„Wir sind nur zu dritt, wir brauchen keinen Datenschutzbeauftragten“ – dieser Satz stimmt oft sogar. Das Problem ist der Schluss, der meist folgt: „…also betrifft uns Datenschutz nicht.“ Genau hier werden zwei völlig verschiedene Pflichten verwechselt. Dieser Beitrag räumt damit auf: wann eine Praxis wirklich einen Datenschutzbeauftragten bestellen muss, warum der Datenschutz auch ohne ihn in vollem Umfang gilt – und warum das Thema, das lange vor sich hin schlummerte, durch KI gerade wieder Fahrt aufnimmt.
Zwei Pflichten, die ständig verwechselt werden
Die Pflicht, einen Datenschutzbeauftragten zu bestellen, und die Pflicht zum Datenschutz überhaupt sind zwei verschiedene Dinge. „Kein Datenschutzbeauftragter nötig“ heißt nicht „kein Datenschutz nötig“. Der Datenschutzbeauftragte (DSB) ist eine Person, die intern über die Einhaltung der Regeln wacht und berät. Ob eine Praxis ihn bestellen muss, hängt von bestimmten Schwellen ab. Die Datenschutz-Grundverordnung selbst dagegen gilt für jede Praxis, die personenbezogene Daten verarbeitet – ausnahmslos, unabhängig von der Größe und unabhängig davon, ob ein DSB vorhanden ist.
Man kann es sich wie den Unterschied zwischen „Brauche ich einen eigenen Sicherheitsbeauftragten?“ und „Muss ich mich an die Sicherheitsregeln halten?“ vorstellen: Das eine kann entfallen, das andere nie.
Wann ein Datenschutzbeauftragter wirklich Pflicht ist
In Deutschland muss eine Praxis einen Datenschutzbeauftragten bestellen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Zusätzlich greift die Pflicht unabhängig von der Personenzahl, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder die Kerntätigkeit in umfangreicher Verarbeitung besonders sensibler Daten besteht (Art. 37 DSGVO). Die 20-Personen-Grenze ist eine deutsche Sonderregel; gezählt wird nach Köpfen – Voll- und Teilzeit, feste und freie Kräfte, wer regelmäßig mit Daten arbeitet.
Für eine größere Gemeinschaftspraxis ist diese Grenze schnell erreicht. Für eine kleine Einzel- oder Zweierpraxis dagegen oft nicht – und damit sind wir beim Kern der Verwechslung.
Warum viele kleine Praxen keinen DSB brauchen – und was das nicht bedeutet
Eine kleine Praxis unterhalb der 20-Personen-Grenze muss häufig tatsächlich keinen Datenschutzbeauftragten bestellen. Das ist aber keine Befreiung vom Datenschutz, sondern nur von einer einzigen organisatorischen Pflicht. Auch die europäische Regel zwingt eine kleine Praxis meist nicht zum DSB: Sie verlangt ihn bei „umfangreicher“ Verarbeitung sensibler Daten – und die Tätigkeit einer einzelnen kleinen Praxis gilt in der Regel nicht als umfangreich in diesem Sinne.
Wer daraus aber schließt, damit sei das Thema erledigt, sitzt dem Denkfehler auf. Alle übrigen Pflichten der DSGVO bleiben vollständig bestehen: Rechtsgrundlagen für die Verarbeitung, Betroffenenrechte, Datensicherheit, Auftragsverarbeitungsverträge, Löschkonzepte, die Meldung von Datenpannen. Ein fehlender DSB nimmt davon nichts weg.
Der Punkt, den fast alle übersehen: das Verzeichnis
Es gibt zwar eine Erleichterung, nach der kleine Stellen unter 250 Beschäftigten kein Verzeichnis der Verarbeitungstätigkeiten führen müssen – aber diese Ausnahme greift ausdrücklich nicht, sobald besondere Datenkategorien wie Gesundheitsdaten verarbeitet werden. Für Praxen ist die Ausnahme damit praktisch nie einschlägig. Das Verarbeitungsverzeichnis (Art. 30 DSGVO) ist das zentrale Nachweisdokument des Datenschutzes. Viele kleine Betriebe hoffen, wegen ihrer Größe davon befreit zu sein. Bei einer Heilberufe-Praxis trifft das nicht zu: Gesundheitsdaten sind besondere Daten nach Art. 9 DSGVO, und schon das lässt die Ausnahme entfallen.
Eine Praxis ist also selbst dann zur Führung eines Verzeichnisses verpflichtet, wenn sie sehr klein ist und keinen Datenschutzbeauftragten braucht. Genau dieser Satz löst die Verwechslung auf: klein heißt nicht befreit.
Warum das Thema gerade wieder wach wird
Der Datenschutz in vielen Praxen hat lange vor sich hin geschlummert – nicht, weil er nicht galt, sondern weil selten jemand genauer hinsah. Durch den Einzug von KI wird nun sichtbar und prüfbar, was vorher im Verborgenen lief. Setzt eine Praxis ein KI-Werkzeug ein, entstehen neue Datenflüsse: Wohin gehen die Eingaben, wer verarbeitet sie, sind Patientendaten betroffen? Solche Verfahren können eine Datenschutz-Folgenabschätzung erforderlich machen – und die wiederum kann die Pflicht zum Datenschutzbeauftragten auslösen und hält die Dokumentationspflichten lebendig.
Das ist kein Grund zur Panik, aber ein Grund zur Aufmerksamkeit: Das Thema war nie weg. Es rückt nur wieder ins Licht – und mit ihm die Frage, ob die eigene Praxis dort steht, wo sie stehen sollte.
Und die angekündigten Erleichterungen?
Politisch wird derzeit über Entlastungen diskutiert – von einer Anhebung der 20-Personen-Grenze bis zu ihrer Abschaffung. Beschlossen ist nichts, und selbst wenn: Für Praxen mit Gesundheitsdaten dürfte sich wenig ändern. Die Bestellgrenze wurde 2019 bereits von 10 auf 20 Personen angehoben; seither stehen weitere Schritte im Raum, etwa eine Erhöhung auf 50 oder der Wegfall der deutschen Sonderregel zugunsten der rein europäischen Vorgabe. Auch bei der Verzeichnispflicht wird über höhere Schwellen diskutiert.
Für den Praxisalltag ändert das wenig: Solange sensible Gesundheitsdaten im Spiel sind, bleiben die Kernpflichten bestehen. Wer jetzt denkt „das wird ja ohnehin bald gelockert“, verschiebt nur ein Thema, das ihn weiter betrifft.
Was Praxen konkret tun können
Sinnvoll ist, die beiden Pflichten sauber zu trennen, die eigene Lage einmal ehrlich zu prüfen und mit dem Verzeichnis zu beginnen – unabhängig davon, ob ein Datenschutzbeauftragter nötig ist. Als pragmatischer Einstieg:
- Prüfen, ob die 20-Personen-Grenze erreicht ist oder ein anderer Auslöser greift, etwa eine erforderliche Folgenabschätzung.
- Nicht am fehlenden DSB festmachen, ob Datenschutz nötig ist – er ist es immer.
- Ein Verarbeitungsverzeichnis anlegen; für Praxen führt an ihm kein Weg vorbei.
- Vor der Einführung von KI-Werkzeugen prüfen, ob Patientendaten betroffen sind und ob eine Folgenabschätzung nötig ist.
- Im Zweifel die Einschätzung von jemandem einholen, der die Materie kennt – etwa von einem externen Datenschutzbeauftragten.
Wie Datenschutz und Schweigepflicht im Alltag zusammenspielen und mit wem Sie einen Auftragsverarbeitungsvertrag brauchen, vertiefen wir in eigenen Beiträgen.
Quellen und weiterführende Hinweise
- § 38 BDSG (Benennungspflicht ab in der Regel 20 Personen sowie weitere Auslöser)
- Art. 37 DSGVO (Benennungspflicht nach Risiko und Kerntätigkeit)
- Art. 30 DSGVO, insbesondere Absatz 5 (Verzeichnis der Verarbeitungstätigkeiten; Rückausnahme bei besonderen Datenkategorien)
- Art. 35 DSGVO (Datenschutz-Folgenabschätzung)
- Hinweise der Datenschutzaufsichtsbehörden (Datenschutzkonferenz) zum Verzeichnis von Verarbeitungstätigkeiten
- Zum Reformstand: Föderale Modernisierungsagenda (Dezember 2025) sowie EU-Vorschläge zur Vereinfachung von Art. 30 DSGVO
Braucht meine kleine Praxis einen Datenschutzbeauftragten?
Oft nicht. Unter 20 ständig mit der Datenverarbeitung befassten Personen und ohne besonderen Auslöser besteht meist keine Bestellpflicht. Das ist aber keine Befreiung vom Datenschutz selbst.
Wenn ich keinen Datenschutzbeauftragten brauche, muss ich mich dann nicht um Datenschutz kümmern?
Doch. Die DSGVO gilt für jede Praxis, unabhängig von der Größe und davon, ob ein Datenschutzbeauftragter bestellt ist. Ohne ihn bleiben alle übrigen Pflichten vollständig bestehen.
Muss auch eine kleine Praxis ein Verarbeitungsverzeichnis führen?
Ja. Die Ausnahme für kleine Stellen greift nicht, sobald Gesundheitsdaten verarbeitet werden – und das tut jede Praxis. Ein Verzeichnis ist daher praktisch immer Pflicht.
Wird die Pflicht zum Datenschutzbeauftragten bald gelockert?
Darüber wird diskutiert, entschieden ist nichts. Und selbst eine höhere Grenze ändert nichts an den übrigen Datenschutzpflichten, solange Gesundheitsdaten verarbeitet werden.
Was hat KI mit dem Datenschutz meiner Praxis zu tun?
KI schafft neue Datenflüsse und kann eine Datenschutz-Folgenabschätzung nötig machen. Das rückt Datenschutzfragen, die lange unbeachtet blieben, wieder in den Vordergrund.
Nimmt mir ein externer Datenschutzbeauftragter die Verantwortung ab?
Nein. Die Aufgabe können Sie auslagern, die Verantwortung nicht. Verantwortlich für den Datenschutz bleibt die Praxis; ein externer Datenschutzbeauftragter berät und überwacht, tritt aber nicht an Ihre Stelle.