Startseite · Artikel

Die 20-Personen-Schwelle soll fallen, gilt aber noch

Angekündigt ist nicht beschlossen. Die Bundesregierung hat in ihrer Föderalen Modernisierungsagenda vom 4. Dezember 2025 erklärt, sie werde eine Abschaffung von § 38 Abs. 1 BDSG bis Ende 2026 auf den Weg bringen. Auf den Weg bringen heißt einen Entwurf einbringen, und selbst der liegt bis heute nicht vor.

Was der Paragraf heute verlangt

Nicht öffentliche Stellen müssen einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Das klingt nach einer Hürde für mittlere Betriebe, ist in der Praxis aber niedriger, als viele denken.

Gezählt werden Personen, nicht Vollzeitstellen. Aushilfen und Teilzeitkräfte zählen mit. Und die Tätigkeit muss keine Datenschutzaufgabe sein. Wer am Rechner Bestellungen bearbeitet, Rechnungen schreibt oder Kundenanrufe in ein System einträgt, verarbeitet personenbezogene Daten automatisiert. In einem Handwerksbetrieb mit fünfundzwanzig Leuten kann die Schwelle deshalb erreicht sein, obwohl niemand dort einen Bürojob im engeren Sinn hat.

Warum die Streichung länger dauert, als die Schlagzeile suggeriert

Zwischen einer Ankündigung und einem geltenden Gesetz liegen die Abstimmung zwischen den Ressorts, ein Kabinettsbeschluss, zwei Lesungen im Bundestag, die Beteiligung des Bundesrats und am Ende die Verkündung im Bundesgesetzblatt. Der Bundesrat hat sich mit dem Bundesdatenschutzgesetz zwar befasst, eine Streichung des § 38 wurde dabei nicht beschlossen.

Dazu kommt Widerstand aus der Aufsicht selbst. Das unabhängige Landeszentrum für Datenschutz Schleswig-Holstein hat vor dem Wegfall gewarnt, weil der betriebliche Datenschutzbeauftragte im Betrieb Fragen klärt, die sonst bei der Behörde landen.

Was du daraus machst

Wenn du heute über der Schwelle liegst, benennst du jemanden. Die Ankündigung schützt dich nicht, und ein Verstoß gegen die Benennungspflicht ist nach Artikel 83 DSGVO mit bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes bedroht, je nachdem, was höher ist. Für einen kleinen Betrieb wird nie diese Summe fällig, aber ein vierstelliger Betrag ist realistisch, und die Bußgeldhöhe ist nicht die eigentliche Last. Die eigentliche Last ist das Verfahren.

Falls du knapp darunter liegst, lohnt eine Zählung auf Papier, weil das im Ernstfall die Frage ist, die dir gestellt wird. Und wenn die Streichung irgendwann kommt, entfällt damit nur die deutsche Zusatzschwelle. Die europäischen Fälle aus Artikel 37 DSGVO bleiben, ebenso alle übrigen Datenschutzpflichten.

Weiter zu den Fällen, in denen die Zahl keine Rolle spielt

Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen wieder und ersetzt keine Prüfung deines Einzelfalls. Der Stand der Gesetzgebung kann sich kurzfristig ändern, maßgeblich sind der Gesetzestext und die Auskunft deiner Aufsichtsbehörde. Bei Unsicherheit wende dich an einen Rechtsanwalt.