Ein externer Datenschutzbeauftragter lohnt sich vor allem, wenn Ihr Unternehmen einen Datenschutzbeauftragten benennen muss, intern aber weder ausreichende Fachkunde noch eine konfliktfreie und dauerhaft verfügbare Person stellen kann. Prüfen Sie zuerst anhand von Art. 37 Datenschutz-Grundverordnung und § 38 Bundesdatenschutzgesetz, ob eine Benennungspflicht besteht. Halten Sie anschließend Datenverarbeitungen, Beschäftigtenzahl, Zuständigkeiten und besonders risikoreiche Verfahren schriftlich fest, damit Angebote denselben Leistungsumfang abdecken.
Eine externe Bestellung nimmt der Geschäftsleitung die Verantwortung für die Einhaltung des Datenschutzrechts nicht ab. Sie kann jedoch Fachwissen, unabhängige Kontrolle und einen verlässlichen Ansprechpartner bündeln. Der wirtschaftliche Nutzen hängt weniger von der Unternehmensgröße allein als von Art und Umfang der verarbeiteten Daten, internen Kapazitäten und dem vereinbarten Leistungsumfang ab.
Die Benennungspflicht steht vor der Kostenfrage
Für Unternehmen in Deutschland greifen die Vorgaben der DSGVO und ergänzend das BDSG. Art. 37 DSGVO verlangt einen Datenschutzbeauftragten unter anderem dann, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen umfasst oder besondere Kategorien personenbezogener Daten beziehungsweise Daten über strafrechtliche Verurteilungen umfangreich verarbeitet werden. Diese Prüfung richtet sich nach dem tatsächlichen Geschäftsmodell und nicht nur nach der Zahl der Beschäftigten.
§ 38 BDSG enthält für nicht öffentliche Stellen eine zusätzliche personelle Schwelle. Maßgeblich ist, wie viele Personen in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Schwelle kann die Pflicht auch entstehen, wenn Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung unterliegen. Da Gesetzesfassungen geändert werden können, sollte die aktuelle Fassung von § 38 BDSG im amtlichen Gesetzestext geprüft werden.
Für die Zählung kommt es nicht allein auf Vollzeitstellen oder die Größe einer Abteilung an. Auch Teilzeitkräfte, Auszubildende oder andere regelmäßig eingesetzte Personen können relevant sein, wenn sie ständig automatisiert personenbezogene Daten verarbeiten. Ein bloßer gelegentlicher Kontakt mit Daten ist davon abzugrenzen. Bei Zweifeln sollte die Geschäftsleitung die Tätigkeiten je Rolle erfassen und die Einordnung rechtlich prüfen lassen.
Eine sinnvolle betriebliche Vorprüfung beantwortet diese Fragen:
- Welche Personen verarbeiten regelmäßig Kunden-, Beschäftigten-, Bewerber- oder Lieferantendaten mit IT-Systemen?
- Gehören Überwachung, Profilbildung oder umfangreiche Verarbeitung sensibler Daten zur Kerntätigkeit?
- Gibt es Verfahren, für die eine Datenschutz-Folgenabschätzung erforderlich sein könnte?
- Arbeitet das Unternehmen für Auftraggeber, die vertraglich einen Datenschutzbeauftragten oder vergleichbare Nachweise erwarten?
- Wurde das Ergebnis mit Datum, verantwortlicher Person und Entscheidungsgrundlage dokumentiert?
Besteht keine gesetzliche Pflicht, bleibt eine freiwillige Benennung möglich. Sie sollte aber nicht mit dem bloßen Einkauf einzelner Beratungsleistungen verwechselt werden. Wer formell als Datenschutzbeauftragter benannt wird, erhält die gesetzliche Stellung mit den dazugehörigen Aufgaben, Berichtslinien und Schutzvorgaben.
Extern oder intern: Der Engpass entscheidet
Die DSGVO erlaubt sowohl interne als auch externe Datenschutzbeauftragte. Die fachlichen Anforderungen und die notwendige Unabhängigkeit ändern sich durch das Vertragsmodell nicht. Entscheidend ist, welche Lösung Fachkunde, Erreichbarkeit, Kenntnis der betrieblichen Abläufe und Konfliktfreiheit zuverlässig verbindet.
Eine externe Lösung passt bei fehlender interner Kapazität
Kleine Unternehmen haben häufig keine Person, die Datenschutzrecht, IT-Prozesse und betriebliche Organisation zugleich beherrscht und ausreichend Zeit für die Aufgabe erhält. Eine externe Fachkraft kann hier sinnvoll sein, weil Fortbildung, Vertretung und methodische Arbeitsmittel nicht vollständig im Betrieb aufgebaut werden müssen.
Das gilt besonders für eine Agentur mit vielen Kundenkonten, einen Onlinehandel mit umfangreichen Bestell- und Marketingdaten oder einen Dienstleister, der für Auftraggeber personenbezogene Daten verarbeitet. Der Nutzen entsteht in solchen Fällen nicht durch ein Zertifikat an der Wand, sondern durch erreichbare Beratung, regelmäßige Kontrollen und nachvollziehbare Maßnahmen.
Ein interner Datenschutzbeauftragter kann näher am Alltag sein
Ein interner Kandidat kennt Systeme, Entscheidungswege und informelle Abläufe meist besser. Diese Nähe ist wertvoll, wenn die Person genügend Arbeitszeit, Weiterbildung und direkten Zugang zur Leitung erhält. Die Rolle darf jedoch nicht mit Funktionen verbunden werden, in denen dieselbe Person Zwecke und Mittel der Datenverarbeitung maßgeblich festlegt.
Leitende Aufgaben in Geschäftsführung, Personal, IT oder Vertrieb können je nach tatsächlicher Entscheidungsbefugnis einen Interessenkonflikt auslösen. Maßgeblich ist nicht nur die Stellenbezeichnung, sondern die ausgeübte Funktion. Auch bei einem externen Anbieter muss geprüft werden, ob parallel über die zu kontrollierenden Verarbeitungen entschieden oder eine widersprüchliche Leistung erbracht wird.
Beratung ohne formelle Benennung ist eine dritte Variante
Unternehmen ohne Benennungspflicht können Datenschutzaufgaben intern verantworten und für einzelne Themen externe Beratung einkaufen. Das kann für ein begrenztes Projekt, eine Verzeichnisprüfung oder die Einführung einer neuen Software genügen. Der Berater ist in diesem Modell aber nicht automatisch Datenschutzbeauftragter und übernimmt nicht dessen gesetzliche Aufgaben oder Stellung.
Welche Leistung der Vertrag tatsächlich abdecken muss
Ein belastbares Angebot beschreibt mehr als eine monatliche Erreichbarkeit. Die gesetzlichen Aufgaben nach Art. 39 DSGVO umfassen insbesondere Unterrichtung und Beratung, Überwachung der Einhaltung, Beratung zur Datenschutz-Folgenabschätzung sowie die Zusammenarbeit mit der Aufsichtsbehörde. Welche Arbeit daraus im Monat entsteht, hängt von den Verfahren und Risiken des Unternehmens ab.
Vor der Beauftragung sollten mindestens folgende Leistungsbausteine geklärt werden:
- Bestandsaufnahme zu Beginn und Behandlung bereits bekannter Lücken,
- feste Ansprechpersonen, Vertretung und vereinbarte Reaktionswege,
- regelmäßige Prüfungen mit schriftlichen Ergebnissen und priorisierten Maßnahmen,
- Beratung bei neuen Tools, Dienstleistern, Marketingmaßnahmen und Beschäftigtenprozessen,
- Unterstützung bei Datenschutz-Folgenabschätzungen, Betroffenenanfragen und Datenschutzverletzungen,
- Berichte an die oberste Leitungsebene sowie Nachweis der durchgeführten Tätigkeiten,
- Abgrenzung zwischen Pauschalleistung, Zusatzaufwand und gesonderten Projekten,
- Regelungen zu Vertraulichkeit, Haftung, Vertragsende und Herausgabe betrieblicher Unterlagen.
Die Benennung selbst sollte von der Geschäftsleitung nachvollziehbar dokumentiert werden. Kontaktdaten des Datenschutzbeauftragten sind der zuständigen Datenschutzaufsichtsbehörde mitzuteilen und so zu veröffentlichen, dass betroffene Personen die Stelle erreichen können. Die private Anschrift einer natürlichen Person muss dafür nicht unnötig offengelegt werden.
So lassen sich Kostenangebote sinnvoll vergleichen
Für eine belastbare Budgetbetrachtung können Sie die Jahreskosten nach demselben Schema für jedes Angebot berechnen:
Jahreskosten = (monatliche Pauschale × 12 Monate) + einmalige Einrichtungskosten + erwartete Zusatzstunden × Stundensatz + gesonderte Projektkosten
Setzen Sie in diese Rechnung ausschließlich Werte aus dem jeweiligen Angebot ein. Erwartete Zusatzstunden sollten aus geplanten Projekten abgeleitet werden, etwa einer neuen Personalsoftware, einem Online-Shop oder einer umfangreichen Bereinigung der Datenschutzdokumentation. Prüfen Sie außerdem, ob nicht verbrauchte Stunden verfallen, Mehrarbeit freigegeben werden muss und Reisekosten hinzukommen.
Der Vergleich sollte nicht beim Gesamtbetrag enden. Bewerten Sie alle Anbieter anhand derselben fünf Kriterien:
- Deckt der Vertrag die festgestellten Risiken und benötigten Aufgaben ab?
- Sind Fachkunde, Branchenverständnis und laufende Fortbildung nachvollziehbar?
- Ist eine konfliktfreie, namentlich zuordenbare Person benannt?
- Sind Erreichbarkeit, Vertretung, Berichtswesen und Zusatzkosten eindeutig geregelt?
- Bleiben Dokumentation und offene Maßnahmen auch bei einem Anbieterwechsel verfügbar?
Eine externe Lösung ist wirtschaftlich, wenn ihr Gesamtaufwand niedriger oder besser planbar ist als der Aufbau einer gleichwertigen internen Funktion. Beim internen Vergleich zählen nicht nur Gehalt oder anteilige Arbeitszeit, sondern auch Weiterbildung, Vertretung, Fachliteratur, Prüfaufwand und mögliche Konflikte mit der bisherigen Tätigkeit. Ein pauschaler Preisvergleich ohne diese Faktoren führt zu einer verzerrten Entscheidung.
Die Verantwortung bleibt im Unternehmen
Der Datenschutzbeauftragte berät und überwacht, er ersetzt aber weder Geschäftsleitung noch Fachabteilungen. Die verantwortliche Stelle entscheidet weiterhin über Zwecke und Mittel der Verarbeitung und muss geeignete technische und organisatorische Maßnahmen umsetzen. Auch Freigaben für Software, Löschkonzepte oder Verträge dürfen nicht vollständig an den externen Beauftragten abgeschoben werden.
In einer kleinen Organisation funktioniert eine klare Rollenverteilung besonders gut: Die Geschäftsleitung trägt die Entscheidung, eine interne Koordinationsperson sammelt Unterlagen und verfolgt Maßnahmen, die Fachabteilungen beschreiben ihre Verfahren und der externe Datenschutzbeauftragte prüft und berät unabhängig. Empfehlungen, Entscheidungen und Abweichungen sollten mit Verantwortlichem und Zieltermin festgehalten werden.
Der Beauftragte muss frühzeitig in Fragen zum Schutz personenbezogener Daten eingebunden werden. Eine Prüfung erst kurz vor dem Start einer neuen Anwendung verhindert häufig keine Fehlentscheidung mehr. Sinnvoll ist ein fester Freigabepunkt vor Vertragsabschluss, Systemeinführung oder Beginn einer neuen Verarbeitung.
Eine Beauftragung in sechs Arbeitsschritten
- Pflicht und Bedarf einordnen: Erfassen Sie Personen, Verarbeitungstätigkeiten, sensible Daten, Überwachungsverfahren und mögliche Datenschutz-Folgenabschätzungen.
- Internen Interessenkonflikt prüfen: Dokumentieren Sie bei möglichen internen Kandidaten Aufgaben, Entscheidungsbefugnisse, verfügbare Zeit und Qualifikation.
- Leistungsbedarf festlegen: Listen Sie laufende Beratung, Prüfungen, Schulungen, Reaktionsbedarf und bereits geplante Projekte auf.
- Vergleichbare Angebote einholen: Geben Sie allen Kandidaten dieselben Angaben und lassen Sie Grund- sowie Zusatzleistungen getrennt ausweisen.
- Fachkunde und Unabhängigkeit bewerten: Prüfen Sie Qualifikationsnachweise, Praxiserfahrung, Fortbildung, Vertretung und mögliche parallele Rollen.
- Benennung und Arbeitsablauf einrichten: Dokumentieren Sie die Entscheidung, melden Sie die Kontaktdaten an die zuständige Aufsichtsbehörde und schaffen Sie feste Melde- und Berichtskanäle.
Nach dem Start sollte die Geschäftsleitung nicht nur auf erledigte Dokumente schauen. Ein tragfähiger externer Datenschutzbeauftragter liefert verständliche Prüfberichte, priorisiert Risiken, benennt Verantwortlichkeiten und verfolgt offene Punkte. Bleiben Empfehlungen dauerhaft unbearbeitet oder besteht die Leistung überwiegend aus Standardunterlagen ohne Bezug zu den tatsächlichen Verfahren, muss der Leistungsumfang nachgeschärft werden.
Die Entscheidung nach Unternehmenslage
Besteht eine Benennungspflicht und fehlt eine fachkundige, unabhängige interne Person, ist die externe Beauftragung meist der praktikablere Weg. Eine interne Lösung kann vorteilhaft sein, wenn genügend Kapazität, Nähe zu komplexen Abläufen und ein konfliktfreies Stellenprofil vorhanden sind. Ohne gesetzliche Pflicht kann eine externe Beratung ausreichen, sofern das Unternehmen Zuständigkeit und Umsetzung intern zuverlässig organisiert.
Treffen Sie die Auswahl nicht anhand der niedrigsten Monatspauschale. Ausschlaggebend sind ein passender Aufgabenumfang, überprüfbare Fachkunde, konfliktfreie Kontrolle, verlässliche Reaktionswege und eine Dokumentation, mit der Ihr Unternehmen Maßnahmen tatsächlich umsetzen und nachweisen kann.
