Stand: Mai 2026
Einleitung – Warum der DSB in Hamburg jetzt wichtiger ist
Datenschutz wird für Hamburger Unternehmen zunehmend zu einem strategischen Thema. Laut einer Erhebung der Handelskammer Hamburg haben bereits 12 % der lokalen KMU einen externen Datenschutzbeauftragten (DSB) bestellt. Diese Quote steigt, weil die regulatorische Komplexität sowohl durch die DSGVO-Umsetzung seit dem 25. Mai 2018 als auch durch die BDSG-Anpassung 2019 deutlich zugenommen hat.
Der kritische Schwellenwert nach § 38 BDSG betrifft Unternehmen, in denen mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Gleichzeitig löst Art. 37 b/c DSGVO bereits bei einer Kerntätigkeit, die systematische Überwachung oder die Verarbeitung besonderer Datenkategorien umfasst, eine DSB-Pflicht aus – hier gilt keine Personen-Schwelle. Unternehmen, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO benötigen, sehen sich häufig ebenfalls gezwungen, einen DSB zu benennen.
Die Meldung des benannten DSB erfolgt beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI). Das entsprechende Online-Formular steht auf der Seite der Behörde bereit und ist über datenschutz-hamburg.de erreichbar. Wer den DSB nicht fristgerecht meldet, riskiert Bußgelder nach den allgemeinen DSGVO-Bestimmungen.
Rechtsgrundlagen – § 38 BDSG und Art. 37 DSGVO im Überblick
Die DSB-Pflicht in Deutschland stützt sich primär auf zwei rechtliche Grundlagen: den § 38 BDSG und Art. 37 DSGVO. Diese Normen definieren unterschiedliche Auslöser für die Benennungspflicht eines Datenschutzbeauftragten.
Der § 38 BDSG verpflichtet Unternehmen zur Bestellung eines DSB, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle bezieht sich nicht auf die Gesamtmitarbeiterzahl, sondern spezifisch auf Personen, die direkt mit Datenverarbeitungsaufgaben betraut sind. Unternehmen mit weniger als 20 Mitarbeitern können trotzdem eine DSB-Pflicht haben.
Art. 37 DSGVO sieht eine Pflicht zur Benennung unabhängig von Mitarbeiterzahlen vor, wenn die Kerntätigkeit eines Unternehmens in der systematischen und umfangreichen Überwachung von Personen oder in der Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO besteht. In solchen Fällen besteht die DSB-Pflicht bereits ab der ersten betroffenen Person, ohne dass eine bestimmte Mitarbeiterzahl überschritten werden muss. Eine Übersicht zu diesen Kerntätigkeiten zeigt, dass viele Unternehmen diese Anforderung unterschätzen.
Die DSGVO trat am 25. Mai 2018 in Kraft, während die Anpassung des BDSG mit der 20-Personen-Schwelle 2019 erfolgte. Unternehmen in Hamburg müssen ihren DSB beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) melden. Weitere Details zu den Rechten und Pflichten eines Datenschutzbeauftragten finden sich in der Fachliteratur. Für viele Unternehmen stellt sich die Frage, ob ein interner oder externer DSB die bessere Lösung ist – viele Hamburger Unternehmen entscheiden sich für externe Dienstleistungen wie einen Datenschutzbeauftragter aus Hamburg, um die Expertise zu sichern.
Die 20‑Personen-Schwelle – Was „ständig“ bedeutet
Nach § 38 BDSG liegt die Schwelle nicht an der Gesamtbelegschaft, sondern an Personen, die dauerhaft mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. „Ständig“ gilt, wenn die Mitarbeitenden regelmäßig, also mindestens einmal pro Woche, Datenverarbeitungstools bedienen und damit das