Warum Datenschutz?
Verunsichert durch Meldungen immer wiederkehrender Prüfungswellen der Landesdatenschutzbehörden? Wir bringen Klarheit ins Gesetzeschaos.
Zurück zur ÜbersichtVerunsichert durch Meldungen immer wiederkehrender „Prüfungswellen“ der Landesdatenschutzbehörden (oft mit dem Ergebnis zahlreicher Bußgeldbescheide), befassen sich in letzter Zeit auch vermehrt kleinere Unternehmen mit dem – für sie manchmal leidigen – Thema Datenschutz. Doch die teils verwirrende Gesetzesregelung in der DSGVO und im BDSG hinterlässt bei den meisten mehr Fragen als Antworten. Damit Ihnen nicht Gleiches widerfährt, sollen die nachfolgenden Erläuterungen ein wenig Klarheit bringen.
In welcher Form wird der Datenschutz für mein Unternehmen relevant?
Der Gesetzgeber möchte personenbezogene Daten vor einer unberechtigten Nutzung durch Unternehmen schützen. Personenbezogene Daten sind generell gesagt Informationen über eine bestimmte Person – eine Telefonnummer, eine Bankverbindung oder eine Wohnadresse. Da dem Gesetzgeber bewusst war, dass gerade bei Unternehmen ein großes Interesse an solchen Daten besteht, hat er diesen unter anderem eine interne Selbstkontrolle auferlegt. Hierfür ist der betriebliche Datenschutzbeauftragte zuständig.
Stichwort Datenschutzbeauftragter – wann benötige ich einen solchen?
Einen Datenschutzbeauftragten brauchen Sie nach Art. 37 DSGVO und § 38 BDSG insbesondere, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht, wenn Sie Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung unterliegen, oder personenbezogene Daten geschäftsmäßig zur Übermittlung oder für Markt- oder Meinungsforschung verarbeiten. Außerdem, wenn Ihre Kerntätigkeit in der umfangreichen Überwachung von Personen oder der umfangreichen Verarbeitung besonders sensibler Daten – etwa Gesundheitsdaten – besteht. Praxen und Kanzleien mit mehreren Berufsträgern fallen deshalb in der Regel schon unter 20 Personen darunter; ausgenommen ist nach Erwägungsgrund 91 nur der einzeln tätige Berufsträger.
Die magische 20-Personen-Grenze
Gezählt werden alle Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten zu tun haben – nicht nur Vollzeitkräfte, sondern auch Teilzeitkräfte, Auszubildende, Praktikanten und je nach Einbindung auch freie Mitarbeitende. ‚Ständig‘ heißt: Die Arbeit mit Daten gehört regelmäßig zu den Aufgaben, etwa mit E-Mail, CRM oder Kundendaten. In den meisten Büros zählt damit fast jede Person. Wichtig: Auch ohne Datenschutzbeauftragten gelten alle Pflichten der DSGVO.
Externer oder interner Datenschutzbeauftragter – was ist besser?
Der betriebliche Datenschutzbeauftragte muss nicht unbedingt im Unternehmen selber beschäftigt sein. Der Gesetzgeber überlässt es grundsätzlich den Verantwortlichen, sich zwischen einem Beschäftigten und einer externen Person zu entscheiden. So ist der im Unternehmen Beschäftigte meist besser mit den betriebsinternen Abläufen vertraut. Dagegen hat der externe Datenschutzbeauftragte regelmäßig die bessere Sachkenntnis und benötigt nur wenig Zeit, um das Unternehmen datenschutzrechtlich abzusichern. Gerade für kleinere und mittlere Unternehmen ist das eine Überlegung wert.
Stand: 10/2026
Aktuelles im Blog
Vertiefende Fachartikel aus unserem Magazin
Trump v. Slaughter: Welche Auswirkungen hat das Urteil für Europa?
Das Supreme Court Urteil Trump v. Slaughter könnte auch für Europa weitreichende Konsequenzen haben. Im schlimmsten Fall fällt das Data Privacy Framework (DPF), das als Rechtsgrundlage für Datentransfers in die USA dient. Wie es dazu kommt und wie Sie sich darauf vorbereiten können, erfahren Sie in diesem Blogbeitrag.
Weiterlesen
Wird Google reCAPTCHA jetzt DSGVO konform?
Seit 2. April 2026 ist Google bei reCAPTCHA Auftragsverarbeiter. Was das für DSGVO, Einwilligung und US-Transfer nun konkret bedeutet.
Weiterlesen
Auftragsverarbeitung beendet: Was nun? Die sichere Löschung von Daten nach Art. 28 DSGVO
Nach Ende der Auftragsverarbeitung müssen Daten gelöscht oder zurückgegeben werden. Was Art. 28 DSGVO und das BGH-Urteil vom 11.11.2025 von Verantwortlichen fordern.
Weiterlesen