Das Wichtigste in 1 Minute
- Pflegedienste und Pflegeheime brauchen einen Datenschutzbeauftragten, weil ihre Arbeit auf Gesundheitsdaten beruht; nur sehr kleine Dienste können nach Auffassung der Aufsicht in Baden-Württemberg ohne auskommen. Bei Wohngruppen und Beratungsstellen kommt es auf den Umfang an.
- Alle anderen Träger brauchen ihn, sobald mindestens 20 Personen ständig am Computer mit personenbezogenen Daten arbeiten oder ein Verfahren eine Datenschutz-Folgenabschätzung (eine vorab dokumentierte Risikoprüfung) verlangt.
- Bei Caritas und Diakonie gelten eigene kirchliche Gesetze mit ähnlichen Schwellen und einer Benennung in Schrift- oder Textform.
- Geschäftsführung, Verwaltungsleitung und IT-Leitung sollten die Aufgabe nicht selbst übernehmen, weil sie in der Regel über die Datenverarbeitung entscheiden.
- Die Benennung wird dokumentiert, die Kontaktdaten werden veröffentlicht und der Aufsichtsbehörde gemeldet. Die Verantwortung für den Datenschutz bleibt bei der Leitung.
Datenschutzbeauftragter ist die Person, die eine Organisation beim Datenschutz berät, die Einhaltung der Regeln überwacht und als Anlaufstelle für Betroffene und Aufsichtsbehörde dient. Über die Datenverarbeitung entscheidet diese Person nicht; die Verantwortung dafür bleibt bei der Leitung.
Wann muss eine soziale Einrichtung einen Datenschutzbeauftragten benennen?
Die Pflicht kann auf drei Wegen entstehen. Erstens: Besteht die Kerntätigkeit darin, Gesundheitsdaten oder andere besonders geschützte Daten in großem Umfang zu verarbeiten, ist die Benennung Pflicht (Art. 37 Abs. 1 lit. c Datenschutz-Grundverordnung, DSGVO). Zweitens nach deutschem Recht: Arbeiten mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten, gilt dasselbe. Drittens, ebenfalls nach deutschem Recht und ohne Rücksicht auf die Personenzahl: Verlangt ein Verfahren eine Datenschutz-Folgenabschätzung, muss ein Datenschutzbeauftragter benannt werden.
Für Einrichtungen in öffentlicher Trägerschaft, etwa ein kommunales Pflegeheim als Eigenbetrieb, gilt die Pflicht ohne weitere Voraussetzung (Art. 37 Abs. 1 lit. a DSGVO).
Die beiden Wege nach deutschem Recht stehen in § 38 Abs. 1 BDSG. Bund und Länder haben sich am 4. Dezember 2025 darauf verständigt, dass der Bund bis zum 31. Dezember 2026 die Aufhebung dieser Pflicht einbringt. Die Regierungskoalition will außerdem die Zahl der betrieblichen Datenschutzbeauftragten in kleineren und mittleren Unternehmen verringern (Juli 2026). Ein Gesetzgebungsvorgang dazu ist im Bundestag bisher nicht verzeichnet; bis zu einer Änderung gilt § 38 Abs. 1 unverändert. Die Pflicht nach Art. 37 DSGVO und die Regeln in KDG und DSG-EKD blieben davon unberührt, ebenso Verarbeitungsverzeichnis, Verträge zur Auftragsverarbeitung, Schutzmaßnahmen und die Meldung von Datenpannen.
Kerntätigkeit und „umfangreich“: Was die Aufsichtsbehörden darunter verstehen
Kerntätigkeit meint die Haupttätigkeit einer Organisation, nicht die Verarbeitung von Daten als Nebensache wie die Lohnabrechnung. Die Artikel-29-Datenschutzgruppe, das Vorgängergremium des Europäischen Datenschutzausschusses, hat das in ihren Leitlinien zu Datenschutzbeauftragten (WP 243) am Krankenhaus erklärt: Seine Kerntätigkeit ist die Versorgung, die ohne Patientenakten nicht möglich ist. Die Verarbeitung der Gesundheitsdaten ist deshalb Teil der Kerntätigkeit. Dieselbe Überlegung lässt sich auf Pflege, Betreuung und Beratung übertragen, soweit ihre Dokumentation Diagnosen, Medikation, Krisen und Verläufe festhält.
Ob die Verarbeitung „umfangreich“ ist, bemisst sich nach vier Faktoren: der Zahl der betroffenen Personen, der Menge und Bandbreite der Daten, der Dauer der Verarbeitung und ihrer räumlichen Ausdehnung. Eine feste Zahl nennt die Verordnung nicht. Erwägungsgrund 91 DSGVO nimmt die einzelne Ärztin und den einzelnen Angehörigen eines Gesundheitsberufs aus; er betrifft die Folgenabschätzung, die Leitlinien WP 243 übertragen den Gedanken auf die Benennung.
Für Pflegeeinrichtungen hat sich der Landesbeauftragte für den Datenschutz Baden-Württemberg festgelegt. Weil Pflegedienste und Pflegeheime für jede betreute Person eine Pflegedokumentation führen, sieht er die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten. Zusammen mit der Personenzahl hält er die Voraussetzungen bei privaten Pflegeeinrichtungen für „fast immer erfüllt“. Er bezog sich dabei noch auf die damalige Schwelle von zehn Personen (FAQ Datenschutz in der Pflege, Stand Mai 2019). Nur bei sehr kleinen ambulanten Diensten mit einem Klientenkreis wie in einer Arztpraxis sei die Pflicht unter Umständen nicht gegeben.
Bei Beratungsstellen hilft ein Beschluss der Datenschutzkonferenz (DSK) von 2018, des Zusammenschlusses der deutschen Aufsichtsbehörden: Bei Praxen von Angehörigen eines Gesundheitsberufs liegt in der Regel keine umfangreiche Verarbeitung vor. Als Gesundheitsberuf gelten dabei auch Berater in anerkannten Beratungsstellen und staatlich anerkannte Sozialarbeiter nach der Berufsliste der Schweigepflicht (§ 203 Abs. 1 StGB). Ob der Maßstab auch für eine Beratungsstelle in Trägerschaft eines Vereins gilt, hat die DSK nicht ausdrücklich entschieden. Ich halte die Übertragung für vertretbar: Eine kleine Beratungsstelle ohne Verfahren mit hohem Risiko muss dann nicht allein wegen ihrer Beratungsdaten benennen.
Für Wohngruppen der Jugendhilfe und der Eingliederungshilfe habe ich keine eigene Aussage einer Aufsichtsbehörde gefunden. Ich ordne sie nach den vier Faktoren ein: Die Betreuung dauert Monate oder Jahre; die Dokumentation ist ausführlich und kann Familie, Schule und Straftaten betreffen. Je mehr dieser Punkte zutreffen, desto klarer liegt die Pflicht vor. Wer im Zweifel ist, kann freiwillig benennen (Art. 37 Abs. 4 DSGVO). Nach den Leitlinien WP 243 gelten dann dieselben Anforderungen wie bei einer Pflicht.
Die Schwelle von 20 Personen: Wer mitzählt
Das Bundesdatenschutzgesetz (BDSG) ergänzt die europäische Regel. Ein Datenschutzbeauftragter ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG). Bis November 2019 lag diese Schwelle bei zehn Personen.
Gezählt werden Personen, nicht Stellen. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) rechnet jede Person mit, einschließlich der Inhaber, in Vollzeit oder Teilzeit, Auszubildende, Leiharbeitskräfte und freie Mitarbeitende. „Ständig“ bedeutet nach seiner Auslegung nicht die ganze Arbeitszeit, sondern dass die Datenverarbeitung ein Schwerpunkt der Tätigkeit ist. Wer nur auf Papier dokumentiert, zählt nicht mit. Für Ehrenamtliche gilt derselbe Maßstab: Kassierer und Schriftführer eines Vereins zählen mit, wenn die Datenverarbeitung ein Schwerpunkt ihrer Tätigkeit ist; das Vereinsmitglied mit Zugriff auf die Mitgliederliste zählt nicht.
Gezählt wird für den ganzen Träger, nicht für die einzelne Einrichtung. Betreibt ein Verein neben dem Pflegedienst eine Kita und eine Beratungsstelle, zählen die Beschäftigten aller Bereiche zusammen (so der Landesbeauftragte Baden-Württemberg, 2019).
Datenschutz-Folgenabschätzung und KI: Die Pflicht ohne Personenzahl
Eine Datenschutz-Folgenabschätzung ist eine vorab dokumentierte Risikoprüfung für Verfahren, die voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringen. Muss ein Träger eine solche Prüfung durchführen, braucht er auch mit fünf Beschäftigten einen Datenschutzbeauftragten (§ 38 Abs. 1 Satz 2 BDSG).
Welche Verfahren dazu gehören, hat die DSK in einer Liste festgelegt. Darin steht die umfangreiche Verarbeitung von Daten, die dem Sozialgeheimnis oder einem Berufsgeheimnis unterliegen, mit dem Einsatzfeld „Träger von großen sozialen Einrichtungen“. Ebenfalls auf der Liste steht der Einsatz von künstlicher Intelligenz, die persönliche Aspekte von Betroffenen bewertet oder die Interaktion mit ihnen steuert (DSK, Muss-Liste, 2018). Wer eine KI-Anwendung einführt, die Verläufe oder Risiken von Klientinnen und Klienten einschätzt, löst damit unter Umständen beide Pflichten aus: die Folgenabschätzung und die Benennung.
Was gilt bei Caritas und Diakonie?
Kirchliche Träger wenden nicht die DSGVO an, sondern eigene Gesetze: katholische Träger das Gesetz über den Kirchlichen Datenschutz (KDG), evangelische Träger, die einer Landeskirche oder der EKD zugeordnet sind, das Datenschutzgesetz der EKD (DSG-EKD, § 2 Abs. 1). Beide Gesetze wurden zuletzt überarbeitet, das DSG-EKD mit Wirkung zum 1. Mai 2025, das KDG durch Beschluss vom November 2025. Jedes Bistum setzt die KDG-Novelle eigenständig in Kraft, in den geprüften Bistümern zum 1. März 2026. Verbindlich ist das Amtsblatt der eigenen Diözese; welche Bistümer geprüft sind, steht im Beitrag zum KDG für katholische Träger. Die Grundzüge der beiden Gesetze erklärt der Beitrag KDG und DSG-EKD auf der Schwesterseite.
Das KDG verlangt von Diözesen, Kirchengemeinden und Kirchenstiftungen immer einen betrieblichen Datenschutzbeauftragten. Caritasverbände und sonstige kirchliche Rechtsträger müssen benennen, wenn mindestens 20 Personen ständig personenbezogene Daten verarbeiten oder die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht (§ 36 Abs. 2 KDG). Anders als das BDSG nennt das KDG die automatisierte Verarbeitung nicht (§ 36 Abs. 2 KDG). Ich halte es deshalb für vertretbar, auch Personen mitzuzählen, die vor allem mit Papierakten in einem Dateisystem arbeiten. Die Benennung erfolgt schriftlich, die Kontaktdaten werden veröffentlicht und die Benennung wird der kirchlichen Datenschutzaufsicht angezeigt. Benannt werden darf auch eine juristische Person.
Das DSG-EKD spricht von „örtlich Beauftragten für den Datenschutz“. Die Bestellung ist Pflicht, wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung betraut sind oder die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht (§ 36 Abs. 1 DSG-EKD). Bei den 20 Personen zählen nach der Gesetzesbegründung auch Ehrenamtliche mit. Die Bestellung erfolgt in Textform, wird der kirchlichen Aufsichtsbehörde und der allgemeinen Aufsicht angezeigt; die Vertretung ist zu regeln. Besteht keine Pflicht, muss die Leitung die Aufgaben trotzdem auf andere Weise sicherstellen; das KDG regelt es genauso.
Intern oder extern: Was die Leitung abwägen muss
Die Verordnung lässt beide Wege zu. Der Datenschutzbeauftragte kann Beschäftigter sein oder die Aufgabe auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6 DSGVO). Entscheidend ist in beiden Fällen die Fachkunde: Kenntnis des Datenschutzrechts, der Datenschutzpraxis und die Fähigkeit, die Aufgaben zu erfüllen. Ein Träger mit mehreren Einrichtungen darf einen gemeinsamen Datenschutzbeauftragten benennen, wenn jede Einrichtung ihn leicht erreichen kann.
Der Interessenkonflikt: Wer nicht benannt werden darf
Ein interner Datenschutzbeauftragter darf andere Aufgaben haben, aber keine, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Der Europäische Gerichtshof hat 2023 im Fall X-FAB entschieden, dass ein solcher Konflikt bestehen kann, wenn die andere Aufgabe die Person dazu veranlasst, Zwecke und Mittel der Datenverarbeitung festzulegen. Ob das so ist, entscheidet sich im Einzelfall. Wer über die Fachsoftware, die Personalakten oder die Dokumentationsregeln entscheidet, kann sich nicht selbst überwachen.
Die Leitlinien WP 243 nennen als Faustregel die Positionen des leitenden Managements: Leitung der Organisation, des operativen Geschäfts, der Finanzen, der Personalabteilung und der IT. Das KDG schließt die Leitung der Stelle und die Leitung der Datenverarbeitung ausdrücklich aus (§ 36 Abs. 7 KDG), das DSG-EKD formuliert es als Soll-Vorschrift. Praktisch bleiben für eine interne Lösung Beschäftigte, die nicht über Systeme, Dokumentationsvorgaben oder Verfahren entscheiden. Im Qualitätsmanagement oder in der Verwaltung ist das im Einzelfall zu prüfen (WP 243).
Schutz des internen Datenschutzbeauftragten
Ist die Benennung Pflicht, darf der Träger den Datenschutzbeauftragten nur aus wichtigem Grund abberufen. Das Arbeitsverhältnis ist ebenfalls nur aus wichtigem Grund kündbar, auch noch ein Jahr nach dem Ende der Tätigkeit (§ 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG). Der Europäische Gerichtshof hat im selben Urteil entschieden, dass das Unionsrecht einem solchen Schutz vor Abberufung nicht entgegensteht, solange er die Ziele der DSGVO nicht beeinträchtigt. Bei einer freiwilligen Benennung gilt der Kündigungsschutz nicht, das Verbot der Benachteiligung wegen der Aufgabe aber schon. KDG und DSG-EKD kennen einen vergleichbaren Schutz.
| Kriterium | Intern | Extern | Rechtsgrundlage |
|---|---|---|---|
| Fachkunde | Muss aufgebaut und durch Fortbildung erhalten werden, Kosten trägt der Träger | Wird mitgebracht und im Vertrag nachgewiesen | Art. 37 Abs. 5, Art. 38 Abs. 2 DSGVO |
| Interessenkonflikt | Leitungsfunktionen scheiden aus, Doppelrollen sind zu prüfen | Entsteht, wenn der Berater zugleich Verfahren gestaltet, etwa als IT-Dienstleister | Art. 38 Abs. 6 DSGVO |
| Bindung | Abberufung nur aus wichtigem Grund, Kündigungsschutz bis ein Jahr danach | Vertrag mit Laufzeit, Abberufung wegen der Aufgabenerfüllung verboten | § 38 Abs. 2, § 6 Abs. 4 BDSG, Art. 38 Abs. 3 DSGVO |
| Zeit und Erreichbarkeit | Zeitanteil freistellen, Vertretung regeln, Berichtslinie zur obersten Leitung | Feste Termine, Erreichbarkeit und Berichtslinie im Vertrag | Art. 38 Abs. 2 und 3 DSGVO |
| Kosten | Arbeitszeit, Fortbildung, Vertretung | Entgelt nach Vertrag, etwa als Monatspauschale nach Umfang | Art. 37 Abs. 6 DSGVO |
Wie läuft die Benennung richtig ab?
Die DSGVO schreibt keine Form vor. Weil der Träger aber nachweisen muss, dass er seine Pflichten erfüllt, empfehle ich eine schriftliche Benennung mit Aufgaben, Zeitanteil und Unterschrift beider Seiten. Danach veröffentlicht der Träger die Kontaktdaten und meldet sie der Datenschutzaufsichtsbehörde seines Landes (Art. 37 Abs. 7 DSGVO).
Die Meldung ist keine Formalie. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat 2019 gegen die deutsche Tochter eines Konzerns ein Bußgeld von 51.000 € verhängt, weil sie den neuen Datenschutzbeauftragten nicht gemeldet hatte. Benannt war die ganze Zeit jemand (Tätigkeitsbericht 2019).
- Zählen Sie die Personen. Erfassen Sie alle, die im Schwerpunkt digital mit personenbezogenen Daten arbeiten, über alle Einrichtungen und Bereiche des Trägers hinweg, einschließlich Teilzeit, Auszubildenden und Ehrenamt.
- Prüfen Sie die Kerntätigkeit. Beschreiben Sie, welche Gesundheitsdaten und anderen besonders geschützten Daten Ihre Dokumentation enthält, für welchen Personenkreis und über welche Dauer.
- Prüfen Sie Verfahren mit hohem Risiko. Gleichen Sie Ihre Verfahren mit der Liste der Datenschutzkonferenz ab, vor allem bei Fachsoftware mit KI-Funktionen.
- Entscheiden Sie zwischen intern und extern. Prüfen Sie, wer im Haus Fachkunde hat oder aufbauen kann, wie viel Zeit die Aufgabe braucht und wer die Vertretung übernimmt.
- Schließen Sie Interessenkonflikte aus. Benennen Sie niemanden, der über Systeme, Personal oder Verfahren entscheidet, und halten Sie die Prüfung schriftlich fest.
- Benennen Sie schriftlich und melden Sie. Dokumentieren Sie die Benennung, veröffentlichen Sie die Kontaktdaten und melden Sie sie der zuständigen Aufsichtsbehörde.
- Statten Sie die Funktion aus. Regeln Sie Zeit, Zugang, Fortbildung und einen festen Jahresbericht an die Leitung und binden Sie den Datenschutzbeauftragten früh in neue Verfahren ein.
Was der Datenschutzbeauftragte tut und was nicht
Die Verordnung nennt fünf Mindestaufgaben (Art. 39 Abs. 1 DSGVO):
- Leitung und Beschäftigte unterrichten und beraten.
- Die Einhaltung der Datenschutzregeln überwachen.
- Bei der Datenschutz-Folgenabschätzung auf Anfrage beraten und ihre Durchführung überwachen.
- Mit der Aufsichtsbehörde zusammenarbeiten.
- Für die Aufsichtsbehörde Anlaufstelle sein.
Dazu kommt die Rolle als Anlaufstelle für betroffene Personen wie Klientinnen, Klienten und Beschäftigte, die Fragen zu ihren Daten haben. Was dabei besprochen wird, unterliegt der Verschwiegenheit.
Der Datenschutzbeauftragte entscheidet nicht, welche Software gekauft wird, und unterschreibt keine Verträge. Die Datenschutz-Folgenabschätzung führt der Träger durch; der Datenschutzbeauftragte berät dazu und überwacht sie, erstellt sie aber nicht selbst, weil er sonst seine eigene Arbeit prüfen müsste. Und die Verantwortung dafür, dass die Verarbeitung rechtmäßig ist und das nachweisbar bleibt, trägt der Verantwortliche, also die Leitung des Trägers (Art. 24 DSGVO). Ein Bußgeld trifft den Träger, nicht den Datenschutzbeauftragten.
Was er im Alltag eines sozialen Trägers konkret klärt
Ein Kostenträger fragt nach einem Entwicklungsbericht: Welche Angaben braucht die Hilfeplanung? Liegt eine Schweigepflichtentbindung vor, die Empfänger und Zweck nennt? Der Medizinische Dienst kündigt eine Qualitätsprüfung an: Wie läuft die Einwilligung ab, die der Blick in die Pflegedokumentation voraussetzt (§ 114a Abs. 3 SGB XI)? Wie streng der Träger die Daten von Jugendamt oder Pflegekasse behandeln muss, erklärt der Beitrag zum Sozialdatenschutz bei freien Trägern.
Polizei, Staatsanwaltschaft oder Gericht fragen nach einer Klientin: Wer nimmt die Anfrage entgegen, was bleibt ohne Befugnis im Haus und wer hat vor Gericht ein Zeugnisverweigerungsrecht? Hier greifen Schweigepflicht und Strafprozessrecht ineinander. Die Antwort unterscheidet sich zwischen Beratungsstelle, Pflegedienst und Wohngruppe. Was die Schweigepflicht für externe IT, Cloud und KI bedeutet, behandelt der Beitrag zu § 203 StGB und Dienstleistern.
Dazu kommen die KI-Anwendungen. Der Datenschutzbeauftragte berät dazu und überwacht, ob sie im Verarbeitungsverzeichnis (der Liste aller Verarbeitungen) stehen, ob ein Vertrag mit dem Anbieter besteht und ob die Leitung die Folgenabschätzung rechtzeitig plant. Das gilt auch für KI, die per Update in die Fachsoftware kommt.
Was passiert, wenn der Datenschutzbeauftragte fehlt?
Fehlt die Benennung, die Meldung oder die nötige Ausstattung, kann die Aufsichtsbehörde ein Bußgeld verhängen. Es reicht bis zu 10 Millionen € oder bis zu 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 lit. a DSGVO). Das ist der Rahmen, nicht die Regel. Bei der Bemessung zählen Art und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, die betroffenen Datenkategorien und die Zusammenarbeit mit der Aufsichtsbehörde.
Für kirchliche Träger gelten eigene Bußgeldrahmen und Ausnahmen. Das KDG nennt bis zu 1 Million €; gegen kirchliche Unternehmen, die am Wettbewerb teilnehmen, sind bis zu 4 Prozent des Jahresumsatzes möglich, höchstens 3 Millionen € (§ 51 Abs. 5 KDG). Das DSG-EKD erlaubt Geldbußen nur gegen Stellen, die als Unternehmen am Wettbewerb teilnehmen, dann bis zu 6 Millionen € (§ 45 DSG-EKD).
Beispiel
Angenommen, eine Suchtberatungsstelle hat sechs Beschäftigte und berät 400 Personen im Jahr, ohne KI-Anwendung und ohne weiteres Verfahren mit hohem Risiko. Nach dem Maßstab der Datenschutzkonferenz für Gesundheitsberufe (Beschluss von 2018) liegt bei dieser Größe in der Regel keine umfangreiche Verarbeitung vor. Auch die Schwelle von 20 Personen ist nicht erreicht. Die Benennung ist dann freiwillig. Die Pflichten aus der Verordnung, vom Verarbeitungsverzeichnis bis zur Meldung einer Datenpanne, bleiben bestehen; nur die Funktion, die darauf achtet, fehlt.
Was in den nächsten Wochen zu tun ist
Gehen Sie zuerst die Schritte im Abschnitt zur Benennung durch und halten Sie das Ergebnis mit Begründung fest. Prüfen Sie dann eine bestehende Benennung: Gibt es ein Dokument, ist die Person der Aufsichtsbehörde gemeldet und stehen die Kontaktdaten auf der Website? Ein interner Datenschutzbeauftragter, der inzwischen die IT oder das Personal leitet, ist ein Konfliktfall.
Beteiligen Sie den Datenschutzbeauftragten künftig vor jeder neuen Software, jeder KI-Anwendung und jedem Dienstleisterwechsel. Bei kirchlichen Trägern gehört die Prüfung dazu, ob die Benennung der kirchlichen Aufsicht angezeigt wurde und ob sie der seit 2025 beziehungsweise 2026 geltenden Fassung des Gesetzes entspricht.
Wenn Sie die Funktion extern vergeben möchten, übernehme ich sie als externer Datenschutzbeauftragter nach DSGVO, KDG oder DSG-EKD für 400 bis 900 € im Monat.
Häufige Fragen
Ab wann braucht ein Pflegedienst einen Datenschutzbeauftragten?
Nach Auffassung der Aufsicht in Baden-Württemberg braucht er ihn fast immer, weil die Pflegedokumentation Gesundheitsdaten in großem Umfang enthält. Unabhängig davon gilt die Pflicht ab 20 Personen, die ständig digital mit personenbezogenen Daten arbeiten. Nur ein sehr kleiner Dienst mit einem Klientenkreis wie in einer Arztpraxis kann unter Umständen ohne auskommen.
Braucht ein kleiner Verein einen Datenschutzbeauftragten?
Nicht allein wegen der Mitgliederverwaltung. Die Pflicht entsteht, wenn mindestens 20 Personen ständig digital mit personenbezogenen Daten arbeiten, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten besteht oder wenn eine Datenschutz-Folgenabschätzung nötig ist. Betreibt der Verein eine Pflege- oder Betreuungseinrichtung, gelten die Maßstäbe für Pflegedienste und Wohngruppen.
Darf die Geschäftsführung selbst Datenschutzbeauftragter sein?
Nein. Die Geschäftsführung legt Zwecke und Mittel der Datenverarbeitung fest und müsste sich selbst überwachen; das ist ein Interessenkonflikt nach Art. 38 Abs. 6 DSGVO und dem Urteil des Europäischen Gerichtshofs von 2023. Bei IT-Leitung und Personalleitung nennen die Leitlinien WP 243 dasselbe Risiko, das im Einzelfall zu prüfen ist; das KDG schließt die Leitung der Stelle ausdrücklich aus.
Muss ich den Datenschutzbeauftragten der Aufsichtsbehörde melden?
Ja. Der Träger veröffentlicht die Kontaktdaten und teilt sie der Aufsichtsbehörde mit (Art. 37 Abs. 7 DSGVO). Jeder Wechsel wird neu gemeldet; ein Versäumnis kann ein Bußgeld auslösen, wie ein Hamburger Fall von 2019 mit 51.000 € zeigt.
Gilt die Pflicht auch bei Caritas und Diakonie?
Ja, nach KDG beziehungsweise DSG-EKD. Beide kennen die Schwelle von 20 Personen und die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Daten, verlangen Fachkunde und Zuverlässigkeit. Das KDG schließt die Leitung aus, das DSG-EKD sieht das als Soll-Vorschrift vor; die Benennung erfolgt schriftlich oder in Textform und wird der kirchlichen Aufsicht angezeigt.
Was kostet ein externer Datenschutzbeauftragter?
Bei mir richtet sich der Monatsbetrag nach der Zahl der Beschäftigten: 400 bis 900 € im Monat für die Funktion als Datenschutzbeauftragter, 700 bis 1.500 € zusammen mit der laufenden KI-Compliance. Die Richtwerte je Größe stehen auf der Seite Externer Datenschutzbeauftragter. Vergleichen Sie bei jedem Angebot, welche Termine, Schulungen und Berichte enthalten sind.
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 5, 24, 35, 37, 38, 39, 83 und Erwägungsgrund 91, konsolidierte Fassung. EUR-Lex, abgerufen am 7. Oktober 2026.
- Bundesrepublik Deutschland: Bundesdatenschutzgesetz (BDSG), § 38 und § 6, zuletzt geändert durch Gesetz vom 3. Juli 2026. § 38 BDSG und § 6 BDSG auf gesetze-im-internet.de, abgerufen am 7. Oktober 2026.
- Bundeskanzler und Regierungschefinnen und Regierungschefs der Länder: Föderale Modernisierungsagenda, Beschluss vom 4. Dezember 2025, Abschnitt III Nr. 2.2. PDF der Staatskanzlei Rheinland-Pfalz, abgerufen am 15. Oktober 2026.
- Bundesregierung: Ein Programm für Aufschwung und Beschäftigung (Koalition, Anfang Juli 2026), Nr. 14. PDF der Bundesregierung, abgerufen am 15. Oktober 2026.
- Bundesrepublik Deutschland: Strafgesetzbuch, § 203 Abs. 1. § 203 StGB auf gesetze-im-internet.de, abgerufen am 7. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 20. November 2017, geändert durch Beschluss vom 24. November 2025, §§ 3, 36 bis 38, 51. Konsolidierte Fassung, Bistum Trier, abgerufen am 7. Oktober 2026.
- Bistum Augsburg: Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz (KDG-Änderungsgesetz), Amtsblatt für die Diözese Augsburg Nr. 2 vom 3. Februar 2026, S. 42 bis 81, Inkrafttreten 1. März 2026. Amtsblatt 2/2026, abgerufen am 7. Oktober 2026.
- Evangelische Kirche in Deutschland: Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, Amtsblatt der EKD 2025 Nr. 1, §§ 36 bis 38, 45. Amtsblatt der EKD 1/2025, abgerufen am 7. Oktober 2026.
- Evangelische Kirche in Deutschland: Nichtamtliche Begründung zum Kirchengesetz zur dritten Änderung des EKD-Datenschutzgesetzes, Stand 6. Januar 2025, zu § 36. kirchenrecht-ekd.de, abgerufen am 15. Oktober 2026.
- Artikel-29-Datenschutzgruppe: Leitlinien in Bezug auf Datenschutzbeauftragte, WP 243 rev.01, angenommen am 5. April 2017, Abschnitte 2.1.2, 2.1.3 und 3.5. Europäische Kommission, Newsroom, abgerufen am 7. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 9. Februar 2023, Rechtssache C-453/21 (X-FAB Dresden). EUR-Lex, abgerufen am 7. Oktober 2026.
- Datenschutzkonferenz: Beschluss zur Datenschutzbeauftragten-Bestellpflicht nach Artikel 37 Abs. 1 lit. c DSGVO bei Arztpraxen, Apotheken und sonstigen Angehörigen eines Gesundheitsberufs, Düsseldorf, 26. April 2018. Beschluss der 95. Konferenz, abgerufen am 7. Oktober 2026.
- Datenschutzkonferenz: Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist (nicht-öffentlicher Bereich), Version 1.1 vom 17. Oktober 2018, Nr. 3 und 11. Muss-Liste, abgerufen am 7. Oktober 2026.
- Datenschutzkonferenz: Kurzpapier Nr. 12, Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern, Stand 17. Dezember 2018; die DSK kennzeichnet das Papier als teilweise veraltet, die dort genannte Schwelle von zehn Personen liegt seit November 2019 bei 20. Kurzpapier 12, abgerufen am 7. Oktober 2026.
- Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg: Häufig gestellte Fragen zum Thema Datenschutz in der Pflege, Stand 20. Mai 2019, Fragen 16 bis 19; die dort genannte Schwelle von zehn Personen liegt seit November 2019 bei 20. FAQ Pflegeeinrichtungen, abgerufen am 7. Oktober 2026.
- Bayerisches Landesamt für Datenschutzaufsicht: Auslegungshilfe „Wann ist jemand ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG)?“. Auslegungshilfe, abgerufen am 7. Oktober 2026.
- Bayerisches Landesamt für Datenschutzaufsicht: Auslegungshilfe „Wann ist ein Datenschutzbeauftragter in einer Arztpraxis zu benennen?“, Stand 10. Dezember 2019. Auslegungshilfe medizinischer Bereich, abgerufen am 7. Oktober 2026.
- Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit: 28. Tätigkeitsbericht Datenschutz 2019, Februar 2020, Kapitel IV.6, S. 105 bis 107. Tätigkeitsbericht 2019, abgerufen am 7. Oktober 2026.
- Bundesrepublik Deutschland: Sozialgesetzbuch Elftes Buch, § 114a Abs. 3. § 114a SGB XI auf gesetze-im-internet.de, abgerufen am 7. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
