Datenschutzbeauftragter: intern oder extern bestellen — was ist 2026 günstiger?

Für Unternehmen unter 250 Mitarbeitern ist der externe Datenschutzbeauftragte in der Regel günstiger und rechtssicherer. Ein interner DSB kostet durch Gehaltsanteil, Fortbildung und Kündigungsschutzrisiko häufig mehr als 15 000 € jährlich — ein externer DSB ist ab 2 400 €/Jahr verfügbar. 2026 bleibt die Rechtslage nach DSGVO und BDSG unverändert: beide Varianten sind zulässig, sofern Unabhängigkeit und Qualifikation gewährleistet sind.

Interner vs. externer DSB: der direkte Vergleich

1. Der interne Datenschutzbeauftragte: Voraussetzungen und Risiken

Ein interner DSB ist ein Mitarbeiter des Unternehmens, der die Funktion des Datenschutzbeauftragten zusätzlich zu seiner regulären Tätigkeit oder hauptamtlich übernimmt. Die DSGVO und das BDSG stellen mehrere Anforderungen:

Wer kann interner DSB sein?

• Jeder Mitarbeiter mit nachgewiesenem Fachwissen im Datenschutzrecht und der Datenschutzpraxis (Art. 37 Abs. 5 DSGVO)
• Nicht möglich: Geschäftsführer, IT-Leiter (wenn für Verarbeitung verantwortlich), HR-Leiter (wenn große Mengen Mitarbeiterdaten verwaltet) — Interessenkonflikt nach Art. 38 Abs. 6 DSGVO
• Empfohlene Qualifikation: TÜV-Zertifizierung Datenschutz, GDD-Zertifikat oder CIPP/E (IAPP)

Das Problem des Interessenkonflikts

Der häufigste Fehler in deutschen Unternehmen: der IT-Leiter wird zum internen DSB ernannt. Das ist in der Praxis ein Interessenkonflikt, weil der IT-Leiter gleichzeitig Systeme einsetzt, die er als DSB kontrollieren müsste. Mehrere Aufsichtsbehörden (LfDI Bayern, Hamburgischer Beauftragter) haben solche Konstellationen beanstandet.

Der erhöhte Kündigungsschutz: ein verstecktes Kostenrisiko

Gemäß § 38 Abs. 2 BDSG i.V.m. § 6 Abs. 4 BDSG genießt ein interner DSB besonderen Kündigungsschutz: Eine Kündigung wegen der Ausübung der DSB-Tätigkeit ist unzulässig, und der Schutz gilt noch ein Jahr nach Abberufung. In der Praxis bedeutet das: wenn Sie einen Mitarbeiter zum internen DSB ernennen und die Funktion später abschaffen oder neu besetzen wollen, kann das rechtlich und finanziell kompliziert werden.

Laufende Fortbildungskosten

Ein interner DSB muss sein Wissen aktuell halten. Die DSGVO-Landschaft ändert sich laufend: EuGH-Urteile (Schrems II, weitere Safe Harbor-Entscheidungen), neue Standardvertragsklauseln, Beschlüsse der deutschen Aufsichtsbehörden. Realistische Fortbildungskosten: 1 500 bis 3 000 € pro Jahr für Seminare, Fachliteratur und Verbandsmitgliedschaft (GDD).

2. Der externe Datenschutzbeauftragte: Kosten, Auswahl und Vertragsgestaltung

Ein externer DSB ist ein unabhängiger Dienstleister — Rechtsanwalt, spezialisiertes Beratungsunternehmen oder zertifizierter Datenschutzexperte —, der die DSB-Funktion auf vertraglicher Basis übernimmt. Er unterliegt keinem Weisungsrecht des Unternehmens und ist gegenüber der Unternehmensführung unabhängig.

Was kostet ein externer DSB 2026?

Was muss ein externer DSB-Vertrag enthalten?

1. Leistungsumfang: Verfügbarkeit (Stunden/Monat), Reaktionszeit bei Datenpannen, Schulungsleistungen
2. Qualifikationsnachweise: aktuelle Zertifizierungen, Fortbildungsverpflichtung
3. Haftungsregelung: wer haftet bei Fehlberatung mit Bußgeldfolge?
4. Vertraulichkeit: der DSB unterliegt ohnehin der Verschwiegenheitspflicht (Art. 38 Abs. 5 DSGVO)
5. Kündigungsfristen: 3 bis 6 Monate üblich

3. Wann ist der interne DSB die bessere Wahl?

Der interne DSB macht vor allem in folgenden Konstellationen Sinn:

• Unternehmen mit sehr hohem Datenvolumen (Gesundheitswesen, Banken, Versicherungen): Ein Vollzeit-DSB intern ist effizienter als ein externer, der immer erst briefed werden muss.
• Unternehmen mit komplexen Verarbeitungsstrukturen und vielen Abteilungen: Der interne DSB kennt die Prozesse und kann schnell reagieren.
• Unternehmen ab 250 Mitarbeitern: Ab dieser Größe amortisiert sich ein hauptamtlicher interner DSB finanziell gegenüber dem externen.
• Wenn Datenschutz strategischer Wettbewerbsvorteil ist: Unternehmen, die Datenschutz aktiv als Marketingargument nutzen (Privacy-by-Design-Produkte), profitieren von einem präsenten internen Experten.

4. Die Meldepflicht: was viele vergessen

Egal ob intern oder extern — die Benennung des DSB muss der zuständigen Datenschutzaufsichtsbehörde (Landesbeauftragter für Datenschutz, LfDI) mitgeteilt werden. Art. 37 Abs. 7 DSGVO schreibt vor, Name und Kontaktdaten des DSB zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. In der Praxis geschieht dies über das Online-Meldeportal der jeweiligen Landesbehörde.

Vergessen wird häufig auch die Veröffentlichung auf der Datenschutzerklärung der Website: Name (oder zumindest Funktion) und Kontaktadresse des DSB müssen dort angegeben sein.

5. Praktische Checkliste: DSB bestellen 2026

1. Prüfen, ob DSB-Pflicht besteht (≥ 20 Personen automatisierte Datenverarbeitung oder besondere Kategorien)
2. Entscheidung intern vs. extern treffen (Kostenvergleich, Interessenkonfliktprüfung)
3. Kandidaten/Anbieter bewerten (Qualifikation, Referenzen, Vertragskonditionen)
4. Schriftliche Bestellungsurkunde ausstellen
5. Aufsichtsbehörde und Betroffene informieren (Website-Datenschutzerklärung aktualisieren)
6. DSB in interne Prozesse einbinden (regelmäßige Jour-Fixes, Zugang zu relevanten Systemen)

Nutzen Sie unsere Übersicht zur DSB-Pflicht 2026 und unseren DSB-Pflichten-Checkliste für eine vollständige Compliance-Prüfung. Wenn Sie einen externen DSB suchen, hilft Ihnen unser Anbietervergleich externer Datenschutzbeauftragter.