Am 2. Juli 2026 hat der Koalitionsausschuss aus Union und SPD ein Reformpaket beschlossen, das unter anderem die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten abschaffen soll. Betroffen wären vor allem kleine und mittlere Unternehmen, die heute ab 20 Beschäftigten mit automatisierter Datenverarbeitung einen Datenschutzbeauftragten benennen müssen. Doch schon diese Schwelle gilt nicht für jedes Unternehmen: Bestimmte Verarbeitungen lösen die Bestellpflicht schon heute unabhängig von der Mitarbeiterzahl aus, und daran ändert die Reform nichts. Entscheidend für Sie: Mit der Bestellpflicht verschwinden nicht automatisch auch die Datenschutzpflichten selbst.
Was wirklich beschlossen wurde
Zunächst zur Einordnung: Es handelt sich um eine politische Absichtserklärung, kein geltendes Recht. Solange kein Gesetz im Bundesgesetzblatt steht, gelten DSGVO und BDSG unverändert weiter. Geplant ist, § 38 BDSG zu streichen, die Aufsicht beim Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) zu zentralisieren und ein einheitliches Datengesetzbuch zu schaffen. Die Streichung der Bestellpflicht ist dabei der Punkt, der in der Praxis am häufigsten missverstanden wird.
Ein Vergleich macht den Unterschied deutlich: In Deutschland gibt es keine gesetzliche Pflicht, einen Steuerberater zu beauftragen. Trotzdem leisten sich die meisten Unternehmen einen, weil die steuerlichen Pflichten selbst, also Erklärungen, Fristen und die korrekte Umsetzung der Vorschriften, davon unberührt bleiben und ohne Fachkunde kaum sicher zu erfüllen sind. Genauso verhält es sich beim Datenschutz: Fällt § 38 BDSG, bleibt Artikel 37 DSGVO in Kraft, unabhängig von Ihrer Unternehmensgröße. Danach ist ein Datenschutzbeauftragter weiterhin Pflicht, wenn die Kerntätigkeit in umfangreicher, systematischer Überwachung besteht oder umfangreich besondere Datenkategorien verarbeitet werden, ganz gleich wie viele Personen Sie beschäftigen.
Ganz neu ist dieses Prinzip übrigens nicht: Schon heute schreibt § 38 Abs. 1 Satz 2 BDSG einen Datenschutzbeauftragten unabhängig von der Mitarbeiterzahl vor, etwa wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet werden. Die 20-Personen-Schwelle war also auch bisher nie das alleinige Kriterium, sie wird nach der Reform nur zum einzigen nationalen Maßstab, der noch übrig bleibt. Und selbst ohne Bestellpflicht bleiben sämtliche materiellen Pflichten bestehen: Rechenschaft, technische und organisatorische Maßnahmen, Betroffenenrechte, Meldepflichten.
Warum das teuer werden kann
Wer den Datenschutzbeauftragten voreilig abmeldet, verliert nicht die Pflichten, sondern die Fachkunde, sie zu erfüllen. Die Beurteilung, ob eine Bestellpflicht nach Artikel 37 DSGVO besteht, ist deutlich anspruchsvoller als das bloße Abzählen von 20 Beschäftigten. Sie müssen diese Einschätzung künftig eigenverantwortlich treffen und dokumentieren. Ein Fehler dabei ist kein Formfehler, sondern kann ein Bußgeld nach Artikel 83 DSGVO nach sich ziehen. Aus der vermeintlichen Entlastung wird so schnell ein Haftungsrisiko in Eigenregie.
Beispiel aus der Praxis: Ein mittelständisches Unternehmen beschäftigt aktuell 22 Personen mit automatisierter Datenverarbeitung und hat deshalb einen Datenschutzbeauftragten bestellt. Fällt § 38 BDSG, entfällt diese formale Grenze. Verarbeitet das Unternehmen weiterhin umfangreich Gesundheitsdaten seiner Beschäftigten, bleibt die Bestellpflicht über Artikel 37 DSGVO bestehen. Nur muss das Unternehmen dies künftig selbst prüfen und begründen.
Unsere Empfehlung
- Melden Sie Ihren Datenschutzbeauftragten nicht ab, solange kein Gesetz in Kraft ist.
- Dokumentieren Sie für jede Bestellung, ob sie nur auf § 38 Abs. 1 Satz 1 BDSG (20-Personen-Schwelle) beruht oder ob unabhängig davon Artikel 37 DSGVO oder § 38 Abs. 1 Satz 2 BDSG greift.
- Stellen Sie die materiellen Pflichten sicher, also technische und organisatorische Maßnahmen, Betroffenenrechte und Meldewege, unabhängig von der Bestellpflicht.
- Halten Sie Fachkunde intern oder extern vor. Die Verantwortung bleibt bestehen, auch ohne Bestellpflicht.
- Handeln Sie erst, wenn der Gesetzestext veröffentlicht ist, nicht schon auf Basis von Ankündigungen.
Fazit
Die geplante Reform verspricht weniger Bürokratie, verändert aber nicht die eigentlichen Datenschutzpflichten. Wer die Bestellpflicht mit den Pflichten selbst verwechselt, riskiert Bußgelder statt Entlastung. Bleiben Sie bis zur endgültigen Gesetzesfassung bei Ihrer bisherigen Organisation und nutzen Sie die Zeit, um Ihre Prozesse und Ihre Fachkunde zu sichern.