Der Datenschutz wird umgebaut – und die Aufsicht gleich mit

 1. Was mit „Modernisierung" gemeint ist

Drei Stoßrichtungen sind erkennbar:

Auf EU-Ebene soll die DSGVO in sogenannten Omnibus-Verfahren nachjustiert werden. „Omnibus" heißt dabei nur: Mit einem einzigen Gesetzespaket werden mehrere verschiedene Gesetze gleichzeitig geändert. Diskutiert werden unter anderem eine neue Abgrenzung des Begriffs personenbezogenes Datum (jede Information, die sich einer bestimmten Person zuordnen lässt – Name, Personalnummer, Kundennummer, IP-Adresse), ein lockererer Umgang mit pseudonymisierten Daten (Daten, bei denen der Name durch ein Kürzel ersetzt wurde, die sich aber mit einem Zusatzschlüssel wieder zuordnen lassen), mehr Spielraum beim berechtigten Interesse (eine Erlaubnis, Daten ohne Einwilligung zu nutzen, wenn das eigene Interesse überwiegt) sowie Anpassungen bei Einwilligungsregeln und Meldefristen.

Auf Bundesebene geht es vor allem um den Schwellenwert in § 38 Abs. 1 Satz 1 BDSG – also die Zahl an Beschäftigten, ab der ein Unternehmen zwingend einen Datenschutzbeauftragten benennen muss. Derzeit liegt sie bei 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind. Eine Anhebung ist im Gespräch.

Auf Aufsichtsebene steht zur Diskussion, die Zuständigkeit für die Privatwirtschaft stärker beim Bund zu bündeln – statt sie wie bisher auf siebzehn Behörden zu verteilen (die Landesbehörden der 16 Bundesländer plus den BfDI, den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit).

Jeder Punkt klingt für sich vernünftig. In der Summe ergibt sich ein Bild, das deutlich weniger beruhigend ist.

 2. Der erste Irrtum: „Dann haben wir bald keine Pflichten mehr"

Der Satz, der derzeit am häufigsten in Beratungsgesprächen fällt, lautet:

„Wenn der Schwellenwert steigt, brauchen wir keinen Datenschutzbeauftragten mehr – dann ist das Thema für uns erledigt."

Das ist der teuerste Irrtum, der zurzeit durch den Mittelstand geht – und zwar aus zwei voneinander unabhängigen Gründen.

Grund 1: Die Pflichten hängen nicht am Datenschutzbeauftragten

Die Benennungspflicht ist eine Organisationspflicht. Sie regelt nur, ob Sie jemanden benennen müssen. Sie sagt nichts darüber aus, was die DSGVO vom Umgang mit den Daten selbst verlangt. Unverändert bestehen bleiben:

Pflicht: Was das konkret heißt

• Verarbeitungsverzeichnis (Art. 30 DSGVO): Übersicht darüber, welche Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeiten – eine Inventarliste Ihrer Datenverarbeitung |
• Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Sie müssen nachweisen können, dass Sie sich rechtmäßig verhalten haben. Es genügt nicht, es getan zu haben – Sie müssen es belegen |
• TOM (Art. 32 DSGVO): Technische und organisatorische Maßnahmen – Passwörter, Zugriffsrechte, verschlossene Schränke, Verschlüsselung, Datensicherung
• AVV (Art. 28 DSGVO): Auftragsverarbeitungsvertrag – Pflichtvertrag mit jedem Dienstleister, der in Ihrem Auftrag Daten verarbeitet: IT-Betreuer, Cloud-Anbieter, Lohnbüro, Aktenvernichter, Kamera-Errichter mit Fernwartung
• Informationspflichten (Art. 13, 14 DSGVO):  Datenschutzhinweise für Kunden, Patienten, Bewerber und Beschäftigte – bei Kameras zusätzlich das Hinweisschild
• Betroffenenrechte (Art. 12 ff. DSGVO): Auskunft, Löschung, Berichtigung, Widerspruch – grundsätzlich binnen eines Monats zu beantworten
• Meldepflicht bei Datenpannen (Art. 33, 34 DSGVO): Bei Hackerangriff, verlorenem Gerät oder Fehlversand: Meldung an die Aufsichtsbehörde binnen 72 Stunden
• DSFA (Art. 35 DSGVO) | Datenschutz-Folgenabschätzung – eine förmliche, dokumentierte Risikoprüfung vor dem Start einer risikoreichen Verarbeitung

 Grund 2: Der Schwellenwert ist nur einer von mehreren Wegen in die Pflicht

Hier liegt der entscheidende, in der öffentlichen Debatte fast völlig untergegangene Punkt.

• 38 Abs. 1 BDSG hat zwei Sätze. Satz 1 enthält die Beschäftigtenzahl. Satz 2 nicht. Satz 2 ordnet an: Wer Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, muss einen Datenschutzbeauftragten benennen – unabhängig von der Zahl der beschäftigten Personen.

Die politische Debatte dreht sich ausschließlich um Satz 1. Satz 2 bleibt, soweit erkennbar, unangetastet. Und Art. 37 Abs. 1 lit. c DSGVO – die europäische Benennungspflicht für Stellen, die in großem Umfang besondere Kategorien personenbezogener Daten verarbeiten (Gesundheitsdaten, biometrische Daten, Daten zu Religion, Gewerkschaftszugehörigkeit, Sexualleben, ethnischer Herkunft; Art. 9 DSGVO) – kann der deutsche Gesetzgeber ohnehin nicht ändern. Für Arztpraxen, Apotheken und Pflegedienste ist die Diskussion um den Schwellenwert daher weitgehend gegenstandslos.

Anders gesagt: Sie können auf null Beschäftigte schrumpfen und trotzdem benennungspflichtig sein.

3. Der Praxistest: Kamera und Handheld

Damit wird die entscheidende Frage nicht mehr „Wie viele Leute beschäftige ich?", sondern: „Löst eine meiner Verarbeitungen eine DSFA aus?" Genau diese Frage stellt sich bei Videoüberwachung und Handhelds in fast jedem Betrieb.

Wichtig vorweg, weil es oft falsch behauptet wird: Nicht jede Kamera und nicht jedes Handgerät löst automatisch eine DSFA aus. Wer das pauschal behauptet, macht sich angreifbar. Es kommt auf die konkrete Ausgestaltung an – und genau deshalb muss man hinsehen.

 3.1 Videoüberwachung

Eine DSFA ist nach Art. 35 DSGVO auf drei Wegen möglich:

Weg 1 – das gesetzliche Regelbeispiel. Art. 35 Abs. 3 lit. c DSGVO nennt ausdrücklich die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. „Öffentlich zugänglich" ist jeder Bereich, den ein unbestimmter Personenkreis betreten darf – also:

- der Verkaufsraum eines Ladens oder einer Bäckerei

- die Offizin einer Apotheke

- Empfang und Wartezimmer einer Arztpraxis

- der Kundenparkplatz eines Betriebs

- der Eingangsbereich eines Bürogebäudes

- Tankstellen, Werkstattannahmen, Ausstellungsräume

Wer hier dauerhaft filmt, befindet sich mitten im Regelbeispiel.

Weg 2 – die Liste der Aufsichtsbehörden. Nach Art. 35 Abs. 4 DSGVO veröffentlicht die DSK (Datenschutzkonferenz – das gemeinsame Gremium der deutschen Aufsichtsbehörden) eine Liste von Verarbeitungen, für die eine DSFA zwingend durchzuführen ist. Videoüberwachung und die Verarbeitung von Beschäftigtendaten zur Verhaltens- oder Leistungskontrolle sind dort in mehreren Konstellationen erfasst. Diese Liste ist für die Behörden verbindlich – und für Sie damit faktisch auch.

Weg 3 – die eigene Risikobewertung. Auch außerhalb von Regelbeispiel und Liste besteht die Pflicht, sobald ein *voraussichtlich hohes Risiko* für die Rechte und Freiheiten der betroffenen Personen besteht (Art. 35 Abs. 1 DSGVO).

Und die Kamera auf dem umzäunten Betriebshof? Ein nicht öffentlich zugänglicher Hof fällt nicht ohne Weiteres unter das Regelbeispiel des Art. 35 Abs. 3 lit. c. Aber: Sobald dort regelmäßig eigene Beschäftigte erfasst werden – beim Kommen und Gehen, beim Be- und Entladen –, ist die Kamera zugleich eine technische Einrichtung, die geeignet ist, Verhalten und Leistung zu überwachen. Damit sind Sie sehr schnell wieder in der DSK-Liste. Hinzu kommt die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG (Betriebsverfassungsgesetz) und – bei Beschäftigten – § 26 BDSG, dessen Zukunft im Rahmen der Reform selbst zur Debatte steht.

Das Ergebnis ist also nicht „immer DSFA". Das Ergebnis ist: In der überwiegenden Zahl der real vorgefundenen Kamerainstallationen ja – und wo nicht, muss die Verneinung begründet und dokumentiert werden. Dazu gleich mehr.

3.2 Handhelds und mobile Datenerfassung

Hier ist das Risiko meist deutlich höher, als die Betriebe vermuten – weil niemand ein Handgerät als Überwachungsinstrument wahrnimmt.

Ein Handheld ist ein mobiles Erfassungsgerät: der Barcodescanner im Lager, das Tablet in der Pflegedokumentation, das Monteurterminal im Servicefahrzeug, der Handscanner in der Auslieferung, das Kassen-Handgerät im Verkauf.

Was diese Geräte typischerweise übertragen:

- die Anmeldekennung des Nutzers, also eine eindeutig zuordenbare Person

- einen Zeitstempel zu jedem einzelnen Vorgang – Scan, Quittung, Statuswechsel

- häufig Standortdaten über GPS oder die Zuordnung zu Funkzellen und WLAN-Punkten

- Bearbeitungsdauern, Fehlerquoten, Stückzahlen, Wegezeiten

Einzeln betrachtet wirkt jeder dieser Datenpunkte harmlos. Zusammengeführt entsteht etwas anderes: ein lückenloses Bewegungs- und Leistungsprofil einer namentlich bekannten Person über den gesamten Arbeitstag. Genau das ist der Kern von Art. 35 Abs. 3 lit. a DSGVO – der systematischen und umfassenden Bewertung persönlicher Aspekte – und der einschlägigen Einträge der DSK-Liste zu Standortdaten und zur Leistungskontrolle.

In Pflegediensten kommt eine zweite Ebene hinzu: Das Tablet überträgt Pflege- und Gesundheitsdaten. Damit ist zugleich Art. 35 Abs. 3 lit. b DSGVO betroffen (umfangreiche Verarbeitung besonderer Kategorien) – und über Art. 37 Abs. 1 lit. c DSGVO ohnehin die europäische Benennungspflicht.

Für einen ambulanten Pflegedienst mit zwölf Mitarbeitenden bedeutet das: Selbst wenn der Schwellenwert auf 50 angehoben würde, bleibt er benennungspflichtig. Nicht über die Kopfzahl, sondern über § 38 Abs. 1 Satz 2 BDSG und über Art. 37 Abs. 1 lit. c DSGVO.

 3.3 Der Punkt, den fast alle übersehen

Angenommen, Sie kommen zu dem Ergebnis, dass Ihre Kamera keine DSFA erfordert. Herzlichen Glückwunsch – nur: Auch dieses Ergebnis müssen Sie schriftlich begründen und aufbewahren.

Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt den Nachweis rechtmäßigen Handelns. Der Nachweis, dass keine DSFA nötig war, setzt voraus, dass Sie die Prüfung durchgeführt haben. Diese Vorprüfung – in der Praxis „Schwellwertanalyse" genannt – ist selbst ein Dokument, das im Ernstfall vorgelegt werden muss.

Die Arbeit fällt also in beiden Fällen an. Die einzige Frage ist, ob am Ende eine dreiseitige Negativfeststellung oder eine vollständige Folgenabschätzung steht.

 3.4 Und wer soll die DSFA machen?

Hier schließt sich der Kreis auf eine Weise, die im Gesetz selbst angelegt ist: Art. 35 Abs. 2 DSGVO verpflichtet den Verantwortlichen, bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten einzuholen.

Wer also DSFA-pflichtig ist, braucht schon deshalb jemanden, den er fragen kann. Eine DSFA ohne Datenschutzbeauftragten ist keine ordnungsgemäße DSFA.

Ihre Prüfkette in fünf Schritten:

1. Setzen Sie Kameras oder Handhelds ein, die Personen zuordenbare Daten übertragen?

2. Greift ein Regelbeispiel des Art. 35 Abs. 3 DSGVO oder ein Eintrag der DSK-Liste?

3. Falls ja: DSFA-Pflicht → § 38 Abs. 1 Satz 2 BDSG → Benennungspflicht unabhängig von der Mitarbeiterzahl.

4. Falls nein: Die Negativfeststellung ist zu dokumentieren – und die Schwellenwertprüfung nach Satz 1 sowie sämtliche übrigen DSGVO-Pflichten bleiben bestehen.

5. In beiden Fällen ist bei der DSFA der Rat des Datenschutzbeauftragten einzuholen (Art. 35 Abs. 2 DSGVO).

An keiner Stelle dieser Kette hilft eine Anhebung des Schwellenwerts.

 4. Der zweite Irrtum: „Die Aufsicht wird bürgernäher"

Die Bündelung der Aufsicht wird mit Einheitlichkeit begründet. Das Ziel ist berechtigt – dass Landesbehörden dieselbe Frage unterschiedlich beantworten, ärgert jeden mit Standorten in mehreren Bundesländern.

Kritisch bleibt trotzdem:

Erreichbarkeit. Ein Hamburger Handwerksbetrieb mit einer Rückfrage zur Kamera auf dem Betriebshof ruft beim HmbBfDI an (Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit – die für Hamburg zuständige Aufsichtsbehörde), nicht in Bonn. Eine Zentralisierung verlagert Fachwissen aus der Fläche ab. Ob eine einzige Bundesbehörde die Beratungsdichte von siebzehn Behörden ersetzen kann, ist bei der vorhandenen Personalausstattung mindestens zweifelhaft.

Verfassungsfragen. Die Aufteilung der Zuständigkeiten zwischen Bund und Ländern ist im Grundgesetz geregelt. Ein solcher Umbau wird nicht ohne Widerstand der Länder und ohne gerichtliche Auseinandersetzung ablaufen. Für Unternehmen heißt das: mehrere Jahre Unklarheit darüber, wer eigentlich zuständig ist.

„Beratung statt Bußgeld". Klingt unternehmensfreundlich. In der Praxis bedeutet mehr Beratung bei gleichbleibendem Personal aber vor allem längere Wartezeiten und weniger verbindliche Auskünfte. Und eine Behörde, die nicht mehr entscheidet, produziert auch keine Fälle mehr, an denen sich Unternehmen orientieren können. Rechtssicherheit entsteht nicht durch freundliche Behörden, sondern durch geklärte Fälle.

5. Der dritte Irrtum: „Weniger Kontrolle heißt weniger Risiko"

Selbst wenn Behörden seltener sanktionieren – Ihr Risiko verschwindet nicht. Es verlagert sich nur dorthin, wo es schlechter kalkulierbar ist.

Schadensersatzklagen. Art. 82 DSGVO gibt jeder Person, deren Daten rechtswidrig verarbeitet wurden, einen Anspruch auf Schadensersatz – auch für immaterielle Schäden (Schäden ohne Vermögensnachteil, die das Persönlichkeitsrecht betreffen). Bereits der bloße Kontrollverlust über die eigenen Daten kann ausreichen. Die Einzelbeträge sind überschaubar; multipliziert mit tausend Betroffenen ist es das nicht mehr. Und die Belegschaft ist ein besonders geschlossener Betroffenenkreis: Eine rechtswidrige Kamerainstallation oder eine unzulässige Auswertung von Handheld-Daten trifft nicht anonyme Kunden, sondern namentlich bekannte Beschäftigte, die die Klage koordinieren können.

Abmahnungen durch Mitbewerber. Nachdem der EuGH (Europäischer Gerichtshof – das höchste Gericht der EU) bestätigt hat, dass auch Wettbewerber Datenschutzverstöße verfolgen können, sitzt der schärfste Kontrolleur nicht in der Behörde, sondern im Nachbarbetrieb. Der hat kein Personalproblem, keine Beratungspflicht und kein Ermessen. Eine Kamera, die auf den Gehweg oder das Nachbargrundstück filmt, ist von außen sichtbar – und damit besonders leicht angreifbar.

Verträge und Versicherungen. Auftraggeber verlangen im Rahmen des AVV zunehmend echte Nachweise. Cyberversicherer prüfen im Schadensfall, ob ein funktionierendes Datenschutz- und Sicherheitsmanagement bestand. Wer nichts vorweisen kann, verliert Aufträge oder Deckung – ohne dass je eine Behörde beteiligt war.

Persönliche Haftung. Fällt die Benennungspflicht weg, fällt die Verantwortung nicht mit weg. Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7) ist immer das Unternehmen, nie der Datenschutzbeauftragte. Es gibt kaum eine schlechtere Nachricht für einen Geschäftsführer als die, dass er die Aufgabe künftig selbst übernehmen darf.

6. Der vierte Irrtum: „Insgesamt wird weniger reguliert"

Während beim Datenschutz vereinfacht wird, wächst die Regulierung anderswo – und trifft dieselben Betriebe, dieselben Geräte, dieselben Verantwortlichen:

- NIS2 – EU-Richtlinie zur Cybersicherheit, die deutlich mehr Unternehmen zu Sicherheitsmaßnahmen und zur Meldung von IT-Vorfällen verpflichtet

- AI Act – die EU-Verordnung über Künstliche Intelligenz mit besonderen Pflichten für Hochrisiko-Systeme

- Data Act – Regeln zum Zugang zu Daten aus vernetzten Geräten

- Cyber Resilience Act – Sicherheitsanforderungen an Produkte mit digitalen Elementen

Die Verzahnung ist eng. Eine Kamera mit automatischer Personen- oder Kennzeichenerkennung ist zugleich ein KI-System nach dem AI Act und eine biometrische Verarbeitung nach Art. 9 DSGVO. Ein Handheld, das an eine Cloud überträgt, ist zugleich ein Gerät im Sinne von Data Act und Cyber Resilience Act. Und ein meldepflichtiger IT-Vorfall nach NIS2 ist in aller Regel zugleich eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO – mit unterschiedlichen Fristen, unterschiedlichen Empfängern und unterschiedlichen Formularen. Wer im Ernstfall nicht weiß, wen er in welcher Reihenfolge informiert, verliert genau die Stunden, auf die es ankommt.

7. Und die Zeit dazwischen?

Reformen dieser Größenordnung erzeugen jahrelange Unsicherheit. Bestehende Orientierungshilfen verlieren ihre Verlässlichkeit, bevor neue vorliegen. Bis Gerichte die neue Rechtslage höchstrichterlich geklärt haben, vergehen erfahrungsgemäß fünf bis acht Jahre.

Im Klartext: Ausgerechnet in der Phase, in der die Modernisierung Erleichterung verspricht, ist der Beratungsbedarf am höchsten.

Fazit: Warum der externe Datenschutzbeauftragte die richtige Antwort bleibt

Zur Klarstellung, weil es in der Diskussion oft vermischt wird: Das Gesetz verlangt nie ausdrücklich einen externen Datenschutzbeauftragten. Art. 37 Abs. 6 DSGVO stellt die interne und die externe Lösung ausdrücklich gleich. Es gibt also keinen Zwang zur Externen.

Es gibt aber fünf Gründe, warum die externe Lösung für kleine und mittlere Betriebe in aller Regel die einzige tragfähige ist:

1. Die Pflicht bleibt – nur der Weg dorthin ändert sich.

Wer Kameras in öffentlich zugänglichen Bereichen betreibt oder mit Handhelds Leistungs- und Standortdaten erhebt, ist über § 38 Abs. 1 Satz 2 BDSG benennungspflichtig – unabhängig von jeder Anhebung des Schwellenwerts. Wer Gesundheitsdaten in großem Umfang verarbeitet, ist es über Art. 37 Abs. 1 lit. c DSGVO, den der deutsche Gesetzgeber nicht anfassen kann.

2. Ohne Datenschutzbeauftragten keine ordnungsgemäße DSFA.

Art. 35 Abs. 2 DSGVO schreibt vor, bei der Folgenabschätzung den Rat des Datenschutzbeauftragten einzuholen. Die DSFA ist damit kein Formular zum Selbstausfüllen, sondern ein Verfahren, das ohne fachliche Begleitung angreifbar bleibt.

3. Unabhängigkeit ohne Interessenkonflikt.

Ein Interessenkonflikt liegt vor, wenn jemand sich selbst kontrollieren müsste. Genau das passiert bei interner Benennung fast zwangsläufig – denn wer im Betrieb kennt sich mit der Kameraanlage und dem Handheld-System aus? Der IT-Verantwortliche oder die Betriebsleitung. Also genau die Personen, die den Einsatz zu verantworten haben. Der EuGH hat die Anforderungen an die Konfliktfreiheit deutlich verschärft. Der externe Datenschutzbeauftragte hat dieses Problem strukturell nicht.

4. Flexibilität statt dauerhafter Bindung.

Wer intern benennt, schafft arbeitsrechtliche Bindungen, die sich nur schwer wieder lösen lassen; die Abberufung ist gesetzlich erschwert. Die externe Beauftragung ist ein normales Dienstleistungsverhältnis: anpassbar, kündbar, im Umfang skalierbar. In einer Phase, in der niemand weiß, wie die Rechtslage in drei Jahren aussieht, ist das ein handfester Vorteil.

5. Nachweisbarkeit gegenüber Dritten.

Auftraggeber, Versicherer und Gerichte fragen nicht, ob ein Datenschutzbeauftragter benannt werden musste. Sie fragen, ob eine funktionierende Datenschutzorganisation bestand – und lassen sich die Unterlagen zeigen. Eine dokumentierte externe Betreuung ist im Streitfall bares Geld wert.

Datenschutz war nie in erster Linie eine Frage der Behördenaufsicht. Er war immer eine Frage der Organisation. Genau deshalb ändert ein Umbau der Aufsicht wenig daran, dass Betriebe mit Kameras, Handhelds und sensiblen Daten jemanden brauchen, der den Überblick behält – und dafür geradesteht.

 Haben Sie Kameras oder mobile Erfassungsgeräte im Einsatz?

Dann lohnt eine Schwellwertanalyse, bevor die Reform in Kraft tritt. Wir prüfen für Sie, ob eine Datenschutz-Folgenabschätzung erforderlich ist, ob Sie über § 38 Abs. 1 Satz 2 BDSG benennungspflichtig sind – und dokumentieren das Ergebnis prüffest. Sachlich, verständlich und ohne Panikmache.

 (Autor: Datenschutz Frick mit Hilfe durch die KI Claude)