§ 38 BDSG (DSB-Pflicht)

Deutsche Erweiterung der Benennungspflicht für Datenschutzbeauftragte aus Art. 37 DSGVO

26. April 2026 · Kategorie: DSGVO · Compliance-Kit

TL;DR

§ 38 BDSG verpflichtet zur Benennung einer oder eines Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — strenger als Art. 37 DSGVO.

Was ist § 38 BDSG (Pflicht zur Benennung von Datenschutzbeauftragten)?

Schwellenwerte für die Benennungspflicht von Datenschutzbeauftragten in DACH:

Deutschland: in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung (§ 38 Abs. 1 S. 1 BDSG) ODER Art. 37 DSGVO-Tatbestände; unabhängig von der Personenzahl bei Verarbeitungen, die einer DSFA unterliegen, oder bei geschäftsmäßiger Verarbeitung zur Übermittlung bzw. für Markt- oder Meinungsforschung (§ 38 Abs. 1 S. 2 BDSG)
Österreich: Nur Art. 37 DSGVO (keine zusätzliche Schwelle; Behörden und öffentliche Stellen, umfangreiche regelmäßige und systematische Überwachung als Kerntätigkeit, umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 oder von Daten nach Art. 10 als Kerntätigkeit)
Schweiz: nDSG Art. 10 — freiwillig, aber empfohlen

Praxisbeispiel

Maschinenbauer mit 35 Mitarbeitenden: 28 nutzen täglich CRM, ERP, E-Mail. Schwelle § 38 BDSG erreicht — die Benennung einer oder eines Datenschutzbeauftragten ist Pflicht. Ein Verstoß gegen die Benennungspflicht (Art. 37 DSGVO / § 38 BDSG) ist über Art. 83 Abs. 4 lit. a DSGVO bewehrt: Geldbuße bis 10 Mio. EUR bzw. bis 2 % des gesamten weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist.

Häufig gestellte Fragen

Wer zählt als 'beschäftigt mit automatisierter Verarbeitung'?

§ 38 BDSG stellt darauf ab, wer „ständig“ mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist; eine Minutengrenze nennt das Gesetz nicht. In der Praxis zählen dazu meist alle, die im Arbeitsalltag regelmäßig personenbezogene Daten in IT-Systemen verarbeiten — oft fast alle Büromitarbeitenden (Praxiseinschätzung, keine gesetzliche Definition).

Reicht ein externer Datenschutzbeauftragter?

Ja. Der oder die Datenschutzbeauftragte kann Beschäftigte(r) des Unternehmens sein oder die Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6 DSGVO). Praxiseinschätzung: Für die externe Lösung sprechen Fachkompetenz und Unabhängigkeit, dagegen die größere Distanz zum Betriebsalltag.

Bußgeld bei fehlendem Datenschutzbeauftragten?

Die Benennungspflicht (Art. 37 DSGVO / § 38 BDSG) fällt unter Art. 83 Abs. 4 lit. a DSGVO: Geldbuße bis 10 Mio. EUR bzw. bis 2 % des gesamten weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Die 50.000-EUR-Grenze des § 43 Abs. 2 BDSG gilt nur für Verstöße nach § 30 BDSG (fehlerhafte Auskunftsbehandlung), nicht für die Pflicht zur Benennung von Datenschutzbeauftragten.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.