Ein externer Datenschutzbeauftragter übernimmt die gesetzlich vorgeschriebene Rolle des Datenschutzbeauftragten (DSB) als Dienstleister statt als Angestellter. Für viele Unternehmen ist die Bestellung keine freiwillige Entscheidung, sondern Pflicht – und selbst dort, wo keine Pflicht besteht, verlangen Kunden, Ausschreibungen und Zertifizierungen zunehmend einen benannten Ansprechpartner für Datenschutz.
Dieser Beitrag erklärt, wann die Bestellpflicht greift, was ein externer DSB konkret leistet, wie sich die Kosten zusammensetzen, wie die Bestellung rechtssicher abläuft und warum die Kombination mit einem externen Informationssicherheitsbeauftragten in der Praxis doppelte Arbeit vermeidet.
Wann ist ein Datenschutzbeauftragter Pflicht?
Die Pflicht ergibt sich in Deutschland aus dem Zusammenspiel von Art. 37 DSGVO und § 38 BDSG. Der wichtigste Schwellenwert steht in § 38 Abs. 1 Satz 1 BDSG: Die Bestellpflicht greift, sobald ein Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
Maßgeblich ist nicht die Gesamtbelegschaft, sondern die Zahl der Personen, die dauerhaft – nicht nur gelegentlich – mit automatisierter Datenverarbeitung befasst sind. Dazu zählen typischerweise alle Beschäftigten mit eigenem Zugriff auf Kunden-, Personal- oder Lieferantendaten in IT-Systemen; Teilzeitkräfte, Auszubildende und freie Mitarbeitende zählen mit, wenn sie diese Tätigkeit ständig ausüben. Die Schwelle ist bei 20 Personen erreicht, nicht erst bei 21.
Pflicht unabhängig von der Personenzahl
Daneben gibt es Pflichtauslöser, bei denen die Personenzahl keine Rolle spielt. Sie sind enger gefasst, als oft behauptet wird:
- § 38 Abs. 1 Satz 2 BDSG: wenn Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordern oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.
- Art. 37 Abs. 1 lit. b DSGVO: wenn die Kerntätigkeit in Verarbeitungen besteht, die eine umfangreiche, regelmäßige und systematische Überwachung von Personen erfordern – etwa Tracking- oder Profiling-Geschäftsmodelle.
- Art. 37 Abs. 1 lit. c DSGVO: wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO (Gesundheit, Biometrie, Religion, Gewerkschaft) oder von Daten über Straftaten nach Art. 10 besteht. Krankmeldungen in der Personalabteilung lösen die Pflicht nicht aus; es kommt auf Kerntätigkeit und Umfang an.
Für Gesundheitseinrichtungen, Anbieter mit nutzerbezogenen Auswertungen als Geschäftsmodell oder Unternehmen mit biometrischen Daten in großem Umfang kann die Pflicht damit weit unterhalb von 20 Personen bestehen. Ob das zutrifft, sollte dokumentiert geprüft werden – die Prüfung selbst ist ein Nachweis gegenüber der Aufsichtsbehörde.
Art. 37 Abs. 6 DSGVO erlaubt ausdrücklich, die Aufgabe auf Grundlage eines Dienstleistungsvertrags zu erfüllen. Der externe Datenschutzbeauftragte ist damit kein Umweg, sondern eine vom Gesetz vorgesehene Standardlösung.
Bestellung ohne Pflicht
Auch unterhalb der Schwelle lohnt sich die Bestellung oft: Kundenverträge, Auftragsverarbeitungsverträge, öffentliche Ausschreibungen und Zertifizierungen wie ISO 27001 oder TISAX fragen nach einem benannten Datenschutzansprechpartner. Wer freiwillig einen DSB bestellt, unterliegt allerdings denselben Regeln wie bei Pflichtbestellung – inklusive Meldung an die Aufsicht und Unabhängigkeit der Rolle.
Was ein externer Datenschutzbeauftragter leistet
Die gesetzlichen Aufgaben stehen in Art. 39 DSGVO: Unterrichtung und Beratung von Unternehmen und Beschäftigten, Überwachung der Einhaltung der Datenschutzvorschriften, Beratung bei der Datenschutz-Folgenabschätzung, Zusammenarbeit mit der Aufsichtsbehörde und Funktion als Anlaufstelle. In der Praxis heißt das:
- Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO aufbauen und aktuell halten – das dokumentarische Rückgrat jeder DSGVO-Organisation.
- Datenschutzerklärungen und Informationstexte nach Art. 12 bis 14 DSGVO prüfen und pflegen: Website, Formulare, Bewerbungen, Kunden- und Mitarbeiterinformationen.
- Auftragsverarbeitung: Verträge nach Art. 28 DSGVO prüfen, Dienstleister und Tools vor dem Einsatz bewerten, Drittlandtransfers einordnen.
- Technisch-organisatorische Maßnahmen nach Art. 32 DSGVO bewerten und dokumentieren – gemeinsam mit IT und Informationssicherheit.
- Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO begleiten, etwa bei Videoüberwachung, Beschäftigtenmonitoring oder KI-gestützten Verfahren.
- Betroffenenanfragen – Auskunft, Löschung, Widerspruch – fristgerecht bearbeiten und dokumentieren.
- Datenpannen bewerten und die Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Art. 33 DSGVO vorbereiten.
- Schulung und Sensibilisierung der Belegschaft mit Nachweis.
- Tätigkeitsbericht an die Geschäftsführung, in der Regel jährlich.
Was der DSB nicht leistet
Der DSB berät, überwacht und empfiehlt. Die Umsetzungsverantwortung bleibt beim Unternehmen. Art. 38 Abs. 3 DSGVO verlangt, dass er unabhängig und frei von Interessenkonflikten arbeitet – er darf deshalb keine operative Leitungsfunktion übernehmen, die er selbst überwachen müsste. Wer erwartet, mit der Bestellung die gesamte Datenschutzverantwortung ausgelagert zu haben, irrt: Gegenüber Aufsichtsbehörden und Betroffenen haftet immer der Verantwortliche, also das Unternehmen. Der externe DSB haftet im Innenverhältnis bei nachweisbaren Pflichtverletzungen; seriöse Anbieter sichern das über eine Berufshaftpflichtversicherung ab, die Sie sich nachweisen lassen sollten.
Intern oder extern? Der Vergleich
| Interner Datenschutzbeauftragter | Externer Datenschutzbeauftragter | |
|---|---|---|
| Verfügbarkeit | Sofort vor Ort, kennt das Unternehmen | Benannter Ansprechpartner mit vereinbarter Erreichbarkeit, meist remote |
| Fachwissen | Muss aufgebaut und laufend aktualisiert werden | Bringt Qualifikation und Erfahrung aus mehreren Mandaten mit |
| Unabhängigkeit | Als Angestellter faktisch in die Hierarchie eingebunden; Interessenkonflikte bei IT-Leitung, Personal oder Geschäftsführung | Strukturell unabhängig; Rollentrennung über den Vertrag regelbar |
| Kosten | Gehaltsanteil, Fortbildung, Vertretung, Freistellung von der Ursprungsaufgabe | Monatliche Pauschale plus Aufwand für Sonderthemen |
| Kündigungsschutz | Besonderer Kündigungs- und Abberufungsschutz nach § 6 Abs. 4 BDSG bei Pflichtbestellung | Abberufung nur aus wichtigem Grund; Laufzeit und Kündigung regelt der Dienstleistungsvertrag |
| Haftung | Verbleibt vollständig im Unternehmen | Innenhaftung des Dienstleisters, typischerweise versichert |
| Sinnvoll ab | Ab einer Größe, in der Datenschutz eine Vollzeitaufgabe ist | Für die meisten Unternehmen, bei denen Datenschutz keine volle Stelle füllt |
Der interne DSB wird meist aus der Belegschaft heraus benannt – die IT-Leitung, die Assistenz, jemand aus dem Qualitätsmanagement. Genau dort liegt das Problem: Die Rolle kollidiert häufig mit der eigentlichen Aufgabe (die IT-Leitung darf sich nicht selbst überwachen), das Fachwissen muss nebenher aufgebaut werden, und mit der Bestellung entsteht ein Sonderkündigungsschutz, der Fehlbesetzungen teuer macht. Der externe DSB vermeidet diese drei Punkte strukturell.
Was ein externer Datenschutzbeauftragter kostet
Der Markt hat sich auf ein Hybridmodell eingependelt: eine monatliche Pauschale für die laufende Betreuung – Erreichbarkeit, Verarbeitungsverzeichnis, Dokumentenpflege, Betroffenenanfragen, Tätigkeitsbericht – plus gesondert abgerechneter Aufwand für Sonderthemen wie Datenschutz-Folgenabschätzungen, Datenpannen oder größere Projekte. Dazu kommt meist eine einmalige Bestandsaufnahme zu Beginn.
Wie hoch die Pauschale ausfällt, bestimmen wenige Faktoren:
- Größe und Struktur: Mitarbeiterzahl, Standorte, Tochtergesellschaften.
- Datenarten: besondere Kategorien nach Art. 9 DSGVO, Beschäftigtendaten in großem Umfang, Kundendaten mit Profiling.
- Dienstleister und Tools: Anzahl der Auftragsverarbeiter, Cloud-Dienste, Drittlandtransfers.
- Reifegrad: Gibt es bereits ein Verarbeitungsverzeichnis, Richtlinien und TOM-Dokumentation, oder beginnt die Arbeit bei null?
- Kombination mit Informationssicherheit: Wer DSB und ISB aus einem Haus bezieht, bezahlt Bestandsaufnahme, Risikoanalyse und Schulung nur einmal.
Angebote, die weit unter dem üblichen Rahmen liegen, decken die gesetzlichen Aufgaben in der Regel nicht ab – ein DSB, der nie erreichbar ist und das Verarbeitungsverzeichnis einmal im Jahr per Fragebogen aktualisiert, schützt im Prüffall nicht. Umgekehrt zeigt der Blick auf Art. 83 DSGVO die Relation: Die unterlassene oder fehlerhafte Bestellung kann mit bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, materielle Verstöße mit bis zu 20 Mio. Euro oder 4 Prozent.
Bestellung Schritt für Schritt
- Pflicht prüfen und dokumentieren. Personen mit ständiger automatisierter Verarbeitung zählen, Kerntätigkeit und Datenarten bewerten, Ergebnis mit Datum festhalten.
- Anbieter auswählen. Qualifikation (Zertifizierung als Datenschutzbeauftragter, idealerweise ergänzt um Informationssicherheit), Erreichbarkeit, Berufshaftpflicht, Referenzbranchen, Vertragsmodell.
- Schriftlich bestellen. Der Dienstleistungsvertrag übernimmt die Funktion der Bestellungsurkunde. Er sollte enthalten: Name und Kontaktdaten des DSB, Aufgaben nach Art. 39 DSGVO, Zusage von Ressourcen und Zugang nach Art. 38 Abs. 2, Weisungsfreiheit nach Art. 38 Abs. 3, Erreichbarkeit, Laufzeit und Kündigungsregelung, Haftung und Versicherung, Vertraulichkeit.
- Melden und veröffentlichen. Kontaktdaten des DSB an die zuständige Landesdatenschutzbehörde melden (meist per Online-Formular) und in der Datenschutzerklärung veröffentlichen (Art. 37 Abs. 7 DSGVO). Bei einem Wechsel aktualisieren.
- Intern verankern. Einen festen Ansprechpartner benennen, Zugang zu Systemübersicht, Verträgen und bestehenden Dokumenten geben, Meldeweg für Datenpannen und Betroffenenanfragen festlegen, Belegschaft informieren.
- Bestandsaufnahme und Maßnahmenplan. Verarbeitungsverzeichnis, Informationstexte, AV-Verträge, TOM, Löschkonzept und Betroffenenprozess sichten; Lücken nach Risiko priorisieren; Plan mit der Geschäftsführung abstimmen.
Häufige Fehler sind die fehlende Schriftform, eine unklare Aufgabenbeschreibung, die unterlassene Meldung an die Behörde und die „Bestellung auf dem Papier“ ohne Zugang und Ansprechpartner. Alle vier sind im Prüffall sichtbar – und alle vier sind vermeidbar.
DSB und ISB aus einer Hand
Datenschutz und Informationssicherheit teilen sich die Grundlage: Beide verlangen Risikoanalysen, technisch-organisatorische Maßnahmen, Lieferantenbewertung, Schulung und Meldeprozesse. Art. 32 DSGVO und die Risikomanagementmaßnahmen nach NIS-2 überschneiden sich bei Zugriffskontrolle, Verschlüsselung, Backup und Vorfallbehandlung so stark, dass zwei getrennte Berater zwangsläufig doppelt dokumentieren – oder sich widersprechen.
Am deutlichsten wird das bei einem Cyberangriff: Er löst gleichzeitig die 72-Stunden-Meldung an die Datenschutzbehörde nach Art. 33 DSGVO und – bei NIS-2-regulierten Einrichtungen – die 24/72-Stunden-Meldung an das BSI aus. Kommen DSB und Informationssicherheitsbeauftragter aus verschiedenen Häusern, entstehen unter Zeitdruck Abstimmungsschleifen, die Fristen kosten.
Auch bei der Zertifizierung zahlt sich die Kombination aus: ISO 27001 enthält in Control 5.34 explizite Datenschutzanforderungen, Datenschutz-Folgenabschätzungen liefern Input für das ISMS-Risikoregister, und TISAX prüft Informationssicherheit und Datenschutz in einem Katalog. Wer beide Rollen getrennt betreut, bezahlt Analysen doppelt, die bei integrierter Betreuung einmal entstehen.
Voraussetzung ist eine saubere Rollentrennung: Der DSB darf nicht die Verarbeitung verantworten, die er überwacht. Bei externer Besetzung lässt sich das vertraglich und organisatorisch dokumentieren – genau so setzen wir es bei Cognic um, wenn wir beide Rollen übernehmen.
Fazit
Die Bestellpflicht greift früher, als viele Unternehmen annehmen – ab 20 Personen mit ständiger automatisierter Datenverarbeitung, in sensiblen Konstellationen auch darunter. Ein externer Datenschutzbeauftragter erfüllt diese Pflicht mit Qualifikation und Unabhängigkeit, die intern schwer darstellbar sind, zu kalkulierbaren Kosten und ohne Sonderkündigungsschutz. Entscheidend bei der Auswahl ist nicht das Zertifikat allein, sondern Erreichbarkeit, Versicherung und – für regulierte Unternehmen – die Fähigkeit, Datenschutz und Informationssicherheit zusammen zu denken.
Konkrete nächste Schritte: Bestellpflicht nach § 38 BDSG und Art. 37 DSGVO prüfen und dokumentieren, Angebote mit Kompetenz- und Erreichbarkeitsvergleich einholen, schriftlich bestellen, an die Aufsichtsbehörde melden – und den DSB mit Zugang und Ansprechpartner arbeitsfähig machen. Wie wir das als externer Datenschutz- und Informationssicherheitsbeauftragter umsetzen, beschreibt unsere Leistungsseite.
