Datenschutzbeauftragter: 3 Merksätze für die AEVO-Prüfung

Du sitzt in der AEVO-Prüfung. Die Frage lautet: „In welchem Fall muss ein Arbeitgeber zwingend einen Datenschutzbeauftragten bestellen?" Vor dir vier Antwortoptionen. Dein Puls steigt. War das bei 20 oder 50 Mitarbeitern? Oder galt das nur für bestimmte Branchen? Du rätst – und liegst falsch. Solche Unsicherheiten kosten dich wertvolle Punkte und hinterlassen ein mulmiges Gefühl in der Prüfung.

Ich habe mich mit diesen rechtlichen Rahmenbedingungen für die AEVO vorbereitet und sehe bei Ausbildern immer wieder: Das Thema Datenschutzbeauftragter klingt kompliziert, ist aber klar geregelt. In der Prüfungspraxis taucht es regelmäßig auf – sei es in Multiple-Choice-Fragen, in Fallstudien oder im Fachgespräch. Egal ob du zum ersten Mal zur AEVO-Prüfung antrittst oder schon Jahre Azubis betreust und dich endlich zertifizieren lassen willst: Dieses Wissen gehört zu deinen Grundlagen.

Die gute Nachricht: Du musst nicht Jurist sein. Du brauchst drei klare Regeln, um jede Frage sicher zu beantworten. Wenn du diese Regeln kennst, erkennst du in der Prüfung sofort, wann ein Datenschutzbeauftragter Pflicht ist – und wann nicht.

In diesem Artikel erfährst du, wann ein Arbeitgeber gesetzlich einen Datenschutzbeauftragten bestellen muss und welche Rolle das für deine Ausbildungsarbeit spielt. Ich zeige dir konkrete Praxisbeispiele aus verschiedenen Berufen und erkläre dir typische Fehler, die Ausbilder machen. Außerdem bekommst du drei Merksätze, mit denen du in der Prüfung jede DSB-Frage entspannt beantwortest.

Jetzt anschauen

Jetzt anschauen

Was ist ein Datenschutzbeauftragter?

Ein Datenschutzbeauftragter (DSB) ist eine Person im Unternehmen, die unabhängig darüber wacht, dass alle Vorschriften zum Schutz personenbezogener Daten eingehalten werden. Er berät Arbeitgeber und Beschäftigte, kontrolliert Prozesse und ist Ansprechpartner für Aufsichtsbehörden und Betroffene.

Wichtig für dich als Ausbilder: Der DSB ist nicht der IT-Chef. Er kümmert sich nicht um Firewalls oder Server. Er sorgt dafür, dass dein Betrieb die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) einhält. Das betrifft Bewerberdaten, Ausbildungsakten, digitale Lernsysteme, Krankmeldungen, Leistungsbeurteilungen und Fotos von Azubis.

Du musst nicht selbst Datenschutzprofi sein. Aber du solltest wissen, wann dein Betrieb einen DSB braucht und wann du ihn einbeziehen solltest – zum Beispiel bei neuen Lern-Apps oder Videoüberwachung in Werkstätten.

Die drei Pflicht-Regeln: Wann muss ein DSB bestellt werden?

Regel 1: Die 20-Personen-Regel (§ 38 BDSG)

Ein Arbeitgeber braucht einen Datenschutzbeauftragten, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das steht in § 38 BDSG.

Was bedeutet das konkret? Jeder Mitarbeiter, der regelmäßig am PC mit Kundendaten, Personaldaten oder Bewerberdaten arbeitet, zählt mit. Das schließt ein:

• Vollzeitkräfte
• Teilzeitkräfte
• Auszubildende
• Praktikanten
• Leiharbeitnehmer
• Freie Mitarbeiter
• Beschäftigte im Homeoffice

Ein Beispiel: Dein Betrieb hat 30 Mitarbeiter. 22 davon arbeiten täglich mit einem CRM-System, ERP-System oder Personalsoftware. Dann braucht ihr einen DSB – auch wenn nicht alle 30 Personen am PC sitzen.

Regel 2: Besondere Datenkategorien unabhängig von der Mitarbeiterzahl

Manchmal ist ein DSB Pflicht, selbst wenn weniger als 20 Personen Daten verarbeiten. Das gilt, wenn die Kerntätigkeit deines Unternehmens in der umfangreichen Verarbeitung besonderer Datenkategorien liegt. Dazu gehören:

• Gesundheitsdaten (z.B. in Krankenhäusern, Arztpraxen, Pflegediensten)
• Genetische oder biometrische Daten (z.B. Fingerabdruck-Systeme zur Zugangskontrolle)
• Daten zu Straftaten oder strafrechtlichen Verurteilungen
• Systematische Überwachung von Personen (z.B. Videoüberwachung in großem Umfang, Tracking-Apps)

Ein kleines Ingenieurbüro mit 12 Mitarbeitern braucht normalerweise keinen DSB. Führt das Büro aber eine umfassende Videoüberwachung des gesamten Werksgeländes ein, kann die Pflicht zur Bestellung eines DSB entstehen – weil hier systematische Personenüberwachung stattfindet.

Regel 3: Öffentliche Stellen fast immer

Wenn du in einer öffentlichen Einrichtung arbeitest (z.B. Verwaltung, Berufsschule, kommunale Betriebe), gilt fast immer die Pflicht zur Bestellung eines DSB. Ausnahmen gibt es nur für Gerichte in ihrer richterlichen Tätigkeit.

Für die meisten privaten Ausbildungsbetriebe ist die 20-Personen-Regel entscheidend. Für bestimmte Branchen (z.B. Gesundheitswesen, Sicherheitsdienste) greift Regel 2.

Jetzt informieren

Warum ist das prüfungsrelevant?

Die AEVO verlangt, dass du betriebliche und rechtliche Rahmenbedingungen kennst und einhältst. Datenschutz gehört dazu. Das Thema taucht in allen vier Handlungsfeldern auf:

• HF 1 (Ausbildungsvoraussetzungen prüfen, Ausbildung planen): Du planst die Ausbildungsorganisation und musst wissen, wie ihr mit Azubi-Daten umgeht.
• HF 2 (Ausbildung vorbereiten, Azubis einstellen): Du bearbeitest Bewerbungen und speicherst Bewerberdaten – hier gelten Aufbewahrungsfristen und Löschpflichten.
• HF 3 (Ausbildung durchführen): Du arbeitest mit digitalen Systemen, bewertest Leistungen, verwaltest Krankmeldungen und machst vielleicht Fotos für die Website.
• HF 4 (Ausbildung abschließen): Du erstellst Zeugnisse und archivierst Ausbildungsunterlagen – auch hier gilt Datenschutz.

In der Prüfung können Fragen so aussehen:

• Multiple-Choice: „Ab wie vielen Beschäftigten muss ein betrieblicher Datenschutzbeauftragter bestellt werden?"
• Fallstudie: „Ein Betrieb führt eine neue Lernplattform ein, auf der Azubis Leistungsdaten speichern. Welche datenschutzrechtlichen Schritte sind nötig?"
• Fachgespräch: „Wie gehen Sie mit Bewerberdaten in Ihrem Betrieb um?"

Wenn du die drei Regeln kennst, punktest du hier sicher.

Praxisbeispiele aus verschiedenen Berufen

Industriemechaniker/in (Industriebetrieb)

Du bist Ausbilder in einem Maschinenbauunternehmen mit 40 Beschäftigten. Deine Azubis arbeiten im ERP-System und sehen täglich Kundendaten, Lieferantenverträge und interne Personaldaten. Du erklärst ihnen, warum diese Daten vertraulich sind und dass euer betrieblicher Datenschutzbeauftragter alle Prozesse prüft. Der Grund: Mehr als 20 Beschäftigte verarbeiten ständig personenbezogene Daten am PC.

Was passiert hier? Deine Azubis lernen von Anfang an, dass Datenschutz Alltag ist. Sie wissen, an wen sie sich wenden, wenn sie unsicher sind. Du selbst bist abgesichert, weil der DSB die Systeme geprüft hat.

Elektroniker/in für Betriebstechnik

Du betreust Azubis, die an einer neuen Videoüberwachungslösung für das Werksgelände mitarbeiten. Der Betrieb hat nur 18 Mitarbeiter. Trotzdem bindest du den Datenschutzbeauftragten ein, weil es hier um systematische Personenüberwachung geht. Gemeinsam definiert ihr klare Zwecke, begrenzt den Aufnahmebereich und informiert die Beschäftigten transparent.

Was passiert hier? Auch bei weniger als 20 Mitarbeitern kann die DSB-Pflicht greifen – wegen der Überwachung. Du zeigst deinen Azubis, dass Datenschutz nicht nur eine Formalie ist, sondern echte Persönlichkeitsrechte schützt.

Industriekaufmann/-frau

Du bildest im Büro aus. Deine Azubis arbeiten täglich mit Personalakten, Lohnabrechnungen und Kundendaten. Das Unternehmen hat 35 Beschäftigte, 28 davon verarbeiten regelmäßig personenbezogene Daten am PC. Ihr habt einen DSB bestellt. Du zeigst deinen Azubis die internen Datenschutzrichtlinien und erklärst, welche Daten sie sehen dürfen und welche nicht.

Was passiert hier? Deine Azubis verstehen, dass sie Teil eines rechtlich abgesicherten Systems sind. Sie lernen, Verantwortung zu übernehmen.

Kaufmann/-frau für Büromanagement

Du lässt deine Azubis Bewerbungen vorsortieren und in ein Bewerber-Management-System einpflegen. Du sprichst mit ihnen darüber, wie lange Bewerberdaten gespeichert werden dürfen und dass der DSB die Löschfristen überwacht. Ihr habt die 20-Personen-Grenze überschritten, weil fast alle im Büro mit dem System arbeiten.

Was passiert hier? Deine Azubis lernen früh, dass Datenschutz beim Recruiting beginnt. Du baust Vertrauen auf, weil du transparent erklärst, was mit den Daten passiert.

Tischler/in (Handwerksbetrieb)

Du arbeitest in einer kleineren Schreinerei mit acht Beschäftigten. Ihr führt eine einfache Kundendatei und nutzt E-Mail. Ihr habt keine Pflicht zur Bestellung eines DSB, weil weniger als 20 Personen mit Daten arbeiten und keine systematische Überwachung stattfindet. Du erklärst deinem Azubi trotzdem, dass ihr die DSGVO einhalten und bewusst mit Kundendaten umgehen müsst.

Was passiert hier? Auch ohne DSB gilt Datenschutz. Dein Azubi lernt, dass kleine Betriebe nicht alles dürfen, nur weil sie klein sind.

Hotelfachmann/-frau

Du bildest in einem Hotel mit 50 Beschäftigten aus. Viele arbeiten mit dem Reservierungssystem und verarbeiten Gästedaten (Name, Adresse, Zahlungsdaten, besondere Wünsche). Ihr habt längst einen DSB bestellt. Du erklärst deinem Azubi, dass der DSB auch bei der Planung eines neuen Loyalitätsprogramms mit Datenanalyse eingebunden wird.

Was passiert hier? Dein Azubi versteht, dass Datenschutz nicht nur Pflicht ist, sondern auch Vertrauen bei Gästen schafft.

Typische Fehler und Verwechslungen

Fehler 1: „Datenschutzbeauftragter erst ab 50 oder 100 Mitarbeitern nötig."

Viele Ausbilder verwechseln die Schwelle mit anderen Vorschriften (z.B. Betriebsratsgröße). Richtig ist: Entscheidend sind mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Die Gesamtzahl der Mitarbeiter ist egal.

Fehler 2: Azubis und Praktikanten werden nicht mitgezählt.

Falsche Annahme: „Die sind ja noch keine richtigen Mitarbeiter." Richtig ist: Alle Personen, die regelmäßig Daten verarbeiten – einschließlich Azubis, Praktikanten und Leiharbeiter – zählen mit.

Fehler 3: Datenschutz ist nur ein Thema für große Unternehmen.

Auch kleine Betriebe müssen die DSGVO einhalten. Ein DSB ist nur bei bestimmten Voraussetzungen Pflicht, aber Datenschutz gilt für fast alle. Merke: Datenschutz immer – DSB bei 20+ oder Spezialrisiken.

Fehler 4: DSB ist der IT-Chef.

Datenschutz ist nicht IT-Sicherheit. Der DSB kontrolliert und berät zu Datenschutzfragen. Die IT-Abteilung kümmert sich um technische Systeme. Das sind zwei verschiedene Rollen.

Fehler 5: Systematische Überwachung wird nicht erkannt.

In AEVO-Fallstudien wird oft beschrieben, dass ein Betrieb Videoüberwachung oder Tracking-Apps einsetzt. Viele Prüflinge übersehen, dass das ein Hinweis auf DSB-Pflicht ist – auch bei weniger als 20 Personen.

Falsch vs. richtig gemacht

Falsch gemacht: Du bist Ausbilder in einem wachsenden Dienstleistungsunternehmen. Es gibt inzwischen 25 Mitarbeiter, die täglich mit Kunden- und Personaldaten am PC arbeiten. Dennoch wird kein DSB bestellt, und du führst eine neue Lernplattform ein, ohne Datenschutzprüfung. Später kommt es zu einem Datenleck. Kunden beschweren sich. Die Aufsichtsbehörde verhängt ein Bußgeld. Dein Betrieb verliert Vertrauen.

Richtig gemacht: Du stellst fest, dass inzwischen mehr als 20 Beschäftigte regelmäßig personenbezogene Daten digital verarbeiten. Du sprichst die Geschäftsführung an, ein DSB wird bestellt. Vor der Einführung der Lernplattform prüft der DSB die Datenschutzbedingungen, gibt Hinweise zu Zugriffsrechten und Löschfristen. Das System läuft rechtssicher und ohne Beschwerden. Deine Azubis fühlen sich geschützt.

So merkst du dir das

Präge dir diese drei Merksätze ein:

1. „Ab 20 Köpfe am PC mit Personendaten – Datenschutzbeauftragter ist Pflicht."
2. „Wer überwacht oder Krankendaten sammelt, braucht einen DSB – egal wie viele Mitarbeiter."
3. „Öffentliche Stellen haben fast immer einen DSB."

Eine einfache Eselsbrücke: 3-P-Regel – „Personen, die Personendaten mit PC bearbeiten – ab 20 brauchst du einen DSB."

Visualisiere die DSB-Ampel: Grün = unter 20, keine Überwachung, keine Gesundheitsdaten. Gelb = kurz vor 20 oder neue Datenprojekte. Rot = 20+ oder Überwachung/Gesundheitsdaten – DSB nötig.

Prüfungstipps

1. Erkenne Signalwörter: „Datenschutzbeauftragter", „mindestens 20 Mitarbeiter", „personenbezogene Daten", „Gesundheitsdaten", „Videoüberwachung", „systematische Überwachung" zeigen dir sofort, dass das Thema DSB gemeint ist.
2. Achte auf Ablenker: In Multiple-Choice-Fragen werden oft falsche Zahlen genannt (10, 50, 100 Mitarbeiter). Merke dir klar: In Deutschland gilt die 20-Personen-Regel für automatisierte Datenverarbeitung.
3. Denke an besondere Branchen: Wenn im Fall beschrieben ist, dass das Unternehmen z.B. ein Krankenhaus, eine Auskunftei oder ein Marketing-Tracking-Dienst ist, ist ein DSB oft Pflicht – unabhängig von der Mitarbeiterzahl.
4. Punkten im Fachgespräch: Erwähne kurz, dass du bei neuen digitalen Ausbildungs- oder Bewerbersystemen den DSB einbeziehen würdest. Das zeigt, dass du rechtssicher denkst.
5. Vergeude keine Zeit mit Paragrafen: Für die AEVO reicht meist, wenn du die 20-Personen-Regel und die besonderen Fälle (Gesundheitsdaten, systematische Überwachung, öffentliche Stellen) sicher nennen kannst.

Handlungsempfehlungen für die Praxis

1. Prüfe deine Zahlen: Gemeinsam mit der Geschäftsführung zählen: Wie viele Personen im Betrieb arbeiten regelmäßig mit personenbezogenen Daten am PC? Azubis, Praktikanten und Homeoffice-Beschäftigte nicht vergessen. Ab 20 solltest du das Thema DSB ansprechen.
2. Identifiziere sensible Bereiche: Wo arbeitet ihr mit Gesundheitsdaten, Leistungsbeurteilungen oder Videoüberwachung? Beziehe den DSB frühzeitig ein, bevor du neue Prozesse oder Systeme in der Ausbildung einführst.
3. Vermittle einfache Regeln: Deine Azubis sollten wissen: keine Weitergabe von Zugriffsdaten, keine Daten auf privaten Geräten speichern, keine Fotos von Kollegen ohne Zustimmung veröffentlichen.
4. Nutze Schulungen: Lass dich vom DSB einweisen und baue Datenschutz fest in deine Unterweisungen ein (z.B. „Arbeiten mit dem ERP-System", „Umgang mit Bewerberdaten").
5. Dokumentiere: Halte im betrieblichen Ausbildungsplan kurz fest, wie in deinem Bereich mit Azubi- und Kundendaten umgegangen wird und wo der DSB eingebunden ist. Das hilft im AEVO-Fachgespräch.

Das nimmst du mit

• Ein Arbeitgeber muss einen Datenschutzbeauftragten bestellen, wenn mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten oder die Kerntätigkeit in umfangreicher Verarbeitung von Gesundheitsdaten oder systematischer Überwachung liegt.
• Auch Azubis, Praktikanten und Teilzeitkräfte zählen mit, wenn sie regelmäßig mit Daten arbeiten.
• Datenschutz gilt für fast alle Betriebe – ein DSB ist nur bei bestimmten Voraussetzungen Pflicht.
• Präge dir die drei Merksätze ein: „20 Köpfe am PC – DSB Pflicht", „Überwachung oder Krankendaten – DSB nötig", „Öffentliche Stellen fast immer DSB".
• In der Prüfung erkennst du DSB-Fragen an Signalwörtern wie „20 Mitarbeiter", „Gesundheitsdaten", „Videoüberwachung" – dann antwortest du entspannt und sicher.

Weiterführende Links

1. Ab wann ist ein Datenschutzbeauftragter Pflicht? – Proliance.ai - https://www.proliance.ai/blog/ab-wann-ist-ein-datenschutzbeauftragter-pflicht
2. Bestellung einer/s betrieblichen Datenschutzbeauftragten – IHK Stuttgart - https://www.ihk.de/stuttgart/fuer-unternehmen/recht-und-steuern/datenschutzrecht/der-betriebliche-datenschutzbeauftragte2-3810788
3. Datenschutzbeauftragter: Ab wann? – Datenschutz.org - https://www.datenschutz.org/datenschutzbeauftragter-ab-wann/
4. Datenschutzbeauftragter Pflicht 2025: Neue Regeln für Unternehmen – Regina Stoiber - https://regina-stoiber.com/2025/06/13/datenschutzbeauftragter-pflicht-2025/
5. Der betriebliche Datenschutzbeauftragte – IHK Rheinhessen - https://www.ihk.de/rheinhessen/rechtundsteuern/internetrecht/der-betriebliche-datenschutzbeauftragte-3535576
6. Benötigt mein Unternehmen/meine Organisation einen Datenschutzbeauftragten? – Europäische Kommission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_de
7. Wann muss ein Datenschutzbeauftragter bestellt werden? – IT-Recht Kanzlei - https://www.it-recht-kanzlei.de/wann-braucht-man-datenschutzbeauftragten.html
8. Datenschutzbeauftragter: Pflicht oder Kür? – Haufe - https://www.haufe.de/recht/weitere-rechtsgebiete/wirtschaftsrecht/datenschutzbeauftragter/datenschutzbeauftragter-nach-dsgvo-pflicht-oder-kuer_210_626278.html
9. Datenschutzbeauftragter (DSB): Pflicht, Aufgaben und … – Sofortdatenschutz.de - https://www.sofortdatenschutz.de/blog/datenschutzbeauftragter-dsb-pflicht-aufgaben/