Wenn Schlagzeilen den Wegfall einer Datenschutzpflicht melden, klingt das nach weniger Arbeit für alle. Der Blick ins Kleingedruckte zeigt etwas anderes: Es geht um eine einzige nationale Regel, und die betrifft die meisten Selbstständigen ohnehin nicht.
Der Datenschutzbeauftragte betrifft dich meist gar nicht
Nach Paragraf 38 des Bundesdatenschutzgesetzes muss ein Betrieb erst dann einen Datenschutzbeauftragten benennen, wenn er in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Wer allein arbeitet oder ein kleines Team hat, fällt nicht darunter. Unabhängig von der Zahl gilt die Pflicht aber weiter, wenn eine Datenschutz-Folgenabschätzung nötig ist oder wenn Daten geschäftsmäßig übermittelt oder für Markt- und Meinungsforschung verarbeitet werden.
Was gestrichen werden soll
In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 steht unter Punkt 160 die Absicht, Paragraf 38 Absatz 1 bis zum 31. Dezember 2026 zu streichen. Die Pflicht richtete sich dann nur noch nach Artikel 37 der Datenschutz-Grundverordnung, also nach der Art der Verarbeitung statt nach der Zahl der Beschäftigten. Am 2. Juli 2026 hat die Bundesregierung dazu ein Reformpaket vorgestellt.
Wichtig für die Praxis: Eine Absicht ist kein Gesetz. Solange die Änderung nicht verkündet ist, gilt die bisherige Regel unverändert. Und selbst danach ändert sich nur, wer einen Beauftragten benennen muss. Die Datenschutz-Grundverordnung selbst bleibt, wie sie ist.
Die Pflichten, die bleiben
- Ein Verzeichnis deiner Verarbeitungstätigkeiten führen, Artikel 30.
- Auf der Website und beim ersten Kontakt über die Datenverarbeitung informieren, Artikel 13.
- Mit jedem Dienstleister, der Kundendaten für dich verarbeitet, einen Vertrag zur Auftragsverarbeitung schließen, Artikel 28.
- Auskunftsanfragen innerhalb eines Monats beantworten, Artikel 12 und 15.
- Eine Datenpanne innerhalb von 72 Stunden bei der Aufsichtsbehörde melden, Artikel 33.
Der häufigste Irrtum beim Verzeichnis
Artikel 30 Absatz 5 nimmt Betriebe mit weniger als 250 Beschäftigten von der Pflicht aus, und viele hören dort auf zu lesen. Die Ausnahme greift aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Wer einen Kundenstamm pflegt und laufend Rechnungen schreibt, verarbeitet regelmäßig, nicht gelegentlich. Für die meisten Selbstständigen bleibt das Verzeichnis damit Pflicht. Es muss nur nicht kompliziert sein: eine Tabelle mit Zweck, Datenarten, Empfängern und Löschfrist genügt.
Was du praktisch daraus machst
Jeder Dienst, der deine Kundendaten sieht, verlängert dein Verzeichnis und braucht einen eigenen Vertrag. Wer seine Rechnungen in einer Software schreibt, deren Daten auf dem eigenen Rechner bleiben, hat an dieser Stelle schlicht weniger zu regeln: kein Auftragsverarbeitungsvertrag für die Buchhaltung, keine Frage nach dem Serverstandort, keine Abhängigkeit von der Sicherheitslage eines Anbieters. Das ersetzt keine der oben genannten Pflichten, aber es macht sie kürzer.
Dieser Beitrag gibt den Stand vom 18. August 2026 wieder und ersetzt keine Rechtsberatung. Die geplante Streichung von Paragraf 38 Absatz 1 BDSG war zu diesem Zeitpunkt noch nicht in Kraft.