Art. 37 DSGVO: Wer einen Datenschutzbeauftragten benennen muss

Solange die 20-Personen-Regel gilt, musste sich kaum ein Mittelständler mit dem Wortlaut von Art. 37 beschäftigen. Mitarbeiter zählen, fertig. Das könnte sich ändern: Bund und Länder haben am 4. Dezember 2025 vereinbart, dass der Bund bis Ende 2026 die Aufhebung von § 38 Abs. 1 BDSG einbringt. Einen Gesetzentwurf konnten wir bis Ende Oktober 2026 nicht finden, die Pflicht ab 20 Personen gilt also unverändert. Trotzdem lohnt sich die Frage jetzt: Müsste Ihr Unternehmen auch ohne diese Schwelle einen Datenschutzbeauftragten haben?

Die drei Fälle in Art. 37 Abs. 1 DSGVO

Der Artikel nennt drei Auslöser. Einer genügt.

• Buchstabe a, öffentliche Stellen: Behörden und öffentliche Stellen benennen immer einen Datenschutzbeauftragten. Ausgenommen sind nur Gerichte, soweit sie justiziell tätig sind.
• Buchstabe b, Überwachung: Die Kerntätigkeit besteht in Verarbeitungen, die wegen Art, Umfang oder Zweck eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordern.
• Buchstabe c, sensible Daten: Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 DSGVO oder von Daten über Straftaten nach Art. 10 DSGVO.

Die Mitarbeiterzahl spielt hier keine Rolle. Auch ein Start-up mit acht Leuten kann unter Buchstabe b fallen, wenn sein Produkt das Verhalten von Nutzern auswertet. Ein Betrieb mit 40 Beschäftigten fällt dagegen womöglich unter keinen der drei Buchstaben.

Was die drei unklaren Begriffe bedeuten

Die DSGVO definiert diese Begriffe nicht. Die beste Auslegungshilfe sind die Leitlinien WP 243 der europäischen Aufsichtsbehörden.

Kerntätigkeit

Gemeint ist das, womit das Unternehmen sein Geschäftsziel erreicht. Dazu zählt auch Datenverarbeitung, die davon nicht zu trennen ist: Ein Krankenhaus kann ohne Patientendaten nicht behandeln, ein Sicherheitsdienst überwacht im Auftrag seiner Kunden. Lohnabrechnung und IT-Support braucht zwar jedes Unternehmen, sie sind aber in der Regel nur Hilfstätigkeiten.

Umfangreich

Eine Zahl steht nirgends. Die Leitlinien schauen auf vier Punkte: Zahl der Betroffenen, Datenmenge, Dauer und geografische Reichweite. Als umfangreich gelten dort etwa Patientendaten eines Krankenhauses, Fahrgastdaten im Nahverkehr und Kundendaten von Banken und Versicherungen. Nicht umfangreich ist nach Erwägungsgrund 91 die Verarbeitung von Patientendaten durch einen einzelnen Arzt oder von Mandantendaten durch einen einzelnen Rechtsanwalt.

Regelmäßig und systematisch überwachen

Das ist weiter gefasst, als das Wort klingt, und nicht auf das Internet beschränkt. Die Leitlinien nennen unter anderem verhaltensbasierte Werbung, Bonitäts- und Betrugsscoring, Standortverfolgung über Apps, Kundenbindungsprogramme, Videoüberwachung und vernetzte Geräte. Entscheidend ist, dass die Verarbeitung planmäßig und wiederkehrend stattfindet und zum Geschäftsmodell gehört. Eine einzelne Kamera im Lager erfüllt das nicht ohne Weiteres.

Selbsttest: Wären Sie ohne § 38 BDSG betroffen?

Die Tabelle ersetzt keine Prüfung, zeigt aber die Richtung. Halten Sie Ihr Ergebnis schriftlich fest, auch wenn es „keine Pflicht“ lautet. Die Leitlinien empfehlen genau das, und im Gespräch mit einer Aufsichtsbehörde ist diese Notiz Ihr Nachweis.

Was der Artikel außerdem regelt

• Absatz 2, Unternehmensgruppen: Eine Gruppe darf einen gemeinsamen Datenschutzbeauftragten benennen, wenn er von jeder Niederlassung aus leicht erreichbar ist.
• Absatz 4, freiwillige Benennung: Wer nicht verpflichtet ist, darf trotzdem benennen. Dann gelten dieselben Regeln wie bei einer Pflichtbenennung.
• Absatz 5, Qualifikation: Entscheidend sind berufliche Qualifikation und Fachwissen im Datenschutzrecht. Eine bestimmte Ausbildung schreibt die DSGVO nicht vor (Voraussetzungen im Detail).
• Absatz 6, intern oder extern: Möglich sind ein Beschäftigter oder ein Dienstleister auf Grundlage eines Dienstleistungsvertrags (Ratgeber externer Datenschutzbeauftragter).
• Absatz 7, Veröffentlichung und Meldung: Die Kontaktdaten müssen veröffentlicht und der Aufsichtsbehörde mitgeteilt werden. In Sachsen geht das über das Meldeverfahren der Sächsischen Datenschutz- und Transparenzbeauftragten, die anderen Länder haben eigene Verfahren.

Wer nicht unter die Pflicht fällt, bleibt trotzdem in der Verantwortung

Das wird in der Reformdebatte oft übersehen. Die Streichung der 20-Personen-Schwelle würde nur die Benennungspflicht betreffen. Verarbeitungsverzeichnis, Auftragsverarbeitung, technische und organisatorische Maßnahmen, Betroffenenrechte und Meldungen von Datenpannen blieben Pflicht. Die Arbeit würde also nur bei der Geschäftsführung landen, wenn niemand sonst dafür zuständig ist. Deshalb stellt sich für die meisten kleineren Unternehmen eher die Frage, wer diese Aufgaben übernimmt und was das kostet.

Häufige Fragen zu Art. 37 DSGVO

Muss jedes Unternehmen nach Art. 37 DSGVO einen Datenschutzbeauftragten benennen?

Nein. Art. 37 DSGVO verpflichtet alle Behörden und öffentlichen Stellen sowie Unternehmen, deren Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Datenkategorien besteht. In Deutschland kommt § 38 BDSG hinzu, der die Pflicht derzeit schon ab 20 Personen auslöst, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Was bedeutet Kerntätigkeit in Art. 37 DSGVO?

Kerntätigkeit ist das, womit ein Unternehmen sein Geschäftsziel erreicht, einschließlich der Datenverarbeitung, die davon nicht zu trennen ist. Die Patientendaten eines Krankenhauses gehören dazu. Lohnabrechnung und IT-Support sind dagegen in der Regel nur unterstützende Tätigkeiten.

Ab wann ist eine Verarbeitung umfangreich?

Eine feste Zahl nennt die DSGVO nicht. Die europäischen Aufsichtsbehörden stellen auf die Zahl der Betroffenen, die Datenmenge, die Dauer und die geografische Reichweite ab. Ein Krankenhaus verarbeitet umfangreich, ein einzelner Arzt nach Erwägungsgrund 91 in der Regel nicht.

Was muss ich der Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO mitteilen?

Sie teilen der zuständigen Aufsichtsbehörde die Kontaktdaten des Datenschutzbeauftragten mit und veröffentlichen diese Kontaktdaten, etwa in der Datenschutzerklärung. Das Verfahren legt die jeweilige Behörde fest. In Sachsen läuft die Meldung über ein Online-Verfahren der Sächsischen Datenschutz- und Transparenzbeauftragten.

Welches Bußgeld droht bei einem Verstoß gegen Art. 37 DSGVO?

Art. 83 Abs. 4 DSGVO sieht bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das ist der gesetzliche Rahmen. Die Behörde legt die Höhe im Einzelfall fest.

Sie wollen wissen, ob Art. 37 oder § 38 BDSG bei Ihnen greift? Wir sehen uns das in einem Erstgespräch an. Wenn eine Benennung ansteht, können Sie einen externen Datenschutzbeauftragten bestellen, ab 150 € im Monat zzgl. MwSt.

Quellen: Art. 37 DSGVO im Wortlaut · § 38 BDSG, gesetze-im-internet.de · Artikel-29-Datenschutzgruppe, Leitlinien in Bezug auf Datenschutzbeauftragte (WP 243 rev.01)