{
    "slug": "datenschutzbeauftragter-pflicht",
    "titre": "Datenschutzbeauftragter – wann ist die Benennung verpflichtend?",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten (DSB) ergibt sich aus Art. 37 Abs. 1 DSGVO und – speziell für Deutschland – aus § 38 Abs. 1…",
    "resume_court": "Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten (DSB) ergibt sich aus **Art. 37 Abs. 1 DSGVO** und – speziell für Deutschland – aus **§ 38 Abs. 1 BDSG**. Verantwortliche und Auftragsverarbeiter müssen einen DSB benennen, wenn sie eine Behörde sind, ihre Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung Betroffener oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfasst. In Deutschland gilt zusätzlich die **20-Personen-Schwelle**: sobald **in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt** sind. Unabhängig von der Personenzahl ist ein DSB zu benennen, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zur Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden (§ 38 Abs. 1 Satz 2 BDSG).",
    "faits": [
        {
            "point": "Rechtsgrundlage EU",
            "valeur": "Verordnung (EU) 2016/679, Artikel 37 [DSGVO Art. 37]",
            "autorite": "A"
        },
        {
            "point": "Rechtsgrundlage Deutschland",
            "valeur": "§ 38 BDSG (nichtöffentliche Stellen), § 5 BDSG (öffentliche Stellen)",
            "autorite": "A"
        },
        {
            "point": "Pflicht für Behörden",
            "valeur": "Art. 37 Abs. 1 lit. a DSGVO – mit Ausnahme von Gerichten in ihrer justiziellen Tätigkeit",
            "autorite": "A"
        },
        {
            "point": "Pflicht bei Kerntätigkeit Überwachung",
            "valeur": "Art. 37 Abs. 1 lit. b DSGVO – umfangreiche, regelmäßige und systematische Überwachung Betroffener",
            "autorite": "A"
        },
        {
            "point": "Pflicht bei besonderen Datenkategorien",
            "valeur": "Art. 37 Abs. 1 lit. c DSGVO – umfangreiche Verarbeitung von Daten nach Art. 9 oder Art. 10",
            "autorite": "A"
        },
        {
            "point": "Deutsche 20-Personen-Schwelle",
            "valeur": "§ 38 Abs. 1 Satz 1 BDSG – mind. 20 Personen ständig mit automatisierter Verarbeitung [BDSG § 38 Abs. 1 S. 1]",
            "autorite": "A"
        },
        {
            "point": "Sondertatbestände unabhängig von Personenzahl",
            "valeur": "§ 38 Abs. 1 Satz 2 BDSG – DSFA-pflichtige Verarbeitung, geschäftsmäßige Übermittlung, Markt-/Meinungsforschung",
            "autorite": "A"
        },
        {
            "point": "Stellung (Unabhängigkeit, Weisungsfreiheit)",
            "valeur": "Art. 38 DSGVO; § 6 Abs. 3 BDSG (öffentliche Stellen); § 38 Abs. 2 BDSG verweist auf § 6 Abs. 4–6",
            "autorite": "A"
        },
        {
            "point": "Aufgaben",
            "valeur": "Art. 39 DSGVO – Information, Beratung, Überwachung, Schulungen, Anlaufstelle für Aufsichtsbehörde",
            "autorite": "A"
        },
        {
            "point": "Qualifikation",
            "valeur": "Art. 37 Abs. 5 DSGVO – berufliche Qualifikation, Fachwissen Datenschutzrecht und -praxis",
            "autorite": "A"
        },
        {
            "point": "Anstellungsverhältnis",
            "valeur": "Art. 37 Abs. 6 DSGVO – Beschäftigter oder externer Dienstleister möglich",
            "autorite": "A"
        },
        {
            "point": "Veröffentlichungspflicht",
            "valeur": "Art. 37 Abs. 7 DSGVO – Kontaktdaten veröffentlichen und Aufsichtsbehörde mitteilen",
            "autorite": "A"
        },
        {
            "point": "Kündigungs-/Abberufungsschutz (nicht-öffentlich)",
            "valeur": "§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG – Abberufung nur bei wichtigem Grund analog § 626 BGB",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß",
            "valeur": "Art. 83 Abs. 4 lit. a DSGVO – bis zu 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, Volltext (EUR-Lex, CELEX:32016R0679)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "§ 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__38.html",
            "autorite": "A"
        },
        {
            "titre": "§ 6 BDSG – Stellung der oder des Datenschutzbeauftragten (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__6.html",
            "autorite": "A"
        },
        {
            "titre": "BDSG – Bundesdatenschutzgesetz, Inhaltsübersicht (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/BJNR209710017.html",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Braucht mein Unternehmen einen Datenschutzbeauftragten? (Flyer)",
            "url": "https://www.bfdi.bund.de/DE/Service/Inhalte/Flyer/Postdienstleister/4-Datenschutzbeauftragte.html",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Rolle der Datenschutzbeauftragten und Meldeprozess nach Art. 37 DSGVO",
            "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Themen/Rolle-DSB-Meldeweg.html",
            "autorite": "A"
        },
        {
            "titre": "Datenschutzkonferenz (DSK) – Kurzpapier Nr. 12: Datenschutzbeauftragte (PDF)",
            "url": "https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_12.pdf",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt Datenschutzbeauftragter – wann ist die Benennung verpflichtend??",
            "reponse": "Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten (DSB) ergibt sich aus Art. 37 Abs. 1 DSGVO und – speziell für Deutschland – aus § 38 Abs. 1 BDSG. Verantwortliche und Auftragsverarbeiter müssen einen DSB benennen, wenn sie eine Behörde sind, ihre Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung Betroffener oder eine umfangreiche Verarbeitung besonderer Kategorien…"
        },
        {
            "question": "Für wen gilt Datenschutzbeauftragter?",
            "reponse": "Die Pflicht zur Benennung trifft sowohl Verantwortliche als auch Auftragsverarbeiter (Art. 37 Abs. 1 DSGVO). Sie gilt für öffentliche Stellen unmittelbar nach Art. 37 Abs. 1 lit. a DSGVO sowie ergänzend für die deutschen öffentlichen Stellen nach § 5 BDSG. Für nicht-öffentliche Stellen wird sie durch die deutsche Sonderregelung in § 38 BDSG erweitert: die 20-Personen-Schwelle nach § 38 Abs."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q729649",
        "Q30682903"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-09-04",
    "derniere_verification": "2026-09-04",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/datenschutzbeauftragter-pflicht"
}