Datenschutzbeauftragter: Wann deutsches Recht die Bestellung verlangt

Datenschutzbeauftragter ist einer der meistgesuchten Begriffe im deutschen Datenschutzrecht, und der Grund dafür ist, dass die deutsche Regel nicht mit der europäischen identisch ist. Die DSGVO verlangt eine Bestellung in einem festgelegten und eher engen Kreis von Situationen. Deutschland fügt dann mit § 38 BDSG eine nationale Regel hinzu, die deutlich mehr Organisationen erfasst, als die DSGVO allein es täte.

Nahezu jede knappe Zusammenfassung dieser nationalen Regel endet bei einer einzigen Zahl, zwanzig Personen. Diese Zahl stimmt, ist aber nur die erste Hälfte des Satzes, aus dem sie stammt. § 38 Abs. 1 BDSG enthält eine zweite Variante, die mit der Personenzahl überhaupt nichts zu tun hat, und eine Organisation mit drei Personen kann genau darunterfallen.

Diese Seite stellt beide Varianten des § 38 BDSG in der Reihenfolge dar, in der die Vorschrift sie nennt, die DSGVO-Gründe, die unabhängig von der Personenzahl gelten, die gesonderte Regel für öffentliche Stellen in § 5 BDSG, den Unterschied zwischen interner und externer Bestellung, den Schutz, den die Position nach § 6 BDSG genießt, und, ebenso wichtig, was die Rolle nicht ist.

Informationen zuletzt geprüft am 20. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen und stellt keine Rechtsberatung im Einzelfall dar.

Zwei Ebenen des Rechts, nicht eine

Die Bestellpflicht ruht in Deutschland auf zwei Etagen. Die obere Etage ist die DSGVO, die unmittelbar in der gesamten EU gilt und eigene Gründe für die Bestellung einer oder eines Datenschutzbeauftragten nennt. Die untere Etage ist national: § 38 BDSG, überschrieben mit Datenschutzbeauftragte nichtöffentlicher Stellen, der private Verantwortliche und Auftragsverarbeiter betrifft.

Das Verhältnis der beiden zueinander steht in den ersten Worten des § 38 Abs. 1 BDSG. Die deutsche Pflicht gilt ergänzend zu Art. 37 Abs. 1 lit. b und lit. c DSGVO. Sie ersetzt die europäischen Gründe nicht und mildert sie nicht ab. Sie fügt einen weiteren, spezifisch deutschen Grund zur Bestellung hinzu.

Diese Struktur ist das Nützlichste, was man über dieses Thema wissen sollte. Eine Organisation, die die deutsche Schwelle deutlich unterschreitet, kann trotzdem von den DSGVO-Gründen erfasst werden, und eine Organisation, die weit von den DSGVO-Gründen entfernt ist, kann trotzdem unter § 38 BDSG fallen. Beide werden getrennt geprüft, nicht gegeneinander.

Diese Seite erklärt die Struktur. Ob eine bestimmte Organisation darunterfällt, ist eine Frage nach deren tatsächlichen Verarbeitungstätigkeiten, und diese Frage für ein konkretes Unternehmen zu beantworten wäre individuelle Rechtsberatung, eine in Deutschland erlaubnispflichtige Tätigkeit, die diese Seite nicht leistet.

Die erste Variante des § 38 BDSG: zwanzig Personen

Der erste Satz des § 38 Abs. 1 BDSG verpflichtet den Verantwortlichen und den Auftragsverarbeiter zur Bestellung einer oder eines Datenschutzbeauftragten, wo sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Jedes Wort in dieser Formulierung verengt oder erweitert die Zählung, und drei davon leisten den größten Teil der Arbeit.

Die Vorschrift zählt Personen, nicht Stellen und nicht Vollzeitäquivalente. Vier Personen, die jeweils ein Viertel der Woche arbeiten, sind vier Personen in diesem Sinne, nicht eine. Werkstudierende, Teilzeitbeschäftigte und geringfügig Beschäftigte zählen als Personen.

Die Verarbeitung muss automatisiert sein. Die Bearbeitung personenbezogener Daten an einem Computer zählt. Die rein manuelle Bearbeitung von Papierakten fällt nicht unter diese Variante.

Und die Beschäftigung muss ständig und in der Regel erfolgen. Das filtert Personen heraus, die nur einmal im Quartal einen Kundendatensatz berühren, und es bedeutet, dass ein vorübergehender saisonaler Anstieg für sich genommen keine dauerhafte Pflicht begründet. Es filtert dagegen nicht Personen heraus, die regelmäßig als routinemäßiger Teil ihrer Arbeit mit personenbezogenen Daten umgehen, auch wenn das nur einen kleinen Teil ihrer Arbeitszeit ausmacht.

Was die Formulierung nicht tut, ist sich auf Personen zu beschränken, in deren Berufsbezeichnung Daten vorkommen. Wer regelmäßig in einem System mit personenbezogenen Daten arbeitet, zählt, und das ist in einem modernen Büro üblicherweise eine viel größere Gruppe, als eine erste Betrachtung nahelegt: Vertriebspersonal im CRM, Personalabteilung, Buchhaltung, Versand, Kundendienst, Marketing und Geschäftsführung.

Die zweite Variante: der Auslöser, der die Personenzahl ignoriert

Der zweite Satz des § 38 Abs. 1 BDSG ist der Teil, den die meisten knappen Erklärungen auslassen, und dieses Auslassen ist der häufigste Fehler, der zu diesem Thema kursiert.

Er bestimmt, dass der Verantwortliche oder der Auftragsverarbeiter unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen einen Datenschutzbeauftragten bestellen muss, wenn die Verarbeitung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegt, oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

Die Worte unabhängig von der Anzahl stehen so im Gesetz. In dieser Variante gibt es keine Ausnahme für kleine Unternehmen. Ein Unternehmen mit drei Personen kann zur Bestellung verpflichtet sein, und ein Einzelunternehmer mit zwei Hilfskräften kann zur Bestellung verpflichtet sein.

Die Kategorie der geschäftsmäßigen Übermittlung verdient besondere Aufmerksamkeit, weil sie weiter reicht, als es zunächst klingt. Sie zielt nicht nur auf Auskunfteien. Sie beschreibt ein Geschäftsmodell, bei dem personenbezogene Daten geschäftsmäßig, also auf gewerblicher und wiederholter Basis, zum Zweck der Weitergabe verarbeitet werden. Adresshandel, Listenvermittlung, Datenhandel und gewerbliche Leadgenerierung fallen von ihrer Ausgestaltung her genau unter diese Beschreibung. Markt- und Meinungsforschung wird gesondert genannt und braucht keine weitere Analyse: Ein Forschungsinstitut ist erfasst, wie klein es auch sein mag.

Die Variante über die Datenschutz-Folgenabschätzung ist die andere Hälfte. Löst eine geplante Verarbeitung die Pflicht zur Durchführung einer Folgenabschätzung aus, folgt die Bestellpflicht automatisch. Die deutschen Aufsichtsbehörden veröffentlichen Listen von Verarbeitungsvorgängen, für die eine Folgenabschätzung zwingend ist, und daran wird diese Prüfung in der Praxis üblicherweise festgemacht.

Ein durchgerechnetes Beispiel für beide Varianten

Als Beispiel ein fiktives Logistikunternehmen in Nordrhein-Westfalen mit 34 Beschäftigten. Vierzehn von ihnen arbeiten täglich in Versand- und Kundensystemen, drei in der Personalabteilung, zwei in der Buchhaltung. Das sind 19 Personen, die regelmäßig und dauerhaft mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Allein nach der ersten Variante liegt das Unternehmen eine Person unter der Schwelle, und eine einzige weitere Einstellung in einer dieser Funktionen würde sie überschreiten. So knapp kann die Zählung ausfallen, und das ist der Grund, warum sie anhand tatsächlicher Rollen erfolgt, nicht anhand der gesamten Lohnliste.

Ändern wir nun eine einzige Tatsache und lassen die Personenzahl unverändert. Angenommen, dasselbe Unternehmen verkauft seine Kundenkontaktliste zusätzlich als regelmäßige Nebeneinnahme an einen Marketingpartner. Das ist eine geschäftsmäßige Verarbeitung personenbezogener Daten zum Zweck der Übermittlung, und die zweite Variante des § 38 Abs. 1 BDSG gilt unabhängig von der Anzahl. Die Rechnung 19 gegen 20 wird irrelevant, und die Bestellpflicht besteht auch dann, wenn das Unternehmen nur drei statt 34 Beschäftigte hätte.

Das Beispiel zeigt, warum die für sich genommen zitierte Zahl zwanzig irreführend ist. Sie ist eine Untergrenze für einen Weg in die Pflicht, nicht eine Untergrenze für die Pflicht insgesamt.

Die Gründe, die unmittelbar aus der DSGVO kommen

Weil § 38 Abs. 1 BDSG ergänzend zu Art. 37 Abs. 1 lit. b und lit. c DSGVO wirkt, gelten diese beiden europäischen Gründe in Deutschland unabhängig davon, was die deutsche Personenzahl aussagt. Beide knüpfen an die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters an, nicht an eine Nebenfunktion.

Der erste der beiden betrifft Kerntätigkeiten, die aus Verarbeitungsvorgängen bestehen, welche eine regelmäßige und systematische Überwachung von betroffenen Personen in großem Umfang erforderlich machen. Der zweite betrifft Kerntätigkeiten, die in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten bestehen. Der maßgebliche Wortlaut steht in Art. 37 DSGVO selbst und sollte dort nachgelesen werden, denn die Begriffe umfangreich und Kerntätigkeit tragen mehr Gewicht, als eine Umschreibung vermitteln kann.

Der praktische Punkt ist das Zusammenspiel. Eine Organisation, deren Kerngeschäft darin besteht, das Verhalten von Nutzern zu verfolgen, oder deren Kerngeschäft in großem Umfang Gesundheitsdaten verarbeitet, fällt unter den DSGVO-Grund, unabhängig davon, ob 20 Personen beteiligt sind. Umgekehrt fällt ein gewöhnliches Handelsunternehmen ohne eine solche Kerntätigkeit gar nicht unter den DSGVO-Grund und wird nur nach § 38 BDSG geprüft.

Öffentliche Stellen bestellen unabhängig davon

Für den öffentlichen Sektor ist die Frage deutlich einfacher. § 5 Abs. 1 BDSG verpflichtet öffentliche Stellen zur Bestellung einer oder eines Datenschutzbeauftragten, und dasselbe gilt für öffentliche Stellen nach § 2 Abs. 5 BDSG, die am Wettbewerb teilnehmen. Es gibt keine Schwelle, keine Bagatellgrenze und keine Ausnahme für eine kleine Behörde.

§ 5 Abs. 2 BDSG erlaubt es mehreren öffentlichen Stellen, unter Berücksichtigung ihrer Organisationsstruktur und Größe gemeinsam eine oder einen Datenschutzbeauftragten zu bestellen. Diesen Weg nutzen kleine Gemeinden und ihre zugehörigen Einrichtungen üblicherweise.

§ 5 Abs. 5 BDSG verlangt anschließend von der öffentlichen Stelle, die Kontaktdaten ihrer oder ihres Datenschutzbeauftragten zu veröffentlichen und dem BfDI mitzuteilen. Veröffentlichung und Mitteilung sind zwei getrennte Pflichten, und die Erfüllung der einen erfüllt nicht die andere.

Intern oder extern

Die Rolle kann intern oder extern besetzt werden. § 5 Abs. 4 BDSG sagt es für öffentliche Stellen unmissverständlich: Die oder der Datenschutzbeauftragte kann Beschäftigte oder Beschäftigter der Stelle sein oder die Aufgaben auf Grundlage eines Dienstleistungsvertrags wahrnehmen. Die DSGVO erlaubt dasselbe für private Verantwortliche, und eine externe Bestellung auf Basis eines Dienstleistungsvertrags ist in der deutschen Privatwirtschaft übliche Praxis, besonders in kleineren Organisationen.

Die Abwägung ist eher struktureller als rechtlicher Art. Eine interne Besetzung kennt die Systeme, die Menschen und die informellen Behelfslösungen, die in keinem schriftlichen Prozess auftauchen, und steht durchgehend zur Verfügung. Eine interne Besetzung trägt auch die im nächsten Abschnitt beschriebenen Schutzrechte, ein reales und dauerhaftes Engagement für den Arbeitgeber.

Eine externe Besetzung ist leichter zu ersetzen, bringt Vergleichswerte aus vielen Organisationen mit und hat kein Vorgesetztenverhältnis, das kompromittiert werden könnte. Eine externe Besetzung muss auch bewusst mit Zugang und Information versorgt werden, denn nichts erreicht sie von selbst.

Eine Einschränkung gilt in beiden Fällen. Die Rolle kann nicht bei jemandem liegen, der über die Zwecke und Mittel der Verarbeitung entscheidet, die diese Person überwachen soll, weil sie dann ihre eigenen Entscheidungen überprüfen würde. Deshalb sind die IT-Leitung, die Personalleitung, die Geschäftsführung und die Marketingleitung die klassischen Problemfälle für eine interne Bestellung.

Unabhängigkeit und der Schutz vor Abberufung

Die Position der oder des Datenschutzbeauftragten ist geschützt, und in Deutschland ist dieser Schutz ungewöhnlich stark. Für öffentliche Stellen stehen die Regeln in § 6 BDSG. § 6 Abs. 3 BDSG bestimmt, dass die oder der Datenschutzbeauftragte keine Weisungen hinsichtlich der Ausübung ihrer oder seiner Aufgaben erhält, unmittelbar der höchsten Managementebene unterstellt ist und wegen der Erfüllung ihrer oder seiner Aufgaben nicht abberufen oder benachteiligt werden darf.

Für die Privatwirtschaft wendet § 38 Abs. 2 BDSG eine bewusst ausgewählte Teilmenge des § 6 BDSG an: § 6 Abs. 4, § 6 Abs. 5 Satz 2 und § 6 Abs. 6, wobei § 6 Abs. 4 nur gilt, wenn die Bestellung verpflichtend ist. Die Unabhängigkeitspflichten selbst stehen nicht in dieser Liste, weil sie bereits unmittelbar aus der DSGVO gelten, sodass durch ihr Fehlen nichts verloren geht.

§ 6 Abs. 4 BDSG ist die Vorschrift, die der deutschen Rolle ihr besonderes Gewicht verleiht. Eine Abberufung von der Funktion ist nur in entsprechender Anwendung des § 626 BGB möglich, der Vorschrift zur außerordentlichen Kündigung aus wichtigem Grund. Eine Kündigung des Arbeitsverhältnisses ist unzulässig, es sei denn, es liegen Tatsachen vor, die zu einer Kündigung ohne Einhaltung einer Frist aus wichtigem Grund berechtigen würden. Und nach dem Ende der Tätigkeit bleibt eine Kündigung des Arbeitsverhältnisses für ein weiteres Jahr unter derselben Voraussetzung unzulässig.

Dieses nachlaufende Jahr ist der Teil, den Arbeitgeber am häufigsten übersehen. Das Ende der Amtszeit als Datenschutzbeauftragter oder Datenschutzbeauftragte stellt nicht bereits am nächsten Tag die gewöhnlichen Kündigungsregeln wieder her.

Zu beachten ist der Bedingungssatz in § 38 Abs. 2 BDSG. § 6 Abs. 4 BDSG gilt nur, wenn die Bestellung verpflichtend war. Eine rein freiwillige Bestellung durch eine Organisation, die keiner Pflicht unterlag, erhält diesen Schutz über diesen Weg nicht.

Zwei weitere Schutzrechte begleiten die Rolle in der Privatwirtschaft. § 6 Abs. 5 Satz 2 BDSG verpflichtet die oder den Datenschutzbeauftragten zur Verschwiegenheit über die Identität einer betroffenen Person, die um Rat nachgesucht hat, und über die Umstände, die eine Identifizierung dieser Person ermöglichen, es sei denn, die Person entbindet sie oder ihn davon. § 6 Abs. 6 BDSG erstreckt ein berufliches Zeugnisverweigerungsrecht, verbunden mit einem Beschlagnahmeverbot für die entsprechenden Unterlagen, dort, wo die Leitung der Organisation oder eine beschäftigte Person dieses Recht hätte.

Fachkunde, Interessenkonflikte und Abberufung durch die Behörde

Fachkunde ist keine Formalität. § 5 Abs. 3 BDSG verlangt die Bestellung auf Grundlage beruflicher Qualifikation und insbesondere von Fachwissen im Bereich des Datenschutzrechts und der Datenschutzpraxis sowie der Fähigkeit, die Aufgaben nach § 7 BDSG zu erfüllen.

Die durchsetzungsstarke Kante liegt in § 40 Abs. 6 BDSG. Die Aufsichtsbehörde kann die Abberufung der oder des Datenschutzbeauftragten verlangen, wenn diese Person nicht über die zur Erfüllung ihrer Aufgaben erforderliche Fachkunde verfügt, oder wenn im Fall des Art. 38 Abs. 6 DSGVO ein schwerwiegender Interessenkonflikt besteht. § 40 BDSG betrifft die Aufsicht der Landesbehörden über die Privatwirtschaft, sodass dies eine reale Befugnis in der Privatwirtschaft ist und keine Besonderheit des öffentlichen Sektors.

Derselbe Absatz verpflichtet die Aufsichtsbehörden zudem, Datenschutzbeauftragte hinsichtlich ihrer typischen Bedürfnisse zu beraten und zu unterstützen, weshalb die Landesbehörden Beratungsangebote betreiben und Praxishinweise veröffentlichen, die sich an die Rolle richten, nicht an die Organisation.

Was die Aufgaben tatsächlich sind

§ 7 BDSG listet die Aufgaben für öffentliche Stellen auf und ist die klarste gesetzliche Beschreibung der Rolle im deutschen Recht. Sie umfasst die Unterrichtung und Beratung der Stelle und ihres mit der Verarbeitung befassten Personals über ihre Pflichten, die Überwachung der Einhaltung einschließlich der Zuweisung von Verantwortlichkeiten, Sensibilisierung, Schulung des Personals und die zugehörigen Kontrollen, Beratung bei und Überwachung der Folgenabschätzung, die Zusammenarbeit mit der Aufsichtsbehörde und die Funktion als deren Anlaufstelle.

§ 7 Abs. 2 BDSG erlaubt der oder dem Datenschutzbeauftragten die Wahrnehmung weiterer Aufgaben und Pflichten und verpflichtet die Stelle sicherzustellen, dass solche Aufgaben nicht zu einem Interessenkonflikt führen. § 7 Abs. 3 BDSG verlangt, die Rolle unter angemessener Berücksichtigung des mit den Verarbeitungsvorgängen verbundenen Risikos auszuüben, wobei Art, Umfang, Umstände und Zwecke der Verarbeitung zu berücksichtigen sind. Anders gesagt richtet sich das Arbeitspensum am Risiko aus, nicht an einer gleichmäßigen Verteilung.

Für private Verantwortliche stammt der entsprechende Aufgabenkatalog aus der DSGVO statt aus § 7 BDSG, doch der Zuschnitt der Aufgabe ist derselbe.

Was die oder der Datenschutzbeauftragte nicht ist

Das folgenreichste Missverständnis zu dieser Rolle ist, dass die Bestellung einer Person die Compliance-Pflicht auf sie überträgt. Das ist nicht der Fall. Der Verantwortliche bleibt der Verantwortliche, und die Verantwortung für eine rechtmäßige Verarbeitung bleibt bei der Organisation und ihrer Leitung.

Die oder der Datenschutzbeauftragte unterrichtet, berät, überwacht und arbeitet mit der Behörde zusammen. Die Verben in § 7 BDSG lauten Unterrichtung, Beratung, Überwachung und Zusammenarbeit. Keines davon bedeutet Entscheiden.

Die Rolle ist also nicht die Person, die das rechtliche Risiko für das Unternehmen absegnet. Eine oder ein Datenschutzbeauftragter kann festhalten, dass ein geplanter Verarbeitungsvorgang ein ernsthaftes Problem aufwirft, und die Geschäftsleitung kann trotzdem fortfahren; was die Geschäftsleitung nicht kann, ist anschließend zu behaupten, das Risiko sei abgesegnet worden, oder die Person zu entlassen, weil sie das gesagt hat.

Die Rolle ist auch kein Ersatz für den Betriebsrat. Die Verarbeitung von Beschäftigtendaten richtet sich nach § 26 BDSG, der die für das Beschäftigungsverhältnis erforderliche Verarbeitung erlaubt und, zur Aufdeckung von Straftaten, nur auf Grundlage dokumentierter tatsächlicher Anhaltspunkte und unter Verhältnismäßigkeitsprüfung. § 26 BDSG bleibt in Kraft, doch der EuGH entschied am 30. März 2023 in der Rechtssache C-34/21, dass eine nationale Generalklausel dieser Art keine spezifischere Vorschrift im Sinne des Art. 88 Abs. 1 DSGVO ist. Ein Beschäftigtendatengesetz als Ersatz wird seit Jahren diskutiert, ohne erlassen worden zu sein: Der letzte Entwurf verfiel mit der vorigen Koalition, und das Vorhaben taucht im aktuellen Koalitionsvertrag nicht auf, es ist also kein geltendes Recht und sollte nicht als unmittelbar bevorstehend behandelt werden. Die praktischen Folgen für die Überwachung am Arbeitsplatz sind unter Überwachung am Arbeitsplatz beschrieben.

Schließlich ist die Rolle keine anwaltliche Vertretung der Organisation und vertritt diese nicht. Sie ist auch keine Servicestelle für Einzelpersonen, wenngleich § 6 Abs. 5 BDSG betroffenen Personen ausdrücklich erlaubt, sich zur Verarbeitung ihrer Daten und zur Ausübung ihrer Rechte an die oder den Datenschutzbeauftragten zu wenden, unter der oben beschriebenen Verschwiegenheitspflicht. Der praktische Weg für eine Person, deren Ersuchen abgelehnt wurde, ist unter Auskunftsrecht beschrieben, und der Weg zur Aufsichtsbehörde unter Deutsche Datenschutzbehörden.

Die Behörde benachrichtigen

Eine Bestellung, von der niemand außerhalb der Organisation weiß, ist nur halb erledigt. Die Kontaktdaten der oder des Datenschutzbeauftragten müssen veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden. § 5 Abs. 5 BDSG nennt beide Pflichten ausdrücklich für öffentliche Stellen, wobei die Mitteilung an den BfDI geht.

In der Privatwirtschaft geht die Mitteilung an die Landesdatenschutzbehörde des Landes, in dem der Verantwortliche niedergelassen ist, und jede Landesbehörde betreibt genau für diesen Zweck einen Meldeweg. Das Bayerische Landesamt für Datenschutzaufsicht etwa bietet neben seinen Diensten für Meldungen und Beschwerden einen Online-Dienst zur Meldung einer oder eines Datenschutzbeauftragten.

Die Kontaktdaten müssen tatsächlich erreichbar sein. Ein gemeinsames Funktionspostfach, das niemand überwacht, verfehlt den Zweck der Vorschrift, denn genau diese Adresse ist es, die eine betroffene Person oder die Behörde nutzen wird.

Was geschieht, wenn niemand bestellt wird

Hier muss ein weitverbreiteter Fehler richtiggestellt werden, denn er verändert das gesamte Bild des Risikos.

§ 43 BDSG wird oft als die deutsche Datenschutz-Bußgeldvorschrift dargestellt. Das ist sie nicht. § 43 Abs. 1 BDSG schafft genau zwei Ordnungswidrigkeitstatbestände, und beide betreffen § 30 BDSG: die fehlerhafte Behandlung eines Auskunftsverlangens nach § 30 Abs. 1 BDSG und die nicht richtige, vollständige oder rechtzeitige Information eines Verbrauchers nach § 30 Abs. 2 Satz 1 BDSG. § 30 BDSG selbst betrifft Verbraucherkredite und die Behandlung von Informationsersuchen von Kreditgebern aus anderen Mitgliedstaaten. § 43 Abs. 2 BDSG deckelt das Bußgeld bei fünfzigtausend Euro, und § 43 Abs. 3 BDSG bestimmt, dass gegen Behörden und sonstige öffentliche Stellen keine Bußgelder verhängt werden.

Das ist eine eng gefasste nationale Vorschrift zur Behandlung von Kreditauskünften. Sie ist nicht die Bestellpflicht, sie ist keine allgemeine Datenschutzsanktion, und sie ist nicht das Bußgeldregime der DSGVO. Jede Quelle, die 50.000 Euro als Bußgeld für das Unterlassen der Bestellung eines Datenschutzbeauftragten nennt, hat zwei unabhängige Vorschriften vermischt.

Die DSGVO-Bußgelder sind gesondert geregelt und stehen in Art. 83 DSGVO, der zwei unterschiedliche Stufen enthält, eine in Art. 83 Abs. 4 DSGVO und eine höhere in Art. 83 Abs. 5 DSGVO. Welche Stufe gilt, hängt davon ab, welche Pflicht verletzt wurde, und diese Zuordnung treffen die beiden Absätze selbst. Sie sind keine einzelne Schlagzeilenzahl und sollten nicht als eine solche zitiert werden.

In der Praxis ist die unmittelbarere Folge einer fehlenden oder ungeeigneten Bestellung eher verwaltungsrechtlicher als finanzieller Natur. Aufsichtsbehörden bemerken die Lücke, wenn etwas anderes die Organisation an ihre Aufmerksamkeit bringt, typischerweise eine Beschwerde oder eine Meldung einer Datenschutzverletzung, und § 40 Abs. 4 und § 40 Abs. 5 BDSG geben ihnen Auskunfts- und Zugangsrechte, um weiter zu ermitteln. § 40 Abs. 6 BDSG liefert dann die Abberufungsbefugnis, wenn die bestellte Person ungeeignet ist.

Wie die Behörden organisiert sind, welche zuständig ist und wie eine Beschwerde bearbeitet wird, ist unter Deutsche Datenschutzbehörden beschrieben. Für die weiteren deutschen Datenschutzthemen siehe die Datenschutzübersicht, die Regeln zu Lieferantenverträgen unter Auftragsverarbeitungsverträge, und den allgemeinen Leitfaden unter Deutschland.