Pflicht zum betrieblichen Datenschutzbeauftragten vor dem Aus?

Der aktuelle Anlass

Die Diskussion ist brandaktuell: Der Koalitionsausschuss hat am 2. Juli 2026 angekündigt, in kleinen und mittleren Unternehmen die Zahl der betrieblichen Datenschutzbeauftragten zu reduzieren. Bereits die Föderale Modernisierungsagenda von Bund und Ländern sieht vor, bis Ende 2026 die Aufhebung des § 38 Abs. 1 BDSG einzubringen. Die Benennungspflicht soll dann grundsätzlich nur noch nach Art. 37 DSGVO bestehen.

Wichtig: Ein konkreter Gesetzentwurf liegt bislang nicht vor. § 38 Abs. 1 BDSG gilt weiterhin.
 

Was bei einer Aufhebung entfallen würde

• Die 20-Personen-Schwelle: Unternehmen müssten nicht mehr allein deshalb einen Datenschutzbeauftragten benennen, weil mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten.
• Weitere deutsche Zusatzpflichten: Auch die Benennungspflicht bei einer erforderlichen Datenschutz-Folgenabschätzung sowie bei bestimmten geschäftsmäßigen Datenverarbeitungen würde entfallen.
• Art. 37 DSGVO bleibt: Ein Datenschutzbeauftragter wäre weiterhin erforderlich, etwa bei umfangreicher systematischer Überwachung oder umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten.

Mögliche Folgen für Unternehmen
 

• Weniger formale Pflicht, nicht weniger Datenschutzarbeit: Rechtsgrundlagen, Informationspflichten, Verzeichnisse, Auftragsverarbeitung, Löschkonzepte, Datenschutzverletzungen und Datenschutz-Folgenabschätzungen bleiben bestehen.
• Mehr Verantwortung bei der Unternehmensleitung: Ohne Datenschutzbeauftragten muss das Unternehmen selbst sicherstellen, dass die Aufgaben fachkundig, unabhängig und verlässlich wahrgenommen werden.
• Mehr Einzelfallprüfung: Die klare nationale Schwelle würde durch die abstrakteren Kriterien des Art. 37 DSGVO ersetzt. Das kann die rechtliche Bewertung schwieriger machen.
• Bestehende Bestellungen und Verträge laufen nicht automatisch aus: Abberufung, Kündigung und eine mögliche Neuverteilung der Aufgaben müssten gesondert geprüft werden.

Was Unternehmen jetzt tun sollten
 

• Keine vorschnellen Änderungen: Bestehende Datenschutzbeauftragte sollten nicht allein aufgrund der politischen Ankündigung abberufen werden.
• Benennungspflicht vorprüfen: Unternehmen sollten dokumentieren, ob sie auch nach Art. 37 DSGVO weiterhin einen Datenschutzbeauftragten benötigen würden.
• Datenschutzorganisation sichern: Für den Fall einer Reform sollte frühzeitig festgelegt werden, wer Beratung, Kontrolle, Schulung, Dokumentation und Behördenkommunikation übernimmt.

Ausblick
 

Die politische Richtung ist deutlich, beschlossenes Recht ist sie noch nicht. Entscheidend wird der angekündigte Gesetzentwurf sein. Erst dann lässt sich beurteilen, für welche Unternehmen die Pflicht tatsächlich entfällt und welche Übergangsregelungen gelten.

Kontakt
 

Sie möchten wissen, ob Ihr Unternehmen auch nach einer Reform einen Datenschutzbeauftragten benötigt oder wie die Datenschutzorganisation künftig gestaltet werden kann?
Wir unterstützen Sie bei der rechtlichen Einordnung und bei der praxistauglichen Ausgestaltung Ihrer Datenschutz-Governance. Melden Sie sich gern unter datenschutz@bitkom-consult.de