Fällt die Pflicht zum Datenschutzbeauftragten bis Ende 2026?

Es kommt wieder Bewegung in die Sache: Der betriebliche Datenschutzbeauftragte (DSB) steht erneut zur Debatte. In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat die Bundesregierung angekündigt, § 38 Abs. 1 BDSG bis Ende 2026 aufzuheben. Für viele Unternehmen stellt sich damit die Frage: Können wir unseren Datenschutzbeauftragten bald abschaffen? Die kurze Antwort: Es ist komplizierter, als es zunächst klingt.

Wann ist ein Datenschutzbeauftragter nach § 38 BDSG Pflicht?

§ 38 Abs. 1 BDSG verpflichtet nichtöffentliche Stellen zur Benennung eines DSB, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle ist eine deutsche Sonderregelung. Die europäische Datenschutz-Grundverordnung (DSGVO) kennt in Art. 37 keine vergleichbare Mitarbeiterzahl, sondern knüpft die Benennungspflicht an die Art und Risiko der Datenverarbeitung. Etwa an

• eine umfangreiche, regelmäßige und systematische Überwachung (Art. 37 Abs. 1 lit. b DSGVO) oder
• die Verarbeitung besonderer Datenkategorien im großen Umfang (Art. 37 Abs. 1 lit. c DSGVO).

Deutschland hat mit § 38 BDSG also bewusst eine niedrigere Hürde geschaffen. Das Ergebnis: Auch kleine Unternehmen ohne risikoreiche Datenverarbeitung mussten allein aufgrund ihrer Mitarbeiterzahl einen DSB benennen. Genau hier setzt die Kritik an.

Zudem hält die Vorschrift in Satz 2 eine oft übersehene zweite Säule bereit: Unabhängig von der Anzahl der Beschäftigten ist ein DSB immer dann Pflicht, wenn:

• eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchgeführt werden muss (z. B. bei der Einführung neuer, risikoreicher Überwachungstechnologien oder KI-Systeme am Arbeitsplatz), oder

• personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung verarbeitet werden (z. B. durch Auskunfteien oder Adressverlage) oder die Verarbeitung für Zwecke der Markt- oder Meinungsforschung erfolgt

Das bedeutet für die geplante Reform: Fällt § 38 Abs. 1 BDSG wie geplant weg, fällt nicht nur die starre 20-Personen-Grenze. Auch die spezifisch deutschen Pflichten bei Markt- und Meinungsforschung oder bei Vorliegen einer DSFA fallen in dieser Form weg. Es gilt dann für alle Unternehmen – ob Großkonzern oder Startup – ausschließlich der risikobasierte Ansatz des Art. 37 DSGVO.

Das Aus für den DSB? Der politische Weg von 2024 bis 2026

Die Debatte ist nicht neu. Bereits am 22. März 2024 befasste sich das Bundesratsplenum mit einer Ausschussempfehlung, § 38 Abs. 1 BDSG zu streichen. Die Empfehlung fand damals jedoch keine Mehrheit.

Mit der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat das Thema jedoch neuen Schwung bekommen. Im Beschlusspapier heißt es in Nr. 160 sinngemäß:

 „Der Bund wird bis zum 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen und damit die Pflicht zur Bestellung von Datenschutzbeauftragten im nichtöffentlichen Bereich auf die Regelung in Artikel 37 DSGVO beschränken.“

Damit ist die Abschaffung politisch gewollt, aber rechtlich noch nicht vollzogen. Ein konkreter Gesetzentwurf liegt zum jetzigen Zeitpunkt noch nicht vor.

Streitpunkt Bürokratie: Argumente für und gegen die DSB Pflicht

Befürworter der Abschaffung argumentieren vor allem mit dem Bürokratieabbau. Gerade kleine und mittlere Unternehmen empfinden die Pflicht zur Benennung eines DSB als Belastung – besonders dann, wenn ihre Datenverarbeitung kein erhöhtes Risiko birgt. Zudem bestehe mit Art. 37 DSGVO ein ausreichendes Regelwerk.

Kritiker warnen vor den Folgen.

• Der Berufsverband der Datenschutzbeauftragten (BvD) hatte sich bereits 2024 gegen eine Streichung ausgesprochen und sieht im DSB einen unverzichtbaren Ansprechpartner. Alle Anforderungen der DSGVO würden weiter gelten, nur die fachkundige interne Unterstützung für die Umsetzung entfiele. Das Problem sei die gebündelte Komplexität europarechtlicher Verpflichtungen und nicht die § 38 BDSG-Pflicht.

„Wer sollte denn am besten das Risiko einer hochkomplexen Datenverarbeitung im Zeitalter von KI und internationalen Datentransfers einschätzen können, wenn nicht der DSB?“

— Berufsverband der Datenschutzbeauftragten, 2024

• Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hat sich in seinem Tätigkeitsbericht 2026 ebenfalls gegen den Wegfall ausgesprochen. Ohne die klare 20-Personen-Schwelle entstehe Rechtsunsicherheit: Unternehmen müssten künftig selbst beurteilen, ob ihre Verarbeitung unter Art. 37 DSGVO fällt.

Was könnte sich für Unternehmen 2026 ändern?

Die wichtigste Klarstellung vorweg: Eine Streichung von § 38 Abs. 1 BDSG bedeutet keine Streichung von Datenschutzpflichten. Sämtliche materiellen Anforderungen der DSGVO bleiben vollständig bestehen. Die Abschaffung reduziert also nicht die Pflichten, sondern entfernt nur die Person, die bei deren Erfüllung hilft.

„In Deutschland sind sie seit 1977, als sie im BDSG verankert wurden, eine Erfolgsstory: die betrieblichen und behördlichen Datenschutzbeauftragten, die vor Ort überall dort unterstützen, wo Datenschutzkenntnisse gefragt sind.“

— Marit Hansen, ULD Schleswig-Holstein, Tätigkeitsbericht 2026, Ziffer 1.5

Gleichzeitig greift Art. 37 DSGVO unabhängig von § 38 BDSG. Folgende Unternehmen müssen voraussichtlich also auch ohne die deutsche Schwelle weiterhin einen DSB benennen:

• Unternehmen mit Überwachungsfokus: Deren Kerntätigkeit besteht in der umfangreichen, regelmäßigen und systematischen Überwachung (z. B. Auskunfteien, Scoring-Dienstleister, Verlage mit Tracking).
• Unternehmen mit sensiblen Daten: Wenn im großen Umfang besondere Kategorien personenbezogener Daten verarbeitet werden (z. B. Gesundheitsdaten in Kliniken oder größeren Arztpraxen).

Für ein Handwerksunternehmen mit 30 Mitarbeitenden, das primär Kunden- und Beschäftigtendaten verwaltet, würde die Pflicht vermutlich entfallen. Für ein Health-Tech-Startup mit Gesundheitsdaten dürfte sie über Art. 37 DSGVO fortbestehen.

Die Grauzone dazwischen dürfte für Unsicherheit sorgen.

Aktueller Handlungsbedarf zum Datenschutzbeauftragten

Auch wenn die politische Richtung klar scheint, gilt die aktuelle Rechtslage. Wer heute die 20-Personen-Schwelle überschreitet, muss weiterhin einen DSB benennen. Sinnvoll ist jedoch eine vorausschauende Prüfung:

• Art. 37 DSGVO prüfen: Würde die Benennungspflicht auch ohne § 38 BDSG bestehen? Wer diese Frage mit Ja beantwortet, für den ändert sich ohnehin nichts.
• Risikobewertung dokumentieren: Wer künftig keinen DSB mehr benennt, sollte nachvollziehbar dokumentieren, warum Art. 37 DSGVO nicht greift.
• Gesetzgebungsverfahren beobachten: Zwischen Ankündigung und Inkrafttreten können sich Details ändern. Noch ist nichts endgültig beschlossen.

Zudem kann ein DSB auch ohne gesetzliche Pflicht ein wertvolles Instrument sein, um Fachwissen zu bündeln und Verantwortung zu signalisieren. Dies gilt auch für KMU:

• Strukturen wachsen nicht von allein: Ein Unternehmen mit 15 Mitarbeitenden regelt den Datenschutz oft noch „nebenbei“. Ab 20 bis 30 Personen steigen jedoch die internen Datenströme oft drastisch an (HR-Software, CRM-Systeme, komplexere IT-Infrastrukturen). Wer in dieser Wachstumsphase keinen festen Verantwortlichen benennt, schleppt Altlasten und unsaubere Prozesse mit, die später nur unter massivem Kosten- und Zeitaufwand korrigiert werden können.
• Der „Kipppunkt“ zu Art. 37 DSGVO kommt schleichend: Je größer ein Unternehmen wird, desto eher führt es neue Tools ein – sei es KI-gestützte Kundenanalyse oder automatisierte Verhaltensüberwachung der Beschäftigten. Ohne einen DSB, der frühzeitig Prozesse lenkt, läuft das Unternehmen Gefahr, unbemerkt die Schwelle des Art. 37 DSGVO (z. B. „systematische Überwachung“) zu überschreiten, ohne die gesetzlich geforderten Kontrollen etabliert zu haben.
• Professionalität im Außenauftritt: Kunden, Investoren und Partner fragen heute standardmäßig nach dem Datenschutzkonzept (oft im Rahmen von Compliance-Audits oder Auftragsverarbeitungsverträgen). Ein offiziell benannter DSB – ob intern oder extern – signalisiert Professionalität und schafft Vertrauen, noch bevor das Unternehmen in die Riege der Großkonzerne aufsteigt.

Weniger Pflicht, aber kein Deut weniger Verantwortung

Stand heute besteht die Pflicht zur Benennung eines Datenschutzbeauftragten nach § 38 Abs. 1 BDSG weiterhin fort. Zwar hat die Bundesregierung in der Föderalen Modernisierungsagenda vom 04.12.2025 angekündigt, bis zum 31.12.2026 eine Aufhebung der Vorschrift einzubringen. Eine entsprechende Rechtsänderung ist bislang jedoch nicht in Kraft getreten. Unabhängig davon bleibt die Benennungspflicht nach Art. 37 DSGVO bestehen.

Die mögliche Abschaffung von § 38 Abs. 1 BDSG ist jedoch kein Freifahrtschein. Sie verlagert die Verantwortung von einer klaren numerischen Schwelle hin zu einer risikobasierten Einzelfallbewertung. Wer den Datenschutzbeauftragten bislang nur als bürokratische Pflicht betrachtet hat, sollte die aktuelle Debatte zum Anlass nehmen, seine Rolle neu zu bewerten: Nicht als regulatorische Last, sondern als strategischen Vorteil in einer datengetriebenen Wirtschaft.