Die geplante Reform des Bundesdatenschutzgesetzes (BDSG) bis zum 31.12.2026 bringt für viele Unternehmen Erleichterungen mit sich. Künftig soll die Bestellpflicht für Datenschutzbeauftragte im nicht-öffentlichen Bereich nur noch gelten, wenn die Kriterien der DSGVO (Art. 37) erfüllt sind. Doch nicht alle Unternehmen sind von dieser Entlastung betroffen. Für einige Branchen – insbesondere im Gesundheitsbereich – bleibt die Pflicht bestehen.
Was sich ändert
Bisher müssen Unternehmen in Deutschland ab 20 Mitarbeitern, die personenbezogene Daten automatisch verarbeiten, einen Datenschutzbeauftragten bestellen (§ 38 Abs. 1 BDSG). Mit der Reform soll diese Pflicht an die DSGVO angepasst werden. Das bedeutet:
- Keine generelle Bestellpflicht mehr ab 20 Mitarbeitern,
- Bestellpflicht nur noch bei:
- Kerndatenverarbeitung als Haupttätigkeit,
- Verarbeitung besonders schützenswerter Daten (z. B. Gesundheitsdaten),
- Öffentlichen Stellen.
Für viele kleinere und mittlere Unternehmen (KMU) könnte die Pflicht damit entfallen. Nicht jedoch für alle.
Für welche KMU bleibt die Bestellpflicht bestehen?
Die DSGVO schreibt in Art. 37 Abs. 1 vor, dass ein Datenschutzbeauftragter bestellt werden muss, wenn besonders schützenswerte personenbezogene Daten verarbeitet werden. Dazu zählen insbesondere:
- Gesundheitsberufe wie Arztpraxen und Pflegedienste (Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO),
- Unternehmen, deren Kerngeschäft die automatisierte Verarbeitung personenbezogener Daten ist (z. B. Datenanalyse, Marketing),
- Organisationen, die großflächige Überwachung betreiben.
Warum bleibt die Pflicht für diese Branchen bestehen?
Die Verarbeitung von Gesundheitsdaten oder anderen besonders schützenswerten Daten erfordert einen hohen Schutzstandard. Die DSGVO stellt sicher, dass dieser Schutz auch in Zukunft gewahrt bleibt – unabhängig von nationalen Anpassungen wie der BDSG-Reform.
Was bedeutet das für betroffene Unternehmen?
- Für die genannten Branchen bleibt die Bestellpflicht eines Datenschutzbeauftragten verbindlich.
- Gerade im Gesundheitsbereich oder bei der Verarbeitung sensibler Daten ist Fachwissen unerlässlich, um Compliance sicherzustellen und Haftungsrisiken zu minimieren.
- Stellen Sie sicher, dass Ihre Bestellung als Datenschutzbeauftragter auf die DSGVO (Art. 37) gestützt ist – nicht auf das BDSG.
Fazit
Die BDSG-Reform 2026 bringt für viele KMU Erleichterungen. Doch für Unternehmen, die besonders schützenswerte Daten verarbeiten, bleibt die Bestellpflicht für einen Datenschutzbeauftragten bestehen. Dies betrifft vor allem Branchen wie Arztpraxen, Pflegedienste oder Datenanalyse-Unternehmen, für die der Datenschutz eine zentrale Rolle spielt.
Also lassen Sie sich gut beraten.
