Welche Vorteile hat ein externer Datenschutzbeauftragter?

Das Wichtigste in Kürze

• Der externe Datenschutzbeauftragte ist in Artikel 37 Absatz 6 DSGVO ausdrücklich vorgesehen. Die Rolle darf auf Grundlage eines Dienstleistungsvertrags erfüllt werden und muss nicht mit einem eigenen Beschäftigten besetzt werden.
• Die Ausbildung eines internen Datenschutzbeauftragten kostet einmalig 3.000 bis 5.000 Euro, die Pflichtfortbildung rund 1.500 Euro pro Jahr. Dazu kommen 600 bis 1.000 Euro monatlicher Gehaltszuschlag und 30 bis 40 Prozent der Arbeitszeit einer Person.
• Externe Mandate werden überwiegend als Monatspauschale abgerechnet, marktüblich zwischen 30 und 800 Euro je nach Unternehmensgröße (Stand: August 2026).
• Artikel 38 Absatz 3 DSGVO verbietet Weisungen an den Datenschutzbeauftragten und schützt ihn vor Abberufung. Intern kollidiert das regelmäßig mit der Linienorganisation, extern entsteht der Konflikt gar nicht erst.
• Geschäftsführung, IT-Leitung, HR-Leitung und Administratoren dürfen die Rolle wegen des Interessenkonflikts nach Artikel 38 Absatz 6 DSGVO nicht übernehmen. In Teams unter 250 Personen scheitert die interne Lösung daran häufig.

Die Vorteile eines externen Datenschutzbeauftragten lassen sich auf vier Punkte bringen: verfügbares Fachwissen, kalkulierbare Kosten, Unabhängigkeit von der Linienorganisation und ein Aufwand, der mit dem Bedarf mitwächst. Artikel 37 Absatz 6 DSGVO stellt beide Wege rechtlich gleich. Ob die Rolle mit einem eigenen Beschäftigten besetzt oder über einen Dienstleistungsvertrag erfüllt wird, ist eine betriebswirtschaftliche Entscheidung, keine rechtliche. Dieser Artikel zeigt, wo die externe Lösung in der Praxis besser abschneidet und wo nicht.

Vier Vorteile eines externen Datenschutzbeauftragten

1. Fachwissen, das intern erst aufgebaut werden müsste

Artikel 37 Absatz 5 DSGVO verlangt die Benennung auf Grundlage der beruflichen Qualifikation und des Fachwissens im Datenschutzrecht und in der Datenschutzpraxis. In der Praxis reicht Rechtswissen allein nicht: Wer ein DSGVO-Datenschutzmanagement führt, muss auch IT-Architekturen lesen, Risiken bewerten und Geschäftsprozesse verstehen. Diese Kombination ist auf dem Arbeitsmarkt schwer zu bekommen und intern kaum nebenbei aufzubauen.

Ein externes Mandat wird in der Regel von einem eingespielten Team getragen, nicht von einer einzelnen Person. Rechtsprechung, Leitlinien der Aufsichtsbehörden und Behördenpraxis werden dort ohnehin laufend verfolgt, weil mehrere Mandate davon abhängen. Artikel 38 Absatz 2 DSGVO verpflichtet den Verantwortlichen, dem Datenschutzbeauftragten die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung zu stellen. Bei einer internen Besetzung ist das eine wiederkehrende Position im Budget, bei einem externen Mandat ist es Teil des Preises.

Sichtbar wird der Unterschied meist im Ernstfall. Bei einem Datenschutzvorfall entscheidet sich innerhalb von 72 Stunden, ob die Meldung nach Artikel 33 DSGVO sauber steht. Wer diesen Ablauf zum ersten Mal durchläuft, verliert genau die Zeit, die die Frist nicht hergibt.

2. Planbare Kosten statt schwer kalkulierbarer Nebenkosten

Die Kosten eines internen Datenschutzbeauftragten stecken selten im Gehalt. Die Ausbildung kostet einmalig 3.000 bis 5.000 Euro, die Pflichtfortbildung rund 1.500 Euro pro Jahr, der Gehaltszuschlag für die zusätzliche Verantwortung 600 bis 1.000 Euro pro Monat. Dazu kommen 30 bis 40 Prozent der Arbeitszeit, die in der eigentlichen Rolle fehlen. Wer die Stelle intern besetzt, kauft also nicht eine Funktion ein, sondern gibt einen Teil einer bestehenden ab.

Ein externes Mandat wird dagegen vor Vertragsschluss kalkuliert. Marktüblich sind Monatspauschalen zwischen 30 Euro für Kleinstunternehmen mit langer Vertragsbindung und 800 Euro im Mittelstand, stundenbasierte Mandate liegen zwischen 100 und 200 Euro. Ein verbreiteter Irrtum ist allerdings, dass die Pauschale der Gesamtpreis sei. Erst-Audit, AVV-Prüfungen, Datenschutz-Folgenabschätzungen und Vor-Ort-Termine rechnen viele Anbieter separat ab. Welche Blöcke dazugehören und was sie kosten, steht in unserer Übersicht dazu, was ein externer Datenschutzbeauftragter kostet.

Ein Rechenbeispiel: Ein SaaS-Unternehmen mit 60 Beschäftigten benennt intern die Leiterin Legal Operations. Im ersten Jahr fallen 4.000 Euro Ausbildung, 1.500 Euro Fortbildung und 9.600 Euro Gehaltszuschlag an, zusammen 15.100 Euro, bevor eine einzige Verarbeitungstätigkeit dokumentiert ist. Ein externes Mandat derselben Größenordnung liegt bei rund 500 Euro im Monat, also 6.000 Euro im Jahr, plus einmaligem Aufbau.

3. Unabhängigkeit ohne Interessenkonflikt

Artikel 38 Absatz 3 DSGVO ist in diesem Punkt deutlich: Der Datenschutzbeauftragte erhält bei der Erfüllung seiner Aufgaben keine Anweisungen, er darf deswegen nicht abberufen oder benachteiligt werden und er berichtet unmittelbar der höchsten Managementebene. Artikel 38 Absatz 6 ergänzt, dass andere Aufgaben zulässig sind, solange sie nicht zu einem Interessenkonflikt führen.

Intern ist das schwer sauber abzubilden. Geschäftsführung, IT-Leitung und HR-Leitung entscheiden über genau die Verarbeitungen, die der Datenschutzbeauftragte prüfen soll, Administratoren setzen sie um. Alle vier scheiden damit aus. In Teams unter 250 Personen bleibt dann häufig nur eine Besetzung übrig, die formal zulässig, fachlich aber nicht die stärkste ist. Wer die Rolle extern vergibt, umgeht die Frage, weil dort keine zweite Rolle im Unternehmen existiert.

Ein zweiter Punkt betrifft die Bindung. Ist die Benennung Pflicht, genießt der interne Datenschutzbeauftragte Sonderkündigungsschutz nach § 6 Absatz 4 BDSG in Verbindung mit § 38 Absatz 2 BDSG, und zwar bis ein Jahr nach Ende der Tätigkeit. Ein externes Mandat endet mit der Vertragslaufzeit.

4. Flexibilität bei schwankendem Bedarf

Der Aufwand im Datenschutz ist nicht konstant. Eine Produkteinführung, ein neues Analysetool, ein Wechsel des Hosting-Anbieters oder eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erzeugen Spitzen, zwischen denen wenig passiert. Eine interne Stelle ist auf den Durchschnitt dimensioniert und passt deshalb in beide Richtungen nicht.

Ein externes Mandat lässt sich am Bedarf ausrichten. Wächst das Unternehmen, wächst der Umfang mit, ohne dass eine Stelle neu ausgeschrieben werden muss. Kommen später ISO 27001, NIS2 oder der EU AI Act dazu, bleiben Dokumentation und Ansprechpartner dieselben. Fällt die betreuende Person aus, übernimmt das Team des Anbieters, während intern die Vertretung erst organisiert werden muss.

Ein Punkt verschiebt sich durch die Auslagerung nicht: Die Verantwortung für die Einhaltung der DSGVO bleibt beim Verantwortlichen. Der Datenschutzbeauftragte überwacht und berät, er entscheidet nicht und er haftet nicht an Stelle des Unternehmens. Wer ein Mandat vergibt, kauft Fachwissen und Unabhängigkeit ein, keine Enthaftung.

Was macht ein externer Datenschutzbeauftragter?

Die Aufgaben eines externen Datenschutzbeauftragten sind dieselben wie die eines internen. Artikel 39 DSGVO nennt fünf: Unterrichtung und Beratung des Unternehmens und der Beschäftigten, Überwachung der Einhaltung der Datenschutzvorschriften einschließlich Sensibilisierung und Schulung, Beratung bei der Datenschutz-Folgenabschätzung nach Artikel 35 und Überwachung ihrer Durchführung, Zusammenarbeit mit der Aufsichtsbehörde sowie die Tätigkeit als deren Anlaufstelle.

In der täglichen Arbeit heißt das vor allem drei Dinge. Er führt und pflegt die Dokumentation, also das Verzeichnis der Verarbeitungstätigkeiten, die technischen und organisatorischen Maßnahmen, Löschkonzepte und Auftragsverarbeitungsverträge. Er entwickelt Richtlinien für die rechtmäßige Erhebung, Verarbeitung, Speicherung und Löschung von Daten und aktualisiert sie, wenn sich Prozesse, Technik oder Rechtslage ändern. Und er ist Anlaufstelle nach außen: für die Aufsichtsbehörde, für betroffene Personen und für deren Anträge auf Auskunft, Löschung, Berichtigung, Übertragbarkeit und Einschränkung der Verarbeitung.

Dazu kommt die Arbeit an der Organisation selbst. Datenschutzschulungen für Mitarbeiter sind der Teil, der am ehesten liegen bleibt und im Audit am schnellsten auffällt. Nach einer Gesetzesänderung oder einer neuen Leitlinie muss der Wissensstand im Unternehmen nachgezogen werden, sonst greifen die Richtlinien ins Leere.

Kertos als externer Datenschutzbeauftragter

Kertos stellt den externen Datenschutzbeauftragten von Kertos als benannten zertifizierten Experten und kombiniert ihn mit der Plattform, auf der die Dokumentation entsteht. Enthalten sind die Benennung und Meldung bei der Aufsichtsbehörde inklusive Ernennungszertifikat, ein Kick-off mit Prüfung der bestehenden Datenschutzdokumentation und der Website-Einstellungen sowie die laufende Betreuung.

Der Unterschied zum klassischen Beratungsmandat liegt im Anteil der Arbeit, der bei Ihnen bleibt. Der KI-Agent KAIA und über 100 Integrationen übernehmen Inventarisierung, Nachweisführung und Dokumentation, der zertifizierte Experte trifft die Entscheidungen, die Fachwissen erfordern. Das betrifft auch die Bearbeitung von Betroffenenanfragen und die Mitarbeitertrainings, die sonst manuell nachgehalten werden müssen. Kunden reduzieren ihren manuellen Compliance-Aufwand um rund 80 Prozent und ihre Compliance-Kosten gegenüber traditioneller Beratung um bis zu 60 Prozent.

"Hervorragende Betreuung nach dem Kauf. Wir haben den Datenschutzbeauftragten dazugebucht, und er hat uns schon sehr geholfen. Immer schnell erreichbar, per Antwort oder direkt im Call."

Philipp H., Co-Founder B2B SaaS, G2

Wenn Sie wissen möchten, wie ein Mandat für Ihr Unternehmen zugeschnitten wäre, fordern Sie ein Angebot an. Wir gehen die Anforderungen durch und zeigen Ihnen die Plattform an Ihren eigenen Prozessen.

Häufig gestellte Fragen

Was sind die Vorteile eines externen Datenschutzbeauftragten?

Verfügbares Fachwissen, kalkulierbare Kosten, Unabhängigkeit ohne Interessenkonflikt und ein Aufwand, der mit dem Bedarf skaliert. Der stärkste Einzelpunkt ist in kleineren Unternehmen meist die Unabhängigkeit, weil Geschäftsführung, IT-Leitung, HR-Leitung und Administratoren die Rolle nach Artikel 38 Absatz 6 DSGVO nicht übernehmen dürfen.

Ist ein externer Datenschutzbeauftragter günstiger als ein interner?

In der Regel ja. Ein interner Datenschutzbeauftragter kostet einmalig 3.000 bis 5.000 Euro Ausbildung, rund 1.500 Euro Fortbildung pro Jahr und 600 bis 1.000 Euro monatlichen Gehaltszuschlag, dazu 30 bis 40 Prozent seiner Arbeitszeit. Externe Monatspauschalen liegen marktüblich zwischen 30 und 800 Euro je nach Unternehmensgröße.

Darf ein Datenschutzbeauftragter überhaupt extern sein?

Ja. Artikel 37 Absatz 6 DSGVO sieht ausdrücklich vor, dass der Datenschutzbeauftragte Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen kann. Beide Wege sind rechtlich gleichwertig.

Wer darf im Unternehmen kein Datenschutzbeauftragter sein?

Nach Artikel 38 Absatz 6 DSGVO darf die Rolle nicht zu einem Interessenkonflikt führen. Ausgeschlossen sind deshalb Personen, die über Zwecke und Mittel der Verarbeitung entscheiden oder sie umsetzen, in der Praxis vor allem Geschäftsführung, IT-Leitung, HR-Leitung und Administratoren.

Haftet ein externer Datenschutzbeauftragter für Datenschutzverstöße?

Nein. Die Verantwortung für die Einhaltung der DSGVO bleibt beim Verantwortlichen, also beim Unternehmen. Der Datenschutzbeauftragte überwacht und berät nach Artikel 39 DSGVO, er trifft keine Verarbeitungsentscheidungen und tritt nicht an die Stelle des Unternehmens.

‍