Wer im Haus zuständig ist

Vier Rollen: Träger, Leitung, Datenschutzbeauftragter und Fachkraft. Verantwortlich ist der Träger — und ob ein Datenschutzbeauftragter nötig ist, richtet sich nach § 38 Abs. 1 BDSG.

Warum das wichtig ist

Die Rollen auseinanderzuhalten nimmt Druck von der Fachkraft. Sie entscheidet nicht über Rechtsgrundlagen; sie hält sich an Weisungen und fragt, wenn keine existiert.

Der Datenschutzbeauftragte berät und überwacht. Er entscheidet nicht und haftet nicht — das ist der verbreitetste Irrtum über diese Rolle.

§ 38 Abs. 1 S. 1 BDSG verlangt eine Benennung, wenn „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt" sind. Diese Zahl ist deutsches Recht und steht nicht in der DSGVO. Ob sie in einer einzelnen Einrichtung erreicht wird, entscheidet der Träger im Einzelfall.

Was das Gesetz sagt

§ 38 Abs. 1 S. 1 BDSG

„Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen."

Art. 29 DSGVO

„Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind."

So macht man es richtig

1. Als Fachkraft fragen, wenn keine Weisung existiert.
2. Als Leitung Weisungen geben, statt auf Vernunft zu hoffen.
3. Den Datenschutzbeauftragten früh einbeziehen — er berät, er bremst nicht.
4. Die Frage nach der Benennung beim Träger klären, nicht nach Gefühl.

Stand: 25.10.2026