Kurz beantwortet: Sie brauchen einen Datenschutzbeauftragten, wenn Ihre Kerntätigkeit in umfangreicher Überwachung oder der Verarbeitung besonderer Datenkategorien besteht (Art. 37 DSGVO), oder, die deutsche Besonderheit, sobald mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten (§ 38 BDSG). In einem Software-Unternehmen ist diese Schwelle meist schnell erreicht.

Das Wichtigste in Kürze

  • Die europäische Grundregel des Art. 37 DSGVO knüpft an die Kerntätigkeit an, an eine umfangreiche Überwachung oder die Verarbeitung besonderer Datenkategorien, und gilt unabhängig von der Unternehmensgröße.
  • In Deutschland tritt die Zusatzschwelle des § 38 BDSG hinzu, sodass die Pflicht bereits greift, sobald in der Regel mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten.
  • Der Datenschutzbeauftragte kann nach Art. 37 Abs. 6 DSGVO intern oder extern bestellt werden, wobei für kleinere und mittlere Software-Unternehmen die externe Lösung häufig vorteilhaft ist.
  • In jedem Fall müssen das erforderliche Fachwissen, die Meldung an die Aufsichtsbehörde und die Konfliktfreiheit der Rolle gewahrt bleiben.

Wann verlangt die europäische Grundregel einen DSB?

„Brauchen wir eigentlich einen Datenschutzbeauftragten?“ Diese Frage stellt sich fast jedes wachsende Software-Unternehmen. Die Antwort hängt nicht vom Bauchgefühl ab, sondern von klaren gesetzlichen Schwellen, und in Deutschland gilt eine Besonderheit, die viele übersehen: Die Pflicht greift oft früher als nach der DSGVO allein.

Nach Art. 37 Abs. 1 DSGVO müssen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten benennen, wenn ihre Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht (lit. b) oder in der umfangreichen Verarbeitung besonderer Datenkategorien wie Gesundheits- oder biometrischen Daten (lit. c). Für Behörden gilt die Pflicht ohnehin (lit. a). Diese Kriterien sind unternehmensgrößenunabhängig, es kommt auf die Art der Tätigkeit an, nicht auf die Mitarbeiterzahl.

Wann greift die deutsche Zusatzschwelle nach § 38 BDSG?

Hier setzt die deutsche Besonderheit an. § 38 Abs. 1 Satz 1 BDSG verpflichtet nichtöffentliche Stellen ergänzend zur Benennung, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. In einem Software-Unternehmen, in dem nahezu alle am Rechner mit Kunden-, Nutzer- oder Personaldaten arbeiten, ist diese Schwelle schnell erreicht. Unabhängig von der Personenzahl besteht die Pflicht nach § 38 Abs. 1 Satz 2 BDSG zudem, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.

Interner oder externer Datenschutzbeauftragter?

Nach Art. 37 Abs. 6 DSGVO kann der Datenschutzbeauftragte ein Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen, also extern. Für viele kleinere und mittlere Software-Unternehmen ist der externe DSB die bessere Wahl: Er bringt Fachwissen mit, unterliegt keinem Interessenkonflikt mit einer operativen Rolle und ist nicht mit dem besonderen Kündigungsschutz interner Datenschutzbeauftragter verbunden. Ein interner Mitarbeiter darf die Rolle übernehmen, aber nicht dort, wo er sich selbst kontrollieren müsste, etwa in der IT-Leitung oder Geschäftsführung.

Was müssen Sie als Anbieter konkret tun?

  • Schwellen prüfen: zählen Sie, wie viele Personen ständig automatisiert Daten verarbeiten, und bewerten Sie Ihre Kerntätigkeit;
  • Benennung und Meldung: ist die Pflicht ausgelöst, benennen Sie den DSB, veröffentlichen die Kontaktdaten und melden sie der Aufsichtsbehörde (Art. 37 Abs. 7 DSGVO);
  • Qualifikation sicherstellen: der DSB muss über das nötige Fachwissen verfügen (Art. 37 Abs. 5 DSGVO);
  • Konfliktfreiheit wahren: die Rolle darf nicht bei jemandem liegen, der über Zwecke und Mittel der Verarbeitung selbst entscheidet.

Auch wer nicht verpflichtet ist, kann freiwillig einen DSB benennen, dann gelten allerdings dieselben gesetzlichen Anforderungen. Welche Verarbeitungstätigkeiten eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO überhaupt auslösen, hängt eng mit Ihrem Verarbeitungsverzeichnis nach Art. 30 DSGVO zusammen.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Eine Agentur für Online-Shops hat 18 Mitarbeitende und plant sechs Neueinstellungen. Fast alle arbeiten täglich mit Kunden- und Bestelldaten in Shopsystemen ihrer Auftraggeber, dazu kommen Werkstudierende im Support. Geprüft hat das Thema bisher niemand. Zu klären ist, wie viele Personen in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, denn ab 20 besteht die Pflicht nach dem BDSG. Unabhängig von der Zahl greift sie, wenn eine Datenschutz-Folgenabschätzung erforderlich ist.

Danach trennen sich die Wege. Wird die Schwelle mit den Neueinstellungen erreicht, benennt die Agentur einen Datenschutzbeauftragten, veröffentlicht die Kontaktdaten und teilt sie der Aufsichtsbehörde mit. Intern kommt nur in Betracht, wer das nötige Fachwissen hat und nicht selbst über Zwecke und Mittel der Verarbeitung entscheidet, also weder Geschäftsführung noch technische Leitung; sonst liegt die externe Lösung nahe. Bleibt die Agentur unter der Schwelle und ist keine Folgenabschätzung nötig, besteht keine Pflicht; bei freiwilliger Benennung gelten dieselben Anforderungen. Am Ende steht eine dokumentierte Entscheidung mit Termin zur Wiedervorlage. Wie die Datenschutzorganisation dasteht, zeigt das Rechtliche Audit.

Häufige Fragen

Ab wie vielen Beschäftigten braucht ein Software-Unternehmen einen Datenschutzbeauftragten?

Nach § 38 Abs. 1 Satz 1 BDSG besteht die Benennungspflicht für nichtöffentliche Stellen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Da in einem Software-Unternehmen nahezu alle am Rechner mit Kunden-, Nutzer- oder Personaldaten arbeiten, ist diese Schwelle regelmäßig schnell erreicht.

Worin unterscheiden sich Art. 37 DSGVO und § 38 BDSG?

Art. 37 DSGVO knüpft die Pflicht an die Kerntätigkeit an, also an eine umfangreiche Überwachung von Personen oder die umfangreiche Verarbeitung besonderer Datenkategorien, und zwar unabhängig von der Mitarbeiterzahl. § 38 BDSG ergänzt diese europäische Grundregel um eine deutsche Zusatzschwelle, die allein an die Zahl der ständig automatisiert verarbeitenden Personen anknüpft und die Pflicht deshalb oft früher auslöst.

Sollte der Datenschutzbeauftragte intern oder extern sein?

Nach Art. 37 Abs. 6 DSGVO kann der Datenschutzbeauftragte ein Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags extern erfüllen. Für viele kleinere und mittlere Software-Unternehmen ist die externe Lösung vorteilhaft, weil sie Fachwissen mitbringt, keinen Interessenkonflikt mit einer operativen Rolle auslöst und nicht mit dem besonderen Kündigungsschutz interner Datenschutzbeauftragter verbunden ist.

Gelten die Anforderungen auch bei freiwilliger Benennung?

Ja. Wer einen Datenschutzbeauftragten benennt, ohne dazu verpflichtet zu sein, unterliegt denselben gesetzlichen Anforderungen an Fachwissen, Konfliktfreiheit und Meldung wie eine verpflichtete Stelle.

Quellen & Rechtsgrundlagen

Ob Ihr Unternehmen einen Datenschutzbeauftragten braucht, ist oft eine von vielen offenen Datenschutzfragen, die nebenbei bei der Geschäftsführung liegen. Das Rechtliche Audit erfasst Ihre Datenschutzdokumentation vollständig und ordnet offene Punkte nach Risiko in einen Maßnahmenplan. Rechtliches Audit: Ihre Datenschutzorganisation im Überblick

Sie wollen wissen, ob Sie einen Datenschutzbeauftragten brauchen? In einem 60-minütigen Strategiegespräch prüfen wir Ihre Schwellen und die passende Lösung. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen