Externer oder interner Datenschutzbeauftragter: was lohnt sich?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wann ist ein DSB überhaupt Pflicht?

Art. 37 Abs. 1 DSGVO verlangt einen DSB, wenn:

• Behörden oder öffentliche Stellen Daten verarbeiten (mit Ausnahmen)
• die Kerntätigkeit Verarbeitungen umfasst, die eine umfangreiche regelmäßige und systematische Überwachung von Betroffenen erforderlich machen (lit. b, z. B. Tracking-Anbieter)

• die Kerntätigkeit die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 (etwa Gesundheits-, religiöse, biometrische Daten) oder von Daten über strafrechtliche Verurteilungen nach Art. 10 umfasst (lit. c)

§ 38 BDSG ergänzt für Deutschland:

• Unternehmen, in denen mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind
• Unternehmen, die einer Datenschutzfolgenabschätzung unterliegen
• Unternehmen, die personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten (z. B. Adresshandel)

Achtung: "20 Personen" sind nicht 20 Mitarbeitende insgesamt, sondern in der Regel mindestens 20, die ständig personenbezogene Daten automatisiert verarbeiten. In Büro-Betrieben kann das einen großen Teil der Belegschaft umfassen; die Schwelle ist für den konkreten Betrieb nachzuzählen.

Aufgaben des DSB (Art. 39 DSGVO)

Unabhängig von extern oder intern hat der DSB folgende Pflichten:

• Unterrichtung und Beratung des Verantwortlichen und der Mitarbeitenden zu Datenschutz-Pflichten
• Überwachung der Einhaltung der DSGVO, anderer Datenschutzvorschriften und der internen Strategien
• Beratung zur Datenschutzfolgenabschätzung (DPIA)
• Zusammenarbeit mit der Aufsichtsbehörde
• Anlaufstelle für Aufsichtsbehörde und Betroffene

Wichtige Trennung: Der DSB ist nicht für die Umsetzung des Datenschutzes operativ verantwortlich, die Verantwortung trägt die Geschäftsleitung. Der DSB berät und kontrolliert, er führt nicht aus.

Variante 1: Externer DSB

Vorteile

• Spezialisten-Wissen: hauptberufliche DSB betreuen mehrere Mandate und bringen Erfahrungswissen aus anderen Unternehmen mit
• Unabhängigkeit: keine Loyalitätskonflikte zu internen Vorgesetzten
• Berufshaftpflicht: Schäden durch Fehlberatung sind, soweit der Vertrag eine Berufshaftpflicht vorsieht, darüber abgesichert
• Skalierbare Kosten: bezahlt nur, was tatsächlich an Beratungs-Zeit benötigt wird
• Vertretung: meist ein Team im Hintergrund, keine Urlaubs- oder Krankheits-Lücken
• Aufsichtsgespräche: spezialisierte externe DSB sind in der Sprache der Aufsicht trainiert

Nachteile

• Wissens-Lücke über interne Strukturen, Kultur, IT-Landschaft
• Reaktionszeit: nicht immer sofort verfügbar
• Kommunikations-Aufwand: alle Themen müssen erst erklärt werden
• Verantwortlichkeits-Diffusion: niemand "lebt" die Datenschutz-Themen aktiv mit

Kosten

Belastbare, allgemeingültige Marktpreise für externe DSB gibt es nicht. Angebote werden meist als Monatspauschale mit definiertem Leistungsumfang kalkuliert; zusätzliche Leistungen wie Audits, Schulungen oder die Begleitung von Aufsichtsanfragen werden häufig gesondert abgerechnet. Den Preis treiben vor allem die Zahl der Verarbeitungstätigkeiten, besondere Datenkategorien (Art. 9 DSGVO), Drittlandtransfers und die Zahl der Standorte oder Gesellschaften. Für einen Vergleich sollten mehrere Angebote mit identischem Leistungsumfang eingeholt werden.

Variante 2: Interner DSB

Vorteile

• Insider-Wissen: kennt Prozesse, Personen, IT-Landschaft
• Kontinuierliche Verfügbarkeit: jederzeit ansprechbar
• Kurze Wege: schnelle Klärung interner Fragen
• Identifikation: trägt das Datenschutz-Thema aktiv in die Kultur

Nachteile

• Interessenkonflikte: Wenn der DSB intern berichtet, kann das mit anderen Rollen kollidieren (Compliance, Recht, IT-Leitung)
• Inkompatible Rollen: Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte. Der DSB darf keine Position bekleiden, in der er Zwecke und Mittel der Verarbeitung festlegt; das trifft typischerweise auf Geschäftsführung, IT- oder Personalleitung zu. Ob ein Konflikt besteht, ist nach dem EuGH im Einzelfall zu prüfen (Urteil vom 9. Februar 2023, C-453/21)
• Spezialisten-Wissen muss aufgebaut und gepflegt werden; ein bestimmtes Zertifikat schreibt das Gesetz nicht vor, verlangt wird Fachwissen nach Art. 37 Abs. 5 DSGVO
• Kündigungsschutz: Ist die Benennung verpflichtend, gilt nach § 38 Abs. 2 BDSG der Schutz aus § 6 Abs. 4 BDSG: Abberufung nur entsprechend § 626 BGB, Kündigung nur aus wichtigem Grund, auch noch ein Jahr nach Ende der Tätigkeit. Eine spätere Umbesetzung ist deshalb arbeitsrechtlich schwer

Kosten

Die Kosten eines internen DSB ergeben sich aus dem Anteil der Arbeitszeit, den die Aufgabe bindet, und den Personalkosten der benannten Person. Hinzu kommen Fortbildung und Fachliteratur, denn der Verantwortliche muss dem DSB die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen (Art. 38 Abs. 2 DSGVO). Der Zeitbedarf hängt von der Zahl der Verarbeitungstätigkeiten und dem Risikoprofil ab, nicht allein von der Mitarbeiterzahl.

Entscheidungs-Kriterien

Für extern spricht

• Kleinere Unternehmen mit überschaubarem Datenschutz-Profil
• Knappes Personal-Budget oder fehlende interne Kompetenz
• Wunsch nach hoher Spezialisten-Kompetenz
• Internationale Tätigkeit mit komplexen Drittlandtransfers
• Hohes Branchen-Risiko (Gesundheit, Versicherer, Forschung)

Für intern spricht

• Größere Mittelständler mit eigener IT-Mannschaft
• Komplexe interne Daten-Landschaften (mehrere ERP, CRM, Data Lakes)
• Hochgradig regulierte Branchen mit täglichen Datenschutz-Fragen (Versicherer, Banken)
• Konzern mit mehreren Tochtergesellschaften, der einen gemeinsamen Konzern-DSB nach Art. 37 Abs. 2 DSGVO benennen will

Hybrid-Modell

Manche Unternehmen nutzen einen Hybrid:

• intern: Datenschutz-Koordinator als operative Anlaufstelle
• extern: bestellter DSB mit Beratungs-Mandat, der die formelle Position bekleidet

Das ist arbeitsrechtlich und datenschutzrechtlich sauber, sofern die Trennung klar geregelt ist.

Qualifikation des DSB

Nach Art. 37 Abs. 5 DSGVO wird der DSB „auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt“, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der Aufgaben nach Art. 39 DSGVO. Typischerweise gehören dazu:

• rechtliche Grundkenntnisse: DSGVO, BDSG, Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, bis Mai 2024 TTDSG), sektorale Spezialgesetze
• technisches Grundverständnis: TOMs, Verschlüsselung, Pseudonymisierung, Sicherheitsarchitektur
• kommunikative Kompetenz: Aufsichts-Dialoge, Mitarbeiter-Schulungen, Geschäftsführungs-Reportings
• branchenspezifisches Wissen: je nach Sektor

Verbreitete Qualifikationswege (keiner davon gesetzlich vorgeschrieben oder amtlich anerkannt):

• Lehrgänge mit Zertifikat, etwa von IHKs, TÜV-Organisationen oder Berufsverbänden
• Anwälte mit Schwerpunkt Datenschutzrecht
• Hochschul-Zertifikatslehrgänge

Ein bestimmtes Zertifikat ist gesetzlich nicht vorgeschrieben. Der Verantwortliche muss das Fachwissen aber bei der Benennung beurteilen können; ein dokumentierter Qualifikationsnachweis erleichtert das.

Haftung und Versicherung

Externer DSB

• Berufshaftpflicht: eine gesetzliche Mindestdeckung gibt es nicht; Höhe und Umfang sind im Vertrag zu vereinbaren
• Bei Fehlberatung: Ob und in welchem Umfang eine Versicherung eintritt, richtet sich nach den vereinbarten Versicherungsbedingungen
• DSGVO-Bußgelder treffen den Verantwortlichen, nicht den DSB selbst

Interner DSB

• Es gelten die Grundsätze der Arbeitnehmerhaftung (innerbetrieblicher Schadensausgleich): bei leichter Fahrlässigkeit keine Haftung, bei mittlerer Fahrlässigkeit anteilige Haftung, bei grober Fahrlässigkeit oder Vorsatz in der Regel volle Haftung
• Im Normalfall haftet das Unternehmen
• Eine D&O-Versicherung deckt in der Regel Organmitglieder und leitende Personen; ob ein angestellter DSB mitversichert ist, hängt von den Versicherungsbedingungen ab

FAQ

Was, wenn das Unternehmen keinen DSB benötigt?

Auch ohne Bestellpflicht müssen alle DSGVO-Pflichten erfüllt werden. Eine intern verantwortliche Person sollte trotzdem benannt werden, als Datenschutz-Koordinator ohne formale DSB-Bestellung. Aufsichten erwarten klare Verantwortlichkeiten, auch wenn kein DSB Pflicht ist.

Können mehrere kleine Firmen sich einen DSB teilen?

Ja, gerade externe DSB betreuen oft viele Mandate parallel. Bei einem Konzern können mehrere Tochtergesellschaften denselben DSB nutzen (Konzern-DSB). Wichtig: jede Gesellschaft muss den DSB formal bestellen und gemeldet haben.

Was ist die Aufsichtsbehörde, bei der der DSB gemeldet wird?

In Deutschland: die Landesdatenschutzbehörde des Bundeslandes, in dem das Unternehmen seinen Hauptsitz hat. Für öffentliche Stellen des Bundes und, soweit Daten für die geschäftsmäßige Erbringung von Telekommunikationsdiensten verarbeitet werden, für Telekommunikationsanbieter (§ 29 TDDDG): die BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit).

Kann der externe DSB Mitarbeitende schulen?

Ja, das ist sogar Teil seiner Beratungs-Pflichten. Die meisten externen DSB bieten Schulungen als separates Modul an, entweder im Honorar-Paket enthalten oder als Zusatz-Leistung.

Wie lange läuft ein Vertrag mit externem DSB?

Die Laufzeit ist frei verhandelbar, der Vertrag muss aber die unabhängige Aufgabenerfüllung sichern (Art. 38 Abs. 3 DSGVO). Die Aufsichtsbehörden (Düsseldorfer Kreis, Beschluss vom 24./25.11.2010, noch zum alten BDSG) empfahlen gerade deshalb grundsätzlich eine Mindestvertragslaufzeit von vier Jahren, bei Erstverträgen wegen der Eignungsprüfung ein bis zwei Jahre. Sehr kurze, jederzeit kündbare Verträge können die Unabhängigkeit schwächen.