Die 20-Personen-Schwelle: wer eigentlich mitzählt
Die bekannteste Zahl im deutschen Datenschutzrecht wird am häufigsten falsch angewendet. Wer zählt mit, was heißt „ständig beschäftigt“ – und warum gilt sie in Österreich nicht?
Kaum eine Regel wird so oft zitiert und so oft falsch angewendet wie § 38 Abs. 1 BDSG. Die Zahl 20 ist bekannt, die Bedingungen darum herum sind es selten.
Der Wortlaut
Benannt werden muss, wenn „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt“ sind. Drei Begriffe tragen die ganze Last: in der Regel, ständig und automatisierte Verarbeitung.
„In der Regel“
Gemeint ist der Normalzustand, nicht eine Stichtagsbetrachtung. Ein Betrieb, der saisonal auf 25 Personen anwächst und den Rest des Jahres bei 12 liegt, wird nach dem typischen Zustand beurteilt. Umgekehrt hilft es nicht, kurz vor einer Prüfung Personal umzuschichten.
„Ständig beschäftigt“
Es kommt nicht auf den Arbeitsumfang an, sondern auf die Regelmäßigkeit. Eine Aushilfe, die jeden Samstag an der Kasse personenbezogene Daten verarbeitet, zählt mit. Eine Vollzeitkraft in der Produktion, die nie an einem Rechner sitzt, zählt nicht. Teilzeit zählt voll – es wird nach Köpfen gezählt, nicht nach Vollzeitäquivalenten.
„Automatisierte Verarbeitung“
Praktisch alles am Rechner: E-Mails schreiben, Kundendaten im CRM pflegen, Zeiterfassung, Bestellungen bearbeiten. Auch die Geschäftsführung zählt mit, und externe Kräfte zählen mit, wenn sie in Ihre Systeme eingebunden sind – Leiharbeitnehmende zum Beispiel.
Und außerhalb Deutschlands?
Die 20 ist deutsches Recht, keine europäische Vorgabe. Sie beruht auf einer Öffnungsklausel der DSGVO, von der nicht jeder Mitgliedstaat Gebrauch gemacht hat. Österreich zum Beispiel hat darauf verzichtet: Dort gilt allein Art. 37 DSGVO, eine Mitarbeiterschwelle gibt es nicht. Ein österreichischer Betrieb mit fünf Beschäftigten kann benennungspflichtig sein, wenn seine Kerntätigkeit in umfangreicher Datenverarbeitung besteht – ein deutscher mit neunzehn ist es nach § 38 BDSG nicht.
Für Unternehmen mit Standorten in mehreren Ländern heißt das: Die Prüfung wird je Rechtsordnung geführt, nicht einmal für die ganze Gruppe.
Die Schwelle ist nicht die einzige Tür
Unabhängig von der Zahl greift die Benennungspflicht nach Art. 37 DSGVO, wenn eine Datenschutz-Folgenabschätzung erforderlich ist, wenn besondere Kategorien personenbezogener Daten umfangreich verarbeitet werden oder wenn die Kerntätigkeit in umfangreicher systematischer Überwachung besteht. Eine Praxis mit acht Beschäftigten kann also benennungspflichtig sein, ein Handwerksbetrieb mit achtzehn nicht.
Was passiert, wenn man es falsch einschätzt
Das Fehlen einer Benennung ist selbst bußgeldbewehrt – und es fällt fast immer bei anderer Gelegenheit auf, etwa wenn eine Betroffenenanfrage an die Aufsichtsbehörde geht. Die Prüfung der Schwelle kostet eine halbe Stunde. Sie sollte dokumentiert sein, gerade wenn das Ergebnis „nicht benennungspflichtig“ lautet.