Startseite · Artikel

Die 20-Personen-Schwelle soll fallen, gilt aber noch

Angekündigt ist nicht beschlossen. Bund und Länder haben in der Föderalen Modernisierungsagenda vom 4. Dezember 2025 unter Nummer 160 festgehalten, der Bund werde bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringen. Einbringen heißt einen Entwurf vorlegen, und selbst der liegt Mitte September 2026 nicht vor.

Die Koalition hat die Absicht im Sommer noch einmal bestätigt. Im Reformpapier vom 2. Juli 2026 heißt es unter Punkt 14, man wolle in kleineren und mittleren Unternehmen „die Zahl der betrieblichen Datenschutzbeauftragten reduzieren". § 38 BDSG wird dort nicht namentlich genannt, eine neue Zahl fehlt, und einen Termin nennt das Papier auch nicht.

Was der Paragraf heute verlangt

Nicht öffentliche Stellen müssen einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Das klingt nach einer Hürde für mittlere Betriebe, ist in der Praxis aber niedriger, als viele denken.

Gezählt werden Personen, nicht Vollzeitstellen. Aushilfen und Teilzeitkräfte zählen mit, sobald die Arbeit mit solchen Daten zu ihren regelmäßigen Aufgaben gehört. Und die Tätigkeit muss keine Datenschutzaufgabe sein. Wer am Rechner Bestellungen bearbeitet, Rechnungen schreibt oder Kundenanrufe in ein System einträgt, verarbeitet personenbezogene Daten automatisiert. In einem Handwerksbetrieb mit fünfundzwanzig Leuten kann die Schwelle deshalb erreicht sein, obwohl niemand dort einen Bürojob im engeren Sinn hat.

Warum die Streichung länger dauert, als die Schlagzeile suggeriert

Zwischen einer Ankündigung und einem geltenden Gesetz liegen die Abstimmung zwischen den Ressorts, ein Kabinettsbeschluss, zwei Lesungen im Bundestag, die Beteiligung des Bundesrats und am Ende die Verkündung im Bundesgesetzblatt.

Ein Entwurf zur Änderung des Bundesdatenschutzgesetzes liegt inzwischen tatsächlich im Bundestag, was leicht zu Verwechslungen führt. Der Bundesrat hat ihn am 10. Juli 2026 beschlossen, am 26. August wurde er als Drucksache 21/7732 an den Bundestag weitergeleitet. Er regelt die Datenschutzkonferenz und die Zusammenarbeit der Aufsichtsbehörden neu. § 38 kommt darin nicht vor. Die Bundesregierung sieht den Entwurf in ihrer Stellungnahme teilweise kritisch und will bald einen eigenen Vorschlag zur Reform der Aufsicht vorlegen.

Dazu kommt Widerstand aus der Aufsicht selbst. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein sieht den Plan in seinem Tätigkeitsbericht 2026 mit Sorge. Nach seiner Erfahrung helfen Datenschutzbeauftragte, dass Datenschutzprobleme gar nicht erst eskalieren, und sie sind Ansprechpartner für Beschäftigte und Betroffene. Wer keinen benennen muss, hat trotzdem dieselben Pflichten, schreibt das Landeszentrum.

Was du daraus machst

Wenn du heute über der Schwelle liegst, benennst du jemanden. Die Ankündigung schützt dich nicht, und ein Verstoß gegen die Benennungspflicht ist nach Artikel 83 DSGVO mit bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes bedroht, je nachdem, was höher ist. Das ist die Obergrenze. Wie viel im Einzelfall fällig wird, richtet sich nach den Umständen, die Artikel 83 Absatz 2 aufzählt, etwa Art und Dauer des Verstoßes und ob du mit der Behörde zusammenarbeitest.

Falls du knapp darunter liegst, lohnt eine Zählung auf Papier, weil das im Ernstfall die Frage ist, die dir gestellt wird. Und wenn die Streichung irgendwann kommt, entfällt damit nur die deutsche Zusatzschwelle. Die europäischen Fälle aus Artikel 37 DSGVO bleiben, ebenso alle übrigen Datenschutzpflichten.

Weiter zu den Fällen, in denen die Zahl keine Rolle spielt

Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen wieder und ersetzt keine Prüfung deines Einzelfalls. Der Stand der Gesetzgebung kann sich kurzfristig ändern, maßgeblich sind der Gesetzestext und die Auskunft deiner Aufsichtsbehörde. Bei Unsicherheit wende dich an einen Rechtsanwalt.