Datenschutzbeauftragter: ab wann euer Träger einen braucht und wen

Nils Rieter · Gründer von Lotsana, IT-Unternehmer aus dem Raum Köln. Baut Fachsoftware für ambulante soziale Dienste und schreibt hier über die Praxis dahinter.

„Wir sind doch nur zwölf Leute, wir brauchen keinen Datenschutzbeauftragten." Diesen Satz hört man in der Branche oft. Er ist gefährlich, weil er nur die halbe Rechtslage kennt. Die 20-Personen-Regel ist nicht die einzige Schwelle. Für Träger, die Sozial- und Gesundheitsdaten verarbeiten, führt oft ein zweiter, weniger bekannter Weg zur Benennungspflicht.

Stand: Juli 2026. Grundlage: Art. 37–39 DSGVO, § 38 BDSG. Fachliche Orientierung, keine Rechtsberatung. Kirchliche Träger: Für euch gelten KDG bzw. DSG-EKD mit eigenen Regeln, siehe unten.

Weg 1: die 20-Personen-Regel (§ 38 BDSG)

Ein:e Datenschutzbeauftragte:r (DSB) ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wichtig für die Zählung:

Es zählt die Kopfzahl, nicht Vollzeitstellen: Teilzeit, Minijob und Honorarkräfte zählen mit.
„Automatisierte Verarbeitung" heißt praktisch: arbeitet regelmäßig mit personenbezogenen Daten am PC oder Smartphone. Bei ambulanten Diensten trifft das fast alle. Wer Falldoku schreibt, Leistungsnachweise erfasst oder dienstliche Mails liest, ist dabei.
Ein Träger mit 20 Fachkräften inklusive Aushilfen liegt damit meist über der Schwelle, auch wenn rechnerisch nur zwölf Vollzeitstellen dahinterstehen.

Weg 2: die DSFA-Falle greift unabhängig von der Größe

Der übersehene Teil steht in § 38 Abs. 1 Satz 2 BDSG: Unterliegt eine Verarbeitung der Datenschutz-Folgenabschätzung, ist ein DSB zu benennen, und zwar unabhängig von der Zahl der Beschäftigten. Wie im DSFA-Artikel gezeigt, ist die DSFA bei umfangreicher Verarbeitung von Gesundheits- und Sozialdaten schnell Pflicht. Die Logik ist unbequem, aber konsequent: Wer eine DSFA-pflichtige Verarbeitung betreibt, braucht in der Regel auch einen DSB, selbst als Fünf-Personen-Dienst.

Dazu kommt Art. 37 Abs. 1 lit. c DSGVO: Besteht die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien, ist der DSB europaweit Pflicht. Die Falldokumentation ist eure Kerntätigkeit. Ob sie „umfangreich" ist, hängt von Fallzahlen, Datenumfang und Dauer ab. Ein größerer ambulanter Dienst sollte hier nicht auf die Ausnahme wetten. Ehrliches Fazit: Ab einer Handvoll Fachkräfte mit digitaler Falldoku fährt man mit einem DSB fast immer richtig. Und die Bestellung ist deutlich billiger als die Diskussion mit der Aufsichtsbehörde, warum keiner da war.

Intern oder extern?

	Intern	Extern
Vorteile	Kennt Haus und Abläufe, kurze Wege	Fachkunde fertig eingekauft, keine Fortbildungskosten, kein Kündigungsschutz-Thema, haftpflichtversichert
Nachteile	Fortbildung nötig, bindet Arbeitszeit, besonderer Abberufungs- und Kündigungsschutz, Interessenkonflikte drohen	Kostet laufend Honorar, kennt den Alltag nur aus Terminen
Passt oft für	Größere Träger mit eigener Verwaltung	Kleine und mittlere Dienste

Wichtig bei interner Besetzung: Der DSB darf sich nicht selbst kontrollieren. Geschäftsführung, Vorstand, IT-Leitung und Personalleitung scheiden wegen Interessenkonflikts aus. Und: Der DSB braucht nachweisbare Fachkunde. Ein Wochenend-Goodwill ohne Schulung genügt nicht.

Nach der Benennung: drei Pflichten, die oft vergessen werden

Kontaktdaten veröffentlichen, üblicherweise in der Datenschutzerklärung eurer Website.
Der Aufsichtsbehörde melden. Jedes Bundesland hat dafür ein Online-Formular.
Einbinden, nicht abheften: Der DSB berät bei DSFA, prüft AVVs mit, ist Anlaufstelle bei Datenpannen und für Betroffene. Die Verantwortung bleibt trotzdem bei der Leitung. Ein DSB ist Berater und Kontrolleur, kein Blitzableiter.

Kirchliche Träger: eigenes Recht

Caritas- und Diakonie-nahe Träger unterliegen nicht der DSGVO/BDSG-Systematik, sondern dem KDG (katholisch) bzw. DSG-EKD (evangelisch), mit eigenen Schwellen, eigenen Aufsichtsbehörden und teils strengeren Benennungspflichten. Die Grundlogik (ab bestimmter Größe oder bei sensiblen Kerntätigkeiten: örtliche:r Beauftragte:r) ist ähnlich, die Details regelt euer Verband. Fragt dort nach, bevor ihr die weltliche Checkliste anwendet.

Ob intern oder extern: Eurem DSB macht ihr das Leben leicht, wenn Rollen & Rechte, Audit-Log, Löschkonzept und TOM-Dokumentation des Software-Anbieters fertig vorliegen. Lotsana bringt das mit, Hosting in Deutschland inklusive. Für den Prüfungsfall: das kostenlose DSFA-Muster.

Weiterlesen

Stand: 15. Juli 2026. Dieser Artikel ist eine fachliche Orientierung und keine Rechtsberatung. Maßgeblich sind DSGVO, BDSG bzw. KDG/DSG-EKD und die Auskünfte der zuständigen Aufsicht.

Passend dazu auf lotsana.de: Software für Trägerorganisationen · Klientenverwaltung