Datenschutzreform 2026: Was Unternehmen und Kommunen jetzt beachten müssen
Weniger Bürokratie heißt nicht weniger Verantwortung. Stand 9. August 2026 gilt § 38 Abs. 1 BDSG weiterhin: Für nichtöffentliche Stellen besteht die nationale Benennungspflicht unter anderem ab in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Eine Änderung ist politisch vorgesehen, aber noch nicht in Kraft. Unternehmen und Kommunen sollten deshalb geplante Reformen und geltendes Recht sauber voneinander trennen.
Datenschutzreform 2026: Was gilt am 9. August 2026 – und was ist geplant?
Bund und Länder haben in der Föderalen Modernisierungsagenda vom Dezember 2025 vereinbart, dass der Bund bis zum 31. Dezember 2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen soll. Ziel ist, die Pflicht zur Benennung eines Datenschutzbeauftragten im nichtöffentlichen Bereich künftig auf die unmittelbar aus Art. 37 DSGVO folgenden Fälle zu beschränken. Diese Änderung ist bislang nicht in Kraft.
Daneben hat der Bundesrat am 10. Juli 2026 einen eigenen Gesetzentwurf zur Änderung des BDSG auf den Weg gebracht. Dieser Reformstrang betrifft vor allem die gesetzliche Verankerung der Datenschutzkonferenz, eine Bündelung von Zuständigkeiten bei bestimmten länderübergreifenden Verarbeitungen und ein Einer-für-Alle-Prinzip. Die Aufhebung der 20-Personen-Schwelle des § 38 Abs. 1 BDSG ist nicht Gegenstand dieses Bundesratsentwurfs.
Für die Praxis darf eine angekündigte Reform nicht wie bereits geltendes Recht behandelt werden. Solange § 38 Abs. 1 BDSG nicht geändert oder aufgehoben ist, muss die bestehende Benennungspflicht weiter geprüft und eingehalten werden.
§ 38 Abs. 1 BDSG enthält weiterhin die nationale 20-Personen-Schwelle sowie weitere Benennungstatbestände. Art. 37 DSGVO gilt daneben unverändert.
Die Föderale Modernisierungsagenda sieht vor, bis Ende 2026 einen Gesetzentwurf zur Aufhebung von § 38 Abs. 1 BDSG einzubringen. Ein Inkrafttreten folgt daraus noch nicht.
Der Bundesrat hat im Juli 2026 einen separaten BDSG-Entwurf zur Modernisierung der Datenschutzaufsicht beschlossen und in den Bundestag eingebracht.
Warum ein externer Datenschutzbeauftragter weiterhin sinnvoll bleibt
Der Datenschutzbeauftragte ist nicht nur eine Formalie. Er schützt Unternehmen und Kommunen vor falschen Prozessen, unnötigen Risiken und rechtlich schlecht dokumentierten Entscheidungen.
Für nichtöffentliche Stellen gilt § 38 Abs. 1 BDSG weiterhin. Danach ist unter anderem ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben nennt § 38 Abs. 1 BDSG weitere Fälle, in denen die Benennung unabhängig von dieser Personenzahl erforderlich ist.
Unabhängig vom BDSG können sich Benennungspflichten unmittelbar aus Art. 37 DSGVO ergeben. Für Behörden und öffentliche Stellen bleibt Art. 37 Abs. 1 lit. a DSGVO maßgeblich. Eine mögliche spätere Aufhebung des § 38 Abs. 1 BDSG würde diese europarechtlichen Pflichten nicht beseitigen.
| Bereich | Risiko ohne klare Datenschutzorganisation | Nutzen eines externen Datenschutzbeauftragten |
|---|---|---|
| Webseite und Cookies | Unzulässige Einbindung von Diensten, fehlerhafte Datenschutzhinweise, fehlende Einwilligungen. | Prüfung von Tracking, Consent-Banner, Datenschutzerklärung und eingebundenen Dienstleistern. |
| Beschäftigtendaten | Unklare Zugriffsrechte, zu lange Speicherung, fehlende Information der Mitarbeitenden. | Saubere Prozesse für Personalakten, Bewerbungen, Homeoffice, IT-Nutzung und Löschfristen. |
| Dienstleister | Fehlende oder schlechte Auftragsverarbeitungsverträge, unklare technische und organisatorische Maßnahmen. | Prüfung von AVV, TOM, Unterauftragnehmern, Cloud-Diensten und Fachverfahren. |
| Datenschutzverletzungen | Falsche Bewertung, versäumte Meldung, unvollständige Dokumentation. | Schnelle Einordnung, Risikobewertung, Maßnahmenplan und belastbare Dokumentation. |
| KI und neue Tools | Eingabe personenbezogener oder vertraulicher Daten ohne Rechtsgrundlage und ohne Schutzkonzept. | Klare Nutzungsregeln, Schulung, Risikoanalyse und datenschutzkonforme Freigabeprozesse. |
Datenschutz muss nicht kompliziert sein. Er muss funktionieren.
Gute Datenschutzberatung produziert nicht unnötig Papier. Sie schafft klare Zuständigkeiten, nachvollziehbare Entscheidungen und sichere Abläufe im Tagesgeschäft.
Die Pflicht zur internen Meldestelle ergibt sich aus dem Hinweisgeberschutzgesetz. Dieses beruht auf europarechtlichen Vorgaben. Eine allgemeine Datenschutzreform beseitigt diese Pflicht daher nicht.
- Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen grundsätzlich eine interne Meldestelle nach dem Hinweisgeberschutzgesetz einrichten und betreiben.
- Für bayerische Gemeinden gilt Art. 56 Abs. 4 GO: Ausgenommen sind Gemeinden mit weniger als 10.000 Einwohnerinnen und Einwohnern oder in der Regel weniger als 50 Beschäftigten. Die landesrechtliche Pflicht greift damit regelmäßig erst, wenn beide Schwellen erreicht sind.
- Die Meldestelle muss Vertraulichkeit, Fristen, Dokumentation und Folgemaßnahmen sauber abbilden.
- Hinweisgeberschutz und Datenschutz greifen praktisch ineinander.
Wer Hinweise entgegennimmt, verarbeitet häufig sensible personenbezogene Daten. Fehler bei Vertraulichkeit, Zuständigkeit oder Dokumentation können schnell neue rechtliche Risiken auslösen.
Hinweise müssen geschützt, nachvollziehbar und nur durch zuständige Personen bearbeitet werden.
Eingangsbestätigung, Prüfung und Rückmeldung müssen fristgerecht organisiert werden.
Unterstützung durch Die Compliance Werkstatt
Für Unternehmen, Kommunen und öffentliche Stellen: verständlich, lösungsorientiert und mit Blick auf den tatsächlichen Verwaltungs- und Betriebsalltag.
Pragmatische Betreuung für Unternehmen, die Datenschutz sauber und ohne unnötige Bürokratie umsetzen möchten.
- Benennung als externer Datenschutzbeauftragter
- laufende Beratung zu DSGVO, BDSG und Dokumentation
- Prüfung von Dienstleistern, AVV und TOM
- Unterstützung bei Datenschutzverletzungen und Betroffenenrechten
Unterstützung für Rathäuser, Zweckverbände und kommunale Einrichtungen mit Blick auf den echten Verwaltungsalltag.
- Prüfung von Webseiten, Fachverfahren und Dienstleistern
- Beratung zu Ratsinformationssystemen und Bürgeranfragen
- Beschäftigtendatenschutz, Auskunftsersuchen und Löschfristen
- Schulungen und klare Vorlagen für Mitarbeitende
Rechtssichere Unterstützung bei internen Meldestellen nach dem Hinweisgeberschutzgesetz.
- Einrichtung und Betrieb interner Meldestellen
- Vertraulichkeits-, Fristen- und Dokumentationsmanagement
- Prüfung eingehender Hinweise und Folgemaßnahmen
- datenschutzkonforme Ausgestaltung der Meldewege
So läuft die Zusammenarbeit ab
Klare Prüfung, klare Empfehlungen, klare Umsetzung.
Kurze Einordnung, ob eine DSB- oder Meldestellenpflicht besteht und wo die größten Risiken liegen.
Prüfung vorhandener Unterlagen, Prozesse, Dienstleister, Webseite und Zuständigkeiten.
Priorisierte Empfehlungen ohne unnötige Bürokratie und ohne theoretische Überfrachtung.
Unterstützung bei neuen Fragen, Datenschutzverletzungen, Betroffenenrechten und Meldestellenfällen.
Häufige Fragen zur Datenschutzreform 2026
Die wichtigsten Antworten zum Rechtsstand am 9. August 2026.
Wird der Datenschutzbeauftragte durch die Reform abgeschafft?
Nein. Stand 9. August 2026 ist § 38 Abs. 1 BDSG weiterhin in Kraft. Die Föderale Modernisierungsagenda sieht zwar vor, einen Gesetzentwurf zur Aufhebung dieser nationalen Zusatzregelung einzubringen. Benennungspflichten aus Art. 37 DSGVO würden dadurch aber nicht entfallen.
Ist die 20-Personen-Schwelle des § 38 BDSG bereits weggefallen?
Nein. Die Schwelle gilt derzeit weiterhin. Eine politische Vereinbarung oder ein angekündigter Gesetzentwurf ändert die Rechtslage erst dann, wenn ein entsprechendes Gesetz tatsächlich beschlossen, verkündet und in Kraft getreten ist.
Was hat der Bundesrat am 10. Juli 2026 beschlossen?
Der Bundesrat hat einen eigenen Gesetzentwurf zur Änderung des BDSG auf den Weg gebracht. Vorgesehen sind insbesondere eine gesetzliche Verankerung der Datenschutzkonferenz, eine Bündelung bestimmter länderübergreifender Zuständigkeiten und ein Einer-für-Alle-Prinzip. Die Abschaffung der 20-Personen-Schwelle ist nicht Gegenstand dieses Entwurfs.
Was bedeutet die Reform für KMU?
KMU könnten perspektivisch bei der nationalen Benennungspflicht für Datenschutzbeauftragte entlastet werden. Die materiellen Pflichten der DSGVO bleiben jedoch bestehen: rechtmäßige Verarbeitung, transparente Information, Datensicherheit, Löschung, Betroffenenrechte und Nachweisbarkeit.
Brauchen Kommunen weiterhin einen Datenschutzbeauftragten?
Ja. Behörden und öffentliche Stellen müssen nach Art. 37 Abs. 1 lit. a DSGVO grundsätzlich einen Datenschutzbeauftragten benennen. Die geplante Änderung des § 38 Abs. 1 BDSG betrifft die nationale Zusatzregelung für nichtöffentliche Stellen.
Ab wann braucht ein Unternehmen eine interne Meldestelle?
Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen grundsätzlich eine interne Meldestelle nach dem Hinweisgeberschutzgesetz einrichten und betreiben.
Gilt die Meldestellenpflicht für bayerische Gemeinden?
Ja, unter den besonderen Voraussetzungen des Art. 56 Abs. 4 GO. Ausgenommen sind Gemeinden mit weniger als 10.000 Einwohnerinnen und Einwohnern oder in der Regel weniger als 50 Beschäftigten.
Stand und rechtliche Einordnung
Stand dieser Seite: 9. August 2026. Maßgeblich bleibt bis zum Inkrafttreten gesetzlicher Änderungen die aktuell geltende Rechtslage.
Maßgebliche Grundlagen und Reformdokumente: Föderale Modernisierungsagenda von Bund und Ländern, Bundesrats-Drucksache 356/26, Bundesrat: Rückschau zur Sitzung vom 10. Juli 2026, § 38 BDSG, Art. 37 DSGVO, § 12 HinSchG sowie für bayerische Gemeinden Art. 56 Abs. 4 GO.
Die Compliance Werkstatt unterstützt KMU und Kommunen als externer Datenschutzbeauftragter, bei Datenschutzprüfungen und beim Betrieb interner Meldestellen nach dem Hinweisgeberschutzgesetz.
