Externer Datenschutzbeauftragter

Sobald in der Regel mindestens 20 Personen ständig personenbezogene Daten automatisiert verarbeiten (§ 38 Abs. 1 BDSG). Unabhängig davon besteht die Pflicht bei Verarbeitungen mit Datenschutz-Folgenabschätzung, geschäftsmäßiger Übermittlung, Markt- und Meinungsforschung sowie bei umfangreicher Überwachung oder besonderen Datenkategorien als Kerntätigkeit (Art. 37 DSGVO).

Ab 20 Personen mit ständiger automatisierter Datenverarbeitung. Gezählt werden Personen, nicht Vollzeitstellen – Teilzeitkräfte, Aushilfen, Werkstudenten und Leiharbeitnehmer zählen jeweils voll. Der frühere Schwellenwert von 10 Personen gilt seit November 2019 nicht mehr.

Die Bundesregierung hat am 4. Dezember 2025 angekündigt, § 38 Abs. 1 BDSG bis Ende 2026 zu streichen. Zugesagt ist ein Gesetzentwurf, nicht das Inkrafttreten. Aktuell gilt die Schwelle unverändert; bei risikoreichen Verarbeitungen bliebe die Pflicht ohnehin über Art. 37 DSGVO bestehen.

Jede Person mit nachgewiesener Fachkunde nach Art. 37 Abs. 5 DSGVO, ausreichender Zeit und ohne Interessenkonflikt. Das kann ein Beschäftigter ohne Entscheidungsbefugnis über Verarbeitungen sein oder ein externer Dienstleister. In Betrieben unter 100 Beschäftigten ist intern selten jemand geeignet.

Nein. Er bestimmt die Zwecke und Mittel der Verarbeitung und würde sich selbst kontrollieren – ein Interessenkonflikt nach Art. 38 Abs. 6 DSGVO. Dasselbe gilt in aller Regel für IT-, Personal-, Vertriebs- und Marketingleitung sowie für die Rechtsabteilung.

Der interne DSB ist Beschäftigter und genießt besonderen Kündigungsschutz nach § 6 Abs. 4 BDSG; Fachkunde und Vertretung muss das Unternehmen selbst aufbauen. Der externe DSB bringt Fachkunde ab Tag eins mit, arbeitet zum Festpreis, ist strukturell unabhängig und unterliegt nur den Fristen des Dienstleistungsvertrags.

Die unterlassene Benennung trotz Pflicht ist nach Art. 83 Abs. 4 DSGVO mit Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bewehrt; bei kleineren Betrieben liegen verhängte Bußgelder meist im vier- bis fünfstelligen Bereich. Das größere Risiko: Eine Prüfung deckt ohne DSB meist mehrere Verstöße gleichzeitig auf.

Marktüblich sind 150 bis 800 € monatlich, abhängig von Unternehmensgröße und Leistungsumfang. Unsere Pakete beginnen bei 149 € im Monat zum Festpreis – inklusive Bestellung, Behördenmeldung und Onboarding, ohne separates Einrichtungsentgelt.

Nach Art. 39 DSGVO: Unterrichtung und Beratung, Überwachung der Einhaltung, Schulung und Sensibilisierung der Beschäftigten, Beratung zur Datenschutz-Folgenabschätzung sowie Zusammenarbeit mit der Aufsichtsbehörde als deren Anlaufstelle. Hinzu kommen Verarbeitungsverzeichnis, TOM-Dokumentation und Vorfallmanagement.

Nach der kostenlosen Erstberatung erhalten Sie die Bestellungsurkunde, wir melden die Kontaktdaten der zuständigen Aufsichtsbehörde. Damit ist die Benennungspflicht in wenigen Werktagen erfüllt. Die vollständige Dokumentation entsteht je nach Ausgangslage in zwei bis vier Monaten.

Ja. Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Beides übernehmen wir für Sie.

Nein. Die laufende Betreuung erfolgt weitgehend digital. Erstaufnahme, Audits und Präsenzschulungen bieten wir bundesweit an, ohne dass Ihnen Reisekosten entstehen.

Ja, jederzeit unter Beachtung der Vertragsfrist. Wir prüfen Ihren bestehenden Vertrag, übernehmen Dokumentation und Behördenmeldung und stimmen den Starttermin auf Ihr Vertragsende ab – ohne Betreuungslücke. Verarbeitungsverzeichnis, TOM und Schulungsnachweise gehören Ihrem Unternehmen, nicht dem bisherigen Dienstleister.

12 Monate Mindestlaufzeit, danach quartalsweise kündbar – ohne besonderen Kündigungsschutz, wie er für interne Datenschutzbeauftragte gilt.