Datenschutz-Beratung: Worauf Geschäftsführer 2026 wirklich achten müssen

Seit Inkrafttreten der DSGVO am 25. Mai 2018 ist Datenschutz keine punktuelle Compliance-Übung mehr, sondern ein Dauerthema mit erheblichem Haftungsrisiko für die Geschäftsführung. Art. 83 DSGVO erlaubt Bußgelder bis 20 Mio. Euro oder 4 % des weltweiten Konzernumsatzes, und die deutschen Aufsichtsbehörden haben 2025 die Prüfintervalle erkennbar verkürzt und die Stichprobenquote ausgeweitet. Wer in dieser Lage Datenschutz-Beratung einkauft, sucht selten ein theoretisches Gutachten oder eine bunte Folienreihe. Gefragt ist eine Leistung, die Bestellung, Verzeichnis nach Art. 30 DSGVO, Meldewege, Schulungsplan und Auftragsverarbeitungen so dokumentiert, dass die Aufsicht in der Stichprobe nicht stolpert und die Geschäftsführung in der Vorstandssitzung belegen kann, wer welche Maßnahme bis wann übernimmt.

Dieser Beitrag zeigt, was Datenschutz-Beratung 2026 leisten muss, welche Preismodelle realistisch sind, wo der Unterschied zwischen Stundenhonorar und betrieblicher Verankerung liegt und wie sich Berater-Output in einen prüfbaren Workspace übersetzen lässt. CIVAC betreibt dafür eine Compliance-Plattform und Officer-as-a-Service: Sie lizenzieren den Workspace für Ihre internen Beauftragten, oder Sie lassen die externen Beauftragten von CIVAC bestellen. Beide Modelle enden mit derselben Datei, derselben Beweislage und derselben Berichtslinie an die Geschäftsführung: Bestellurkunde, unterschrieben, ordentlich abgelegt, jederzeit belegbar.

Datenschutz-Beratung beschreibt heute weit mehr als die Erstellung einer Datenschutzerklärung für die Website oder ein einmaliges Awareness-Training für die Belegschaft. Die deutschen Aufsichtsbehörden prüfen seit 2024 verstärkt die operative Umsetzung, also ob Verarbeitungsverzeichnisse aktuell gepflegt sind, ob Auftragsverarbeitungen nach Art. 28 DSGVO mit allen acht Mindestinhalten geschlossen wurden und ob die Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden ab Kenntnis tatsächlich operationalisiert ist. Eine belastbare Beratung deckt deshalb mindestens fünf Kernbereiche ab: die Bestellung des Datenschutzbeauftragten mit ordentlicher Berichtslinie, die laufende Verzeichnispflege, die technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO, die Bearbeitung der Betroffenenrechte sowie den Datenpannen-Meldepfad mit Eskalationsmatrix.

Wer eine Datenschutz-Beratung beauftragt, erhält im günstigen Fall einen priorisierten Maßnahmenplan, einen Bestellvorschlag für die Rolle des Beauftragten und einen Auditfahrplan über zwölf Monate. Im ungünstigen Fall erhält der Auftraggeber 80 PDF-Seiten ohne Verlinkung in den Tagesbetrieb und ohne klare Verantwortlichkeiten. Die Differenz zwischen beiden Welten zeigt sich erst im Ernstfall: Der Prüfer ruft an, der Nachweis liegt bereit, oder eben nicht. CIVAC hinterlegt Beratungsergebnisse direkt im Workspace und verknüpft jede Maßnahme mit Owner, Frist und Nachweis. Im Hintergrund stehen 490 einsatzbereite Audit-Vorlagen und 93 Controls nach ISO/IEC 27001:2022. Wer bereits einen externen Datenschutzbeauftragten sucht, findet dort die Bestelldokumente, die Berichtslinie und die Vertretungsregelung in einem konsistenten Paket vor. Beratung wird so zum Betriebsmittel, nicht zum Aktenordner im Regal. Genau diese Verzahnung macht den Unterschied zwischen einem teuren Compliance-Projekt mit Abschlussbericht und einer dauerhaft tragenden Routine, die ohne Aufwand belegbar bleibt, sobald die Aufsicht einen konkreten Beleg sehen will. Aus 80 PDF-Seiten werden 80 verfolgbare Aufgaben mit Owner, Frist und Audit-Trail.

Die Entscheidung zwischen interner und externer Datenschutz-Beratung ist selten eine Frage des Stolzes, sondern eine Frage der Stundenkalkulation und der Personaldecke. § 38 BDSG verlangt einen Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ab dieser Schwelle stellt sich die Aufgabe der Bestellung unabhängig davon, ob die Person intern beschäftigt oder extern beauftragt wird. Beide Varianten setzen Fachkunde, Unabhängigkeit, Weisungsfreiheit in der Sache und eine direkte Berichtslinie an die Geschäftsführung voraus. Die Aufsichtsbehörden prüfen jede dieser Anforderungen einzeln.

Intern überzeugt der kurze Draht in die Fachbereiche, die Kenntnis interner Prozesse und die unmittelbare Verfügbarkeit. Extern überzeugt die Trennung von der Linie, der weitgehende Haftungstransfer und die laufende Marktbeobachtung durch eine Beratungsfirma, die zwanzig oder mehr Mandate parallel betreut. Praktisch entscheidet die Personaldecke: Wer keinen Vollzeit-Datenschutz finanzieren kann oder will, kauft Stunden eines externen Beraters und verzichtet im Tagesgeschäft auf den persönlichen Korridor. Wer hingegen intern besetzt, braucht zwingend eine Plattform, damit Bestellurkunde, Verzeichnis nach Art. 30 DSGVO, Schulungsnachweise und Meldepfad audit-fest abgelegt sind. CIVAC bietet beide Wege parallel: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Wer Detailfragen klären will, findet im CIVAC-FAQ die häufigsten Schwellenwerte und Bestellvarianten in einer kompakten Übersicht. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die Entscheidung muss deshalb weniger nach Bauchgefühl als nach Aktenlage getroffen werden: Wer übernimmt im Urlaub die Vertretung, wer dokumentiert die Berichte an die Geschäftsführung, wer liefert binnen 72 Stunden den vollständigen Aktenstand an die Aufsicht?

Die Preise für Datenschutz-Beratung schwanken in Deutschland 2026 erheblich, weil die Leistungstiefe nicht standardisiert ist und der Markt von Einzelkanzleien, Beratungsfirmen und Plattformanbietern gleichermaßen bedient wird. Realistisch lassen sich drei Preisniveaus unterscheiden. Stundenhonorar liegt zwischen 140 und 280 Euro netto, geeignet für punktuelle Einzelfragen, ungeeignet für eine laufende Betreuung. Monatliche Pauschalen liegen bei kleineren Unternehmen mit bis zu 50 Beschäftigten zwischen 380 und 720 Euro netto, bei mittelständischen Unternehmen mit 200 bis 800 Beschäftigten zwischen 950 und 1.800 Euro netto. Projekt-Pauschalen für Erst-Implementierungen rangieren zwischen 4.500 und 18.000 Euro netto, je nach Datentiefe, Standort-Anzahl und Verarbeitungs-Risiko.

Die enorme Preisspanne erklärt sich weniger durch das Stundenniveau als durch den Umfang der mitgelieferten Vorlagen, durch die Verfügbarkeit der Auskunftsrechts-Bearbeitung nach Art. 15 DSGVO und durch das vereinbarte Service-Level für Datenpannen-Meldungen. CIVAC arbeitet mit klar definierten Service-Leveln: Die Bestellung erfolgt typischerweise innerhalb von 2 Werktagen statt der klassischen 2 bis 6 Wochen, der 72-Stunden-Meldepfad ist im Workspace hinterlegt und die Berichtslinie an die Geschäftsführung sauber dokumentiert. Wer Vergleichsangebote einholt, sollte die Frage nach der Bestellurkunde und die Frage nach der mitgelieferten Anzahl an Audit-Vorlagen zwingend stellen. Anbieter ohne diese Dokumente verkaufen Beratungszeit, nicht Compliance. CIVAC betreibt seine Compliance-Plattform und Officer-as-a-Service mit EU-Datenresidenz und ISO 27001:2022 ISMS, sodass die Beratungsbeziehung selbst keine zusätzlichen Drittland-Risiken erzeugt. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die transparente Preislogik schützt vor versteckten Stundenrechnungen und sorgt dafür, dass das Budget für Datenschutz planbar in die Jahresplanung der Geschäftsführung eingeht, ohne nachträgliche Sondergutachten.

Die DSGVO formuliert eine Reihe von Pflichten, die im Aufsichtsverfahren regelmäßig abgefragt werden und ohne die jede Beratung schnell zur Theorie verkommt. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist der zentrale Nachweis: Es muss den Verantwortlichen, den Zweck, die Kategorien betroffener Personen, die Empfänger, eventuelle Drittlandstransfers, die Löschfristen und die technisch-organisatorischen Maßnahmen erfassen. Ohne aktuelles Verzeichnis ist eine Datenschutz-Beratung kaum belastbar, denn die Aufsicht prüft im Streitfall zuerst dieses Dokument und vergleicht es mit der tatsächlichen Verarbeitung in den Fachbereichen.

Der Meldepfad nach Art. 33 DSGVO verlangt eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnisnahme der Schutzverletzung. Frist läuft ab Kenntnis. Die operative Umsetzung scheitert in der Praxis selten am juristischen Verständnis, sondern an fehlenden Vorlagen, an einer unklaren Eskalationsmatrix und an mangelnder Übung. CIVAC liefert die Meldepfad-Vorlage, das Verzeichnismuster und die Auftragsverarbeitungs-Vorlage als integralen Teil der 490 einsatzbereiten Audit-Vorlagen. Wer den Datenschutzbeauftragten zusätzlich mit dem Informationssicherheitsbeauftragten verzahnt, deckt zudem die NIS-2-Schnittstelle ab, sodass die 24-Stunden-Frühwarnung und die 72-Stunden-Folgemeldung in einem einheitlichen Eskalationspfad laufen. Beratung ohne Vorlagen erzeugt Output, der im Tagesgeschäft nicht trägt. Vorlagen ohne Beratung erzeugen Formularkrieg ohne Steuerung. Audit-fest, dokumentiert, § 38-fest entsteht erst aus der Kombination beider Welten, ergänzt um eine zentrale Plattform, die Verantwortlichkeiten sichtbar macht. Die Audit-Vorlagen reduzieren zudem die Vorbereitungszeit für externe Prüfungen erheblich, weil Verzeichnis, Auftragsverarbeitungen und Meldepfad in einer einzigen Quelle der Wahrheit stehen und nicht in vier verschiedenen Ablagen rekonstruiert werden müssen, bevor die Aufsicht überhaupt erscheinen kann.

Eine der häufigsten Beanstandungen in Datenschutz-Audits des Jahres 2025 betraf nicht die Datenschutzerklärung oder die Cookie-Banner, sondern die Bestellung des Datenschutzbeauftragten selbst. § 38 BDSG verlangt die Bestellung in schriftlicher oder elektronischer Form, Art. 38 DSGVO verlangt zusätzlich die Veröffentlichung der Kontaktdaten und die Mitteilung an die zuständige Aufsichtsbehörde. In der Praxis fehlt überraschend oft die Bestellurkunde mit Datum, Unterschrift und Anlagen zur Berichtslinie. Wer hier nicht sauber dokumentiert, lädt eine Bußgeldnummer ein, die sich ohne Rechtsstreit kaum noch entkräften lässt und die nebenbei die Vermutung weiterer Mängel begründet.

Die Berichtslinie an die Geschäftsführung ist der zweite stille Risikoposten. Der Datenschutzbeauftragte berichtet nach Art. 38 Abs. 3 DSGVO direkt an die oberste Leitungsebene, ohne Weisung in der Sache. In Konzernstrukturen wird diese Linie regelmäßig durchbrochen, etwa weil der Beauftragte fachlich im Compliance-Team aufgehängt ist und das Compliance-Team an die Konzern-Compliance berichtet. CIVAC dokumentiert die Berichtslinie als Anlage zur Bestellurkunde und führt ein Berichtsprotokoll im Workspace, sodass die Aufsicht im Ernstfall die korrekte Linie sofort nachvollziehen kann. Bestellurkunde, unterschrieben, abgelegt, belegbar. Diese sechs Worte erklären, warum eine ordentliche Datenschutz-Beratung mit der Bestellung beginnt und nicht mit der Datenschutzerklärung. Die Plattform stellt sicher, dass jede Änderung der Berichtslinie revisionssicher protokolliert wird und Bestellungen mit klaren Vertretungsregelungen einhergehen. Damit endet die häufigste Beanstandung, bevor sie überhaupt entstehen kann. Wer die Bestellung intern besetzt, kann denselben Mechanismus nutzen und erhält dieselbe Beweislage wie ein extern bestellter Beauftragter, ohne die Trennung zur Linie zu verlieren.

Das Schrems-II-Urteil des EuGH vom 16. Juli 2020 hat die Standardvertragsklauseln nicht abgeschafft, sondern um eine eigenständige Prüfpflicht erweitert. Wer personenbezogene Daten in Drittländer überträgt, etwa in die Vereinigten Staaten an Cloud-Anbieter, muss eine Transfer-Folgenabschätzung dokumentieren und prüfen, ob das Schutzniveau im Drittland im konkreten Einzelfall ausreicht. Das EU-US Data Privacy Framework vom 10. Juli 2023 entlastet bestimmte zertifizierte Empfänger, ersetzt aber weder die Standardvertragsklauseln in der Fassung von 2021 noch die Auftragsverarbeitungs-Verträge nach Art. 28 DSGVO. Diese Trennung wird in der Praxis häufig übersehen.

Auftragsverarbeitungen sind in der Praxis das zweite Brennglas der Aufsicht. Jeder externe Dienstleister, der personenbezogene Daten weisungsgebunden verarbeitet, etwa der E-Mail-Anbieter, der Lohnabrechner, der HR-Cloud-Anbieter oder der CRM-Provider, muss einen Vertrag mit den acht Mindestinhalten nach Art. 28 Abs. 3 DSGVO erhalten. CIVAC pflegt eine zentrale Auftragsverarbeitungs-Liste im Workspace und stellt eine standardisierte Vorlage zur Verfügung, die TOM-Anlage, Subunternehmer-Liste und Drittland-Hinweise integriert. EU-Datenresidenz ist für CIVAC selbst durchgängig sichergestellt, sodass die Mandantendaten in der Beratungsbeziehung keine zusätzliche Schrems-II-Frage auslösen. Wer Drittland und Auftragsverarbeitung nicht systematisch pflegt, riskiert in jeder Aufsichts-Stichprobe einen Befund, der zu Bußgeldern, behördlichen Auflagen und nicht zuletzt zu Reputationsschäden in der Lieferkette führen kann. Eine saubere Liste schützt vor genau diesen Verfahren. CIVAC hält für jeden gelisteten Dienstleister die unterschriebene Auftragsverarbeitungs-Vereinbarung, die letzte TOM-Anlage und das Datum der letzten Wirksamkeitsprüfung im Workspace bereit und verknüpft jede Drittland-Übermittlung mit einer dokumentierten Transfer-Folgenabschätzung, die auf Knopfdruck als PDF-Export an die Aufsicht weitergegeben werden kann, ohne Zusatzarbeit auf der DSB-Seite oder lange Vorlaufzeit für ad-hoc-Recherchen.

Im Ernstfall einer Datenpanne zählt nicht der Berater, der vor sechs Monaten ein Gutachten geschrieben hat, sondern der Prozess, der jetzt anläuft. Art. 33 DSGVO setzt eine Meldefrist von 72 Stunden ab Kenntnisnahme der Verletzung des Schutzes personenbezogener Daten. Die Frist beginnt mit der Kenntnisnahme durch eine Person im Unternehmen, die in der Lage ist, den Vorgang als Datenpanne einzustufen, nicht erst mit der Eskalation an die Geschäftsführung oder den Datenschutzbeauftragten. Wer hier eine interne Eskalationsstrecke von vier Tagen pflegt, hat die Frist verpasst, bevor er sie wahrnimmt, und steht im Folgeverfahren bereits auf verlorenem Posten.

Der operative Pfad besteht aus vier Schritten: die strukturierte Erstaufnahme mit Zeitstempel, die Risikobewertung nach den Kriterien der Aufsichtsbehörden, die Meldung an die Aufsichtsbehörde und gegebenenfalls die Benachrichtigung der Betroffenen nach Art. 34 DSGVO. CIVAC hinterlegt jeden dieser Schritte als Vorlage und Workflow im Workspace, sodass die Erstaufnahme strukturiert erfolgt und das Risiko nach den Kriterien der Datenschutzkonferenz eingestuft werden kann. Im Zusammenspiel mit dem NIS-2-Meldepfad, der eine 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung verlangt, ergibt sich ein konsolidierter Eskalationsweg, der beide Regelwerke gleichzeitig bedient und keine Lücke öffnet. Mehr zur Verzahnung der Pfade steht in der CIVAC-Übersicht zur NIS-2-Umsetzung in Deutschland. Der Prüfer ruft an, der Nachweis liegt bereit. Im Workspace werden die einzelnen Schritte mit Zeitstempel, Verantwortlichen und Anhängen protokolliert, sodass die anschließende Aufarbeitung im Vorstand und gegenüber der Aufsicht ohne nachträgliche Rekonstruktion erfolgen kann und die 72-Stunden-Frist erkennbar eingehalten ist. Aus dem Vorfall wird ein Dossier, das im Audit zwei Jahre später noch trägt.

Datenschutz-Beratung endet nicht mit der Bestellung oder dem ersten Verzeichnis. Art. 39 Abs. 1 lit. b DSGVO verlangt ausdrücklich die Sensibilisierung und Schulung der Mitarbeiter, die an Verarbeitungsvorgängen beteiligt sind. Die Aufsichtsbehörden erwarten typischerweise eine jährliche Pflichtschulung mit Teilnahmenachweis, ergänzt um zielgruppenspezifische Vertiefungen, etwa für HR, IT, Marketing und Vertrieb. Wer Schulungen nur als einmaliges Onboarding-Modul einsetzt, übersieht die Pflicht zur jährlichen Wiederholung und liefert im Audit keinen aktuellen Nachweis. Damit gerät die gesamte Compliance-Argumentation ins Wanken, weil der Beauftragte seinen Sensibilisierungsauftrag nicht belegen kann.

Die Wirksamkeitsprüfung der technisch-organisatorischen Maßnahmen ist die zweite jährliche Routine. Art. 32 Abs. 1 lit. d DSGVO verlangt ein dokumentiertes Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen. In der Praxis bedeutet das einen jährlichen TOM-Review mit dokumentierten Ergebnissen, der idealerweise mit dem ISO/IEC 27001 ISMS verzahnt ist, sodass Findings einmal erhoben und in beiden Welten genutzt werden. CIVAC bündelt Schulungsnachweise, TOM-Review und Jahres-Audit im Workspace, sodass die drei Routinen in einem Dashboard sichtbar werden und Fristen automatisch nachgehalten sind. Wer das nicht zentral pflegt, sucht im Ernstfall in vier Outlook-Ordnern und drei SharePoint-Bibliotheken nach dem Beleg, der eigentlich auf einem Klick liegen sollte. Die jährliche Routine ist die einfachste Form, eine Beratungsbeziehung lebendig zu halten und gleichzeitig den Aufsichtsbehörden den geforderten Nachweis zu liefern. Damit verschiebt sich die Diskussion mit der Geschäftsführung weg von ad-hoc-Krisen hin zu einer planbaren Jahresroutine mit klaren Meilensteinen, fixen Reporting-Terminen und einer Datenbasis, die nicht erst beim Audit erhoben werden muss, sondern täglich aktuell mitläuft.

Eine Datenschutz-Beratung entfaltet betriebliche Wirkung erst dann, wenn ihre Empfehlungen in einen wiederkehrenden Ablauf übergehen. Das gelingt selten durch ein PDF mit 80 Maßnahmen ohne Verantwortliche, sondern durch eine Plattform, die jede Maßnahme mit Owner, Frist, Status und Nachweis verknüpft. CIVAC betreibt diese Plattform als Compliance-Plattform und Officer-as-a-Service. Die 490 einsatzbereiten Audit-Vorlagen, die 93 Controls nach ISO/IEC 27001:2022 und der NIS-2-Meldepfad sind direkt im Workspace verankert, sodass Beratung nicht im Gutachten endet, sondern in einer Aufgabenliste mit klaren Verantwortlichen und nachvollziehbarem Fortschritt mündet.

Das Modell ist bewusst zweistufig angelegt. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen am Ende zur selben Datei: Bestellurkunde, unterschrieben, abgelegt, belegbar. Wenn Sie Ihre Datenschutz-Beratung jetzt in einen prüfbaren Workspace überführen wollen, schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Aus dem Lesen einen Auftrag machen. Die Erstgespräche dauern typischerweise 30 Minuten, das Onboarding 2 Werktage und enden mit einer unterschriebenen Bestellurkunde sowie einem aktiven Workspace-Zugang, in dem Verzeichnis, Meldepfad, Schulungsplan und Audit-Plan ab Tag 1 live sind. Damit ist Beratung nicht länger ein einmaliger Wissensimpuls, sondern ein wiederkehrender Betriebsprozess mit Audit-Trail und EU-Datenresidenz. Die monatliche Berichterstattung an die Geschäftsführung erfolgt aus demselben Workspace, sodass die Vorstandssitzung mit aktuellen Zahlen, offenen Findings und geplanten Schritten arbeiten kann. Wer einmal so arbeitet, kehrt selten zum PDF-Stapel zurück. Die typische Erstreaktion der Auditoren ist Anerkennung für die saubere Aktenführung, die typische Erstreaktion der Fachbereiche ist Erleichterung über klar zugewiesene Aufgaben statt diffuser Compliance-Mails.