Datenschutzbeauftragter: ab wann euer Träger einen braucht – und wen
„Wir sind doch nur zwölf Leute, wir brauchen keinen Datenschutzbeauftragten." Diesen Satz hört man in der Branche oft – und er ist gefährlich, weil er nur die halbe Rechtslage kennt. Die 20-Personen-Regel ist nicht die einzige Schwelle. Für Träger, die Sozial- und Gesundheitsdaten verarbeiten, führt oft ein zweiter, weniger bekannter Weg zur Benennungspflicht.
Stand: Juli 2026. Grundlage: Art. 37–39 DSGVO, § 38 BDSG. Fachliche Orientierung, keine Rechtsberatung. Kirchliche Träger: Für euch gelten KDG bzw. DSG-EKD mit eigenen Regeln – siehe unten.
Weg 1: die 20-Personen-Regel (§ 38 BDSG)
Ein:e Datenschutzbeauftragte:r (DSB) ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wichtig für die Zählung:
- Es zählt die Kopfzahl, nicht Vollzeitstellen – Teilzeit, Minijob und Honorarkräfte zählen mit.
- „Automatisierte Verarbeitung" heißt praktisch: arbeitet regelmäßig mit personenbezogenen Daten am PC oder Smartphone. Bei ambulanten Diensten trifft das fast alle – wer Falldoku schreibt, Leistungsnachweise erfasst oder dienstliche Mails liest, ist dabei.
- Ein Träger mit 20 Fachkräften inklusive Aushilfen liegt damit meist über der Schwelle, auch wenn rechnerisch nur zwölf Vollzeitstellen dahinterstehen.
Weg 2: die DSFA-Falle – Pflicht unabhängig von der Größe
Der übersehene Teil steht in § 38 Abs. 1 Satz 2 BDSG: Unterliegt eine Verarbeitung der Datenschutz-Folgenabschätzung, ist ein DSB zu benennen – unabhängig von der Zahl der Beschäftigten. Wie im DSFA-Artikel gezeigt, ist die DSFA bei umfangreicher Verarbeitung von Gesundheits- und Sozialdaten schnell Pflicht. Die Logik ist unbequem, aber konsequent: Wer eine DSFA-pflichtige Verarbeitung betreibt, braucht in der Regel auch einen DSB – selbst als Fünf-Personen-Dienst.
Dazu kommt Art. 37 Abs. 1 lit. c DSGVO: Besteht die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien, ist der DSB europaweit Pflicht. Die Falldokumentation ist eure Kerntätigkeit. Ob sie „umfangreich" ist, hängt von Fallzahlen, Datenumfang und Dauer ab – ein größerer ambulanter Dienst sollte hier nicht auf die Ausnahme wetten. Ehrliches Fazit: Ab einer Handvoll Fachkräfte mit digitaler Falldoku fährt man mit einem DSB fast immer richtig – und die Bestellung ist deutlich billiger als die Diskussion mit der Aufsichtsbehörde, warum keiner da war.
Intern oder extern?
| Intern | Extern | |
|---|---|---|
| Vorteile | Kennt Haus und Abläufe, kurze Wege | Fachkunde fertig eingekauft, keine Fortbildungskosten, kein Kündigungsschutz-Thema, haftpflichtversichert |
| Nachteile | Fortbildung nötig, bindet Arbeitszeit, besonderer Abberufungs- und Kündigungsschutz, Interessenkonflikte drohen | Kostet laufend Honorar, kennt den Alltag nur aus Terminen |
| Passt oft für | Größere Träger mit eigener Verwaltung | Kleine und mittlere Dienste |
Wichtig bei interner Besetzung: Der DSB darf sich nicht selbst kontrollieren. Geschäftsführung, Vorstand, IT-Leitung und Personalleitung scheiden wegen Interessenkonflikts aus. Und: Der DSB braucht nachweisbare Fachkunde – ein Wochenend-Goodwill ohne Schulung genügt nicht.
Nach der Benennung: drei Pflichten, die oft vergessen werden
- Kontaktdaten veröffentlichen – üblicherweise in der Datenschutzerklärung eurer Website.
- Der Aufsichtsbehörde melden – jedes Bundesland hat dafür ein Online-Formular.
- Einbinden, nicht abheften: Der DSB berät bei DSFA, prüft AVVs mit, ist Anlaufstelle bei Datenpannen und für Betroffene. Die Verantwortung bleibt trotzdem bei der Leitung – ein DSB ist Berater und Kontrolleur, kein Blitzableiter.
Kirchliche Träger: eigenes Recht
Caritas- und Diakonie-nahe Träger unterliegen nicht der DSGVO/BDSG-Systematik, sondern dem KDG (katholisch) bzw. DSG-EKD (evangelisch) – mit eigenen Schwellen, eigenen Aufsichtsbehörden und teils strengeren Benennungspflichten. Die Grundlogik (ab bestimmter Größe oder bei sensiblen Kerntätigkeiten: örtliche:r Beauftragte:r) ist ähnlich, die Details regelt euer Verband. Fragt dort nach, bevor ihr die weltliche Checkliste anwendet.
Weiterlesen
- Datenschutz-Folgenabschätzung (DSFA): wann sie Pflicht ist
- Datenpanne: die 72-Stunden-Meldung nach Art. 33 DSGVO
- DSGVO-konforme Dokumentation & Löschkonzept
Stand: 15. Juli 2026. Dieser Artikel ist eine fachliche Orientierung und keine Rechtsberatung. Maßgeblich sind DSGVO, BDSG bzw. KDG/DSG-EKD und die Auskünfte der zuständigen Aufsicht.