Externer Datenschutzbeauftragter: Pflicht, Kosten, Auswahl

Ein Datenschutzbeauftragter wird zur Pflicht, sobald ein Unternehmen mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt (§38 BDSG) – oder unabhängig von der Mitarbeiterzahl, wenn die Kerntätigkeit in umfangreicher Überwachung oder sensibler Datenverarbeitung besteht (Art. 37 DSGVO). Ob Sie ihn intern benennen oder extern vergeben, entscheiden Sie selbst; feste Marktpreise für die externe Lösung gibt es nicht, nur Pauschalmodelle, die sich zu vergleichen lohnen.

Wann ist ein externer Datenschutzbeauftragter Pflicht?

Die Grundregel steht in §38 BDSG: Wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss einen Datenschutzbeauftragten benennen – ob intern oder extern, entscheidet das Unternehmen selbst. 20 Personen heißt nicht 20 Vollzeitstellen: Teilzeitkräfte und Aushilfen zählen mit, sobald sie regelmäßig mit personenbezogenen Daten hantieren, also praktisch jede Person mit Zugriff auf ein CRM, eine Buchhaltungssoftware oder eine Kundendatenbank.

Und dann gibt es die Ausnahme, die viele KMU übersehen: Nach Art. 37 DSGVO ist die Bestellung unabhängig von der Mitarbeiterzahl Pflicht, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht, oder wenn die Kerntätigkeit die umfangreiche Verarbeitung besonderer Datenkategorien umfasst – Gesundheitsdaten, biometrische Daten, Daten zu Gewerkschaftszugehörigkeit oder sexueller Orientierung. Eine Arztpraxis mit acht Angestellten kann also durchaus verpflichtet sein, obwohl sie die 20-Personen-Schwelle nie erreicht; wir haben das für Praxen im Detail durchgerechnet. Ergänzend verlangt das BDSG die Bestellung auch bei kommerzieller Verarbeitung zu Übermittlungszwecken oder für Markt- und Meinungsforschung, unabhängig von der Größe.

Ganz nebenbei: Die Debatte, ob die 20-Personen-Schwelle nicht ohnehin zu niedrig oder zu hoch angesetzt ist, wird seit Jahren geführt, zuletzt im Rahmen von Entlastungsvorschlägen für kleine Unternehmen. Solange der Gesetzgeber die Schwelle nicht ändert, gilt sie unverändert – Planungssicherheit schlägt Hoffnung auf Reform.

Wer unsicher ist, ob er überhaupt betroffen ist, sollte nicht raten: Eine strukturierte Selbsteinschätzung anhand der gesetzlichen Kriterien nimmt fünf Minuten und erspart teure Fehleinschätzungen – die vollständige Pflicht-Prüfung inklusive Sonderfällen steht hier.

Was passiert, wenn Sie trotz Pflicht keinen Datenschutzbeauftragten bestellen?

Die unterlassene Bestellung ist nicht nur ein abstraktes Risiko. Nach Art. 83 DSGVO zählt die fehlende Benennung eines Datenschutzbeauftragten trotz bestehender Pflicht nach Art. 37 DSGVO zu den Verstößen der ersten Bußgeldstufe – bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das gilt unabhängig davon, ob überhaupt einmal Daten abgeflossen sind: Die reine Organisationspflicht wird sanktioniert, nicht nur ein eingetretener Schaden.

In der Praxis prüfen Aufsichtsbehörden das selten proaktiv bei kleinen Unternehmen, oft erst im Zuge einer anderen Beschwerde oder Prüfung – etwa nach einer Datenpanne oder einer Mitarbeiterbeschwerde. Das ist aber kein Grund, es darauf ankommen zu lassen: Wird bei einer Prüfung zusätzlich zum eigentlichen Anlass auch noch die fehlende Bestellung festgestellt, kommt ein zweiter, eigenständiger Verstoß obendrauf. Wer die Pflicht erfüllt, reduziert also nicht nur das inhaltliche Datenschutzrisiko, sondern auch dieses rein formale.

Extern oder intern: was der Vergleich wirklich zeigt

Sobald die Pflicht feststeht, folgt die zweite Frage, und sie ist eigentlich die wichtigere: intern aufbauen oder extern vergeben? Beide Wege sind rechtlich gleichwertig – die DSGVO verlangt nirgends, dass der Datenschutzbeauftragte ein eigener Mitarbeiter ist. Der Unterschied liegt in der Praxis. Der Kündigungsschutz wird in Beratungsgesprächen oft überschätzt: Er greift ausschließlich, wenn die Bestellung gesetzlich verpflichtend war, nicht bei einem freiwillig ernannten internen DSB. Und die Unabhängigkeit nach Art. 38 DSGVO gilt für beide Formen gleichermaßen – das Gesetz macht hier keinen Unterschied, nur die Ausgangslage variiert deutlich. Ist extern also grundsätzlich die bessere Wahl? Nicht zwingend – wer bereits eine Rechtsabteilung hat und Datenschutz ohnehin nah am Tagesgeschäft mitdenken will, kann mit einer gut ausgebildeten internen Person ebenso gut fahren. Die Tabelle zeigt Tendenzen, keine Automatismen. Wer noch unsicher ist, welche Konstruktion zum eigenen Unternehmen passt, findet eine Entscheidungshilfe nach Beauftragtentyp hier.

Was das Gesetz von einem externen Datenschutzbeauftragten verlangt

Art. 38 DSGVO ist im Kern eine Unabhängigkeitsgarantie: Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden, er erhält keine Weisungen zur Ausübung seiner Tätigkeit, und seine Aufgaben dürfen nicht zu einem Interessenkonflikt führen – ein DSB, der gleichzeitig als IT-Leiter über die Systeme entscheidet, die er kontrollieren soll, erfüllt diese Anforderung nur schlecht. Das Unternehmen muss ihm außerdem die nötigen Ressourcen und den Zugang zu den Verarbeitungsvorgängen geben und ihn direkt an die höchste Managementebene berichten lassen, nicht an eine Zwischenebene.

Was er inhaltlich tut, listet Art. 39 DSGVO auf:

• Unterrichtung und Beratung von Geschäftsführung und Beschäftigten zu den Datenschutzpflichten
• Überwachung der Einhaltung der DSGVO, inklusive Schulungskonzepten und internen Zuständigkeiten
• Beratung bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt
• Zusammenarbeit mit der Aufsichtsbehörde und Funktion als deren Ansprechpartner

Ein Datenschutzbeauftragter ist übrigens keine Vollkaskoversicherung gegen Datenschutzverstöße und trifft auch keine Entscheidungen anstelle der Geschäftsführung – er berät, dokumentiert und warnt, die Entscheidung über technische und organisatorische Maßnahmen bleibt immer beim Unternehmen selbst.

Eine bestimmte Zertifizierung schreibt die DSGVO nicht vor – Art. 37 Abs. 5 verlangt lediglich nachweisbares Fachwissen im Datenschutzrecht. In der Praxis hat sich trotzdem so etwas wie ein Quasi-Standard etabliert: TÜV, DEKRA und vor allem das GDDcert.EU-Zertifikat der Gesellschaft für Datenschutz und Datensicherheit gelten im DACH-Raum als weitgehend gleichwertig anerkannt und sind ein brauchbarer, wenn auch kein gesetzlich zwingender, Qualitätsindikator bei der Anbieterwahl. Was diese Qualifikationen konkret bedeuten und worin sie sich unterscheiden, erklären wir separat.

Was kostet ein externer Datenschutzbeauftragter wirklich?

Hier wird es unseriös, wenn man es zu genau nimmt: Es gibt keine amtliche Preisliste und keine Gebührenordnung für externe Datenschutzbeauftragte, jeder Anbieter kalkuliert seine Pauschale selbst. Was den Preis tatsächlich treibt, sind vier Faktoren: die Zahl der Mitarbeitenden und Standorte, die Sensibilität der verarbeiteten Daten (Gesundheits- oder Finanzdaten verursachen mehr Aufwand als eine reine B2B-Kundendatenbank), der vereinbarte Leistungsumfang (reine Beratung gegenüber voller Übernahme von VVT-Pflege, Schulungen und Meldewesen) und die vertraglich zugesagte Reaktionszeit bei Vorfällen.

Ein Warnsignal lässt sich trotzdem ohne erfundene Zahl benennen: Pauschalen, die spürbar unter dem liegen, was ein Anbieter für Recherche, Dokumentation und ständige Erreichbarkeit realistisch aufwenden kann, bedeuten fast immer, dass im Ernstfall niemand ans Telefon geht oder das Verzeichnis der Verarbeitungstätigkeiten seit der Einrichtung nicht mehr angefasst wurde. Ein belastbarer Kostenvergleich mit echten Anbieterspannen nach Unternehmensgröße steht hier zum Nachlesen bereit, inklusive der Frage, was ein Anbieterwechsel kostet und worauf man dabei achten sollte.

Ein konkretes Beispiel zur Einordnung: Ein Handwerksbetrieb mit 15 Mitarbeitenden, einer Handvoll Kundendaten in einer Branchensoftware und ohne Gesundheits- oder Finanzdaten hat einen deutlich geringeren Betreuungsaufwand als eine Physiotherapiepraxis mit derselben Mitarbeiterzahl, die täglich Gesundheitsdaten dokumentiert. Zwei Unternehmen gleicher Größe können deshalb völlig unterschiedliche Angebote erhalten, und das ist kein Zeichen für Willkür, sondern für einen Anbieter, der den tatsächlichen Aufwand kalkuliert, statt eine Tabelle abzutippen.

Checkliste: So wählen Sie den richtigen externen Datenschutzbeauftragten aus

Bevor Sie unterschreiben, lohnt sich eine kurze, ehrliche Prüfung. Sechs Punkte erweisen sich in der Praxis immer wieder als entscheidend, unabhängig von Branche oder Unternehmensgröße:

• Qualifikation nachweisen lassen (GDDcert.EU, TÜV, DEKRA oder eine vergleichbare Fachanwaltsqualifikation im IT- und Datenschutzrecht)
• Branchenerfahrung konkret erfragen, nicht nur behaupten lassen – lassen Sie sich zwei anonymisierte Beispielfälle aus Ihrer Branche schildern
• Reaktionszeit vertraglich fixieren, besonders für den Ernstfall: Die Meldefrist an die Aufsichtsbehörde beträgt laut Art. 33 DSGVO 72 Stunden ab Kenntnis, Ihr Anbieter muss also deutlich schneller reagieren als diese Frist
• Leistungsumfang schriftlich klären: Ist die Pflege des Verzeichnisses der Verarbeitungstätigkeiten enthalten, oder wird sie separat abgerechnet?
• Referenzen bei bestehenden Kunden einholen, nicht nur auf der Anbieter-Website lesen
• Berufshaftpflichtversicherung und deren Deckungssumme belegen lassen

Erstgespräch und Vertrag: die typischen Fallstricke

Im Erstgespräch zeigt sich mehr als in jedem Prospekt. Fragen Sie konkret: Wie sieht die Vertretung aus, wenn Ihr Ansprechpartner krank wird oder das Unternehmen wechselt? Wer übernimmt die laufende Pflege der Verarbeitungsverzeichnisse, und wie oft wird sie aktualisiert? Wie schnell bekommen Sie im Ernstfall tatsächlich jemanden ans Telefon, nicht nur eine automatische Empfangsbestätigung per Mail?

Ein weiterer, oft übersehener Punkt: Wer innerhalb der Firma des Anbieters betreut Ihr Unternehmen tatsächlich? Manche Anbieter verkaufen über ein Vertriebsteam und übergeben dann an wechselnde Sachbearbeiter, andere geben von Anfang an einen festen Ansprechpartner mit Fachhintergrund. Fragen Sie das explizit ab, bevor Sie unterschreiben – im Nachhinein lässt sich das kaum noch korrigieren, ohne den Vertrag vorzeitig zu kündigen.

Vertraglich lohnt sich ein zweiter Blick auf drei Punkte, die gerne im Kleingedruckten verschwinden: die Mindestlaufzeit (manche Anbieter binden Sie zwei bis drei Jahre, ohne dass das irgendeinen datenschutzrechtlichen Vorteil bringt), der tatsächliche Leistungsumfang pro Monat (eine Pauschale ohne definierte Stundenzahl ist kein Leistungsversprechen, sondern eher eine Wette) und die Frage, was bei einem Anbieterwechsel mit der bisherigen Dokumentation passiert – im Idealfall bleibt sie vollständig bei Ihnen, denn sie gehört rechtlich Ihrem Unternehmen und nicht dem Dienstleister.

Eine Schritt-für-Schritt-Anleitung zur formalen Bestellung, inklusive Meldung an die Aufsichtsbehörde, finden Sie hier, und eine vollständige Pflichten-Checkliste fürs erste Jahr nach der Bestellung gibt es in diesem Artikel.

Und wenn Sie konkrete Anbieter vergleichen wollen

Dieser Artikel klärt die Pflicht, den rechtlichen Rahmen und die Auswahlkriterien – bewusst ohne eine Liste konkreter Dienstleister, weil ein seriöser Anbietervergleich eigene, laufend aktualisierte Recherche verdient und sonst schnell veraltet. Wenn Sie so weit sind und tatsächlich Namen, Leistungspakete und Preise nebeneinanderlegen wollen, haben wir dafür eine eigene Vergleichsseite.