Was kostet ein externer Datenschutzbeauftragter?

Das Wichtigste in Kürze

• Externe Datenschutzbeauftragte werden in Deutschland überwiegend als Monatspauschale abgerechnet. Die marktübliche Spanne reicht von rund 30 Euro pro Monat für Kleinstunternehmen mit langer Vertragsbindung bis 800 Euro pro Monat im Mittelstand (Stand: August 2026).
• Stundenbasierte Mandate liegen zwischen 100 und 200 Euro pro Stunde, der Marktdurchschnitt bei etwa 150 Euro.
• Die Monatspauschale ist selten der Gesamtpreis. Erst-Audit, AVV-Prüfungen, Datenschutz-Folgenabschätzungen, Löschkonzepte, Mitarbeiterschulungen und Vor-Ort-Termine rechnen viele Anbieter separat ab.
• Ein interner Datenschutzbeauftragter kostet in der Regel mehr: 3.000 bis 5.000 Euro Ausbildung, rund 1.500 Euro Fortbildung pro Jahr, 600 bis 1.000 Euro monatlicher Gehaltszuschlag und 30 bis 40 Prozent der Arbeitszeit einer Person.

Preisangaben für einen externen Datenschutzbeauftragten liegen zwischen 30 und mehreren hundert Euro pro Monat, und die Angebote dahinter sind kaum vergleichbar. Der Grund ist, dass die Pauschale nur einen Teil der Leistung abdeckt. Wer die Kosten realistisch planen will, muss drei Blöcke getrennt betrachten: die laufende Betreuung, die einmaligen Aufbauleistungen und den Aufwand, der im eigenen Team bleibt.

Was kostet ein externer Datenschutzbeauftragter pro Monat?

Die folgenden Bandbreiten geben den deutschen Markt für externe DSB-Mandate wieder (Stand: August 2026, Nettopreise).

Die niedrigsten Einstiegspreise sind fast immer an eine Laufzeit von 24 oder 36 Monaten gebunden. Derselbe Anbieter verlangt bei einjähriger Laufzeit häufig 50 Prozent mehr. Angebote unter etwa 100 Euro pro Monat deckeln außerdem regelmäßig die Zahl der Verarbeitungstätigkeiten, Verträge oder Support-Stunden.

Was kosten Audit, Ausbildung und Zusatzleistungen?

Ist ein interner Datenschutzbeauftragter günstiger?

Rechnerisch fast nie. Zur Ausbildung und Fortbildung kommt der Gehaltsanspruch für die zusätzliche Verantwortung, dazu 30 bis 40 Prozent Arbeitszeit, die für die eigentliche Rolle fehlen. Ist die Benennung Pflicht, genießt der interne Datenschutzbeauftragte zudem Sonderkündigungsschutz nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG, und zwar bis ein Jahr nach Ende der Tätigkeit. Die Haftung bleibt in beiden Fällen beim Unternehmen. In Teams unter 250 Personen scheitert die interne Lösung außerdem oft am Interessenkonflikt: Geschäftsführung, IT-Leitung, HR-Leitung und Administratoren dürfen die Rolle nicht übernehmen.

Zur Pflicht selbst: In Deutschland ist ein Datenschutzbeauftragter zu benennen, sobald mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten (§ 38 Abs. 1 BDSG), unabhängig davon bei Verarbeitungen mit DSFA-Pflicht oder geschäftsmäßiger Verarbeitung besonderer Datenkategorien. Die Ministerpräsidentenkonferenz hat den Bund aufgefordert, § 38 Abs. 1 BDSG bis zum 31. Dezember 2026 aufzuheben und die Benennungspflicht auf Art. 37 DSGVO zu beschränken. Bis dahin gilt die 20-Personen-Schwelle unverändert (geprüft: 3. August 2026).

Warum die Monatspauschale wenig über die Gesamtkosten sagt

Stundenabrechnung und modulare Preislisten verschieben Kosten dorthin, wo sie schwer planbar sind. Ein Mandat mit 100 Euro Grundgebühr kann über zwei Jahre teurer werden als eines mit 500 Euro Pauschale, sobald Verarbeitungstätigkeiten, AVV-Prüfungen, Telefonate und Audit einzeln berechnet werden. Prüfen Sie deshalb vor Vertragsschluss:

• Wie viele Verarbeitungstätigkeiten und Auftragsverarbeitungsverträge sind inklusive, und was kostet jeder weitere?
• Sind Betroffenenanfragen, Meldungen von Datenschutzvorfällen und Behördenkorrespondenz enthalten?
• Wird das Erst-Audit gesondert berechnet, und mit welchem Tagessatz?
• Gibt es ein Support-Kontingent, und was passiert, wenn es aufgebraucht ist?
• Welche Vertragslaufzeit setzt der Einstiegspreis voraus?
• Bleibt die Dokumentationsarbeit am Ende doch bei Ihrem Team?

Was kostet der externe Datenschutzbeauftragte von Kertos?

Kertos rechnet nicht nach Stunden und veröffentlicht keinen Einstiegspreis, weil der Aufwand von Unternehmensgröße, Datenkategorien, Toollandschaft und dem bestehenden Dokumentationsstand abhängt. Sie erhalten ein festes Jahresbudget auf Basis eines Scopings, ohne Nachberechnung pro Anfrage. Im DSB-Mandat von Kertos enthalten sind die Benennung und Meldung bei der Aufsichtsbehörde inklusive Ernennungszertifikat, ein strukturierter Kick-off mit Prüfung Ihrer bestehenden DSGVO-Dokumentation und Website-Einstellungen, laufende Betreuung durch einen benannten zertifizierten Experten sowie der Zugang zur Plattform mit Data Discovery, VVT, TOM, DSFA, Vendor Management, Betroffenenanfragen, Incident Management und Mitarbeitertrainings.

Der Unterschied zum klassischen Beratungsmandat liegt im Anteil der Arbeit, der bei Ihnen bleibt. Der KI-Agent KAIA und über 100 Integrationen erledigen Inventarisierung, Nachweisführung und Dokumentation, der zertifizierte Experte trifft die Entscheidungen, die Fachwissen erfordern. Kunden reduzieren ihren manuellen Compliance-Aufwand um rund 80 Prozent und ihre Compliance-Kosten gegenüber traditioneller Beratung um bis zu 60 Prozent. Wenn später ISO 27001, NIS2 oder der EU AI Act dazukommen, bleiben Dokumentation und Ansprechpartner dieselben.

Was sagen Kunden über den externen DSB von Kertos?

"Die Kombination aus der Automatisierung unserer Compliance und der Rolle als unser Datenschutzbeauftragter ist einzigartig und macht Kertos zur passendsten Lösung für jedes europäische Startup."

Maurice S., Co-Founder und CEO, G2

"Besonders schätzen wir den integrierten DSB-Service. Es ist, als hätte man einen Datenschutzexperten an Bord, ohne den zusätzlichen Overhead."

Verified User, Renewables & Environment, G2

"Hervorragende Betreuung nach dem Kauf. Wir haben den Datenschutzbeauftragten dazugebucht, und er hat uns schon sehr geholfen. Immer schnell erreichbar, per Antwort oder direkt im Call."

Philipp H., Co-Founder B2B SaaS, G2

Kertos betreut europäische Tech-Unternehmen mit einer Audit-Erfolgsquote von 100 Prozent und einer Kundenzufriedenheit von 98 Prozent. AskUI erreichte die ISO 27001 in 8 bis 10 Wochen, ohne externe Berater. Wenn Sie wissen möchten, was ein externer Datenschutzbeauftragter für Ihr Unternehmen konkret kostet, fordern Sie ein Angebot an. Für den fachlichen Hintergrund lesen Sie, was ein externer Datenschutzbeauftragter genau tut.