Die Pflicht bleibt bei Ihnen.
Die Arbeit nicht.
Ein externer Datenschutzbeauftragter erfüllt die Benennungspflicht, ohne dass Sie eine Stelle schaffen, jemanden freistellen oder einen Interessenkonflikt in Kauf nehmen müssen.
20
Personen
„…soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen."
Gezählt wird nach Köpfen, nicht nach Vollzeitstellen.
§ 38 Abs. 1 Satz 1 BDSG · gesetze-im-internet.de · geprüft am 27.08.2026
Wer zählt mit — und wer nicht?
Die Frage ist nicht, wer bei Ihnen angestellt ist, sondern wer regelmäßig am Rechner personenbezogene Daten verarbeitet. Die häufigsten Zweifelsfälle:
Bürokraft in Vollzeit
zählt mit
Arbeitet täglich mit Kunden- und Personaldaten.
Teilzeitkraft, zwei Tage die Woche
zählt mit
Gezählt wird nach Köpfen, nicht nach Stellenanteil.
Auszubildende im Büro
zählt mit
Regelmäßigkeit zählt, nicht der Vertragstyp.
Sie selbst als Geschäftsführung
zählt mit
Wer selbst am Rechner Personaldaten verarbeitet, zählt mit.
Meister, der zweimal die Woche Stundenzettel erfasst
kommt darauf an
„Ständig“ meint regelmäßig wiederkehrend, nicht täglich — im Zweifel mitzählen.
Monteur, der nur Aufträge auf dem Tablet abhakt
kommt darauf an
Kommt darauf an, ob dabei Kundendaten verarbeitet werden.
Geselle in der Werkstatt ohne Rechnerzugang
zählt nicht mit
Keine automatisierte Verarbeitung.
Stempeluhr / Zeiterfassungsterminal
zählt nicht mit
Ein Gerät ist keine Person — die Auswertung am Rechner zählt.
Externer Steuerberater oder IT-Dienstleister
zählt nicht mit
Auftragsverarbeiter, nicht Ihr Personal — braucht aber einen AV-Vertrag (Auftragsverarbeitungs-Vertrag).
Und die Ausnahme, die alles Rechnen erübrigt: Unabhängig von der Personenzahl besteht die Pflicht in zwei Fällen. Erstens, wenn eine Ihrer Verarbeitungen eine Datenschutz-Folgenabschätzung erfordert (§ 38 Abs. 1 Satz 2 BDSG) — nach der Muss-Liste der Datenschutzkonferenz etwa die Ortung von Beschäftigten oder Firmenfahrzeugen, Zutritt per Fingerabdruck, automatisiertes Scoring oder die automatisierte Auswertung von Video- und Tonaufnahmen zur Bewertung von Personen. Zweitens, wenn sensible Daten oder Überwachung Ihre Kerntätigkeit sind (Art. 37 Abs. 1 lit. b und c DSGVO) — Praxis, Pflegedienst, Labor, Sicherheitsdienst. Ein Handwerksbetrieb mit zwölf Leuten am Rechner, aber Ortung in den Lieferwagen, kann also trotzdem pflichtig sein. Eine einfache Kamera am Hoftor allein löst das dagegen nicht aus. Im Zweifel kurz nachfragen — das ist in fünf Minuten geklärt.
Sechs Aufgaben, die sonst liegen bleiben.
Verzeichnis der Verarbeitungstätigkeiten
Das zentrale Dokument, nach dem eine Aufsichtsbehörde zuerst fragt. Ich lege es an und halte es fort.
Überwachung der Einhaltung
Prozesse, Verträge und technische Maßnahmen laufend gegen DSGVO und BDSG prüfen — nicht einmalig, sondern fortlaufend.
Anlaufstelle für Behörde und Betroffene
Auskunftsersuchen, Löschanfragen, Beschwerden: Die Korrespondenz läuft über mich, nicht über Ihr Sekretariat.
Schulung und Sensibilisierung
Mitarbeitende erkennen die Fälle, die kritisch sind. Das verhindert mehr Vorfälle als jede Richtlinie im Ordner.
Datenpannen melden
Art. 33 DSGVO gibt 72 Stunden. In dieser Zeit übernehme ich Bewertung, Meldung und Korrespondenz.
Beratung bei neuen Vorhaben
Neue Software, neuer Dienstleister, neues Bewerberportal — vorher gefragt ist deutlich billiger als hinterher korrigiert.
Fünf Schritte — und Sie sehen bei jedem, wie viel Zeit er Sie kostet.
Der häufigste Einwand gegen Datenschutz ist nicht der Preis, sondern die Sorge vor dem Aufwand im eigenen Haus. Deshalb steht bei jedem Schritt, wie viel Zeit er in Ihrem Betrieb bindet. Was er kostet, klären wir im Erstgespräch — dort bekommen Sie einen Festpreis, keine Stundenabrechnung.
Erstgespräch
30 Minuten, kostenfrei. Größe, Branche, vorhandene Unterlagen — danach wissen wir beide, ob eine Benennungspflicht besteht und was ansteht.
Status-Analyse
Ich sehe mir an, was es gibt und was fehlt: Verzeichnis, Verträge, Website, Home-Office, Bewerberdaten. Ergebnis ist eine Liste mit Priorität.
Benennung
Die formale Bestellung als externer Datenschutzbeauftragter und die Meldung an die Aufsichtsbehörde.
Aufbau
Fehlendes wird angelegt und dokumentiert — in der Reihenfolge, die das Risiko am schnellsten senkt.
Laufender Betrieb
Feste Ansprechzeit, jährlicher Bericht, Beratung bei neuen Vorhaben. Sie melden sich, wenn etwas Neues kommt.
Was Inhaber mich zuerst fragen.
Ab wann muss ich überhaupt einen Datenschutzbeauftragten benennen?
Sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG). Gezählt werden alle Personen, die regelmäßig mit personenbezogenen Daten am Rechner arbeiten — auch Teilzeitkräfte, Auszubildende und Aushilfen. Unabhängig von der Zahl gilt die Pflicht außerdem, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder besondere Datenkategorien geschäftsmäßig verarbeitet werden (Art. 37 DSGVO). Im Klartext: Eine Datenschutz-Folgenabschätzung wird nötig, wenn eine Verarbeitung für die Betroffenen besonders riskant ist — etwa Videoüberwachung großer Bereiche, Bewerber-Scoring oder Standortverfolgung von Fahrzeugen. Besondere Datenkategorien sind Gesundheitsdaten, Gewerkschaftszugehörigkeit, Religion, Herkunft und Ähnliches. „Geschäftsmäßig“ heißt dabei: als planmäßiger Teil Ihres Geschäftsbetriebs, nicht nur gelegentlich. Krankmeldungen in der Personalakte sind normale Arbeitgeberpflicht und lösen die Benennungspflicht nicht aus; ein Betrieb, dessen Geschäft selbst auf Gesundheitsdaten beruht (Pflegedienst, Praxis, Labor), ist dagegen betroffen. Wenn Sie unsicher sind, ob eines davon auf Sie zutrifft: fragen Sie kurz nach, das ist in fünf Minuten geklärt.
Kann ich nicht jemanden aus dem eigenen Haus benennen?
Sie können — aber die Person darf sich nicht selbst kontrollieren. Wer IT, Personal oder Geschäftsführung verantwortet, kommt in einen Interessenkonflikt und scheidet damit aus. Außerdem trägt ein interner Datenschutzbeauftragter einen besonderen Kündigungsschutz. Für kleinere Betriebe ist die externe Lösung deshalb meistens die einfachere und günstigere.
Was kostet ein externer Datenschutzbeauftragter?
Als monatliche Pauschale, und die kann ich seriös erst nennen, wenn ich drei Dinge weiß: wie viele Personen bei Ihnen mit personenbezogenen Daten arbeiten, in welcher Branche Sie tätig sind und wie viel Dokumentation bereits existiert. Ein Betrieb mit 25 Rechnerplätzen und vorhandenem Verarbeitungsverzeichnis liegt deutlich anders als eine Praxis mit Gesundheitsdaten und leerem Ordner. Deshalb steht hier keine Pauschalzahl — sondern das Versprechen, dass Sie den Festpreis nach dem 30-minütigen Erstgespräch bekommen, bevor Sie sich entscheiden müssen. Das Gespräch kostet nichts, und danach wissen Sie, woran Sie sind. Was ich Ihnen jetzt schon sagen kann: Es ist eine feste Monatspauschale, keine Stundenabrechnung, und es kommen keine Nachforderungen.
Haften Sie, wenn doch etwas passiert?
Verantwortlich im Sinne der DSGVO bleibt immer das Unternehmen — das lässt sich nicht auslagern. Was sich auslagern lässt, ist die Arbeit und die Fachkunde: Ich sorge dafür, dass die Nachweise vorliegen, mit denen Sie im Ernstfall belegen können, dass Sie Ihren Pflichten nachgekommen sind.
Wie schnell können Sie anfangen?
Das Erstgespräch in der Regel innerhalb weniger Werktage. Die Benennung selbst ist eine Formalie und danach sofort wirksam.
Ihre Frage ist nicht dabei?
Schreiben Sie mir kurz Ihre Situation — Sie bekommen eine Einschätzung, keine Broschüre.