Der Datenschutzbeauftragte — ohne Personenzahl-Schwelle

Art. 37 Abs. 1 lit. a DSGVO verlangt die Benennung „auf jeden Fall", wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird. § 5 Abs. 1 BDSG wiederholt es ohne jede Schwelle.

Warum das wichtig ist

Drei Wörter ohne Bedingung: auf jeden Fall. Keine Personenzahl, keine Betriebsgröße, keine Risikoschwelle. Die einzige Ausnahme im Wortlaut sind Gerichte, und nur „soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln".

Die Verwechslung kommt gerade in kleinen Verwaltungen vor: Viele kennen eine Grenze von zwanzig Personen. Die gibt es — aber sie steht in § 38 BDSG und gilt für nichtöffentliche Stellen. Auch ein Amt mit vier Beschäftigten benennt also einen Datenschutzbeauftragten.

Dafür gibt es eine praktische Lösung im Gesetz selbst: § 5 Abs. 2 erlaubt eine gemeinsame Benennung für mehrere öffentliche Stellen. Das ist der Weg kleiner Kommunen und Zweckverbände — eine Person für mehrere Stellen, ein Beauftragter beim Kreis oder eine externe Benennung.

Und wie überall gilt: Der Datenschutzbeauftragte ist nicht der Verantwortliche. Er berät und überwacht; entscheiden tut die Leitung.

Was das Gesetz sagt

Art. 37 Abs. 1 lit. a DSGVO

„Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln"

§ 5 Abs. 1 S. 1 BDSG

„Öffentliche Stellen benennen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten."

§ 5 Abs. 2 BDSG

„Für mehrere öffentliche Stellen kann unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe eine gemeinsame Datenschutzbeauftragte oder ein gemeinsamer Datenschutzbeauftragter benannt werden."

§ 5 Abs. 3 BDSG

„Die oder der Datenschutzbeauftragte wird auf der Grundlage ihrer oder seiner beruflichen Qualifikation und insbesondere ihres oder seines Fachwissens benannt, das sie oder er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt"

So macht man es richtig

1. Nicht nach der Personenzahl fragen — für öffentliche Stellen gibt es keine Schwelle.
2. Bei kleinen Stellen die gemeinsame Benennung nach § 5 Abs. 2 prüfen.
3. Auf Fachkunde achten: § 5 Abs. 3 verlangt Fachwissen im Datenschutzrecht und in der Praxis.
4. Den Beauftragten früh einbinden, nicht am Ende eines Vorhabens.

Stand: 11.10.2026