Datenschutzbeauftragter: wann er Pflicht ist und was die angekündigte Reform ändert

Einen Datenschutzbeauftragten müssen Unternehmen heute benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Größe gilt die Pflicht etwa bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung brauchen. Der Bund will die 20-Personen-Regel aufheben — beschlossen ist das nicht. Artikel 37 DSGVO bliebe ohnehin.

Rechtsstand 25. September 2026: § 38 BDSG gilt unverändert. Die Aufhebung von Absatz 1 ist eine Ankündigung. Bund und Länder haben sie am 4. Dezember 2025 in der Föderalen Modernisierungsagenda vereinbart, der Koalitionsausschuss hat die Richtung am 2. Juli 2026 bestätigt. Einen veröffentlichten Referenten- oder Gesetzentwurf haben wir bis zu diesem Tag nicht gefunden. Wer heute zur Benennung verpflichtet ist, bleibt es.

1. Fünf Wege in die Pflicht — und welche davon die Reform träfe

Die Pflicht hat zwei Rechtsquellen. Die DSGVO regelt in Artikel 37, wann ein Datenschutzbeauftragter „auf jeden Fall" nötig ist. Für Unternehmen sind das zwei Fälle, beide an die Kerntätigkeit geknüpft; der dritte Fall betrifft Behörden. Artikel 37 Absatz 4 erlaubt den Mitgliedstaaten, mehr zu verlangen. Deutschland nutzt das mit § 38 BDSG und ergänzt drei eigene Auslöser.

Ein einziger Auslöser genügt. Und die Pflicht trifft nicht nur Verantwortliche, sondern auch Auftragsverarbeiter — also auch Dienstleister, die im Auftrag anderer Kundendaten verarbeiten. Beide Normen nennen sie ausdrücklich.

Die rechte Spalte zeigt den Kern der Reformdebatte: Fällt § 38 Absatz 1 BDSG, fallen alle drei deutschen Auslöser — nicht nur die Personenzahl. Übrig blieben die beiden Fälle aus der DSGVO. Was davon heute feststeht, erklärt Abschnitt 5.

2. So zählen Sie die 20 Personen

Das Gesetz zählt keine Stellen, sondern Personen, die „ständig mit der automatisierten Verarbeitung personenbezogener Daten" beschäftigt sind. Wie das auszulegen ist, hat die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) in ihren Antworten zur Benennung aufgeschlüsselt (Quelle: LDI NRW). Die wichtigsten Punkte:

• Automatisiert heißt: mit Computer, Tablet oder Smartphone. Wer nur auf Papier arbeitet, zählt nicht.
• Ständig heißt nicht dauernd. Es reicht, dass die Aufgabe auf Dauer angelegt ist — auch wenn sie nur einmal im Monat anfällt.
• Beschäftigt meint jede Form: Leitung, Angestellte, Aushilfen, Auszubildende, Leiharbeitskräfte. Ob Voll- oder Teilzeit, spielt keine Rolle.
• Nicht mitgezählt werden Personen, zu deren Aufgabe die Verarbeitung nicht gehört. Die LDI nennt Reinigungskräfte, Fahrer und Gärtner. Auch die Beschäftigten Ihrer Dienstleister zählen bei Ihnen nicht mit.

Im Onlinehandel kommt man schneller auf 20, als die Stellenliste vermuten lässt. Kundenservice, Buchhaltung und Marketing arbeiten offensichtlich mit Kundendaten. Prüfen Sie aber auch das Lager: Wer in JTL-WMS oder einer anderen Lagersoftware Lieferscheine und Versandetiketten mit Kundenadressen erzeugt, arbeitet am System mit personenbezogenen Daten. Entscheidend ist nach der LDI, ob diese Verarbeitung zur Aufgabe gehört.

Viele suchen noch nach „ab 10 Mitarbeitern". Das war einmal richtig: Bis zum 25. November 2019 lag die Schwelle bei zehn Personen, seit dem 26. November 2019 liegt sie bei 20 (Änderung durch das Zweite Datenschutz-Anpassungs- und Umsetzungsgesetz EU, BGBl. 2019 I S. 1626).

Eine Übergangsfrist gibt es nicht. Sobald die Voraussetzungen vorliegen, ist die Pflicht nach Auffassung der LDI sofort zu erfüllen. Die Personenzahl ist übrigens nur eine von mehreren Schwellen mit eigener Zählweise. Für die interne Meldestelle zählen Beschäftigte, und die Grenze liegt bei 50 — mehr dazu in unserem Beitrag zu den Pflichten nach dem Hinweisgeberschutzgesetz.

3. Wann die Größe keine Rolle spielt

Für manche Unternehmen ist die Zählung unerheblich, weil sie auf anderem Weg in die Pflicht kommen. Artikel 37 DSGVO knüpft an die Kerntätigkeit an. Besteht sie in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen, ist ein Datenschutzbeauftragter nötig — gleich, wie viele Menschen im Unternehmen arbeiten.

Was als Überwachung gilt, fasst der Europäische Datenschutzausschuss (EDSA) weiter, als viele erwarten. In seinem Leitfaden für kleine und mittlere Unternehmen nennt er unter anderem E-Mail-Retargeting, datengesteuertes Marketing, Scoring zur Bonitätsbewertung und Betrugsprävention, Treueprogramme und verhaltensbezogene Werbung (Quelle: EDSA-Leitfaden). Ein Dienstleister, dessen Kerntätigkeit Web-Analyse und gezielte Werbung für andere ist, muss danach einen Datenschutzbeauftragten benennen.

Für einen Händler ist damit noch nichts entschieden. Kerntätigkeit ist die Haupttätigkeit, die den Geschäftszweck unmittelbar fördert; begleitende Prozesse gelten als Nebentätigkeit (LDI NRW unter Verweis auf Erwägungsgrund 97). Bei einem Shop, der Waren verkauft und nebenbei einen Newsletter versendet, spricht viel dafür, das Marketing als Nebentätigkeit einzuordnen. Je stärker das Geschäftsmodell aber auf Profilen beruht — eigenes Scoring, ein Treueprogramm als Kern des Angebots —, desto näher rückt Artikel 37. Das ist eine Einzelfallfrage für Ihre Rechtsberatung.

Unabhängig von Kerntätigkeit und Größe greift heute zusätzlich § 38 Absatz 1 Satz 2 BDSG. Wer eine Verarbeitung betreibt, die eine Datenschutz-Folgenabschätzung braucht, oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet, muss ebenfalls benennen. Die Einwilligung ins Tracking ist davon eine getrennte Frage. Sie richtet sich nach § 25 TDDDG und ist Thema unseres Beitrags zum rechtssicheren Cookie-Banner.

4. Warum KI- und Tracking-Projekte die Frage neu stellen

Der Satz über die Folgenabschätzung ist für kleine Unternehmen der eigentlich spannende Auslöser. Er koppelt die Pflicht an ein Projekt statt an die Größe. Welche Verarbeitungen zwingend eine Folgenabschätzung brauchen, hat die Datenschutzkonferenz (DSK) in einer Liste festgelegt (Quelle: DSK-Liste, Version 1.1 vom 17. Oktober 2018). Vier Einträge beschreiben Vorhaben, die im Onlinehandel zum Alltag gehören:

• Nr. 5 — Betrugsprävention und Scoring. Die DSK nennt ausdrücklich den Online-Shop, der aus umfangreichen Daten einen Risikowert bildet und danach entscheidet, ob ein Käufer auf Rechnung kaufen darf.
• Nr. 10 — Zusammengeführte Kundendaten. Kaufverhalten und Shop-Nutzung werden mit Bonitätsdaten Dritter und Daten aus der Werbung in sozialen Medien verknüpft, um Umsatzpotenziale zu finden.
• Nr. 11 — KI im Kundenkontakt. Kundensupport mit künstlicher Intelligenz und Systeme, die Kunden im Gespräch beraten und dafür personenbezogene Daten verarbeiten.
• Nr. 14 — Kundenkarten und Treuepunkte. Das Kaufverhalten wird erfasst, um daraus umfassende Kundenprofile zu bilden.

Die Einträge 5 und 10 gelten nur, wenn mehrere Bedingungen zusammenkommen: großer Umfang, Daten aus fremden Quellen, für Betroffene nicht nachvollziehbare Algorithmen. Gewöhnliche Web-Analyse steht nicht als eigener Punkt auf der Liste.

Die Folge ist heute eindeutig: Braucht ein Vorhaben eine Folgenabschätzung, braucht das Unternehmen nach § 38 Absatz 1 Satz 2 BDSG einen Datenschutzbeauftragten — auch mit zwölf Beschäftigten. Ein Shop mit KI-Chat, der Bestellungen nachschlägt und Kunden berät, kann genau hier landen. Wie sich ein Sprachmodell datenschutzgerecht einführen lässt, beschreibt unser Beitrag zu ChatGPT und Datenschutz im Unternehmen. Die Scoring-Seite behandelt der Beitrag zur Bonitätsprüfung im Onlineshop.

In unseren KI- und Tracking-Projekten stellen wir diese Frage deshalb vor dem ersten Datenfluss, nicht nach dem Start. Unser Beitrag ist technisch: welche Daten wohin fließen, welche Dienste beteiligt sind, welche Verträge es braucht. Die rechtliche Bewertung trifft Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung. Einen Datenschutzbeauftragten stellen wir nicht.

5. Was genau angekündigt ist — und was noch fehlt

Die Quelle der Reformmeldungen ist ein Beschluss des Bundeskanzlers und der Regierungschefinnen und Regierungschefs der Länder vom 4. Dezember 2025: die Föderale Modernisierungsagenda. Unter Nummer 160 heißt es: „Der Bund wird bis zum 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen." Damit soll die Pflicht im nichtöffentlichen Bereich auf Artikel 37 DSGVO beschränkt werden (Quelle: Modernisierungsagenda, S. 31).

Zwei Details machen den Unterschied zu vielen Überschriften. Erstens: Der 31. Dezember 2026 ist kein Wegfall-Datum. Bis dahin will der Bund den Vorschlag einbringen. Danach beraten Bundestag und Bundesrat; wann eine Änderung in Kraft träte, steht nirgends. Zweitens: Aufgehoben würde der ganze Absatz 1. Die Meldungen sprechen von der 20-Personen-Regel. Absatz 1 enthält aber auch Satz 2 — den Auslöser über Folgenabschätzung, Übermittlung sowie Markt- und Meinungsforschung. Nach dem Wortlaut der Agenda bliebe nur Artikel 37 DSGVO.

Am 2. Juli 2026 hat der Koalitionsausschuss die Richtung bestätigt. In seinem Papier „Ein Programm für Aufschwung und Beschäftigung" heißt es unter Ziffer 14: „In kleineren und mittleren Unternehmen wollen wir die Zahl der betrieblichen Datenschutzbeauftragten reduzieren." Unter Ziffer 26 kündigt die Koalition zusätzlich an, weitere betriebliche Beauftragte ohne EU-Grundlage abzuschaffen. Die Einhaltung der Vorgaben soll dann stärker in der Verantwortung der Unternehmen liegen, „begleitet durch hohe Strafen bei Verstößen" (Quelle: Ergebnis des Koalitionsausschusses).

So steht das Vorhaben am 25. September 2026:

Ohne Entwurf bleiben die praktischen Fragen offen. Was geschieht mit bestehenden Benennungen? Behalten amtierende Datenschutzbeauftragte ihren besonderen Kündigungsschutz? Gibt es eine Übergangszeit? Belastbar beantworten lässt sich das erst, wenn ein Text vorliegt.

Die Ankündigung ist nicht unumstritten. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein schreibt in seinem 44. Tätigkeitsbericht, es sehe die Pläne „mit Sorge" (Quelle: ULD, Tz. 1.5). Datenschutzbeauftragte seien eine wichtige Stütze vor Ort, und ohne sie müssten Verantwortliche dieselben Anforderungen erfüllen. Wir geben diese Einschätzung wieder, ohne sie zu bewerten.

6. Was ohne Datenschutzbeauftragten bleibt

Die wichtigste Nachricht für Ihre Planung: Fällt die Benennungspflicht, fällt keine einzige Datenschutzpflicht des Unternehmens. Der Datenschutzbeauftragte berät und überwacht, er setzt die Pflichten nicht selbst um. Verantwortlich bleibt das Unternehmen — das betont auch der Europäische Datenschutzausschuss. Diese Pflichten gelten, ob jemand den Titel trägt oder nicht:

• Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO.
• Technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung nach Artikel 32.
• Datenschutz-Folgenabschätzung nach Artikel 35, wenn eine Verarbeitung ein hohes Risiko birgt.
• Verträge zur Auftragsverarbeitung (AVV) nach Artikel 28 mit jedem Dienstleister, der in Ihrem Auftrag Daten verarbeitet.
• Informationspflichten und Betroffenenrechte nach den Artikeln 13 bis 22, etwa Auskunft, Löschung und Widerspruch.
• Meldung von Datenpannen an die Aufsichtsbehörde, möglichst binnen 72 Stunden (Artikel 33).

Einen Teil dieser Arbeit erledigt heute oft der Datenschutzbeauftragte selbst. Nach dem EDSA wird er in der Praxis häufig damit beauftragt, das Verzeichnis der Verarbeitungen zu führen. Fällt die Rolle weg, bleibt die Arbeit — nur ohne feste Zuständigkeit. Wie Sie wenigstens die Vertragsseite sauber inventarisieren, zeigt unser Beitrag zum Auftragsverarbeitungsvertrag. Dort steht auch, was die viel zitierten EU-Omnibus-Pakete für das Verzeichnis bedeuten.

Artikel 37 selbst ist von den laufenden EU-Vorschlägen nicht betroffen. Weder der Vorschlag zum Digital Omnibus (COM(2025) 837) noch der Omnibus-IV-Vorschlag (COM(2025) 501) sieht eine Änderung vor; beide betreffen andere Artikel der DSGVO. Eine nationale Reform könnte ihn ohnehin nicht berühren.

7. Behalten, freiwillig benennen oder anders organisieren?

Für pflichtige Unternehmen stellt sich die Frage heute nicht: Sie benennen. Wer aber künftig aus der Pflicht fallen könnte, sollte die Modelle kennen, zwischen denen er dann wählen kann. Der Europäische Datenschutzausschuss empfiehlt Unternehmen ohne Pflicht ausdrücklich, freiwillig einen Datenschutzbeauftragten oder eine Person ohne diesen Titel zu benennen. Sie soll die Einhaltung überwachen und Ansprechpartner für Betroffene sein.

Zwei Punkte werden dabei gern übersehen. Ein freiwillig benannter Datenschutzbeauftragter unterliegt denselben Regeln wie ein pflichtiger: Weisungsfreiheit, Fachwissen, frühe Einbindung. Nur der Sonderkündigungsschutz aus § 6 Absatz 4 BDSG gilt nach heutigem Recht allein bei Pflicht-Benennungen. Und die Rolle verträgt keinen Interessenkonflikt. Geschäftsführung, IT-Leitung oder Personalleitung scheiden nach dem EDSA in der Regel aus, weil sie selbst über Zwecke und Mittel der Verarbeitung entscheiden.

Soll der Datenschutzbeauftragte zusätzlich KI-Beauftragter werden? Artikel 38 Absatz 6 DSGVO erlaubt weitere Aufgaben nur ohne Interessenkonflikt. Nach dem Urteil des Europäischen Gerichtshofs vom 9. Februar 2023 (C-453/21) darf er keine Aufgaben übernehmen, durch die er Zwecke und Mittel einer Verarbeitung festlegt. Wer über die Freigabe von KI-Werkzeugen entscheidet, kann genau das tun. Wie Sie die Rollen trennen, zeigt unser Beitrag zum KI-Beauftragten und seiner Abgrenzung zum Datenschutz.

8. Fünf Schritte für heute

Die Reform ändert an Ihrer Lage heute nichts. Diese fünf Schritte lohnen sich trotzdem, gleich wie das Verfahren ausgeht:

1. Zählen und festhalten. Ermitteln Sie die Personen nach den Kriterien aus Abschnitt 2 und notieren Sie das Ergebnis mit Datum. Der EDSA empfiehlt, im Zweifel die Gründe für oder gegen eine Benennung zu dokumentieren.
2. Projekte gegen die DSK-Liste prüfen. Planen Sie KI im Kundenkontakt, ein eigenes Scoring oder zusammengeführte Kundenprofile, klären Sie die Folgenabschätzung vor dem Start.
3. Meldung und Datenschutzhinweise prüfen. Haben Sie einen Datenschutzbeauftragten, müssen seine Kontaktdaten veröffentlicht und der Aufsichtsbehörde mitgeteilt sein (Artikel 37 Absatz 7 DSGVO).
4. Dokumentation unabhängig machen. Verzeichnis, Vertragsliste und Maßnahmen gehören in Ihre eigenen Systeme, nicht nur in die Unterlagen eines externen Dienstleisters.
5. Reform beobachten, nicht vorwegnehmen. Solange § 38 BDSG gilt, bleibt die Pflicht. Wer vorzeitig abberuft, riskiert einen Verstoß — und die Abberufung eines pflichtigen Datenschutzbeauftragten braucht ohnehin einen wichtigen Grund.

9. Fazit: Die Regel könnte fallen, die Arbeit bleibt

Heute gilt § 38 BDSG unverändert: ab 20 Personen, bei Folgenabschätzungen, bei Übermittlung sowie Markt- und Meinungsforschung auch darunter. Angekündigt ist, dass der Bund bis Ende 2026 eine Aufhebung einbringt — nicht mehr. Käme sie, entfiele für viele Mittelständler die Benennungspflicht. Die Pflichten, für die ein Datenschutzbeauftragter heute sorgt, entfielen nicht.

Für Händler lohnt deshalb der Blick weg von der Kopfzahl, hin zu den Projekten. Ein KI-Assistent im Kundenservice, ein eigenes Scoring, ein Profil aus Shop- und Werbedaten: Dort entstehen Folgenabschätzung und Dokumentationspflicht — mit oder ohne Reform. Planen Sie ein solches Vorhaben, bauen wir es so, dass die technische Dokumentation von Anfang an entsteht. Für KI-Projekte geschieht das im Rahmen unserer KI-Governance-Beratung, für die Messung beim Server-Side-Tracking mit Stape. Einen Datenschutzbeauftragten ersetzen wir dabei nicht.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Er gibt den Rechtsstand vom 25. September 2026 wieder. Die Aufhebung von § 38 Absatz 1 BDSG ist zu diesem Zeitpunkt eine Ankündigung, kein geltendes Recht; Inhalt und Zeitpunkt können sich im Verfahren ändern. Ob Ihr Unternehmen einen Datenschutzbeauftragten benennen muss, hängt vom Einzelfall ab. Klären Sie das mit Ihrer Rechtsberatung oder der zuständigen Aufsichtsbehörde. Yagemi ist weder Rechtsanwaltskanzlei noch Anbieter externer Datenschutzbeauftragter.

10. Häufige Fragen zum Datenschutzbeauftragten

Ab wie vielen Mitarbeitern braucht man einen Datenschutzbeauftragten?

Nach § 38 BDSG ab 20 Personen, die in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen: Teilzeitkräfte, Aushilfen, Auszubildende und die Leitung zählen mit. Wer nie am Rechner mit Personendaten arbeitet, etwa ein Fahrer, bleibt außen vor. Die Regel gilt am 25. September 2026 unverändert.

Welche Unternehmen brauchen unabhängig von der Größe einen Datenschutzbeauftragten?

Unternehmen, deren Kerntätigkeit eine umfangreiche, regelmäßige und systematische Überwachung von Personen ist oder die in großem Umfang sensible Daten verarbeiten (Artikel 37 DSGVO). Hinzu kommen nach § 38 BDSG Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern, die geschäftsmäßige Übermittlung von Daten sowie Markt- und Meinungsforschung. Dann spielt die Zahl der Beschäftigten keine Rolle.

Fällt die Pflicht zum Datenschutzbeauftragten Ende 2026 weg?

Nein, das Datum wird oft falsch gelesen. Der Bund hat angekündigt, bis zum 31. Dezember 2026 eine Aufhebung von § 38 Absatz 1 BDSG einzubringen. Einbringen heißt: Ein Entwurf geht ins parlamentarische Verfahren. Bundestag und Bundesrat müssen danach noch beraten. Einen Gesetzentwurf haben wir bis zum 25. September 2026 nicht gefunden. Bis zu einer Änderung gilt die Pflicht weiter.

Was passiert, wenn man keinen Datenschutzbeauftragten benennt, obwohl man muss?

Dann liegt ein Verstoß gegen Artikel 37 DSGVO vor. Artikel 83 Absatz 4 sieht dafür Geldbußen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Vorjahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die Höhe im Einzelfall legt die Aufsichtsbehörde nach den Kriterien des Artikels 83 fest. Die Pflicht gilt sofort, eine Übergangsfrist gibt es nicht.

Kann jeder Mitarbeiter Datenschutzbeauftragter werden?

Nein. Artikel 37 DSGVO verlangt Fachwissen im Datenschutzrecht und in der Datenschutzpraxis. Außerdem darf kein Interessenkonflikt bestehen. Der Europäische Datenschutzausschuss nennt typische Konflikte: Geschäftsführung, IT-Leitung und Personalleitung. Wer selbst über Zwecke und Mittel der Verarbeitung entscheidet, kann sich nicht selbst kontrollieren. Möglich ist auch ein externer Datenschutzbeauftragter auf Grundlage eines Dienstleistungsvertrags.

Ist ein Datenschutzbeauftragter unkündbar?

Nicht unkündbar, aber besonders geschützt, wenn die Benennung Pflicht ist: Abberufung und Kündigung sind dann nur aus wichtigem Grund möglich, der Kündigungsschutz wirkt ein Jahr nach (§ 38 Absatz 2 mit § 6 Absatz 4 BDSG). Bei freiwilliger Benennung entfällt dieser Sonderschutz. Wegen seiner Aufgaben benachteiligen dürfen Sie ihn nach Artikel 38 DSGVO nie.

Muss ich den Datenschutzbeauftragten melden?

Ja. Nach Artikel 37 Absatz 7 DSGVO veröffentlichen Sie die Kontaktdaten des Datenschutzbeauftragten und teilen sie der zuständigen Aufsichtsbehörde mit. In Nordrhein-Westfalen etwa gibt es dafür ein Meldeportal der Landesbeauftragten. Nach Artikel 13 gehören die Kontaktdaten außerdem in Ihre Datenschutzhinweise. Halten Sie sie aktuell, auch wenn der Datenschutzbeauftragte wechselt.

Was kostet ein externer Datenschutzbeauftragter?

Dazu nennen wir bewusst keine Zahl. Eine neutrale, belastbare Preisübersicht haben wir nicht gefunden, und Yagemi bietet diese Leistung selbst nicht an. Die Angebote hängen von Mitarbeiterzahl, Zahl und Risiko der Verarbeitungen sowie vom Leistungsumfang ab. Vergleichen Sie deshalb Leistungen, nicht Monatspreise: Erreichbarkeit bei Datenpannen, Schulungen, Prüfungen vor Ort.

Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Alle wurden am 25. September 2026 abgerufen und im Volltext gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• § 38 BDSG — Datenschutzbeauftragte nichtöffentlicher Stellen — die 20-Personen-Schwelle (Absatz 1 Satz 1), die größenunabhängigen Auslöser (Satz 2) und die Beschränkung des Sonderkündigungsschutzes auf Pflicht-Benennungen (Absatz 2). Das BDSG wurde zuletzt durch Gesetz vom 3. Juli 2026 geändert; § 38 blieb dabei unverändert.
• § 6 BDSG — Stellung des Datenschutzbeauftragten — Absatz 4 zu Abberufung und Kündigungsschutz, auf den § 38 Absatz 2 verweist.
• Bundesbeauftragte für den Datenschutz: „DSGVO – BDSG, Texte und Erläuterungen", Stand März 2026 (PDF) — Wortlaut der Artikel 13, 30, 33, 37, 38 und 83 DSGVO, aus dem dieser Beitrag zitiert.
• Föderale Modernisierungsagenda, Beschluss vom 4. Dezember 2025 (PDF) — Nummer 160 „Beschränkung der Pflicht zur Bestellung von Datenschutzbeauftragten" auf Seite 31.
• Koalitionsausschuss vom 2. Juli 2026: „Ein Programm für Aufschwung und Beschäftigung" (PDF) — Ziffer 14 zum Datenschutz und Ziffer 26 zur Abschaffung weiterer betrieblicher Beauftragter.
• Landesbeauftragte für Datenschutz und Informationsfreiheit NRW: Grundlagen und Benennung — Zählweise der 20 Personen, sofortige Pflicht ohne Frist, freiwillige Benennung und Begriff der Kerntätigkeit.
• Europäischer Datenschutzausschuss: Leitfaden für KMU, Datenschutzbeauftragter — Beispiele für regelmäßige und systematische Überwachung, Interessenkonflikte, Checkliste und die Empfehlung für Unternehmen ohne Pflicht.
• Datenschutzkonferenz: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1 vom 17. Oktober 2018 (PDF) — Einträge 5, 10, 11 und 14.
• Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein: 44. Tätigkeitsbericht 2026 (PDF) — Textziffer 1.5 mit der Kritik an der geplanten Aufhebung.
• buzer.de: Fassungsvergleich zu § 38 BDSG (nichtamtlich) — Beleg für die frühere Schwelle von zehn Personen bis zum 25. November 2019.
• Europäische Kommission: Vorschlag COM(2025) 501 (Omnibus IV), englisch (PDF) — ändert die DSGVO-Artikel 4, 30, 40 und 42, nicht Artikel 37.
• Rat der EU: Vorschlag COM(2025) 837 (Digital Omnibus), englisch (PDF) — die Liste der geänderten DSGVO-Artikel enthält Artikel 37 nicht.