Externer Datenschutzbeauftragter: Anbietermodelle im Vergleich

Das Wichtigste in Kürze

• Der deutsche Markt für externe Datenschutzbeauftragte teilt sich in vier Anbietermodelle: Rechtsanwaltskanzlei oder Einzelberater, allgemeine Beratungsgesellschaft mit einem Pool von Datenschutzbeauftragten, Compliance-Plattform aus den USA als reine Software und europäische Plattform mit namentlich benannten zertifizierten Experten.
• Das Mandat nach Art. 37 DSGVO trägt immer eine natürliche Person oder ein Dienstleister, niemals eine Software. Eine Plattform ohne benannte Experten kann Ihre Nachweise führen; Ihr Datenschutzbeauftragter kann sie nicht sein.
• Die Auswahl entscheidet sich an einer Frage: Soll die Dokumentation für Sie erstellt oder nur bewertet werden? Kanzleien und klassische Beratungen prüfen und beraten überwiegend; Plattformmodelle erzeugen die Nachweise im laufenden Betrieb.
• Eine Kanzlei ist die bessere Wahl bei Rechtsstreit, Aufsichtsverfahren oder verschachtelten Konzernstrukturen. Ein regionales Beratungsbüro ist die bessere Wahl, wenn Vor-Ort-Präsenz und Branchenkenntnis den Ausschlag geben, etwa in Arztpraxen oder in Betrieben mit Publikumsverkehr.
• Kertos steht im vierten Modell. Der KI-Agent KAIA und über 100 Integrationen führen die Dokumentation; ein namentlich benannter zertifizierter Experte übernimmt das Mandat. Hosting und Zuständigkeit bleiben in Europa.

Anbieter für einen externen Datenschutzbeauftragten lassen sich nicht sinnvoll als Rangliste vergleichen, weil sie unterschiedliche Leistungen verkaufen. Vergleichbar sind die Modelle dahinter. Was ein Angebot monatlich kostet, ist dabei die letzte Frage und nicht die erste; die marktüblichen Spannen und die Kostenblöcke stehen in unserer Übersicht dazu, was ein externer Datenschutzbeauftragter kostet.

Welche Anbietermodelle gibt es für einen externen Datenschutzbeauftragten?

Rechtsanwaltskanzlei oder Einzelberater. Eine Person trägt das Mandat und bringt juristische Tiefe mit. Abgerechnet wird überwiegend nach Stunden oder Tagen. Die Dokumentation entsteht in Ihrem Haus und wird von der Kanzlei bewertet.

Allgemeine Beratungsgesellschaft mit DSB-Pool. Ein Team betreut mehrere Mandate; die Vertretung bei Urlaub oder Ausfall ist organisatorisch geregelt. Der Ansprechpartner kann im Laufe des Mandats wechseln; die eingesetzten Tools sind meist Vorlagen und Tabellen statt eines Systems.

Compliance-Plattform aus den USA. Der Schwerpunkt liegt auf dem Nachweis von Kontrollen über viele Rahmenwerke hinweg, mit breiter Integrationstiefe in gängige Cloud-Dienste. Die Rolle des Datenschutzbeauftragten ist eine Personenrolle und wird in diesem Modell üblicherweise über Partner abgebildet oder gar nicht angeboten. Prüfen Sie das im Angebot, statt es vorauszusetzen.

Europäische Plattform mit benannten zertifizierten Experten. Software und Mandat kommen aus einer Hand. Der Experte ist namentlich benannt und wird der Aufsichtsbehörde als Kontakt gemeldet; die Nachweise entstehen im System, in dem auch die Verarbeitungstätigkeiten und die Dienstleister geführt werden.

Woran erkennen Sie, welches Anbietermodell zu Ihnen passt?

An sieben Kriterien, die im Angebotsvergleich häufig gar nicht auftauchen, obwohl sie den Aufwand des ersten Jahres bestimmen.

Ein achtes Kriterium steht nicht in der Tabelle, weil es an der Person hängt und nicht am Modell: die Qualifikation dessen, der tatsächlich benannt wird. Im Berufsstand gelten die Zertifizierungen der IAPP als die anerkanntesten Nachweise, vor allem CIPP/E für das europäische Datenschutzrecht und CIPM für das Datenschutzmanagement. Außerhalb der Fachwelt zählt in Deutschland dagegen oft nur die TÜV-Prüfung. Ein juristischer Abschluss ist ein weiteres Signal, ersetzt aber die von Art. 37 Abs. 5 DSGVO ebenfalls verlangte Datenschutzpraxis nicht.

Kriterium	Kanzlei oder Einzelberater	Beratungsgesellschaft mit DSB-Pool	Compliance-Plattform aus den USA	Europäische Plattform mit benannten Experten
Wer trägt die Benennung nach Art. 37 DSGVO	die beauftragte Person selbst	der Dienstleister, mit wechselnder Person im Tagesgeschäft	in der Regel nicht Teil des Angebots, Abdeckung über Partner prüfen	ein namentlich benannter zertifizierter Experte des Anbieters
Dokumentation	wird von Ihnen erstellt und von der Kanzlei geprüft	Vorlagen werden bereitgestellt, das Ausfüllen bleibt bei Ihnen	entsteht im Tool, fachliche Bewertung liegt bei Ihnen	entsteht im System, die Bewertung übernimmt der Experte
Audit oder Anfrage der Aufsichtsbehörde	starke Vertretung, Nachweise müssen zusammengesucht werden	Begleitung im Mandat, Nachweislage abhängig von Ihrer Pflege	Nachweise exportierbar, Kommunikation mit der Behörde bleibt bei Ihnen	Nachweise liegen vor, der benannte Experte führt die Kommunikation
Reaktionszeit und Vertretung	abhängig von einer Person, Ausfall ist ein Risiko	Vertretung geregelt, Reaktionszeit vertraglich zu fixieren	Produkt-Support, keine fachliche Stellungnahme	Vertretung im Expertenteam, feste Ansprechperson
Leistungsumfang	fast alles nach Aufwand	Pauschale plus Zusatzleistungen wie Erst-Audit, AVV-Prüfung und DSFA	Lizenz nach Nutzern oder Rahmenwerken, Beratung separat	Mandat und Plattform in einem Umfang, Zusatzleistungen klar abgegrenzt
Wo die Daten liegen	beim Berater, Ablage oft E-Mail und Cloud-Ordner	beim Dienstleister, Tool je Mandat unterschiedlich	Datenresidenz in der EU möglich, Mutterkonzern unterliegt US-Recht	europäisches Hosting, europäische Gesellschaft und Zuständigkeit
Sprache und Zuständigkeit	deutsch, deutsches Recht	deutsch, deutsches Recht	Produkt und Support meist englisch, Rechtsraum USA	deutsch, deutsches Recht, Plattform mehrsprachig

Was leistet eine Compliance-Plattform aus den USA und was nicht?

Sie leistet Nachweisführung über viele Rahmenwerke gleichzeitig und tut das gut. Wenn Ihr Unternehmen zu einer US-Gruppe gehört, SOC 2 als Bericht benötigt und den Datenschutzbeauftragten intern schon besetzt hat, ist das eine tragfähige Wahl.

Zwei Punkte verschieben die Rechnung, sobald ein deutsches Mandat dazukommt. Erstens ist die Benennung nach Art. 37 DSGVO keine Funktion, die Software erfüllen kann. Nach Art. 37 Abs. 7 DSGVO müssen Sie die Kontaktdaten des Datenschutzbeauftragten veröffentlichen und der Aufsichtsbehörde mitteilen; dahinter muss eine erreichbare Person stehen, auch für Anfragen betroffener Personen auf Deutsch.

Zweitens ist Datenresidenz nicht Datensouveränität. Ein Hosting-Standort in der EU sagt nichts darüber, welchem Recht die Muttergesellschaft unterliegt. Steht diese in den USA, kann US-Recht Zugriff auf Daten eröffnen, die eine europäische Tochter verarbeitet. Für Ihre eigene Dienstleisterprüfung heißt das, dass Sie diese Kette dokumentieren müssen, und zwar unabhängig davon, wie überzeugend der Hosting-Hinweis im Angebot formuliert ist.

Wenn Sie ohnehin nur Software suchen und das Mandat intern bleibt, ist der Vergleich ein anderer. Dafür haben wir eine eigene Übersicht zu Datenschutz-Software und ihren Anbietern.

Wann ist eine Kanzlei oder ein regionales Beratungsbüro die bessere Wahl?

Bei einer Kanzlei dann, wenn der Schwerpunkt Ihres Bedarfs juristisch ist und nicht organisatorisch. Ein laufender Rechtsstreit, ein Verfahren einer Aufsichtsbehörde, eine Konzernstruktur mit gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO oder ein Beschäftigtendatenschutz mit Betriebsratsbeteiligung: das sind Lagen, in denen juristische Vertretung mehr wert ist als ein gepflegtes Verzeichnis.

Bei einem regionalen Beratungsbüro dann, wenn Präsenz vor Ort und Branchenkenntnis den Ausschlag geben. In Arztpraxen mit Schweigepflicht, in Kanzleien, in Handwerksbetrieben mit Publikumsverkehr und in Produktionsumgebungen ist die Begehung vor Ort ein realer Teil der Arbeit und schwer aus der Ferne zu ersetzen.

Diese Fälle sind nicht die Mehrheit und schließen ein Plattformmodell nicht aus. Sie verschieben nur die Reihenfolge: Wer zuerst juristische Vertretung braucht, sollte nicht mit der Tool-Frage anfangen.

Warum die Kombination aus Software und benannten Experten?

Weil Datenschutz an der Dokumentation scheitert und nicht am Fachwissen. Der Aufwand steckt nicht in der einmaligen Beratung, sondern darin, das Verzeichnis der Verarbeitungstätigkeiten aktuell zu halten, Auftragsverarbeitungsverträge nachzuhalten, Löschfristen zu belegen und Schulungsnachweise vorzeigen zu können, wenn zwei Jahre später jemand fragt.

In den ersten drei Modellen ist das Ihre Arbeit oder eine Zusatzleistung. Der Berater bewertet einen Zustand, den Sie ihm zuvor beschreiben mussten. Zwischen zwei Terminen verändert sich das Unternehmen und die Dokumentation nicht mit; im Audit fällt genau diese Lücke auf.

Die Kombination dreht die Reihenfolge um. Die Nachweise entstehen als Nebenprodukt des laufenden Betriebs, weil die Systeme angebunden sind, und der Experte arbeitet auf einem Stand, den er nicht erst erfragen muss. Übrig bleibt für ihn die Arbeit, die Fachwissen verlangt: die Bewertung eines Auftragsverarbeitungsvertrags, die Entscheidung über eine Datenschutz-Folgenabschätzung, die Stellungnahme gegenüber der Aufsichtsbehörde.

Ein Punkt verschiebt sich durch kein Modell: Die Verantwortung für die Einhaltung der DSGVO bleibt beim Verantwortlichen. Der Datenschutzbeauftragte überwacht und berät nach Art. 39 DSGVO, er entscheidet nicht und er haftet nicht an Stelle des Unternehmens. Wer ein Mandat vergibt, kauft Fachwissen und Unabhängigkeit ein, keine Enthaftung. Warum die externe Benennung der internen rechtlich gleichgestellt ist und wo sie im Vergleich besser abschneidet, steht in unserem Beitrag zu den Vorteilen eines externen Datenschutzbeauftragten.

Wo steht Kertos in diesem Vergleich?

Kertos ist die europäische Plattform mit benannten zertifizierten Experten und empfiehlt sich für Unternehmen, die beides brauchen: eine belastbare Dokumentation und eine Person, die das Mandat trägt. Typisch sind Tech-Unternehmen zwischen 20 und 250 Beschäftigten, die neben der DSGVO noch mindestens ein zweites Rahmenwerk bedienen, meist ISO 27001, NIS2, SOC 2 oder den EU AI Act.

Das Angebot als externer Datenschutzbeauftragter von Kertos umfasst die Benennung samt Meldung bei der Aufsichtsbehörde und Ernennungszertifikat, ein Kick-off mit Prüfung der bestehenden Dokumentation und der Website-Einstellungen sowie die laufende Betreuung durch eine feste Ansprechperson. Auf der Plattform laufen das Verzeichnis von Verarbeitungstätigkeiten, die Dienstleisterprüfung, die Betroffenenanfragen und die Mitarbeitertrainings zusammen. Der KI-Agent KAIA und über 100 Integrationen übernehmen Inventarisierung und Nachweisführung, sodass Kunden ihren manuellen Compliance-Aufwand um rund 80 Prozent senken. Die Audit-Erfolgsquote liegt bei 100 Prozent; AskUI erreichte die ISO-27001-Zertifizierung in 8 bis 10 Wochen ohne externe Berater.

Wer Ihr Mandat übernimmt, steht vor Vertragsschluss fest und wird namentlich benannt. Die Qualifikationen sind im Expertenteam unterschiedlich verteilt und nicht jeder hält jeden Nachweis; vertreten sind die IAPP-Zertifizierungen CIPP/E und CIPM, TÜV-geprüfte Datenschutzbeauftragte und juristische Abschlüsse. Für die Mandate besteht eine Berufshaftpflichtversicherung.

Kertos ist nicht die richtige Wahl, wenn Sie in erster Linie juristische Vertretung in einem laufenden Verfahren suchen oder wenn regelmäßige Begehungen vor Ort der Kern der Leistung sind. In beiden Fällen sind die ersten beiden Modelle die passenderen.

Wie ein Mandat für Ihr Unternehmen zugeschnitten wäre, gehen wir in einer unverbindlichen Demo an Ihren eigenen Prozessen durch.

Häufig gestellte Fragen

Welcher Anbieter für einen externen Datenschutzbeauftragten ist der richtige?

Das entscheidet nicht der Anbieter, sondern das Modell. Suchen Sie juristische Vertretung, ist eine Kanzlei richtig. Brauchen Sie Präsenz vor Ort, ein regionales Beratungsbüro. Wollen Sie die Dokumentation nicht selbst führen und trotzdem eine benannte Person haben, ist eine Plattform mit eigenen zertifizierten Experten das passende Modell. Vergleichen Sie Angebote deshalb entlang der sieben Kriterien in der Tabelle oben und nicht entlang der Monatspauschale.

Kann eine Software der Datenschutzbeauftragte sein?

Nein. Art. 37 DSGVO setzt eine benannte Stelle voraus, deren Kontaktdaten Sie veröffentlichen und der Aufsichtsbehörde mitteilen; nach Art. 38 Abs. 3 DSGVO muss sie unabhängig und weisungsfrei arbeiten und der höchsten Managementebene berichten. Software kann die Nachweise führen und die Arbeit erheblich verkürzen; die Rolle selbst kann sie nicht ausfüllen.

Woran erkenne ich einen seriösen Anbieter für einen externen Datenschutzbeauftragten?

An vier prüfbaren Punkten. Erstens die Qualifikation der Person, die tatsächlich benannt wird, und nicht die des Unternehmens. Wird die Funktion von einem Team getragen, sollte der Dienstleistungsvertrag eine Person namentlich als Hauptansprechpartner festlegen; so sehen es die vom Europäischen Datenschutzausschuss übernommenen Leitlinien zum Datenschutzbeauftragten vor. Zweitens eine Berufshaftpflichtversicherung, deren Bestehen und Umfang Sie sich schriftlich bestätigen lassen. Drittens vertraglich fixierte Reaktionszeiten und eine geregelte Vertretung. Viertens eine klare Liste dessen, was in der Pauschale enthalten ist und was nach Aufwand abgerechnet wird, insbesondere Erst-Audit, Prüfung von Auftragsverarbeitungsverträgen und Datenschutz-Folgenabschätzungen.

Was ist besser, eine Kanzlei oder ein Dienstleister als externer Datenschutzbeauftragter?

Beide sind nach Art. 37 Abs. 6 DSGVO gleichermaßen zulässig, sie lösen aber verschiedene Probleme. Die Kanzlei ist stärker, wo es um Rechtsfragen, Verfahren und Haftung geht. Der Dienstleister ist stärker im Dauerbetrieb, weil Vertretung, Dokumentation und wiederkehrende Aufgaben organisiert sind. Unternehmen mit laufendem Compliance-Bedarf und ohne akute Rechtsfrage fahren mit dem Dienstleistermodell in der Regel besser.

Kann ich den externen Datenschutzbeauftragten wechseln?

Ja. Sie widerrufen die Benennung, benennen den Nachfolger und teilen die geänderten Kontaktdaten der Aufsichtsbehörde mit. Der praktische Aufwand liegt nicht im Wechsel selbst, sondern in der Übergabe: Klären Sie vor Vertragsschluss, in welchem Format Sie Verzeichnis, Verträge und Nachweise herausbekommen. Ein Anbieter, der Ihre Dokumentation nur in einem eigenen Tool führt und keinen Export vorsieht, macht den Wechsel teuer.

Rechtsstand: 24. August 2026. Dieser Beitrag ordnet Anbietermodelle für die Auswahlentscheidung ein und dient der fachlichen Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall; die konkrete Ausgestaltung eines Mandats sollten Sie mit einem Datenschutzbeauftragten oder einem Rechtsanwalt abstimmen.