Externer Datenschutzbeauftragter: Kosten, Pflicht, Aufgaben — der KMU-Leitfaden

Ein Datenschutzbeauftragter (DSB) ist für viele deutsche Unternehmen keine Kür, sondern Pflicht: § 38 BDSG verlangt die Benennung in der Regel ab 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind — unabhängig von der Personenzahl außerdem bei besonders sensiblen Verarbeitungen. Die Rolle kann intern besetzt oder an einen externen Dienstleister vergeben werden; für die meisten KMU ist extern der wirtschaftlichere und rechtlich einfachere Weg. Dieser Leitfaden zeigt, wie Sie die Pflicht in drei Fragen prüfen, was ein externer DSB konkret leistet und mit welchen Kosten Sie rechnen sollten.

Rechtsstand: 10. Juli 2026. Dieser Beitrag ist eine allgemeine Orientierung, keine Rechtsberatung im Einzelfall.

Pflicht oder nicht? Die 3-Fragen-Prüfung

Sie brauchen keinen Anwalt, um die Benennungspflicht grob zu prüfen. Beantworten Sie drei Fragen — ein einziges „Ja” genügt, und die Pflicht greift:

Frage 1: Sind bei Ihnen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt? (§ 38 Abs. 1 S. 1 BDSG)

Die Hürde ist niedriger, als sie klingt. „Automatisierte Verarbeitung” heißt in der Praxis: Arbeit am PC mit Kunden-, Lieferanten- oder Personaldaten — E-Mail-Postfach, CRM, Warenwirtschaft, Terminverwaltung. Wer täglich damit arbeitet, zählt. Gezählt werden Köpfe, nicht Vollzeitstellen: Teilzeitkräfte, Auszubildende und Werkstudenten gehen voll in die Rechnung ein. Ein Betrieb mit 25 Beschäftigten, von denen 21 einen PC-Arbeitsplatz haben, liegt über der Schwelle — auch wenn nur 12 davon Vollzeit arbeiten.

Frage 2: Führen Sie Verarbeitungen durch, die eine Datenschutz-Folgenabschätzung erfordern — oder verarbeiten Sie Daten geschäftsmäßig zur Übermittlung oder zur Markt- und Meinungsforschung? (§ 38 Abs. 1 S. 2 BDSG)

Dann gilt die Pflicht unabhängig von der Personenzahl. Eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) wird etwa bei umfangreicher Videoüberwachung, systematischem Scoring oder dem großflächigen Einsatz neuer Technologien auf Personendaten fällig. Auskunfteien, Adresshändler und Marktforscher fallen unter die zweite Variante.

Frage 3: Besteht Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien oder in systematischer Überwachung? (Art. 37 Abs. 1 lit. b und c DSGVO)

Das betrifft typischerweise Arztpraxen und andere Gesundheitsberufe ab einer gewissen Größe (Gesundheitsdaten sind eine besondere Kategorie nach Art. 9 DSGVO) sowie Unternehmen, deren Geschäft die regelmäßige, systematische Beobachtung von Personen ist — etwa Bewachungsunternehmen mit umfangreicher Videoüberwachung.

Alle drei Fragen mit Nein beantwortet? Dann besteht keine Benennungspflicht — die übrigen DSGVO-Pflichten (Verarbeitungsverzeichnis, technisch-organisatorische Maßnahmen, Betroffenenrechte, Meldepflichten) gelten trotzdem in vollem Umfang. Jemand muss sich also so oder so kümmern; es gibt nur keinen Zwang, die Rolle formal zu benennen. Eine freiwillige Benennung ist möglich, löst dann aber dieselben formalen Pflichten aus. Viele Unternehmen unterhalb der Schwelle fahren deshalb besser mit externer Datenschutz-Betreuung ohne formale DSB-Benennung.

Intern oder extern? Der ehrliche Vergleich

Beide Wege sind rechtlich gleichwertig. Die Unterschiede liegen im Aufwand, im Arbeitsrecht und in der Frage, wer sich das Fachwissen aneignet.

Der interne DSB ist ein eigener Mitarbeiter, der die Rolle zusätzlich übernimmt. Was dabei oft übersehen wird:

• Besonderer Kündigungsschutz: Ein pflichtbenannter interner DSB kann während der Tätigkeit und ein Jahr danach ordentlich nicht gekündigt werden (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG); auch die Abberufung aus der Rolle ist nur in engen Grenzen möglich.
• Fachkunde-Pflicht: Art. 37 Abs. 5 DSGVO verlangt nachweisbares Fachwissen. Ausbildung und laufende Fortbildung kosten Geld und Arbeitszeit — Jahr für Jahr, denn Aufsichtspraxis und Rechtsprechung entwickeln sich weiter.
• Interessenkonflikte: Wer sich selbst kontrollieren würde, scheidet aus (Art. 38 Abs. 6 DSGVO). Geschäftsführung, IT-Leitung und Personalleitung kommen deshalb regelmäßig nicht infrage — also genau die Personen, die das Thema fachlich am ehesten stemmen könnten.
• Verfügbarkeit: Urlaub, Krankheit, Kündigung — die Rolle hängt an einer Person.

Der externe DSB ist ein Dienstleister mit Vertrag: fester Monatsbetrag, mitgebrachte Fachkunde, kein Sonderkündigungsschutz im Arbeitsrecht, klare Haftungsregelung im Vertrag. Fällt er aus, wird der Vertrag gewechselt — nicht das Arbeitsverhältnis.

Wann intern trotzdem die bessere Wahl ist: Wenn Ihr Unternehmen groß genug ist, dass Datenschutz eine echte Teilzeit- oder Vollzeitaufgabe wird, und eine geeignete Person ohne Interessenkonflikt bereitsteht, die die Rolle will. Ein interner DSB kennt das Haus besser als jeder Externe. Für die typische KMU-Realität — Datenschutz braucht wenige, aber regelmäßige Stunden im Monat und viel aktuelles Fachwissen — rechnet sich das eigene Vorhalten dieser Expertise selten.

Was ein externer DSB konkret tut

Die gesetzlichen Aufgaben stehen in Art. 39 DSGVO: unterrichten und beraten, die Einhaltung überwachen, bei der Datenschutz-Folgenabschätzung beraten, mit der Aufsichtsbehörde zusammenarbeiten und als deren Anlaufstelle dienen. In der Praxis eines KMU heißt das:

• Verarbeitungsverzeichnis (VVT) aufbauen und fortschreiben — die Pflicht nach Art. 30 DSGVO, nach der Aufsichtsbehörden zuerst fragen
• Technisch-organisatorische Maßnahmen (TOMs) dokumentieren und jährlich prüfen
• Auftragsverarbeitungsverträge (AVV) mit Dienstleistern prüfen und nachhalten — Cloud, IT-Betreuung, Lohnbuchhaltung, Newsletter-Dienst
• Datenpannen-Management: Bewertung im Ernstfall und die 72-Stunden-Meldung an die Behörde (Art. 33 DSGVO)
• Betroffenenanfragen fristgerecht beantworten (Auskunft, Löschung — ein Monat Frist, Art. 12 Abs. 3 DSGVO)
• Löschkonzept mit den Aufbewahrungsfristen aus HGB und AO verzahnen
• Mitarbeiter-Sensibilisierung und der jährliche Blick von außen: Was hat sich geändert, wo klafft die Doku?

Formal gehört zur Benennung noch ein Schritt, der oft vergessen wird: Die Kontaktdaten des DSB müssen veröffentlicht und der Aufsichtsbehörde gemeldet werden (Art. 37 Abs. 7 DSGVO) — in Deutschland über die Online-Formulare der Landesdatenschutzbehörden.

Was kostet ein externer Datenschutzbeauftragter?

Eine belastbare Marktstatistik gibt es nicht — die Anbieter rechnen zu unterschiedlich (Pauschale, Stundensatz, Paketmodelle). Als grobe Orientierung: Für kleine und mittlere Unternehmen bewegen sich monatliche Pauschalen am Markt meist zwischen einem niedrigen dreistelligen und einem vierstelligen Betrag, abhängig von Mitarbeiterzahl, Datenkategorien und Branche. Entscheidend ist weniger der Monatsbetrag als die Frage, was konkret enthalten ist: Nur die Benennung auf dem Papier — oder die laufend geführte Dokumentation?

Transparenz gehört zum Handwerk, deshalb die eigenen Zahlen offen: Bei celox.io beginnt die Datenschutz-Betreuung bei 99 € pro Monat (zzgl. einmaliger Ersteinrichtung ab 490 €), größere Pakete mit vollem Betreuungsumfang liegen bei 299 bzw. 599 € pro Monat. Die Dokumentation liegt dabei nicht in verstreuten Excel-Listen, sondern in einem eigenen Datenschutz-Portal — jederzeit prüfungsbereit, mandantengetrennt, auf einem Server in Deutschland. Was die Pakete im Einzelnen enthalten, steht auf der Seite zu Assessments, Schulungen und externem DSB.

Zur Einordnung der Gegenseite: Ein Verstoß gegen die Benennungspflicht ist bußgeldbewehrt — der Rahmen des Art. 83 Abs. 4 DSGVO reicht bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Relevanter als der theoretische Maximalrahmen ist der Alltag: Bei jeder Beschwerde eines Kunden oder Mitarbeiters fragt die Aufsichtsbehörde früh nach dem Datenschutzbeauftragten und der Dokumentation. Wer dann nichts vorzeigen kann, verhandelt aus der schwächsten Position.

Wenn Sie unsicher sind, wo Ihr Unternehmen steht: Schildern Sie mir kurz Ihre Situation — die Ersteinschätzung, ob bei Ihnen eine Benennungspflicht besteht, kostet nichts.

Häufige Fragen

Muss der Datenschutzbeauftragte vor Ort sein?

Nein. Das Gesetz verlangt Erreichbarkeit und Einbindung, keinen Schreibtisch im Haus. Externe DSB-Mandate laufen heute überwiegend remote — mit Videoterminen, geteilter Dokumentation und Vor-Ort-Terminen, wo sie inhaltlich nötig sind (etwa bei der ersten Bestandsaufnahme).

Kann unser IT-Administrator oder der Geschäftsführer die Rolle übernehmen?

Die Geschäftsführung nicht — sie würde sich selbst kontrollieren, das ist der klassische Interessenkonflikt nach Art. 38 Abs. 6 DSGVO. Die IT-Leitung scheidet aus demselben Grund regelmäßig aus: Sie legt die technischen Maßnahmen fest, die der DSB überwachen soll. Ein Administrator ohne Leitungsfunktion ist ein Graubereich — je mehr er die Systeme selbst gestaltet, desto größer der Konflikt. Sauber ist die Trennung von Gestalten und Kontrollieren.

Was passiert, wenn wir einfach keinen benennen?

Kurzfristig oft: nichts. Das Risiko materialisiert sich beim ersten Kontakt mit der Aufsichtsbehörde — einer Mitarbeiterbeschwerde, einer Kundenanfrage, einer Datenpanne. Dann ist die fehlende Benennung ein eigener Verstoß (Bußgeldrahmen siehe oben) und zugleich ein Signal, dass vermutlich auch der Rest der Pflichten offen ist. Die Behörden prüfen erfahrungsgemäß genau in dieser Reihenfolge: Gibt es einen DSB? Gibt es ein Verarbeitungsverzeichnis? Beides in Ordnung zu bringen, bevor jemand fragt, ist deutlich günstiger als danach.