Bislang verpflichtet § 38 Abs. 1 BDSG Unternehmen zur Benennung eines Datenschutzbeauftragten (DSB), wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese feste Schwelle ist eine Besonderheit des deutschen Rechts. Das deutsche Recht geht damit bislang über die unionsrechtlichen Mindestvorgaben hinaus und erfasst auch kleinere Unternehmen, deren Datenverarbeitung nicht zwangsläufig mit einem erhöhten Risiko verbunden ist. Im Unionsrecht hingegen stellt Art. 37 DSGVO nicht auf die Zahl der Beschäftigten ab, sondern auf Art, Umfang und Risikogehalt der Datenverarbeitung. Eine Benennungspflicht besteht danach insbesondere bei einer umfangreichen regelmäßigen und systematischen Überwachung oder bei einer groß angelegten Verarbeitung besonderer Kategorien personenbezogener Daten. Im Rahmen des Bürokratieabbaus plant die Bundesregierung nun den Wegfall der starren Grenzen und möchte den Fokus auf die EU-Vorgaben legen. Sie plant bis zum 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG. Folglich würde sich die Bestellung von Datenschutzbeauftragten im nichtöffentlichen Bereich auf die Regelung des Art. 37 DSGVO beschränken. 


Erleichterung für KMU?

Daraus ergibt sich ein Vorteil für kleine und mittlere Unternehmen (KMU), die bislang rein aufgrund der 20-Personen-Grenze einen Datenschutzbeauftragten bestellen mussten.Sie werden künftig von dieser Pflicht befreit, sofern keine risikoreiche Datenverarbeitung vorliegt. Nach Art.  37 DSGVO sind bei umfangreicher Datenverarbeitung besonderer Kategorien Datenbeauftragte zu bestellen. Die abstrakte Formulierung des Art. 37 DSGVO könnte in der Praxis zu Rechtsunsicherheit und rechtlichen Einzelfallprüfungen dahingehend führen, ob ein Datenschutzbeauftragter bestellt werden muss oder nicht. Die starre 20-Personen-Grenze aus § 38 BDSG bietet Unternehmen dagegen den Vorteil, ohne rechtliche Beratung zu wissen, wann sie einen DSB benennen müssen.


Kein Wegfall der Datenschutzpflichten

Sollte die Benennungspflicht künftig entfallen, bedeutet das keineswegs auch einen Wegfall von Datenschutzpflichten. Die Vorgaben der DSGVO bleiben bestehen, so zum Beispiel Informations- und Auskunftspflichten, das Erstellen von Verzeichnissen und Löschkonzepten, die Umsetzung technischer und organisatorischer Maßnahmen sowie die Meldung von Datenschutzvorfällen. Zusätzlich muss die Verwendung von KI im Unternehmen datenschutzrechtlich begleitet sein.

Fazit: Weniger formale Benennungspflicht bedeutet nicht weniger Datenschutzpflichten. Auch wenn gesetzliche Erleichterungen kommen sollten, sollten Unternehmen nicht vorschnell auf datenschutzrechtlich geschulte Datenschutzbeauftragte verzichten. Eine gute Datenschutzorganisation bleibt unabhängig von gesetzlichen Verpflichtungen auch ein Wettbewerbs- und Vertrauensfaktor.