Die Zahl zwanzig ist nur die halbe Antwort.

Woher kommt die Zahl zwanzig?

Sie steht in § 38 Absatz 1 Satz 1 des Bundesdatenschutzgesetzes. Dort heißt es, dass eine verantwortliche Stelle eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennt, soweit sie in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.

Zwei Wörter darin werden gern überlesen. Gezählt werden Personen. Eine Aushilfe, die an zwei Tagen die Woche Termine einträgt, zählt damit wie eine Vollzeitkraft. Und es zählt nur, wer ständig damit arbeitet. Wer einmal im Quartal in die Kartei schaut, bleibt außen vor.

Eine Beratung mit zwei oder drei Leuten liegt damit weit unter der Schwelle. Genau an dieser Stelle hören die meisten auf zu lesen.

Warum die Zahl bei einer MPU-Beratung nicht reicht.

Weil derselbe Absatz einen zweiten Satz hat. § 38 Absatz 1 Satz 2 BDSG knüpft die Pflicht unabhängig von der Anzahl der beschäftigten Personen an eine Verarbeitung, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Datenschutz-Grundverordnung unterliegt.

Dazu kommt ein zweiter Weg, der neben dem deutschen Gesetz steht. Satz 1 beginnt mit den Worten „Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c“. Buchstabe c verlangt eine Benennung, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten nach Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 besteht.

Es gibt also nicht eine Schwelle, sondern zwei Wege in dieselbe Pflicht. Der eine zählt Köpfe. Der andere sieht sich an, womit gearbeitet wird.

Was steht in einer MPU-Akte?

In einer MPU-Akte stehen in aller Regel beide Datenarten, die Artikel 37 Absatz 1 Buchstabe c nennt. Angaben zu Alkohol, Medikamenten oder Betäubungsmitteln sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 DSGVO. Der Anlass des Entzugs ist häufig eine Straftat, etwa Trunkenheit im Verkehr, und gehört dann zu Artikel 10 DSGVO.

Beides zusammen ist bei einer MPU-Beratung der Normalfall. Genau damit arbeiten Sie den ganzen Tag. Das Wort Kerntätigkeit in Artikel 37 ist damit erfüllt, bevor man überhaupt zu diskutieren anfängt.

Was verlangt Artikel 35?

Artikel 35 Absatz 3 Buchstabe b DSGVO nennt die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 als einen Fall, in dem eine Datenschutz-Folgenabschätzung durchzuführen ist.

Damit hängt die ganze Frage an einem einzigen Wort: umfangreich. Ist die Verarbeitung umfangreich, greift Artikel 35. Über § 38 Absatz 1 Satz 2 BDSG greift dann auch die Benennungspflicht. Ist sie es nicht, bleibt es bei der Zahl zwanzig.

Ab wann ist eine Verarbeitung umfangreich?

Diese Frage beantwortet die Verordnung nicht mit einer Zahl, und dieser Beitrag beantwortet sie deshalb auch nicht. Wer Ihnen eine Aktenzahl nennt, ab der es losgeht, hat sie sich ausgedacht.

Was es gibt, ist ein Hinweis in Erwägungsgrund 91 DSGVO. Danach soll eine Verarbeitung nicht als umfangreich gelten, wenn sie personenbezogene Daten von Patienten oder von Mandanten betrifft und durch einen einzelnen Arzt, sonstigen Angehörigen eines Gesundheitsberufes oder Rechtsanwalt erfolgt.

Ob eine verkehrspsychologische Beratung unter diese Aufzählung fällt, sagt der Wortlaut nicht. Ein Diplom-Psychologe in eigener Praxis ist kein Arzt und kein Rechtsanwalt. Ob er Angehöriger eines Gesundheitsberufes im Sinne dieses Satzes ist, lässt sich aus dem Text allein nicht entscheiden.

Dazu kommt eine Einschränkung, die man kennen sollte. Erwägungsgründe sind kein Normtext. Sie helfen beim Auslegen und binden ein Gericht nicht so wie ein Artikel.

Kann die Zahl zwanzig bald wegfallen?

Möglich, entschieden ist es nicht. Die Bundesregierung hat am 4. Dezember 2025 in ihrer Föderalen Modernisierungsagenda angekündigt, bis zum 31. Dezember 2026 eine Aufhebung des § 38 Absatz 1 BDSG einzubringen. Damit fiele die Schwelle von zwanzig Personen weg.

Solange kein Gesetz in Kraft ist, ändert sich für Sie nichts. Die Zwanzig gilt. Und selbst wenn § 38 Absatz 1 BDSG fällt, bleibt Artikel 37 der Datenschutz-Grundverordnung stehen: Wer umfangreich mit Gesundheitsdaten arbeitet, braucht einen Datenschutzbeauftragten aus europäischem Recht, ganz ohne die deutsche Zahl.

Für eine MPU-Beratung ist das die wichtigere Hälfte. Wer heute wegen Artikel 37 benennen muss, muss es auch morgen. Wer heute nur wegen der Zwanzig benennt, sollte die Sache Ende 2026 noch einmal ansehen.

Was können Sie mit dieser Frage machen?

Sie können sie beantworten und die Antwort aufschreiben. Nach Artikel 5 Absatz 2 DSGVO müssen Sie die Einhaltung der Grundsätze nachweisen können. Diese Rechenschaftspflicht gilt auch für die Frage, ob Sie eine Benennung für nötig halten.

Auf dieses Blatt gehört:

• wie viele Personen bei Ihnen ständig am Rechner mit personenbezogenen Daten arbeiten,
• welche Datenarten in Ihren Akten stehen,
• warum Sie Ihre Verarbeitung für umfangreich halten oder eben nicht.

Der letzte Punkt ist der, auf den es ankommt, und der einzige, der Arbeit macht.

Wenn Sie benennen, haben Sie die Wahl. Nach Artikel 37 Absatz 6 DSGVO kann die Person bei Ihnen beschäftigt sein oder ihre Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen. Nach Absatz 7 veröffentlichen Sie die Kontaktdaten und teilen sie der Aufsichtsbehörde mit. Beides wird gern vergessen, und beides ist von außen sichtbar.

Und stellen Sie die Frage neu, wenn sich etwas ändert. Ein zweiter Standort, ein Kursbetrieb, ein Onlineprogramm oder mehrere feste Mitarbeiter verschieben beide Wege in die Pflicht gleichzeitig.

Und die Software, in der die Akten liegen?

Wer die Akten in einer Software führt, braucht mit deren Anbieter einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Verantwortlich für die Daten bleiben dabei Sie, der Anbieter verarbeitet sie nur in Ihrem Auftrag. Unseren Vertrag können Sie unter Auftragsverarbeitung lesen, bevor Sie mit uns sprechen.

Ein solcher Vertrag nimmt Ihnen die Benennungsfrage nicht ab. Er beantwortet eine andere Frage, nämlich die, wer was mit den Daten tun darf. Die Pflicht aus § 38 BDSG trifft Sie als verantwortliche Stelle, und daran ändert kein Anbieter etwas.