Datenschutzbeauftragter im Kleinunternehmen: Wann die Bestellpflicht greift

Seit dem 26. November 2019 liegt die Schwelle für die nationale Bestellpflicht eines Datenschutzbeauftragten gemäß § 38 Abs. 1 BDSG bei 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese auf den ersten Blick klare Grenze führt in der Praxis regelmäßig zu Fehleinschätzungen, weil sie unabhängig von Art. 37 DSGVO und unabhängig von zusätzlichen Pflichten bei Risikoverarbeitungen gilt. Kleine und mittlere Unternehmen unterhalb dieser Schwelle gehen häufig davon aus, keinen Datenschutzbeauftragten bestellen zu müssen, und übersehen dabei die parallelen unionsrechtlichen Tatbestände sowie die deutsche Sonderregel für Verarbeitungen mit besonderem Risiko und für die geschäftsmäßige Übermittlung personenbezogener Daten.

Dieser Beitrag erläutert, welche Mitarbeiterzahl konkret gezählt wird, wann eine Datenschutz-Folgenabschätzung die Bestellpflicht auslöst, wie eine Bestellurkunde im kleinen Betrieb formuliert wird, welche Inhalte die Aufsichtsmeldung enthält, welche besonderen Schutzregeln den internen Beauftragten zustehen und welche Konsequenzen ein Verstoß nach Art. 83 DSGVO nach sich zieht. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service, die diese Prüfungen, die Bestellung und die laufende Dokumentation in einem auditfesten Workspace mit EU-Datenresidenz abbildet, einschließlich der 490 Audit-Vorlagen, der Berichtslinie an die Geschäftsführung und der nachweisbaren Versionierung jeder Änderung über den gesamten Lebenszyklus der Bestellung.

§ 38 Abs. 1 BDSG verpflichtet Verantwortliche und Auftragsverarbeiter in Deutschland, einen Datenschutzbeauftragten zu benennen, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Maßgeblich ist nicht die Gesamtmitarbeiterzahl, sondern die Anzahl der Personen, die regelmäßig mit Datenverarbeitung zu tun haben. Vollzeit, Teilzeit, Minijob, Auszubildende, Werkstudenten und freie Mitarbeiter zählen gleichermaßen, sofern sie automatisiert personenbezogene Daten verarbeiten. Die Zählung wird unabhängig vom arbeitsrechtlichen Status durchgeführt und ist im Streitfall durch die Personalakte und das Verzeichnis der Tätigkeiten belegbar.

Wer ein E-Mail-Postfach pflegt, ein CRM bedient, Rechnungen schreibt, Bewerbungen sichtet, ein Bestellsystem führt oder ein Kassensystem mit Kundenkarten betreibt, verarbeitet personenbezogene Daten im Sinne der Norm. In einem typischen Handwerksbetrieb mit Büro, Buchhaltung und Außendienst wird die Schwelle daher schneller erreicht, als die Beschäftigtenzahl auf der Lohnliste vermuten lässt. Auch geringfügig Beschäftigte mit gelegentlichem CRM-Zugriff sind regelmäßig befasst und damit zu zählen. Wer als externer Datenschutzbeauftragter tätig wird oder einen internen DSB bestellt, muss die Zählung sauber dokumentieren und in regelmäßigen Abständen aktualisieren, mindestens jährlich.

Die Formulierung in der Regel verlangt eine Durchschnittsbetrachtung über das Geschäftsjahr. Saisonale Spitzen, etwa im Einzelhandel oder in der Landwirtschaft, ändern die Schwelle nicht, wenn der Personalstand außerhalb der Saison deutlich darunter liegt. Umgekehrt schützt eine bewusste Aufsplittung von Tätigkeiten auf 19 Personen nicht vor der Pflicht, wenn faktisch mehr Personen mit Daten arbeiten. Konstruktive Umgehungsversuche werden von Aufsichtsbehörden regelmäßig als Umgehungsmissbrauch gewertet und führen nicht zur Befreiung von der Bestellpflicht, sondern eher zu einer Verschärfung der Sanktion. Bestellurkunde, unterschrieben, abgelegt, belegbar. Die Plattform hält den Personalstand revisionssicher fest und alarmiert automatisch bei Überschreitung der Schwelle.

Neben § 38 BDSG gilt Art. 37 Abs. 1 DSGVO, der die Bestellung eines Datenschutzbeauftragten an drei Tatbestände knüpft: Verarbeitung durch Behörden oder öffentliche Stellen, Kerntätigkeit mit umfangreicher regelmäßiger und systematischer Überwachung von Personen sowie Kerntätigkeit mit umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Diese Tatbestände gelten unabhängig von Mitarbeiterzahl oder Unternehmensgröße und sind nicht abschließend durch die BDSG-Schwelle modifizierbar.

Konkret heißt das: Eine Privatpraxis mit fünf Personen, die Patientenakten elektronisch führt, fällt unter Art. 37 Abs. 1 lit. c DSGVO. Ein Sicherheitsdienstleister mit zwölf Beschäftigten, der Videoüberwachung als Kerngeschäft anbietet, fällt unter lit. b. Auch ein kleiner Tracking- oder Profilingdienstleister, ein Online-Beratungsangebot mit Gesundheitsdaten, eine Detektei, ein Recruiting-Anbieter mit KI-gestützter Vorauswahl oder ein medizinischer Online-Dienst können trotz weniger als 20 Beschäftigter bestellpflichtig sein. Die Auslegung der Begriffe Kerntätigkeit und umfangreich orientiert sich an den WP 243-Leitlinien des Europäischen Datenschutzausschusses, die für die deutsche Aufsichtspraxis maßgeblich sind und über Art. 70 DSGVO eine kohärente Anwendung im Binnenmarkt sicherstellen.

Wer als Kleinunternehmen prüfen will, ob eine dieser Schwellen greift, sollte das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO als Ausgangspunkt nehmen. Jede Tätigkeit wird auf Sensibilität, Personenkreis, Umfang, Häufigkeit, Dauer und geografische Reichweite geprüft. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der CIVAC-Workspace verbindet das Verzeichnis mit der Bestellpflichtprüfung und schlägt automatisch Alarm, wenn eine neue Verarbeitung einen DSGVO-Tatbestand erfüllt. Die Prüfung wird in einem strukturierten Fragenkatalog hinterlegt, der von der Geschäftsführung gegengezeichnet wird und im Auditfall den Entscheidungsgang lückenlos nachvollziehbar macht, ergänzt um Begründung und Wirksamkeitsdatum.

§ 38 Abs. 1 Satz 2 BDSG ergänzt die 20-Personen-Schwelle um eine Risikokomponente: Wenn ein Unternehmen Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder zum Zweck der Markt- und Meinungsforschung verarbeitet, besteht die Bestellpflicht unabhängig von der Mitarbeiterzahl. Diese Regel wird in der Praxis häufig übersehen und ist gerade bei jungen, datenintensiven Geschäftsmodellen ein verbreiteter Stolperstein, der in Aufsichtsverfahren regelmäßig auffällt.

Die Liste der Verarbeitungen, die eine DSFA erfordern, ergibt sich aus Art. 35 Abs. 3 DSGVO und den sogenannten Black Lists der deutschen Aufsichtsbehörden. Dazu zählen unter anderem: systematisches Profiling mit Rechtswirkung, Verarbeitung besonderer Kategorien in großem Umfang, systematische Überwachung öffentlich zugänglicher Bereiche, Bonitätsbewertungen, große Patientenakten-Systeme, biometrische Identifikation und bestimmte KI-gestützte Auswertungen von Beschäftigtendaten. Ein Kleinbetrieb mit Zeiterfassung per Fingerabdruck, einer KI-gestützten Bewerbungsvorauswahl, einem Empfehlungssystem auf Basis von Kundenprofilen oder einer Standortverfolgung von Lieferflotten kann hier sofort betroffen sein.

Die DSFA selbst ist ein eigenständiger Pflichtprozess, der die Bestellung nicht ersetzt, sondern voraussetzt, weil der DSB nach Art. 35 Abs. 2 DSGVO bei der Erstellung der DSFA verpflichtend zu konsultieren ist. Wer die Bestellpflicht nicht erkennt, hat in der Regel auch keine saubere DSFA, was bei einer aufsichtsbehördlichen Prüfung zweifach geahndet werden kann. Im CIVAC-Workspace ist die DSFA-Vorlage Teil der 490 Audit-Vorlagen, und die Bestellpflichtprüfung läuft automatisch mit jedem neuen Verarbeitungseintrag, was die Konsultationspflicht des DSB technisch absichert und dokumentiert. Das Ergebnis ist eine durchgängige Spur von der Risikoerkennung über die Konsultation bis zur Restrisiko-Akzeptanz durch die Geschäftsführung, inklusive Versionsstand und Wirksamkeitsdatum.

Art. 37 Abs. 5 DSGVO verlangt vom Datenschutzbeauftragten berufliche Qualifikation, Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie die Fähigkeit zur Erfüllung der in Art. 39 DSGVO aufgeführten Aufgaben. § 38 Abs. 2 BDSG verweist auf § 6 BDSG, der die Stellung des öffentlichen DSB regelt und damit faktisch auch Maßstäbe für die Privatwirtschaft setzt. Eine formale Zertifizierung schreibt das Gesetz nicht vor, in der Aufsichtspraxis wird sie jedoch häufig verlangt, insbesondere bei Verarbeitungen mit besonderem Risiko oder bei größeren Unternehmen mit mehrstufiger Organisation. Branchenspezifische Kenntnisse, etwa im Gesundheits-, Finanz- oder Telekommunikationssektor, sind zusätzlich nachzuweisen.

Kleinunternehmen stehen vor einer betriebswirtschaftlichen Entscheidung: Interne Bestellung bedeutet, eine Person aus dem Bestand zu qualifizieren, freizustellen, in Schulungen kontinuierlich fortzubilden und besondere Kündigungsschutzregeln nach § 6 Abs. 4 BDSG zu beachten, die einen erweiterten Kündigungsschutz bis ein Jahr nach Beendigung der Bestellung vorsehen. Externer DSB bedeutet, eine fachlich qualifizierte Person aus einer Compliance-Plattform und Officer-as-a-Service zu bestellen, die unabhängig, weisungsfrei und ohne Interessenkonflikt agiert, mit einer schriftlich fixierten Vertretungsregelung und mit klar definierten Reaktionszeiten. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Interessenkonflikte sind nach Art. 38 Abs. 6 DSGVO ausdrücklich zu vermeiden. Geschäftsführer, IT-Leiter, Personalleiter, Marketingverantwortliche und Vertriebsleitungen dürfen in der Regel nicht zugleich Datenschutzbeauftragter sein, da sie über Zwecke und Mittel der Verarbeitung mitentscheiden. In sehr kleinen Betrieben führt dieser Konflikt fast zwangsläufig zur externen Lösung, weil sich die Funktionen sonst nicht trennen lassen. Die Bestellung wird mit einer Bestellurkunde dokumentiert, mit einer schriftlichen Berichtslinie an die Geschäftsleitung hinterlegt und um eine Ressourcenzusage für Schulung, Zeitbudget und Werkzeuge ergänzt, die im Auditfall belegen, dass die Funktion tatsächlich ausgeübt werden kann.

Die Bestellung des Datenschutzbeauftragten erfolgt schriftlich. Inhalt der Bestellurkunde sind: Name und Kontaktdaten der bestellten Person, Datum der Bestellung, Aufgabenumfang nach Art. 39 DSGVO, Berichtslinie an die oberste Führungsebene nach Art. 38 Abs. 3 DSGVO, Ressourcenzusage nach Art. 38 Abs. 2 DSGVO, Vereinbarung zur Verschwiegenheit nach Art. 38 Abs. 5 DSGVO, Vertretungsregelung sowie Hinweise auf den besonderen Kündigungsschutz nach § 6 Abs. 4 BDSG bei internen Beauftragten. Ohne diese Punkte ist die Bestellung formal angreifbar und wird im Bußgeldverfahren häufig als nicht wirksame Bestellung gewertet.

Nach Art. 37 Abs. 7 DSGVO sind Name und Kontaktdaten des DSB der zuständigen Aufsichtsbehörde mitzuteilen und öffentlich verfügbar zu halten, in der Regel im Impressum oder unter einer Datenschutzseite. Die Meldung erfolgt in den meisten Bundesländern über ein Online-Formular der Landesdatenschutzbehörde mit Bestätigungs-E-Mail und Sendeprotokoll. Eine Bestellung ohne Meldung erfüllt die Pflicht formal nicht und wird im Bußgeldverfahren als eigenständiger Verstoß gewertet, der mit dem Verstoß gegen die Bestellpflicht kumuliert wird.

Der Prüfer ruft an, der Nachweis liegt bereit. Im CIVAC-Workspace existiert für die Bestellung eine standardisierte Vorlage, die alle genannten Pflichtinhalte enthält und über die Berichtslinie automatisch in das digitale Compliance-Cockpit der Geschäftsführung eingebunden wird. Die Mitteilung an die Aufsichtsbehörde wird mit Sendeprotokoll, Eingangsbestätigung und Versionsstand archiviert. Auch Wechsel, Abberufung und Nachfolge sind versioniert dokumentiert, was bei späteren Bußgeldverfahren entlastend wirken kann und im Übergabefall zwischen internem und externem DSB die Lückenfreiheit absichert. Frist läuft ab Kenntnis. Der Workspace setzt die Fristen für Meldung und Veröffentlichung automatisch.

Ein Verstoß gegen die Bestellpflicht ist in Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbuße von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bewehrt, je nachdem, welcher Betrag höher ist. § 41 BDSG nimmt zusätzlich auf das Ordnungswidrigkeitenrecht Bezug und ermöglicht die Anwendung des § 30 OWiG auf juristische Personen. In der Aufsichtspraxis der deutschen Datenschutzbehörden ist die Bestellpflicht ein häufig geprüfter Aspekt, oft als Begleitfund bei der Untersuchung anderer Vorfälle wie einer Datenpanne nach Art. 33 DSGVO oder einer Beschwerde nach Art. 77 DSGVO.

Die Höhe der konkret verhängten Bußgelder schwankt erheblich. Bei kleinen Unternehmen, die die Bestellung kurzfristig nachholen, kooperieren und keine weiteren Verstöße aufweisen, werden häufig vierstellige bis niedrige fünfstellige Beträge angesetzt. Bei systematischen Versäumnissen, kombiniert mit Verstößen gegen Art. 5, 6, 13, 30 oder 32 DSGVO, steigen die Beträge schnell in den sechsstelligen Bereich. Die Liste der veröffentlichten Bußgeldentscheidungen der Aufsichtsbehörden zeigt diese Spannweite und ist über die Tätigkeitsberichte der Landesbehörden öffentlich nachvollziehbar.

Hinzu kommen reputationelle Risiken, weil Bußgeldentscheidungen häufig öffentlich werden. Vertragspartner, insbesondere Großkunden mit eigenen Auftragsverarbeitungsverträgen, verlangen zunehmend einen Nachweis über die Bestellung. Wer im Einkaufsfragebogen ankreuzen muss, dass kein DSB benannt ist, obwohl Pflicht besteht, scheidet im Vergabeprozess oft aus. Audit-fest, dokumentiert, § 38 BDSG-fest. Genau diese Nachweise lassen sich in Minuten aus dem Workspace ziehen, einschließlich Bestellurkunde, Aufsichtsmeldung und Berichtslinie. Die Kosten einer sauberen Bestellung stehen damit in einem deutlichen Missverhältnis zum Bußgeld- und Reputationsrisiko.

Die operative Umsetzung der Bestellpflicht im Kleinunternehmen lässt sich in sieben Schritten sauber strukturieren. Erstens: Erfassung aller Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, in einer fortgeschriebenen Liste mit Funktion, Beschäftigungsumfang, Datenkategorien und Zugriffsrechten. Zweitens: Abgleich gegen die 20-Personen-Schwelle mit Durchschnittsbetrachtung über zwölf Monate, dokumentiert in einer nachvollziehbaren Kalkulation mit Quartalsstichtagen. Drittens: Prüfung der DSGVO-Tatbestände nach Art. 37 Abs. 1 anhand des Verzeichnisses von Verarbeitungstätigkeiten und der WP 243-Leitlinien des Europäischen Datenschutzausschusses.

Viertens: Prüfung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist und damit die Bestellpflicht über § 38 Abs. 1 Satz 2 BDSG ausgelöst wird. Fünftens: Entscheidung intern oder extern, dokumentiert mit Begründung, Ressourcenkalkulation und Berücksichtigung möglicher Interessenkonflikte. Sechstens: Bestellung mit Bestellurkunde, Aufgabenbeschreibung, Berichtslinie, Vertretungsregelung, Ressourcenzusage und Verschwiegenheitsvereinbarung. Siebtens: Meldung an die Aufsichtsbehörde und Veröffentlichung der Kontaktdaten im Impressum oder unter einer Datenschutzseite, jeweils mit Sendeprotokoll und Eingangsbestätigung im Workspace abgelegt.

Jeder dieser Schritte muss in einem späteren Prüfverfahren rekonstruierbar sein. Die Plattform hinterlegt für jeden Schritt eine Vorlage, eine Frist, eine Verantwortlichkeit und eine Eskalationsregel. Wer die Bestellung eines externen DSB beauftragt, erhält den vollständigen Pflichtprozess als verwalteten Service mit einer SLA von zwei Werktagen statt der klassischen zwei bis sechs Wochen. Wer den Workspace selbst lizenziert, führt den Prozess mit eigenem Personal, aber mit der gleichen Vorlagenbasis, mit identischer Versionierung und mit einer revisionssicheren Spur, die im Auditfall den Entscheidungsgang lückenlos abbildet. Das Ergebnis ist in beiden Modellen die gleiche Nachweisqualität, mit dem Unterschied, dass im Service-Modell die operative Verantwortung extern liegt.

Drei Fehlerbilder dominieren die Aufsichtsverfahren gegen Kleinunternehmen. Erstens die Mitarbeiterzählung, bei der Teilzeit, Minijobs und freie Mitarbeiter nicht mitgezählt werden. Wer eine Bürokraft, zwei Außendienstmitarbeiter, einen Werkstudenten, einen externen Buchhalter mit Systemzugang und mehrere geringfügig Beschäftigte in einem Verkaufsbüro hat, kann formal über 20 Personen liegen, obwohl die gefühlte Belegschaft kleiner wirkt. Die Zählung muss objektivierbar dokumentiert sein und auf einer Stichtagsbetrachtung in Verbindung mit einer Durchschnittsrechnung beruhen, idealerweise jährlich aktualisiert.

Zweitens die Annahme, dass der Geschäftsführer oder IT-Verantwortliche zugleich DSB sein könne. Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte. Wer über Zwecke und Mittel entscheidet, kann sich nicht zugleich selbst kontrollieren. Aufsichtsbehörden haben diesen Konflikt mehrfach geahndet, mitunter mit ausdrücklichem Hinweis auf die Selbstprüfungsverbote und mit dem zusätzlichen Vorwurf der nicht wirksamen Bestellung. In sehr kleinen Strukturen ist die externe Bestellung daher häufig die einzige rechtssichere Option, weil sich die Funktionen anders nicht trennen lassen und die Doppelrolle bereits formal nicht zulässig wäre.

Drittens die unvollständige Bestellurkunde, die zwar einen Namen, aber keine Aufgabenbeschreibung, keine Ressourcenzusage, keine Berichtslinie und keine Verschwiegenheitsvereinbarung enthält. Eine solche Urkunde ist im Streitfall keine wirksame Bestellung im Sinne der DSGVO und führt zur Doppelhaftung: Verstoß gegen die Bestellpflicht und Verstoß gegen die Dokumentationspflicht nach Art. 5 Abs. 2 DSGVO. Wer auf Vorlagen aus dem Internet zurückgreift, sollte deren Rechtsstand prüfen und mindestens den Verweis auf Art. 38 und 39 DSGVO sicherstellen. Im CIVAC-Workspace ist die Vorlage Teil der 490 Audit-Vorlagen und wird bei jeder Rechtsänderung automatisch versioniert nachgezogen, mit Change-Log, Wirksamkeitsdatum und Hinweis auf betroffene bestehende Bestellungen.

Die Bestellpflicht eines Datenschutzbeauftragten ist im Kleinunternehmen weder eine Randfrage noch eine reine Mitarbeiterzahl-Mathematik. Sie ist die Schnittstelle aus § 38 BDSG, Art. 37 DSGVO und Art. 35 DSGVO, und sie entscheidet im Prüfungsfall darüber, ob die übrigen Datenschutzpflichten überhaupt belastbar dokumentiert werden konnten. Ein Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 Prozent Konzernumsatz steht im Verhältnis zu den überschaubaren Kosten einer sauberen Bestellung und einer fortlaufend gepflegten Dokumentation. Wer hier strukturiert arbeitet, reduziert nicht nur das Sanktionsrisiko, sondern auch den Aufwand bei Auftragsverarbeitungsverträgen mit Großkunden, die in ihren Einkaufsfragebögen zunehmend einen Nachweis verlangen. Die Bestellung ist damit nicht nur Pflicht, sondern auch Marktzugangsvoraussetzung im B2B-Geschäft mit anspruchsvollen Vergabeprozessen.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten und führen Sie Bestellpflichtprüfung, Bestellurkunde, Berichtslinie, Aufsichtsmeldung und Verzeichnis nach Art. 30 DSGVO in einem auditfesten System mit EU-Datenresidenz. Oder lassen Sie unsere Beauftragten bestellen und übergeben Sie den vollständigen Pflichtprozess als verwalteten Service mit einer SLA von zwei Werktagen. In beiden Fällen sind die 490 Audit-Vorlagen, das Verzeichnis nach Art. 30 DSGVO und die Meldewege in einem zentralen Workspace hinterlegt, und die Berichtslinie an die Geschäftsführung ist technisch abgebildet, mit Eskalationsregeln und Versionierung.

Wer prüfen will, ob die eigene Organisation unter die Bestellpflicht fällt, schreibt an info@civac.de oder nutzt das Kontaktformular auf civac.de/faq. Wir prüfen Mitarbeiterzahl, Verzeichnis und DSFA-Pflicht und liefern eine schriftliche Einschätzung mit Bestellempfehlung, einer Aufwandsschätzung und einer Roadmap für die ersten 30 Tage, inklusive konkreter Verantwortlichkeiten und Meilensteine. Aus dem Lesen einen Auftrag machen.