Teil 2: Datenschutzpflichten für Unternehmen

Datenschutz ist längst mehr als eine rechtliche Pflichtübung. Aus diesem Grund haben wir ein Whitepaper „Datenschutz als Compliance- und Business-Baustein“ erstellt. Das Whitepaper stellen wir Ihnen in einem 6-teiligen Preview in verkürzter Form vor; das ausführliche Dokument senden wir Ihnen gerne zu. Dieser Beitrag ist Teil 2.

Rechtlicher Rahmen: Datenschutzpflichten für Unternehmen

Datenschutz wird in vielen Unternehmen noch immer vor allem als juristische Notwendigkeit oder als „Pflicht ohne Ertrag“ und als Aufgabe des Datenschutzbeauftragten wahrgenommen. Auch werden manche Pflichten – wie beispielsweise die Rechte der Betroffenen (Auskunft, Löschung etc.) – als „Schikane“ empfunden.

Diese Sichtweise greift zu kurz. Wer Datenschutz als strategisches Steuerungsinstrument versteht, verbindet rechtliche Sicherheit mit wirtschaftlichem Mehrwert: bessere Compliance, stärkere Cybersicherheit und integrierte Steuerung, die Management- bzw. Businessentscheidungen unterstützen, um Haftungsrisiken zu reduzieren sowie einen Wettbewerbsvorteil zu erlangen.

Datenschutzbeauftragter

Die Pflicht zur Bestellung eines Datenschutzbeauftragten (DSB) richtet sich nach Artikel 37 DSGVO; in Deutschland auch in Verbindung mit § 38 BDSG. Maßgeblich sind sowohl qualitative als auch quantitative Kriterien.

Eine Organisation muss gemäß Artikel 37 DSGVO einen Datenschutzbeauftragten bestellen, wenn mindestens einer der folgenden Tatbestände erfüllt ist:

Öffentliche Stelle:
Die Organisation ist eine Behörde oder öffentliche Stelle (mit Ausnahmen der Gerichte). Hierzu gehören auch

• (Staatliche) Hochschulen als öffentliche Einrichtungen
• Energieversorger / Stadtwerke mit hoheitlichen Aufgaben
• Verkehrsbetriebe

Kerntätigkeit umfasst eine umfangreiche Überwachung
Eine Bestellpflicht besteht, wenn die Kerntätigkeit in einer regelmäßigen und systematischen Überwachung von Personen in großem Umfang besteht. Beispiele sind:

• Tracking- und Profiling-Unternehmen
• Scoring- oder Auskunfteien
• Betreiber großer Online-Plattformen
• Telekommunikationsanbieter

Sowie Unternehmen, die spezifische Prozesse betreiben, wie beispielsweise

• Verfolgende E-Mail-Werbung oder verhaltensbasierte Werbung
• Treueprogramme
• Überwachungskameras

Kerntätigkeit ist eine umfangreiche Verarbeitung besonderer Daten
Eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen) oder von Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) verpflichtet Institutionen zur Bestellung eines Datenschutzbeauftragten, wie z. B.

• Krankenhäuser
• große Arztpraxen und Medizinische Versorgungszentren (MVZ)
• medizinische Labore
• Versicherungen mit Gesundheitsprüfung
• Hinzu kommen auch IT-Dienstleister, die für die o. g. Institutionen tätig sind. Ferner gibt es noch weitere Branchen und Geschäftsfelder, so dass diese Aufzählung nicht abschließend sein kann und einer Einzelfallbetrachtung bedarf.
• Unabhängig von Art. 37 DSGVO besteht in Deutschland eine Bestellungspflicht gemäß § 38 BDSG, wenn

Mehr Informationen zur Durchführung einer Datenschutzfolgenabschätzung. 

Freiwillige Bestellung eines Datenschutzbeauftragten

Es kann ferner eine freiwillige Bestellung eines Datenschutzbeauftragten genau dann empfehlenswert sein, wenn so Vertrauen durch klare Strukturen, klare Verantwortlichkeiten und durch Verfügbarkeit entsprechender Expertise aufgebaut werden kann. Dies ist gegeben, wenn beispielsweise

• große Kundendatenbestände verarbeitet werden,
• es (beispielsweise im Konzern) internationale Datenflüsse gibt,
• komplexe IT-Strukturen oder Cloud-Architekturen genutzt werden,
• regelmäßig Betroffenenanfragen (Auskunft, Löschung, Widerspruch) oder -beschwerden eingehen,
• Governance-Klarheit sinnvoll ist (gerade im Unternehmensverbund/Konzern),
• Vertrauensbildung gegenüber Kunden wichtig ist,
• durch Datenschutzvorfälle Reputationsrisiken bestehen.

Anforderungen an Unternehmen ohne Datenschutzbeauftragten

Die Datenschutz-Grundverordnung (DSGVO) unterscheidet klar zwischen der Pflicht zur Benennung eines Datenschutzbeauftragten (Artikel 37 DSGVO) und den allgemeinen Datenschutzpflichten des Verantwortlichen – also des Unternehmens, welches personenbezogene Daten verarbeitet. Fällt ein Unternehmen nicht unter die Bestellpflicht, entfällt lediglich die formale Funktion des Datenschutzbeauftragten – nicht jedoch die Verantwortung für Datenschutz insgesamt.

Mit anderen Worten:

• Es gibt keine „Befreiung vom Datenschutz“ für kleinere oder andere bestimmte Unternehmen.
• Die Geschäftsführung bleibt vollumfänglich verantwortlich für die Einhaltung der DSGVO.
• Aufsichtsbehörden prüfen im Fall eines Vorfalls oder einer Beschwerde, ob eine angemessene Datenschutzorganisation existiert – unabhängig von einem benannten DSB.

Jedes Unternehmen – unabhängig von der Bestellung eines Datenschutzbeauftragten – benötigt deshalb klare Zuständigkeiten, Prozesse und Kontrollen, um Datenschutzaufgaben verlässlich wahrzunehmen und nachweisbar zu erfüllen.

Auch wenn von der Politik oft behauptet wird, dass der Datenschutzbeauftragte für die Unternehmen ein großer Bürokratie-Ballast sei und daher die entsprechende Vorgabe im BDSG gestrichen werden soll (1), so sehen dies die Unternehmen selbst durchaus anders. Laut Bitkom-Studie (2) sehen 73% der befragten Unternehmen die Dokumentationspflichten der DSGVO zu Verarbeitungstätigkeiten als größten Aufwandstreiber und nur 25% die Benennung eines Datenschutzbeauftragten.

+++++++++++++++++

In den nächsten Ausgaben unserer Reihe „Datenschutz als Compliance- und Business-Baustein“ werden wir folgende Themen behandeln:

• Operative Aufgaben des Datenschutzes im Unternehmen
• Governance und Organisation
• Unternehmensrisiken im Rahmen des Datenschutzes
• Wirtschaftlicher Nutzen: Datenschutz als Business Case

(1) Bundesregierung (November 2025): https://www.bundesregierung.de/resource/blob/975228/2397654/c57248be7fa2d61ab6d8b12c0f29f
05b/2025-12-04-mpk-staatsmodernisierung-data.pdf

(2) Bitkom (Februar 2026): https://www.bitkom.org/sites/main/files/2026-02/bitkom-studienbericht-datenschutz_1.pdf