In kleinen und mittleren Unternehmen (KMUs) herrscht oft große Unsicherheit bezüglich der eigenen Datenschutzpflichten. Die zentrale Frage lautet meist: Benötigt unser Betrieb zwingend einen offiziell benannten Datenschutzbeauftragten (DSB) oder reicht es, wenn die Geschäftsführung das Thema „nebenbei“ mit betreut?

In Deutschland basiert die Pflicht zur Benennung eines DSB auf den Regelungen der europäischen Datenschutz-Grundverordnung (DSGVO) sowie ergänzend auf dem Bundesdatenschutzgesetz (BDSG). Wer die gesetzlichen Schwellenwerte ignoriert, riskiert im Ernstfall empfindliche Bußgelder durch die Aufsichtsbehörden.

Um festzustellen, ob Ihr KMU einen DSB bestellen muss, greift die sogenannte Vier-Säulen-Regelung.

 

Die Vier-Säulen-Regelung zur DSB-Pflicht

Sobald mindestens eine der vier Säulen auf Ihr Unternehmen zutrifft, entsteht für Sie eine rechtliche Benennungspflicht. 

1. Säule: Die 20-Mitarbeiter-Regel (§ 38 Abs. 1 S. 1 BDSG)

Die erste Säule ist der im Unternehmensalltag bekannteste Maßstab und bezieht sich auf die Personalstärke:

● Der Grundsatz: Ein DSB ist Pflicht, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

● Wer zählt mit? Es gilt das Prinzip: „Jeder Kopf zählt“. Zur Belegschaft gehören:

○ Vollzeit- und Teilzeitkräfte

○ Auszubildende und Werkstudenten

○ Praktikanten und Aushilfen

○ Freie Mitarbeiter (sofern sie wie Personal in die betrieblichen Datenverarbeitungsprozesse eingebunden sind)

● Was bedeutet „automatisiert“? Bereits die gewöhnliche Nutzung von Standard-Büro-IT (E-Mail-Programme, CRM-Systeme, Excel-Tabellen, PC-Arbeitsplätze) gilt rechtlich als automatisierte Datenverarbeitung.

 

2. Säule: Verarbeitung besonderer Kategorien von Daten
(Art. 9 DSGVO)

Bei dieser Säule ist die Mitarbeiteranzahl völlig irrelevant – die Pflicht greift ab der ersten tätigen Person! Verarbeitet Ihr KMU im Rahmen der Kerntätigkeit besonders sensible Daten, ist ein DSB Vorschrift.

● Besondere Datenkategorien nach Art. 9 DSGVO:

○  Gesundheitsdaten (Befunde, Diagnosen, Patientenakten)

○  Biometrische Daten zur eindeutigen Identifizierung (z. B. Fingerabdrücke, Gesichtserkennung)

○  Religionszugehörigkeit, politische Meinungen oder gewerkschaftliche Zugehörigkeit

○  Genetische Daten sowie Daten zum Sexualleben oder der sexuellen Orientierung 

● Typischerweise betroffene KMU-Branchen:

● Arztpraxen, Zahnärzte & Medizinische Versorgungszentren (MVZs)

● Pflegedienste & Sanitätshäuser

● Personal-Recruiter & Headhunter (sofern systematisch sensible Profildaten ausgewertet werden)

3. Säule: Erforderlichkeit einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Führt Ihr Unternehmen Datenverarbeitungen durch, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bergen, schreibt Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) vor. Ist eine DSFA notwendig, muss zwingend ein DSB hinzugezogen und benannt werden – unabhängig von der Betriebsgröße.

● Typische Beispiele aus der Praxis:

○  Großflächige Videoüberwachung (z. B. Überwachung öffentlich zugänglicher Verkaufsräume oder Firmengelände).

○  Einsatz von KI-Systemen zur automatisierten Leistungs- und Verhaltensbewertung von Mitarbeitern oder Bewerbern.

○  Systematisches Tracking von Nutzerverhalten (z. B. großflächiges Web-Profiling, Behavioral Targeting in der Werbung).

4. Säule: Datenverarbeitung als Geschäftsmodell
(§ 38 Abs. 1 S. 2 BDSG)

Liegt der eigentliche Geschäftszweck des Unternehmens darin, personenbezogene Daten für Dritte zu verarbeiten, zu verwehren oder gewerbsmäßig zu übermitteln, entsteht die DSB-Pflicht ebenfalls ab dem ersten Mitarbeiter.

● Typische Betroffene:

○ Adressverlage

○ Auskunfteien

○ Spezialisierte Marketingagenturen mit Fokus auf Datenanalyse

○ B2B-Datenhändler

 

Übersicht: KMU-Branchen im Schnell-Check

Arztpraxis / Pflegedienst (5 MA)

Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO)

JA (ab 1. Mitarbeiter)

 

Handwerksbetrieb (15 MA)

Nutzung von CRM, Buchhaltung & Standard-Kundendaten

NEIN (Unter 20 MA)

 

IT-Systemhaus (25 MA)

Standardmäßige Datenverarbeitung im Kundenauftrag

JA (Über 20 MA)

 

Verarbeitender Betrieb im Metallbereich (34 MA – davon 21 MA in der Produktion ohne Zugang zur Datenverarbeitung)

Nutzung von CRM, Buchhaltung, Sekretariat etc.

NEIN (Unter 20 MA)

 

Wichtige Klarstellung: Keine DSB-Pflicht ≠ Keine DSGVO-Pflicht!

Die Befreiung von der DSB-Pflicht ist NIEMALS eine Befreiung von den Vorgaben der DSGVO!

Viele Kleinstbetriebe unterliegen dem gefährlichen Irrtum, ohne benannten DSB auch von den Datenschutzauflagen befreit zu sein. Das ist falsch: Auch ein Betrieb mit nur zwei Mitarbeitern muss die Pflichten der DSGVO lückenlos umsetzen. Dazu gehören:

1. Verzeichnis von Verarbeitungstätigkeiten (VVT): Saubere Dokumentation aller Prozesse.

2. Technische und organisatorische Maßnahmen (TOMs): Ausreichende IT-Sicherheit, Verschlüsselung und Zugriffskontrollen.

3. Auftragsverarbeitungsverträge (AVV): Verträge mit Dienstleistern (z. B. Hostern, Cloud-Anbietern, externer Lohnbuchhaltung).

4. Betroffenenrechte: Wahren von Auskunfts-, Lösch- und Korrekturrechten von Kunden und Mitarbeitern.