Ein Unternehmen mit weniger als 20 datenverarbeitenden Personen ist daher nicht automatisch vom Datenschutz befreit. Es kann lediglich sein, dass nach der deutschen Schwellenregelung kein Datenschutzbeauftragter benannt werden muss.

Was bedeutet der risikobasierte Ansatz?

Der risikobasierte Ansatz, den die Bundesregierung aufgreift, bedeutet, dass Datenschutzmaßnahmen an den möglichen Auswirkungen einer Datenverarbeitung auf die betroffenen Personen ausgerichtet werden.

Eine einfache Kundenliste eines regionalen Handwerksbetriebs ist beispielsweise anders zu bewerten als:

die umfassende Verarbeitung von Gesundheitsdaten,
die dauerhafte Überwachung von Beschäftigten,
automatisiertes Scoring,
biometrische Zugangskontrollen,
KI-gestützte Analyse des Verhaltens von Kunden oder Mitarbeitenden.

Je höher das mögliche Risiko für die Rechte und Freiheiten der betroffenen Personen ist, desto umfangreicher müssen die Prüfung, die Dokumentation und die technischen sowie organisatorischen Schutzmaßnahmen ausfallen.

Dieser Ansatz ist nicht vollständig neu. Die DSGVO verfolgt bereits seit ihrer Einführung einen risikobasierten Ansatz. Der Berufsverband der Datenschutzbeauftragten begrüßt deshalb grundsätzlich die stärkere Ausrichtung am konkreten Verarbeitungsrisiko. Nach seiner Einschätzung sollte nicht die Größe eines Unternehmens, sondern das tatsächliche Risiko der jeweiligen Datenverarbeitung darüber entscheiden, welche Anforderungen erfüllt werden müssen. Gleichzeitig kritisiert der Verband, dass die in der DSGVO bereits vorhandenen Entlastungsmöglichkeiten in der Praxis bislang zu wenig genutzt würden.

Die aktuelle Diskussion betrifft daher vor allem die starre deutsche 20-Personen-Grenze. Würde § 38 Abs. 1 BDSG aufgehoben, müssten Unternehmen nicht mehr allein aufgrund der Anzahl der mit Datenverarbeitung beschäftigten Personen einen Datenschutzbeauftragten benennen. Vielmehr könnte dann die Einzelfallbewertung nach Art. 37 DSGVO maßgeblich sein.

Warum könnten KMU profitieren?

Für kleine und mittlere Unternehmen kann eine stärkere Orientierung am tatsächlichen Risiko sinnvoll sein. Nicht jede gewöhnliche Verarbeitung von Kunden- oder Lieferantendaten erfordert denselben organisatorischen Aufwand wie eine komplexe Verarbeitung sensibler Daten.

KMU mit überschaubaren und risikoarmen Prozessen könnten insbesondere von folgenden Erleichterungen profitieren:

weniger rein formale Anforderungen,
einfachere Dokumentations- und Prüfverfahren,
einheitlichere Auslegungen des Datenschutzrechts,
geringere Kosten bei einfachen Datenverarbeitungen,
Wegfall einer ausschließlich an der Personenzahl ausgerichteten Benennungspflicht.

Beispiel: Ein Handwerksunternehmen mit 30 Mitarbeitenden, das im Wesentlichen gewöhnliche Kunden-, Rechnungs- und Beschäftigtendaten verarbeitet, könnte bei einem Wegfall der deutschen Schwellenregelung möglicherweise keinen Datenschutzbeauftragten mehr benennen müssen. Ein kleineres Unternehmen, dessen Geschäftsmodell dagegen auf der umfangreichen Verarbeitung von Gesundheitsdaten oder der systematischen Überwachung von Personen beruht, könnte weiterhin unter Art. 37 DSGVO fallen.

Allerdings kann eine risikobasierte Regelung auch neue Unsicherheiten schaffen. Eine feste Personengrenze ist vergleichsweise einfach zu prüfen. Bei einer reinen Einzelfallbewertung müssen Unternehmen dagegen selbst beurteilen und nachvollziehbar dokumentieren, ob ihre Verarbeitung als umfangreich, systematisch oder besonders risikoreich einzuordnen ist.

Warum die Datenschutzpflichten trotzdem bestehen bleiben

Der mögliche Wegfall einer Benennungspflicht ist nicht mit einem Wegfall der DSGVO gleichzusetzen. Auch ein Unternehmen ohne Datenschutzbeauftragten bleibt für die Einhaltung der datenschutzrechtlichen Anforderungen verantwortlich.
Auch ohne Datenschutzbeauftragten müssen unter anderem Rechtsgrundlagen festgelegt, Betroffene informiert, Löschfristen bestimmt, Auftragsverarbeitungsverträge abgeschlossen, Betroffenenrechte erfüllt und angemessene technische und organisatorische Maßnahmen umgesetzt werden.

Nach den derzeit diskutierten Plänen sind dann zwar weniger betriebliche Datenschutzbeauftragte vorhanden, die Pflichten der Unternehmen jedoch dieselben, was Rechtsunsicherheit, Aufwand und Haftungsrisiken für Geschäftsführungen und Vorstände sogar verschärfen könnte.

Auch die fachliche Einordnung von Dr. Datenschutz stellt klar, dass eine Abschaffung des § 38 Abs. 1 BDSG nicht die materiellen Datenschutzpflichten beseitigen würde. Geändert würde zunächst lediglich die Verpflichtung, eine fachkundige Person zu benennen, die das Unternehmen bei der Umsetzung dieser Pflichten unterstützt.

Weniger Pflicht zur Benennung eines Datenschutzbeauftragten bedeutet deshalb nicht weniger Verantwortung für den Datenschutz.

Warum fachliche Unterstützung weiterhin sinnvoll ist

Die datenschutzrechtliche Verantwortung liegt beim Unternehmen beziehungsweise bei dessen Leitung. Ein Datenschutzbeauftragter nimmt diese Verantwortung nicht ab. Er unterstützt das Unternehmen jedoch dabei, Risiken frühzeitig zu erkennen, rechtliche Anforderungen richtig einzuordnen und praktikable Lösungen zu entwickeln.

Auch ohne gesetzliche Benennungspflicht müssen Unternehmen dafür sorgen, dass der Datenschutz wirksam organisiert ist.

Gerade bei wachsenden Unternehmen nehmen die Datenverarbeitungen häufig schnell zu. Neue HR-Systeme, CRM-Lösungen, Cloud-Anwendungen, Tracking-Technologien oder KI-Werkzeuge können aus zunächst einfachen Prozessen komplexe datenschutzrechtliche Fragestellungen machen. Ohne klare Zuständigkeiten besteht die Gefahr, dass Datenschutz nur nebenbei wahrgenommen wird und fehlerhafte Strukturen erst spät erkannt werden.

Fachliche Unterstützung kann deshalb auch dann sinnvoll bleiben, wenn keine formelle Pflicht zur Benennung eines Datenschutzbeauftragten besteht. Dies kann durch eine freiwillige Benennung, eine externe Datenschutzberatung oder klar definierte interne Verantwortlichkeiten erfolgen.

Entscheidend ist nicht allein die Bezeichnung der Funktion. Wichtig ist, dass im Unternehmen ausreichendes Fachwissen vorhanden ist, Datenschutzfragen regelmäßig geprüft werden und die Geschäftsleitung belastbare Entscheidungsgrundlagen erhält.

Fazit: Datenschutz schlank, aber nicht beliebig gestalten

Ein stärker risikobasierter Datenschutz kann dazu beitragen, Unternehmen von unnötiger Bürokratie zu entlasten. Es ist sinnvoll, eine gewöhnliche Kundenliste nicht mit denselben Anforderungen zu behandeln wie eine umfangreiche Überwachung oder die Verarbeitung sensibler Gesundheitsdaten.

Eine bloße Reduzierung der Zahl der Datenschutzbeauftragten führt nicht automatisch zu weniger Bürokratie. Bleiben die gesetzlichen Pflichten bestehen, während fachkundige Ansprechpartner entfallen, kann sich der Aufwand lediglich innerhalb des Unternehmens verlagern.

Unternehmen sollten die politische Entwicklung daher aufmerksam verfolgen, bestehende Datenschutzbeauftragte aber nicht vorschnell abberufen. Solange keine Gesetzesänderung in Kraft getreten ist, gilt die bisherige Rechtslage unverändert. Auch danach wird zu prüfen sein, ob eine Benennungspflicht nach Art. 37 DSGVO fortbesteht und wie die erforderliche Fachkunde organisatorisch sichergestellt werden kann.

Datenschutz darf schlanker, verständlicher und praxistauglicher werden. Beliebig wird er dadurch jedoch nicht. Denn wer personenbezogene Daten verarbeitet, bleibt für deren rechtmäßigen und sicheren Umgang verantwortlich.