DSB-Pflicht 2026: Brauchen KMU in der Region nach der BDSG-Reform noch einen Datenschutzbeauftragten?

In Gesprächen mit Geschäftsführern aus Tübingen, Reutlingen und dem Zollernalbkreis höre ich seit Monaten denselben Satz: „Wenn die Reform kommt, brauchen wir doch keinen Datenschutzbeauftragten mehr.“ Die Hoffnung ist verständlich. Die Schlussfolgerung ist oft zu früh.

Dieser Beitrag ordnet den Stand der Diskussion vorsichtig ein – ohne Panik und ohne politische Spekulation. Denn: Eine angekündigte Reform ist kein geltendes Gesetz. Und selbst wenn die deutsche Zusatzpflicht gelockert würde, bleibt die europäische DSGVO.

Was derzeit gilt: Art. 37 DSGVO und § 38 BDSG

Aktuell greifen zwei Ebenen. Art. 37 DSGVO verpflichtet zur Benennung eines Datenschutzbeauftragten unter bestimmten Voraussetzungen – etwa bei umfangreicher, regelmäßiger und systematischer Beobachtung von Personen oder bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9). Das gilt EU-weit und ist nicht „deutscher Sonderweg“.

Daneben enthält § 38 BDSG die bekannte deutsche Schwelle: In vielen Fällen ist ein DSB zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Genau diese nationale Zusatzregel wird in Reformdebatten häufig thematisiert.

Wichtig für die Praxis: Auch ohne DSB-Pflicht gelten Auskunft, Löschung, TOMs, Verarbeitungsverzeichnis und Rechenschaftspflicht weiter. Kein DSB bedeutet nicht „kein Datenschutz“.

Reform angekündigt ≠ Recht in Kraft

In politischen und fachlichen Debatten wird diskutiert, die deutsche Benennungsschwelle zu entschärfen oder anzupassen. Solange aber kein abgeschlossenes Gesetzgebungsverfahren mit verkündetem, in Kraft getretenem Text vorliegt, bleiben die heutigen Regeln maßgeblich. Ankündigungen, Referentenentwürfe oder Medienberichte ändern die Rechtslage nicht.

Für KMU in der Neckar-Alb heißt das konkret: Entscheiden Sie nicht auf Basis von Schlagzeilen. Prüfen Sie den Status anhand der aktuell geltenden Normen und – im Zweifel – mit fachkundiger Einschätzung. Ich halte mich in Beratungen bewusst zurück, bevor etwas verkündet und anwendbar ist.

Was bleibt – auch wenn § 38 gelockert würde

Selbst wenn die 20er-Schwelle eines Tages entfiele oder angehoben würde, bleiben typische Fälle nach Art. 37 DSGVO bestehen. Beispiele aus der Region:

Arztpraxen und Pflegedienste mit umfangreicher Verarbeitung von Gesundheitsdaten
Unternehmen mit intensiver Videoüberwachung oder systematischem Profiling
Betriebe, deren Kerntätigkeit die umfangreiche Beobachtung von Betroffenen ist

Kurz: Wer heute nur wegen § 38 BDSG einen DSB hat, könnte sich in einer Reformwelt anders positionieren. Wer wegen Art. 37 ohnehin pflichtig ist, nicht.

Das Risiko, den DSB vorschnell zu streichen

Ich erlebe Betriebe, die den Vertrag „auf Zuruf“ kündigen wollen, sobald die Reform in den Nachrichten ist. Das ist riskant aus drei Gründen:

Erstens kann die Pflicht weiterhin bestehen – Art. 37 oder andere Konstellationen. Zweitens entstehen Übergabelücken: Verarbeitungsverzeichnis, TOMs, Schulungsnachweise und Meldungen an die Aufsicht (in Baden-Württemberg der LfDI) müssen sauber stehen. Drittens entfällt mit dem DSB oft die einzige Person, die Auskunftsersuchen und Vorfälle strukturiert begleitet – genau dann, wenn sie gebraucht wird.

Wenn Sie den Status prüfen lassen wollen: Im kostenlosen Erstgespräch klären wir, ob Sie (noch) pflichtig sind und welche Optionen sinnvoll sind. Festpreise und Modelle finden Sie auch auf externer-datenschutzbeauftragter-kosten.de; die nationale Einordnung auf kowoll-protects.de.

Wann ein externer DSB weiter sinnvoll bleibt

Auch ohne gesetzliche Pflicht bleibt ein externer DSB für viele KMU die günstigere Variante gegenüber dem „irgendwie selbst machen“:

Interessenkonflikte (Geschäftsführung/IT/HR) entfallen
Fachkunde und Vertretung sind von Tag eins vorhanden
Schulungen, AV-Verträge und Vorfallprozesse laufen nicht nebenbei
Bei wachsender Cloud-/KI-Nutzung steigt der Beratungsbedarf oft stärker als die Kopfzahl

Gerade in Handwerk und Mittelstand der Region ist der DSB selten „Bürokratie auf Vorrat“, sondern der Filter, der verhindert, dass WhatsApp-Kundenchat, M365 und Bewerberordner irgendwann zum Problem werden.

Praktischer Fahrplan für Betriebe in der Region

1. Status quo dokumentieren: Warum wurde der DSB benannt (Art. 37, § 38, freiwillig)?
2. Reformmeldungen sammeln, aber nicht handeln, bevor Recht in Kraft ist.
3. Übergabe und LfDI-Meldung nur mit Plan ändern – nie „einfach auslaufen lassen“.
4. DSGVO-Pflichten unabhängig vom DSB absichern (Auskunft, Löschung, TOMs).
5. Bei Unsicherheit: kurzes Erstgespräch statt Internet-Gerüchte.

Fazit: Die Diskussion um die BDSG-Reform ist real – geltendes Recht ändert sich aber erst, wenn der Gesetzgeber fertig ist. Bis dahin gilt der heutige Rahmen. Und selbst danach bleibt Art. 37 DSGVO. Wer in Tübingen oder Reutlingen den DSB streichen will, sollte das als bewusste Compliance-Entscheidung machen – nicht als Reaktion auf eine Überschrift.

Für viele Betriebe in der Region ist die Frage emotional aufgeladen: Der DSB erscheint als Kostenstelle, die Reform als Chance zum Sparen. Ich rate trotzdem zur kühlen Inventur. Zählen Sie, warum der DSB ursprünglich benannt wurde. Liegt der Grund in der 20er-Schwelle, in besonderen Datenkategorien oder in einer freiwilligen Entscheidung gegenüber Kunden und Ausschreibungen? Diese drei Motive führen zu drei unterschiedlichen Strategien.

Wenn Kunden oder öffentliche Auftraggeber einen benannten DSB verlangen, kann die Rolle auch ohne gesetzliche Pflicht wirtschaftlich sinnvoll bleiben. Dasselbe gilt, wenn Sie regelmäßig Auskunftsersuchen, Bewerberprozesse oder Cloud-Einführungen begleiten lassen. Die Reformdebatte ändert nichts daran, dass Bußgelder und Reputationsschäden aus konkreten Fehlern entstehen – nicht aus dem bloßen Vorhandensein eines DSB.

Ein weiterer Punkt, der in der Neckar-Alb unterschätzt wird: Konzern- und Gruppenstrukturen. Tochtergesellschaften, gemeinsame IT und geteilte Personalverwaltung können die Pflichtlage verschieben. Wer „wir sind nur 18 Leute“ denkt, aber in einer Gruppe mit zentraler CRM-Cloud hängt, sollte die Betrachtung nicht am Briefkopf stoppen lassen.

Und noch einmal deutlich: Solange kein neues Gesetz verkündet und in Kraft ist, arbeiten wir mit dem heutigen Rahmen. Ich aktualisiere Mandate und Website-Texte erst, wenn die Rechtslage belastbar ist – nicht wenn ein Entwurf durch die Presse geht. Das ist unbequem für alle, die schnell sparen wollen. Es ist aber der einzige Weg, der bei einer Prüfung standhält.

(Allgemeine Orientierung, keine Rechtsberatung im Einzelfall.)