Blog · 24. September 2026
Kein Datenschutzbeauftragter mehr ab 20 Mitarbeitern? Was bleibt, wenn die Pflicht fällt
Die Bundesregierung will die deutsche Sonderregel streichen, nach der Betriebe ab 20 Mitarbeitern einen Datenschutzbeauftragten brauchen. Viele Geschäftsführer lesen daraus: Datenschutz erledigt sich. Das Gegenteil ist der Fall, und ich sage das mit offenem Visier, denn ich bin selbst Datenschutzbeauftragter.
Ich schreibe diesen Beitrag mit einem offenen Hinweis vorweg: Ich bin externer Datenschutzbeauftragter. Die geplante Änderung betrifft also auch mein Geschäft. Gerade deshalb will ich sie so nüchtern wie möglich einordnen: was sich ändern soll, was nicht, und wie Sie für Ihren Betrieb eine vernünftige Entscheidung treffen.
Was beschlossen ist und was nicht
Heute gilt in Deutschland: Sind in Ihrem Betrieb in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, müssen Sie einen Datenschutzbeauftragten benennen. So steht es im Bundesdatenschutzgesetz. Das ist eine deutsche Besonderheit; die DSGVO selbst kennt keine solche Mitarbeiterschwelle.
Anfang Juli 2026 hat der Koalitionsausschuss beschlossen, diese Schwelle zu streichen. Künftig soll ein Datenschutzbeauftragter nur noch dann Pflicht sein, wenn die DSGVO es verlangt. Das ist vor allem der Fall, wenn die Kerntätigkeit eines Unternehmens in der umfangreichen, regelmäßigen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonders sensibler Daten, etwa von Gesundheitsdaten.
Wichtig für die Einordnung: Nach meinem Kenntnisstand liegt noch kein Gesetzentwurf vor. Angekündigt ist, ihn bis Ende 2026 einzubringen. Danach folgt erst das Gesetzgebungsverfahren. Bis dahin gilt die heutige Regel unverändert. Wer heute einen Datenschutzbeauftragten benennen muss, muss das weiterhin.
Was ohne Pflicht-DSB bleibt: alles andere
Hier liegt das eigentliche Missverständnis. Die Pflicht, jemanden zu benennen, fällt womöglich weg. Die Aufgaben, um die sich dieser Jemand bisher gekümmert hat, bleiben alle bestehen, und zwar bei der Geschäftsführung. Konkret:
Das Verzeichnis der Verarbeitungstätigkeiten. Die Ausnahme für kleine Unternehmen greift in der Praxis fast nie, weil sie bei regelmäßiger Verarbeitung nicht gilt, und die Lohnabrechnung ist regelmäßig.
Verträge mit Dienstleistern, die Daten in Ihrem Auftrag verarbeiten: Cloud, Buchhaltungssoftware, IT-Betreuung, Newsletter-Tool.
Die Meldung von Datenpannen an die Aufsichtsbehörde, in der Regel innerhalb von 72 Stunden.
Die Beantwortung von Auskunfts- und Löschanfragen, in der Regel innerhalb eines Monats.
Technische und organisatorische Schutzmaßnahmen, dokumentiert und aktuell.
Die Informationspflichten: Datenschutzerklärung, Hinweise für Bewerber und Beschäftigte.
Auch die Bußgeld- und Schadensersatzrisiken bleiben. Die Aufsichtsbehörde fragt bei einer Prüfung nicht, ob Sie einen Datenschutzbeauftragten hatten, sondern ob diese Dinge erledigt sind.
Wer macht die Arbeit dann?
Das ist die Frage, die sich jede Geschäftsführung stellen sollte. Im Wesentlichen gibt es drei Wege.
Sie erledigen es selbst oder im Team. Das kann funktionieren, wenn jemand im Betrieb Zeit, Interesse und etwas Fachwissen mitbringt und auch weiß, wann er Hilfe holen muss.
Sie holen sich punktuell Unterstützung, etwa für die Grundausstattung und bei konkreten Anlässen wie einer Datenpanne oder einem neuen KI-Tool.
Sie benennen freiwillig einen internen oder externen Datenschutzbeauftragten. Das bleibt auch ohne Pflicht möglich.
Welcher Weg passt, hängt nicht an einer Mitarbeiterzahl, sondern an ein paar ehrlichen Fragen: Wie viele und wie sensible Daten verarbeiten Sie? Wie oft kommen neue Tools dazu? Gibt es jemanden, der das Thema dauerhaft im Blick behält? Und was würde es kosten, wenn bei einer Panne oder einer Prüfung niemand weiß, was zu tun ist?
Ein Betrieb mit 30 Mitarbeitern, einer Handvoll Standardsoftware und einer aufgeräumten Dokumentation kommt womöglich gut ohne festen Datenschutzbeauftragten aus. Eine Arztpraxis, ein Pflegedienst oder ein Online-Händler mit viel Kundendatenverkehr sieht das anders und fällt unter Umständen ohnehin unter die Pflicht aus der DSGVO.
Fazit
Die geplante Streichung der 20-Personen-Schwelle ist kein Freifahrtschein, sondern eine Verschiebung von Verantwortung. Die Pflicht zur Benennung fällt womöglich weg, die Arbeit bleibt. Bis ein Gesetz beschlossen ist, ändert sich ohnehin nichts.
Mein Rat: Nutzen Sie die Zeit, um zu klären, wer diese Aufgaben in Ihrem Betrieb künftig trägt. Wenn Sie dabei eine neutrale Einschätzung möchten, auch wenn die Antwort am Ende „Sie brauchen keinen“ lautet, sprechen Sie mich gern an. Das Erstgespräch ist kostenlos.
Stand: 24. September 2026. Ein Gesetzentwurf lag zu diesem Zeitpunkt nach meinem Kenntnisstand nicht vor.