Externer Datenschutzbeauftragter

Ob Ihr Unternehmen eine Person für den Datenschutz benennen muss, entscheidet sich an drei Kriterien: der Zahl der Beschäftigten, die mit personenbezogenen Daten arbeiten, der Art Ihrer Kerntätigkeit und der Sensibilität der Daten. Trifft eines davon zu, brauchen Sie fachkundige Unterstützung. Ein externer Datenschutzbeauftragter deckt diesen Bedarf ab dem ersten Tag ab – ohne Einarbeitungszeit, ohne Kündigungsschutz und ohne die Interessenkonflikte, die bei einer internen Besetzung entstehen können.

Wann Sie einen Datenschutzbeauftragten benennen müssen

Die Pflicht ergibt sich aus Art. 37 DSGVO und aus § 38 BDSG. Drei Konstellationen lösen sie aus:

• Personenzahl: Mindestens 20 Personen verarbeiten ständig automatisiert personenbezogene Daten. Mitgezählt wird jede Abteilung, die mit solchen Daten umgeht – Buchhaltung, Personalwesen, Marketing und Vertrieb ebenso wie die IT.
• Kerntätigkeit: Ihr Geschäftsmodell beruht auf umfangreicher, regelmäßiger und systematischer Überwachung von Personen, etwa durch Videoüberwachung, Tracking oder Profiling (Art. 37 Abs. 1 lit. b DSGVO).
• Datenart: Sie verarbeiten besondere Kategorien personenbezogener Daten in großem Umfang – Gesundheitsdaten, biometrische Daten oder Angaben zur Gewerkschaftszugehörigkeit (Art. 37 Abs. 1 lit. c DSGVO).

Die Schwelle wird häufig unterschätzt. Auch kleinere Betriebe überschreiten sie, sobald Verwaltung, CRM-System und Onlineshop zusammengerechnet werden.

Unabhängig von der gesetzlichen Pflicht sprechen weitere Gründe für eine Benennung: komplexe Verarbeitungen wie Cloud-Dienste und internationale Datentransfers, ein hohes Bußgeldrisiko bei großen Kundendatenbeständen oder in sensiblen Branchen, und fehlendes Fachwissen im eigenen Haus.

Was „umfangreich” und was „Kerntätigkeit” bedeutet, definiert die Verordnung nicht ausdrücklich. Orientierung geben Erwägungsgrund 91 DSGVO – dort geht es um große Datenmengen, den Einsatz neuer Technologien, die Zahl betroffener Personen und die Dauer der Verarbeitung – sowie Erwägungsgrund 97 DSGVO, wonach sich die Kerntätigkeit auf die Haupttätigkeit bezieht und nicht auf die Datenverarbeitung als Nebenaufgabe.

Ob Ihr Fall darunter fällt, lässt sich in einem kostenlosen Erstgespräch klären. Eine ausführliche Darstellung finden Sie unter Benennungspflicht.

Was ein Datenschutzbeauftragter im Unternehmen leistet

Art. 39 DSGVO umreißt den Aufgabenkreis. In der Praxis verteilt er sich auf sechs Felder:

• Beratung und Überwachung: Der Beauftragte prüft, ob Ihre Verarbeitungstätigkeiten rechtmäßig sind, und empfiehlt Maßnahmen zur Risikominderung.
• Schulung: Mitarbeitende müssen die Grundsätze der Verordnung kennen und im Alltag anwenden. Regelmäßige Schulungen sind verpflichtend.
• Dokumentation: Dazu zählen das Führen des Verzeichnisses der Verarbeitungstätigkeiten, die Prüfung von Auftragsverarbeitungsverträgen und die Durchführung einer Datenschutz-Folgenabschätzung, sobald eine Verarbeitung hohe Risiken für Betroffene birgt.
• Kontakt zur Aufsichtsbehörde: Bei Anfragen, Beschwerden und Datenpannen läuft die Kommunikation über den Beauftragten. Er stellt sicher, dass Meldepflichten eingehalten werden.
• Betroffenenrechte: Auskunfts-, Lösch- und Widerspruchsanfragen von Kunden und Beschäftigten müssen fristgerecht und rechtssicher beantwortet werden.
• Risikomanagement: Schwachstellen in den Verarbeitungsprozessen werden erkannt, bewertet und behoben.

Eine vertiefte Darstellung der einzelnen Aufgaben finden Sie unter Aufgaben des Datenschutzbeauftragten.

Rolle im Behörden- und Konzernkontext

Der Begriff bezeichnet je nach Zusammenhang unterschiedliche Funktionen. Der Europäische Datenschutzausschuss setzt sich aus den Leitungen der Datenschutzbehörden der Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten zusammen; er sorgt für eine einheitliche Anwendung der DSGVO und berät die EU-Kommission unabhängig. Die Bundesbeauftragte für Datenschutz und Informationssicherheit (BfDI) nimmt Beschwerden über Bundesbehörden entgegen, berät öffentliche und bestimmte nicht-öffentliche Stellen und berichtet dem Bundestag. Jedes Bundesland unterhält einen eigenen Landesdatenschutzbeauftragten für die öffentlichen Stellen seines Gebiets. Behördliche und betriebliche Datenschutzbeauftragte werden nach denselben Kriterien benannt.

Für Unternehmensgruppen erlaubt Art. 37 Abs. 2 DSGVO ausdrücklich eine gemeinsame Funktion über mehrere Niederlassungen hinweg. Voraussetzung ist, dass der Beauftragte von jedem Standort aus leicht erreichbar bleibt – telefonisch, per E-Mail oder per Videokonferenz. Das senkt die Kosten und vereinheitlicht die Standards. Stellen außerhalb der EU benötigen zusätzlich einen Vertreter in einem Mitgliedstaat (Art. 27 DSGVO).

Externer Datenschutzbeauftragter im Vergleich zur internen Besetzung

Beide Wege haben ihre Berechtigung. Welcher passt, hängt von Unternehmensgröße, Budget und Komplexität der Verarbeitung ab. Ein interner Beauftragter kennt die Abläufe und muss kein Vertrauen erst aufbauen; er kann daneben andere Aufgaben übernehmen. Dem stehen Qualifizierungskosten, das Risiko der Betriebsblindheit und der besondere Kündigungsschutz nach § 38 BDSG gegenüber.

Eine ausführliche Gegenüberstellung finden Sie unter extern oder intern.

Es gibt zwei Zwischenformen. Bleibt die Rolle intern besetzt und fehlt nur die fachliche Rückendeckung, greift das Coaching für interne Beauftragte. Ist die Rolle vorübergehend unbesetzt – nach einer Kündigung, bei Krankheit oder Elternzeit –, übernimmt ein Interim-Datenschutzbeauftragter befristet.

Was ein externer Datenschutzbeauftragter kostet

Die Betreuung ist in vier Stufen gegliedert. Sie zahlen eine Monatspauschale, keine Stunden.

Im Einstiegspaket enthalten sind die Stellung des TÜV-zertifizierten Datenschutzbeauftragten, das Datenschutzmanagementsystem, E-Learning mit Zertifikat für Ihre Mitarbeitenden, ein persönlicher Ansprechpartner sowie Website- und Social-Media-Monitoring. Welches Paket zu Ihnen passt, ermitteln Sie im Konfigurator.

Dem steht die interne Lösung mit rund 14.800 € jährlich gegenüber. Diese Summe setzt sich so zusammen:

Datenbasis der Gehaltswerte: Stepstone, Erhebungsstand 24.08.2023, bezogen auf Datenschutzbeauftragte in Deutschland. Bei interner Besetzung fallen zusätzlich rund 2.000 € jährlich für Fortbildung an.

Anforderungen an Fachkunde und Unabhängigkeit

Art. 37 Abs. 5 DSGVO verlangt Fachkunde und Zuverlässigkeit. Fachlich heißt das: Die Person beherrscht die Verordnung, das nationale Recht und die Sondervorschriften Ihrer Branche. Sie versteht, wie IT-Sicherheit technisch funktioniert und welche Schutzvorkehrungen greifen. Sie hat Datenschutzkonzepte nicht nur gelesen, sondern selbst aufgebaut. Und sie verfolgt Rechtsprechung wie Behördenpraxis fortlaufend, weil sich beides schneller ändert als der Gesetzestext.

Zuverlässigkeit heißt vor allem Freiheit von Interessenkonflikten. Wer zugleich Geschäftsführung, IT-Leitung oder Personalverantwortung innehat, müsste sich selbst kontrollieren und scheidet damit aus. Hinzu kommen Weisungsfreiheit bei der Wahrnehmung der Aufgaben (Art. 38 Abs. 3 DSGVO) und Verschwiegenheit.

Nachgewiesen wird die Fachkunde über Zertifizierungen von TÜV, GDD, IHK oder ULD, über eine juristische oder informationstechnische Ausbildung, über Referenzen und Branchenerfahrung sowie über die Teilnahme an Fachveranstaltungen. DSB Consult setzt Juristen und IT-Spezialisten mit nachgewiesener Qualifikation ein.

Ablauf der Zusammenarbeit

Die Betreuung gliedert sich in fünf Phasen:

1. Bedarfsanalyse, kostenlos. Prüfung der Benennungspflicht, Bestimmung des Leistungsumfangs, Klärung offener Fragen im Erstgespräch.
2. Bestellung und Meldung. Schriftliche Bestellung, Meldung an die zuständige Aufsichtsbehörde und Veröffentlichung der Kontaktdaten, wie Art. 37 Abs. 7 DSGVO es vorschreibt. Die Checkliste zur Bestellung führt Sie durch die einzelnen Schritte.
3. Erster Compliance-Check. Bestandsaufnahme der Verarbeitungstätigkeiten, Aufbau oder Aktualisierung des Verzeichnisses, Gap-Analyse zum Handlungsbedarf.
4. Laufende Betreuung. Quartalsweise oder anlassbezogene Überprüfungen, Schulungen, Bearbeitung von Betroffenenanfragen und Beratung bei neuen Projekten wie Softwareeinführungen oder Marketingkampagnen.
5. Dokumentation und Bericht. Jährlicher Tätigkeitsbericht, lückenlose Dokumentation aller Maßnahmen, revisionssichere Nachweise für die Aufsichtsbehörde.

Im laufenden Betrieb erreichen Sie Ihren Berater telefonisch während der Geschäftszeiten; E-Mail-Anfragen werden innerhalb von 24 Stunden beantwortet. Bei Datenpannen steht eine Notfall-Hotline zur Verfügung. Jede Beratung, jede Schulung und jede umgesetzte Maßnahme wird so festgehalten, dass sie einer späteren Prüfung standhält.

Ein externer Beauftragter ist innerhalb von 1 bis 2 Wochen einsatzbereit. Eine interne Besetzung benötigt 3 bis 6 Monate für Schulung und Zertifizierung.

Branchenspezifische Anforderungen

Gesundheitswesen und Arztpraxen

Patientendaten fallen unter Art. 9 DSGVO und unterliegen damit dem höchsten Schutzniveau. Zusätzlich gilt die Schweigepflicht nach § 203 StGB. Elektronische Patientenakte und Telematikinfrastruktur verlangen dokumentierte technische und organisatorische Maßnahmen, und mit Laboren, Abrechnungsdienstleistern sowie IT-Dienstleistern sind Auftragsverarbeitungsverträge zu schließen.

Der externe Beauftragte passt das Verarbeitungsverzeichnis an die Praxisabläufe an – von der Terminvergabe über die Befundarchivierung bis zur Abrechnung –, richtet standardisierte Verfahren für Auskunft, Löschung und Widerspruch ein, sensibilisiert das Personal für Schweigepflicht und Datenschutz im Praxisalltag und dokumentiert Verschlüsselung, Zugriffsrechte und Backup als Nachweis.

E-Commerce und Online-Shops

Tracking-Technologien wie Google Analytics oder Facebook Pixel benötigen eine rechtssichere Einwilligung. Newsletter-Marketing setzt Double-Opt-in und ein funktionierendes Einwilligungsmanagement voraus. Zahlungsdienstleister wie PayPal, Stripe oder Klarna sind Auftragsverarbeiter. Wer international versendet, überträgt Daten in Drittländer.

Die Betreuung umfasst die Einrichtung einer Consent-Management-Plattform, Erstellung und Pflege der Datenschutzerklärung für Shopsysteme wie Shopify, WooCommerce oder Shopware, die Prüfung sämtlicher Auftragsverarbeitungsverträge sowie Standardvertragsklauseln und Transfer-Impact-Assessments für Übermittlungen in Drittländer.

Automobilzulieferer und TISAX®

TISAX® verbindet die Anforderungen der Informationssicherheit nach ISO 27001 mit denen des Datenschutzes. Ohne bestandenes Assessment ist eine Zusammenarbeit mit den Herstellern nicht möglich. Gefordert sind strenge Zugriffskontrollen, Verschlüsselung und Netzwerksicherheit; alle drei Jahre steht ein Re-Audit an.

Die Vorbereitung umfasst Gap-Analyse, Maßnahmenplan und Dokumentation, den Aufbau eines Informationssicherheits-Managementsystems nach ISO 27001, die Verzahnung der DSGVO-Anforderungen mit den TISAX®-Prozessen und die Begleitung des externen Assessments.

Startups und wachsende Unternehmen

In frühen Phasen rückt Datenschutz oft nach hinten – und wird später zur Altlast. Wer von fünf auf fünfzig Mitarbeitende wächst, überschreitet die Benennungsschwelle unbemerkt, weil Marketing, Vertrieb, IT, Personal und Verwaltung zusammengezählt werden. Investoren machen die Einhaltung der DSGVO regelmäßig zur Bedingung. Bei internationaler Expansion gelten in den USA, im Vereinigten Königreich und in der Schweiz jeweils eigene Regeln.

Die Betreuung prüft zuerst die Benennungspflicht, verankert Datenschutz nach Art. 25 DSGVO bereits in der Produktentwicklung und baut Strukturen auf, die mit dem Unternehmen mitwachsen.

TISAX® ist eine eingetragene Marke der ENX Association, zu der wir in keiner geschäftlichen Beziehung stehen. Die Nennung dient ausschließlich der Beschreibung unserer Leistungen und stellt keine Autorisierung oder Empfehlung durch den Markeninhaber dar.

Folgen einer fehlenden Benennung

Wer trotz Pflicht keinen Datenschutzbeauftragten bestellt, begeht eine Ordnungswidrigkeit nach Art. 83 Abs. 4 DSGVO. Der Bußgeldrahmen reicht bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – maßgeblich ist der höhere Betrag.

Zwei Fälle aus der Aufsichtspraxis zeigen die Größenordnung: Das LfDI Baden-Württemberg verhängte 150.000 € gegen ein Unternehmen wegen fehlender Bestellung. Gegen einen Onlineshop wurden 50.000 € wegen unzureichender Datenschutzdokumentation festgesetzt.

Hinzu kommt ein mittelbares Risiko: Ohne fachkundige Begleitung fehlt bei einer Datenpanne die Expertise für eine korrekte Meldung nach Art. 33 und Art. 34 DSGVO innerhalb von 72 Stunden. Fehler an dieser Stelle können weitere Bußgelder nach sich ziehen.

Häufige Fragen zum externen Datenschutzbeauftragten

Wer muss einen Datenschutzbeauftragten bestellen? Nach § 38 BDSG besteht die Pflicht ab 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Unabhängig von der Personenzahl greift sie bei umfangreicher systematischer Überwachung (Art. 37 Abs. 1 lit. b DSGVO) und bei umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO – etwa bei Detekteien, Marktforschung oder Gesundheitsdienstleistern.

Wie schnell kann ein externer Datenschutzbeauftragter starten? Innerhalb von 1 bis 2 Wochen. Auf das kostenlose Erstgespräch folgen Vertragsabschluss, schriftliche Bestellung, Meldung an die Aufsichtsbehörde und der erste Compliance-Check mit Bestandsaufnahme und Verarbeitungsverzeichnis.

Kann ich den Dienstleister wechseln? Ja. Anders als interne Beauftragte, die den Kündigungsschutz nach § 38 BDSG genießen, lässt sich ein externer Dienstleister wechseln – üblich sind 3 Monate Frist. Das ist relevant bei Unzufriedenheit, veränderten Anforderungen oder aus Kostengründen.

Worin unterscheiden sich Datenschutzbeauftragter und Datenschutzkoordinator? Der Datenschutzbeauftragte ist eine gesetzlich definierte Rolle nach Art. 37 bis 39 DSGVO. Er arbeitet weisungsfrei, überwacht die Einhaltung der Verordnung und ist Kontaktstelle für die Aufsichtsbehörde. Der Datenschutzkoordinator ist dagegen keine gesetzliche Funktion, sondern eine interne Organisationseinheit. Er unterstützt operativ, etwa beim Pflegen des Verzeichnisses oder beim Organisieren von Schulungen, und ist weisungsgebunden. Die Benennungspflicht erfüllt er nicht. Viele Unternehmen kombinieren beides: ein externer Beauftragter übernimmt die gesetzliche Funktion, ein interner Koordinator die Umsetzung im Tagesgeschäft. Mehr dazu unter Datenschutzkoordinator.

Braucht jede Niederlassung einen eigenen Beauftragten? Nein. Art. 37 Abs. 2 DSGVO erlaubt eine zentrale Funktion für Unternehmensgruppen, solange der Beauftragte von jedem Standort aus leicht erreichbar ist.

Kann derselbe Dienstleister auch ISO 27001 abdecken? Ja. Datenschutz und Informationssicherheit überschneiden sich stark, weshalb sich beide Rollen bündeln lassen. DSB Consult stellt den externen Datenschutzbeauftragten nach DSGVO, den externen Informationssicherheitsbeauftragten für ISO 27001 und TISAX® sowie die kombinierte Beratung für Datenschutz- und Informationssicherheits-Managementsystem. Ein Ansprechpartner senkt den Koordinationsaufwand und vermeidet Schnittstellenprobleme.

Wie wähle ich den passenden Anbieter aus? Holen Sie detaillierte Angebote mehrerer Anbieter ein. Führen Sie mit jedem ein Erstgespräch und stellen Sie Ihre Fragen. Prüfen Sie beim Vergleich, ob sich jede Ihrer Anforderungen im Angebot wiederfindet. Das spart Kosten und sorgt dafür, dass Datenschutz mit Augenmaß umgesetzt wird.

Kontakt

Sie möchten wissen, ob eine Benennungspflicht besteht, und was die Betreuung in Ihrem Fall kostet? Sprechen Sie uns an – das Erstgespräch ist unverbindlich und kostenlos.

• Telefon: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Angebot im Konfigurator berechnen