§ 38 Abs. 1 BDSG soll aufgehoben werden. Die Bundesregierung hat das am 4. Dezember 2025 in der Föderalen Modernisierungsagenda angekündigt und zugesagt, bis zum 31. Dezember 2026 eine entsprechende Aufhebung einzubringen. Damit entfiele die 20-Personen-Schwelle, und die Pflicht zur Benennung eines Datenschutzbeauftragten richtete sich im nichtöffentlichen Bereich allein nach Art. 37 DSGVO. Bis dahin gilt die Vorschrift unverändert: Wer benennungspflichtig ist und keinen Datenschutzbeauftragten benannt hat, handelt ordnungswidrig.
Was heute gilt
§ 38 Abs. 1 Satz 1 BDSG verpflichtet nichtöffentliche Stellen zur Benennung eines Datenschutzbeauftragten, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Dieser Schwellenwert gilt seit dem Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz EU, das am 26. November 2019 in Kraft getreten ist. Zuvor lag die Grenze bei zehn Personen.
Gezählt werden Personen, nicht Vollzeitstellen. Teilzeitkräfte, Aushilfen, Werkstudenten und Leiharbeitnehmer zählen jeweils als eine Person. Erfasst ist praktisch jede Tätigkeit mit personenbezogenen Daten am Rechner – E-Mails mit Kundennamen, Eingaben ins Warenwirtschaftssystem, Sichtung von Bewerbungen, Erstellung von Frachtbriefen mit Empfängerdaten. In den meisten Betrieben trifft das auf nahezu alle Bildschirmarbeitsplätze zu.
Unabhängig von der Personenzahl greift die Pflicht nach § 38 Abs. 1 Satz 2 BDSG, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Hinzu kommen die unmittelbar aus Art. 37 Abs. 1 DSGVO folgenden Fälle.
Was geplant ist – und was das genau bedeutet
In der Föderalen Modernisierungsagenda, die Bund und Länder am 4. Dezember 2025 beschlossen haben, heißt es unter Randnummer 160: Der Bund werde bis zum 31. Dezember 2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen und damit die Pflicht zur Bestellung von Datenschutzbeauftragten im nichtöffentlichen Bereich auf die Regelung in Art. 37 DSGVO beschränken.
Zugesagt ist, einen Entwurf einzubringen – nicht, ihn bis zum Jahresende in Kraft zu setzen. Zwischen Einbringung und Inkrafttreten liegen Ressortabstimmung, Kabinettsbeschluss, zwei Lesungen im Bundestag, die Beteiligung des Bundesrates und die Verkündung im Bundesgesetzblatt. Wer den 31. Dezember 2026 als Stichtag versteht, ab dem die Pflicht entfällt, liest die Agenda falsch.
Verfahrensstand im Juli 2026
Stand dieses Beitrags liegt weder ein Referentenentwurf noch ein Regierungsentwurf zur Aufhebung des § 38 Abs. 1 BDSG vor. Die Ankündigung ist bislang eine politische Absichtserklärung geblieben.
Am 2. Juli 2026 hat der Koalitionsausschuss ein Reformpaket beschlossen, dessen Punkt 14 unter der Überschrift „Moderner Datenschutz für mehr Wachstum“ unter anderem eine Reduzierung der Zahl erforderlicher betrieblicher Datenschutzbeauftragter in kleinen und mittleren Unternehmen vorsieht. Konkrete Gesetzestexte sind daraus bisher nicht hervorgegangen.
Zwei Punkte werden in der Diskussion regelmäßig verwechselt:
Das „Erste Gesetz zur Änderung des BDSG“ betrifft nicht § 38. Dieses Verfahren – Referentenentwurf vom 9. August 2023, Regierungsentwurf vom 7. Februar 2024 – regelt die Institutionalisierung der Datenschutzkonferenz sowie Änderungen an §§ 18, 27, 34 und 40a BDSG. Mit der Benennungspflicht hat es nichts zu tun. Mit der Neuwahl des Bundestages Anfang 2025 unterfiel es zudem der Diskontinuität.
Ein Streichungsvorschlag ist bereits einmal gescheitert. Dem Bundesrat lag am 22. März 2024 eine Ausschussempfehlung zur Streichung des § 38 BDSG vor (BR-Drs. 72/1/24). Sie fand keine Mehrheit. Das ist kein Beleg dafür, dass es diesmal wieder scheitert – aber ein Hinweis darauf, dass die Sache politisch nicht unumstritten ist.
Was sich ändern würde – und was nicht
Die Änderung wird häufig als Entlastung für den Mittelstand dargestellt. Aus Sicht der betrieblichen Praxis ist eine andere Lesart naheliegender: Ein klarer Zahlenschwellenwert würde durch eine risikobasierte Einzelfallprüfung ersetzt.
Statt Beschäftigte zu zählen, müssten Unternehmen künftig beurteilen, ob ihre Kerntätigkeit in einer „umfangreichen regelmäßigen und systematischen Überwachung“ von betroffenen Personen besteht oder ob sie „in großem Umfang“ besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeiten. Das sind unbestimmte Rechtsbegriffe. Ihre Auslegung nimmt im Streitfall die Aufsichtsbehörde vor – und im Zweifel erst dann, wenn bereits etwas passiert ist.
| Unternehmenstyp | Heute (§ 38 BDSG) | Nach einer Streichung (Art. 37 DSGVO) |
|---|---|---|
| Handwerksbetrieb, 25 Beschäftigte, risikoarme Verarbeitung | pflichtig | voraussichtlich nicht pflichtig |
| Spedition mit Telematik-Ortung der Fahrer | pflichtig | weiterhin pflichtig (Art. 37 Abs. 1 lit. b) |
| Arztpraxis, 5 Beschäftigte | pflichtig (Art. 9-Daten) | weiterhin pflichtig (Art. 37 Abs. 1 lit. c) |
| Pflegedienst | pflichtig | weiterhin pflichtig |
| Online-Händler mit umfangreichem Tracking | pflichtig | Einzelfallprüfung, häufig pflichtig |
| Behörden und öffentliche Stellen | pflichtig | unverändert pflichtig (Art. 37 Abs. 1 lit. a) |
Für Unternehmen mit Telematiksystemen, Videoüberwachung oder Gesundheitsdaten ändert sich also voraussichtlich nichts. Entfallen würde die Pflicht vor allem für Betriebe mit vielen Bildschirmarbeitsplätzen und risikoarmer Verarbeitung – Handwerk, Handel, klassische Dienstleistung.
Der übersehene Nebeneffekt: Kündigungsschutz
Ein Aspekt wird in der Diskussion fast durchgängig übersehen. § 38 Abs. 2 BDSG ordnet an, dass § 6 Abs. 4 BDSG – der besondere Abberufungs- und Kündigungsschutz – nur dann Anwendung findet, wenn die Benennung verpflichtend ist.
Entfällt die Benennungspflicht für ein Unternehmen, wird aus einer Pflichtbenennung eine freiwillige. Und für den freiwillig benannten internen Datenschutzbeauftragten greift der Sonderkündigungsschutz nach § 6 Abs. 4 BDSG nicht. Wer also einen internen Datenschutzbeauftragten benannt hat, sollte wissen: Eine Gesetzesänderung könnte dessen arbeitsrechtliche Stellung erheblich verändern – ohne dass jemand dafür etwas tun müsste.
Der besondere Kündigungsschutz betrifft ausschließlich interne, also im Unternehmen beschäftigte Datenschutzbeauftragte. Beim externen Datenschutzbeauftragten gelten ohnehin nur die vereinbarten Fristen des Dienstleistungsvertrags.
Diese Pflichten bleiben in jedem Fall
Die Benennungspflicht ist nur eine von vielen Pflichten der DSGVO – und keineswegs die aufwendigste. Von einer Streichung des § 38 Abs. 1 BDSG völlig unberührt bleiben:
- Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die vielzitierte Ausnahme für Unternehmen unter 250 Beschäftigten greift in der Praxis fast nie: Sie entfällt bereits dann, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Personalverwaltung, Lohnabrechnung und Kundenstammdaten sind niemals „gelegentlich“.
- Informationspflichten nach Art. 13 und 14 DSGVO gegenüber Kunden, Beschäftigten und Bewerbern.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO – und deren Dokumentation.
- Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit jedem Dienstleister, der Zugang zu personenbezogenen Daten hat.
- Meldepflichten bei Datenschutzverletzungen nach Art. 33 und 34 DSGVO – unverzüglich und möglichst binnen 72 Stunden.
- Betroffenenrechte nach Art. 15 bis 22 DSGVO, insbesondere die Beantwortung von Auskunftsersuchen binnen eines Monats.
- Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bei Verarbeitungen mit voraussichtlich hohem Risiko.
- Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO – die Verpflichtung, all das auch nachweisen zu können.
Diese Pflichten entstehen aus der DSGVO, nicht aus dem BDSG. Wer sie erfüllen will, braucht auch nach einer Streichung des § 38 jemanden, der sich damit auskennt – nur eben nicht mehr zwingend mit dem Titel „Datenschutzbeauftragter“.
Was Unternehmen jetzt tun sollten
Wer benennungspflichtig ist, benennt. Die Vorschrift gilt. Ein Verstoß gegen die Benennungspflicht ist nach Art. 83 Abs. 4 DSGVO mit Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bewehrt – maßgeblich ist der höhere Betrag. Bei kleineren Betrieben fallen tatsächlich verhängte Bußgelder allein für diesen Verstoß deutlich niedriger aus. Das eigentliche Risiko liegt woanders: Wer keinen Datenschutzbeauftragten hat, hat in aller Regel auch kein vollständiges Verarbeitungsverzeichnis und keine dokumentierten Schutzmaßnahmen. Eine Prüfung deckt dann mehrere Verstöße gleichzeitig auf.
Wer knapp unter der Schwelle liegt, prüft Art. 37 DSGVO. Die 20-Personen-Grenze ist nicht der einzige Auslöser. Videoüberwachung, Telematik, Bewerber-Scoring oder die Verarbeitung von Gesundheitsdaten können die Pflicht unabhängig von der Beschäftigtenzahl begründen.
Wer intern benannt hat, sieht sich den Vertrag an. Der Wegfall des Sonderkündigungsschutzes bei freiwilliger Benennung ist eine arbeitsrechtliche Frage, die man besser vorher klärt als hinterher.
Niemand sollte die Benennung aussetzen, um abzuwarten. Zeitpunkt und Umfang der Änderung sind offen. Bis zur Verkündung im Bundesgesetzblatt gilt geltendes Recht – und die Aufsichtsbehörden prüfen nach geltendem Recht.
In einem 20-minütigen Gespräch klären wir das verbindlich – kostenlos und unverbindlich. Wir übernehmen die Funktion des externen Datenschutzbeauftragten bundesweit zum Festpreis.
Häufige Fragen
Ist § 38 Abs. 1 BDSG bereits gestrichen?
Nein. Die Vorschrift gilt unverändert. Es liegt Stand Juli 2026 nicht einmal ein Referentenentwurf zur Aufhebung vor.
Wann tritt die Änderung in Kraft?
Das lässt sich derzeit nicht sagen. Die Bundesregierung hat zugesagt, bis zum 31. Dezember 2026 eine Aufhebung einzubringen. Einbringung bedeutet den Beginn des Gesetzgebungsverfahrens, nicht dessen Abschluss.
Muss ich meinen Datenschutzbeauftragten dann abberufen?
Nein. Eine freiwillige Benennung bleibt jederzeit möglich und ist in vielen Fällen wirtschaftlich sinnvoll. Zu beachten ist, dass für den freiwillig Benannten dieselben Anforderungen gelten – insbesondere Weisungsfreiheit und Benachteiligungsverbot.
Gilt die 20-Personen-Schwelle noch?
Ja. Maßgeblich sind Personen, nicht Vollzeitstellen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind.
Entfällt mit § 38 BDSG auch das Verarbeitungsverzeichnis?
Nein. Das Verzeichnis folgt aus Art. 30 DSGVO und bleibt unberührt. Gleiches gilt für Informationspflichten, technische und organisatorische Maßnahmen, Meldepflichten und Betroffenenrechte.
Was passiert mit dem Kündigungsschutz des internen Datenschutzbeauftragten?
Der besondere Abberufungs- und Kündigungsschutz nach § 6 Abs. 4 BDSG gilt nach § 38 Abs. 2 BDSG ausdrücklich nur bei verpflichtender Benennung. Entfällt die Pflicht, entfällt bei künftig freiwilliger Benennung auch dieser Schutz.
Was droht, wenn kein Datenschutzbeauftragter benannt ist?
Nach Art. 83 Abs. 4 DSGVO Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. In der Praxis liegen Bußgelder allein für diesen Verstoß bei kleineren Betrieben im vier- bis fünfstelligen Bereich.
Gesetzesgrundlagen und Quellen
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen: gesetze-im-internet.de
- § 6 BDSG – Stellung des Datenschutzbeauftragten: gesetze-im-internet.de
- Art. 37 DSGVO – Benennung eines Datenschutzbeauftragten: dsgvo-gesetz.de
- Art. 83 DSGVO – Allgemeine Bedingungen für die Verhängung von Geldbußen: dsgvo-gesetz.de
- Föderale Modernisierungsagenda, Beschluss vom 4. Dezember 2025: bundesregierung.de
- Berufsverband der Datenschutzbeauftragten Deutschlands zur BDSG-Novelle: bvdnet.de
