Externer Datenschutzbeauftragter: Bestellung, Kosten und Haftung im Klartext

Nach Art. 37 Abs. 1 DSGVO besteht eine Pflicht zur Bestellung eines Datenschutzbeauftragten, sobald ein Unternehmen in Deutschland gemäß § 38 BDSG mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt oder eine umfangreiche regelmäßige Überwachung betroffener Personen durchführt. Die Funktion lässt sich intern besetzen oder extern vergeben. Beide Wege erfüllen die formale Anforderung der Aufsichtsbehörden, unterscheiden sich jedoch erheblich in Haftung, laufenden Kosten, Unabhängigkeit von der Geschäftsleitung sowie in operativer Belastbarkeit bei Audits, Datenpannen und Betroffenenanfragen. Mit jedem zusätzlichen System, das personenbezogene Daten verarbeitet, wächst die Komplexität spürbar, von der Marketingautomation über das Bewerbermanagement bis zum KI-gestützten Support.

Dieser Beitrag erklärt im Detail, welche Aufgaben Art. 39 DSGVO einem externen Datenschutzbeauftragten zuweist, wie die Bestellurkunde nach § 38 BDSG sauber aufgesetzt wird, mit welchen Marktpreisen 2026 zu rechnen ist, wo die Haftungsgrenzen für Geschäftsführung und Beauftragten genau verlaufen und welche typischen Fehler bei Auswahl und Onboarding die Aufsichtsbehörden in ihren Tätigkeitsberichten 2024 und 2025 regelmäßig beanstanden. Sie erhalten zudem eine Entscheidungsmatrix für die Wahl intern oder extern und eine kompakte Checkliste für das Anbietergespräch. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Pflicht zur Bestellung ergibt sich primär aus Art. 37 Abs. 1 DSGVO und wird in Deutschland durch § 38 BDSG konkretisiert. Sie greift in drei Konstellationen. Erstens, wenn die Kerntätigkeit eines Unternehmens eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erfordert, etwa bei Trackinganbietern, Telematikversicherern, Sicherheitsdiensten oder Plattformbetreibern mit Verhaltensauswertung. Zweitens, bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, also Gesundheits-, Religions- oder biometrischen Daten, oder von Daten zu strafrechtlichen Verurteilungen nach Art. 10 DSGVO. Drittens, in Deutschland zusätzlich ab 20 Beschäftigten, die ständig automatisiert personenbezogene Daten verarbeiten.

Die 20-Personen-Schwelle ist niedriger angesetzt, als viele Geschäftsführungen in der Praxis vermuten. Jeder Mitarbeitende mit Zugriff auf ein CRM, ein Bewerbermanagement, ein Personalsystem, ein Ticketingtool, ein Lernmanagementsystem oder eine Marketingautomation zählt mit. Auch geringfügig Beschäftigte und Werkstudierende fallen unter die Schwelle. Eine Agentur mit 22 Köpfen, von denen 21 in HubSpot oder Salesforce arbeiten, ist bestellungspflichtig. Bei Versäumnis drohen nach Art. 83 Abs. 4 DSGVO Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Konzernumsatzes des Vorjahres, je nachdem welcher Betrag höher ist. Hinzu kommen Anordnungs- und Untersagungsverfügungen der Aufsicht.

Ein externer Datenschutzbeauftragter bietet hier einen pragmatischen Pfad zur Erfüllung der Bestellpflicht. Die Bestellung erfolgt schriftlich nach den Vorgaben des Bundesdatenschutzgesetzes, die Meldung an die zuständige Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO innerhalb weniger Werktage über das Online-Portal der jeweiligen Landesdatenschutzaufsicht. CIVAC liefert die Bestellurkunde mit allen Pflichtangaben, hinterlegt sie im Workspace mit Versionierung und Audit-Log und übernimmt die Meldung an die jeweilige Landesdatenschutzaufsicht. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Art. 39 Abs. 1 DSGVO definiert fünf Kernaufgaben des Datenschutzbeauftragten. Erstens, die Unterrichtung und Beratung des Verantwortlichen, der Auftragsverarbeiter und der Beschäftigten über deren Pflichten nach der Datenschutz-Grundverordnung und sonstigen Datenschutzvorschriften der Union und der Mitgliedstaaten. Zweitens, die Überwachung der Einhaltung der DSGVO und sonstiger Datenschutzvorschriften einschließlich der internen Strategien des Verantwortlichen, der Zuweisung von Zuständigkeiten, der Sensibilisierung sowie der diesbezüglichen Überprüfungen. Drittens, die Beratung im Zusammenhang mit Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und die Überwachung ihrer Durchführung. Viertens, die Zusammenarbeit mit der Aufsichtsbehörde. Fünftens, das Wirken als Anlaufstelle für die Aufsichtsbehörde bei Konsultationen nach Art. 36 DSGVO.

In der operativen Praxis bedeutet das ein konkretes monatliches Arbeitspaket. Pflege und Quartalsprüfung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO, fortlaufende Begleitung aller Auftragsverarbeitungsverträge nach Art. 28 DSGVO inklusive Subunternehmerprüfung, Bearbeitung von Betroffenenanfragen nach Art. 15 bis 22 DSGVO innerhalb der Monatsfrist mit dokumentiertem Verlauf, Pflege der Datenschutzhinweise nach Art. 13 und 14 DSGVO bei jeder neuen Verarbeitung. Steuerung von Datenpannenmeldungen nach Art. 33 DSGVO innerhalb von 72 Stunden ab Kenntnis, Schulung der Belegschaft mindestens einmal jährlich mit Teilnehmernachweis, Erstellung eines jährlichen Tätigkeitsberichts an die Geschäftsführung mit Maßnahmenplanung und Risikomatrix.

Ein externer Datenschutzbeauftragter mit Plattformanbindung bringt diese Aufgaben in einen reproduzierbaren Takt. CIVAC stellt 490 einsatzbereite Audit-Vorlagen bereit, darunter Verzeichnis, AVV-Check, Folgenabschätzung, Schulungsnachweis, Löschkonzept und Datenpannenprotokoll mit Zeitstempel und 72-Stunden-Eskalation. Frist läuft ab Kenntnis. Der Prüfer ruft an, der Nachweis liegt bereit. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die Wahl zwischen interner und externer Bestellung folgt vier Hauptkriterien. Erstens, das Risiko struktureller Interessenkonflikte nach Art. 38 Abs. 6 DSGVO. Ein interner Datenschutzbeauftragter darf keine Funktion ausüben, die zu Konflikten mit der Aufsichtsaufgabe führt. Die Datenschutzkonferenz hat in ihrem Kurzpapier Nr. 12 konkretisiert, dass IT-Leitung, HR-Leitung, Marketingverantwortung, IT-Sicherheit sowie Geschäftsführung regelmäßig inkompatibel sind. In KMU mit flachen Strukturen fehlt damit oft eine geeignete interne Person, ohne dass die Geschäftsleitung dies bemerkt. Bei Konzernstrukturen mit Doppelmandaten ist die Rollenklarheit gesondert zu dokumentieren.

Zweitens, der Fachkundenachweis nach Art. 37 Abs. 5 DSGVO. Die Aufsichtsbehörden erwarten in der Praxis eine zertifizierte Ausbildung, etwa nach TÜV, ISACA CIPP/E oder einem gleichwertigen Curriculum, plus laufende Weiterbildung im Umfang von mindestens 16 Stunden jährlich. Drittens, die Kontinuität. Krankheit, Kündigung, Mutterschutz oder Elternzeit lassen interne Lösungen ausfallen, mit unmittelbarer Lücke gegenüber der Aufsichtsbehörde, die nach Art. 37 Abs. 7 DSGVO immer einen ansprechbaren Beauftragten erwartet. Eine externe Mandatierung über eine Plattform mit dokumentierter Vertretungsregel hält die Funktion durchgängig besetzt und meldepflichtig erreichbar.

Viertens, die Gesamtkosten über drei Jahre gerechnet. Eine interne Vollzeitstelle inklusive Lohnnebenkosten, Schulungen, Berufshaftpflicht und Toollizenzen liegt 2026 bei 95.000 bis 130.000 Euro pro Jahr. Eine externe Mandatierung über CIVAC startet bei einem niedrigen vierstelligen Monatsbetrag und skaliert transparent mit Mitarbeitenden, Standorten und Verarbeitungstätigkeiten. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle führen zur gleichen Bestellurkunde im selben Workspace, mit identischer Berichtslinie an Ihre Geschäftsleitung und identischem Audit-Log. Der Wechsel von intern auf extern ist jederzeit möglich.

Der deutsche Markt arbeitet 2026 mit drei wesentlichen Preismodellen. Erstens, monatliche Pauschalpakete. Hier wird ein definiertes Stundenkontingent inklusive Reaktionszeit bei Datenpannen, einer festen Anzahl Vor-Ort-Termine pro Jahr und Auditbegleitung verkauft. Zweitens, reine Tagessätze für ad hoc Mandate, üblich zwischen 1.200 und 2.400 Euro netto pro Personentag, häufig in Verbindung mit einem garantierten Reaktionsfenster. Drittens, Hybridmodelle mit niedriger Grundgebühr plus Verbrauchsabrechnung gegen Zeitnachweis. Der Median für ein Unternehmen mit 50 bis 150 Beschäftigten und einem mittleren Risikoprofil liegt bei 1.200 bis 2.800 Euro netto monatlich, ohne Sonderprojekte wie eine Folgenabschätzung für eine neue KI-Anwendung.

Drei strukturelle Kostentreiber sind dabei relevant. Erstens, die Zahl der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Ein Online-Shop mit Newsletter, Webtracking, Bonitätsprüfung, A/B-Testing und internationalem Versand erzeugt einen Vielfachen des Aufwands, den ein Maschinenbauer mit klassischer Personalverwaltung verursacht. Zweitens, die Branche. Gesundheitsdienstleister, Banken, HR-Tech und Adtech tragen besondere Kategorien nach Art. 9 DSGVO und benötigen strukturell mehr Folgenabschätzungen pro Quartal sowie Konsultationen nach Art. 36. Drittens, die internationale Dimension. Drittlandtransfers nach Art. 44 ff. DSGVO mit Standardvertragsklauseln, Transfer Impact Assessment und Schrems-II-Konformität erhöhen den Stundenbedarf signifikant.

Wer Kosten realistisch vergleichen will, fragt nicht den Monatspreis ab, sondern den genauen Leistungskatalog. Enthält das Angebot die Bestellurkunde, die Meldung an die Aufsichtsbehörde, das Verzeichnis nach Art. 30, ein Datenpannen-Protokoll mit 72-Stunden-Eskalation, einen jährlichen Tätigkeitsbericht, einen Schulungsplan und eine dokumentierte Vertretungsregel? Ist die EU-Datenresidenz für den Workspace vertraglich zugesichert, inklusive Sub-Auftragsverarbeitern? Diese sieben Fragen trennen seriöse Anbieter von Honorarmodellen ohne Substanz.

Die zivilrechtliche Verantwortung für die Einhaltung der DSGVO liegt nach Art. 5 Abs. 2 und Art. 24 DSGVO eindeutig beim Verantwortlichen, also dem Unternehmen. Der Datenschutzbeauftragte berät und überwacht, trifft jedoch keine eigenen Entscheidungen über Verarbeitungszwecke und Mittel. Bußgelder nach Art. 83 DSGVO richten sich entsprechend gegen den Verantwortlichen, nicht gegen den Beauftragten persönlich. Diese Trennung ist zentral und wird in Geschäftsführerkreisen häufig missverstanden, gerade wenn ein Anbieter mit dem unzutreffenden Versprechen wirbt, das Bußgeldrisiko zu übernehmen. Vertragliche Klauseln, die das suggerieren, sind aufsichtsrechtlich wirkungslos.

Eine eigene Haftung des Datenschutzbeauftragten kommt in zwei Konstellationen in Betracht. Erstens, vertragliche Schlechtleistung gegenüber dem mandatierenden Unternehmen, etwa bei nachweislich falscher Beratung mit kausal eingetretenem Schaden, zum Beispiel ein Bußgeld als unmittelbare Folge einer Fehlempfehlung. Zweitens, persönliche Verantwortlichkeit nach allgemeinem Zivilrecht bei vorsätzlichem oder grob fahrlässigem Verhalten, etwa bei wissentlich verschwiegenen Vorfällen oder gefälschten Schulungsnachweisen. Externe Anbieter decken diese Risiken über eine Berufshaftpflichtversicherung ab, üblich sind Deckungssummen ab zwei Millionen Euro pro Versicherungsfall und vier Millionen Jahresmaximum.

Für die Geschäftsführung ist die Kernbotschaft entscheidend. Die Bestellung eines qualifizierten externen Datenschutzbeauftragten reduziert das eigene Haftungsrisiko nach § 130 OWiG, Verletzung der Aufsichtspflicht, deutlich. Wer einen Fachkundigen mandatiert, dessen Empfehlungen dokumentiert nachverfolgt und Bestellurkunde nebst Aufsichtsbehördenmeldung lückenlos vorhält, hat das Organisationsverschulden minimiert und die Sorgfaltspflichten nach § 43 GmbHG erfüllt. Audit-fest, dokumentiert, § 130-fest. Der Prüfer ruft an, der Nachweis liegt bereit. Dokumentiert wird die Empfehlung des Beauftragten ebenso wie die Entscheidung der Geschäftsführung, der Umsetzungsstand und die Wirksamkeitsprüfung nach drei Monaten.

Sieben Prüfpunkte trennen belastbare Anbieter von Visitenkarten-Datenschutz. Erstens, der Fachkundenachweis muss zertifiziert und aktuell sein. Fragen Sie nach TÜV-Zertifikat, ISACA CIPP/E oder CIPM, Udo-Voigt-Akademie oder gleichwertigen Nachweisen und nach der jährlichen Weiterbildungspflicht mit dokumentierten Fortbildungsstunden. Zweitens, eine Berufshaftpflichtversicherung mit Mindestdeckung von zwei Millionen Euro pro Versicherungsfall, idealerweise mit aktueller Versicherungsbestätigung als Anlage zum Mandatsvertrag und einer Klausel zur Nachhaftung nach Mandatsende.

Drittens, Branchenerfahrung mit Tiefe. Ein Gesundheitsdienstleister braucht jemanden, der § 22 BDSG, das Patientendatenschutzgesetz und die einrichtungsspezifischen Anforderungen nach § 75c SGB V kennt. Ein SaaS-Anbieter braucht jemanden mit Drittlandtransfer-Praxis, Schrems II und Standardvertragsklauseln. Ein Industrieunternehmen braucht Erfahrung mit Beschäftigtendatenschutz und Werkschutz nach § 26 BDSG. Viertens, definierte Erreichbarkeit. Reaktionszeiten bei Datenpannen, etwa Antwort innerhalb von vier Stunden in der Geschäftszeit, plus eine Notfallrufnummer für die 72-Stunden-Frist nach Art. 33 DSGVO, gehören in den Vertrag mit klarem Eskalationspfad.

Fünftens, ein nachvollziehbares Toolset. Ein Plattform-gestützter Anbieter mit Workspace, vorgefertigten Vorlagen, automatischer Versionierung und Audit-Log ist einem Word-Vorlagen-Anbieter strukturell überlegen. Sechstens, EU-Datenresidenz. Das Verzeichnis nach Art. 30, die AVV-Dokumentation und die Schulungsnachweise dürfen nicht in einem US-Cloud-Setup ohne Adequacy-Decision liegen. Siebtens, eine klare Vertretungsregel mit Name, Kontaktdaten und Übergabeprozess. Im CIVAC FAQ finden Sie die ausführliche Prüfcheckliste mit allen sieben Kriterien und konkreten Beispielfragen für das Anbietergespräch. Ergänzen Sie diese Punkte um eine Referenzanfrage bei zwei vergleichbaren Bestandskunden des Anbieters, idealerweise aus Ihrer Branche und Größenklasse, sowie um eine Live-Demo des Workspace mit echten Vorlagen statt einer reinen Verkaufspräsentation. Lassen Sie sich zusätzlich ein Muster-Auditprotokoll und einen anonymisierten Quartalsbericht zeigen.

Die formale Bestellung verläuft in vier sauber dokumentierten Schritten. Erstens, die schriftliche Bestellurkunde. Sie nennt den Beauftragten mit Name und Kontaktdaten, beschreibt den Aufgabenbereich nach Art. 39 DSGVO, verweist auf die Unabhängigkeit nach Art. 38 Abs. 3 DSGVO und auf das Kündigungsverbot nach § 6 Abs. 4 BDSG für interne Beauftragte. Externe Beauftragte werden über einen Dienstleistungsvertrag mandatiert, der dieselben inhaltlichen Anker enthält. Zusätzlich gehören Bestelldatum, Vertretungsregel, Ablauf bei Beendigung und Übergaberegeln in das Dokument, ebenso eine Klausel zur Vertraulichkeit nach Art. 38 Abs. 5 DSGVO.

Zweitens, die interne Bekanntmachung. Die Belegschaft muss informiert werden, üblicherweise über Intranet, Newsletter und Aushang am schwarzen Brett. Die Kontaktdaten des Datenschutzbeauftragten müssen leicht zugänglich sein, in der Praxis durch Veröffentlichung auf der Unternehmenswebsite im Datenschutzhinweis nach Art. 13 Abs. 1 lit. b DSGVO. Drittens, die Meldung an die zuständige Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO. Sie erfolgt über das Online-Portal der jeweiligen Landesdatenschutzbeauftragten und enthält Name, Kontaktdaten und Bestellungsdatum, bei Wechsel zusätzlich das Datum des Funktionsendes des Vorgängers.

Viertens, das operative Onboarding. Übergabe des bestehenden Verzeichnisses nach Art. 30, vollständige Bestandsaufnahme aller AVVs, Review der bisher gemeldeten Datenpannen, Schulungsstand der Belegschaft, offene Betroffenenanfragen mit Frist, Statusübersicht laufender Folgenabschätzungen. CIVAC strukturiert diesen Übergang über ein 30-Tage-Onboarding mit fester Checkliste, Bestellurkunde im Workspace, automatischer Aufsichtsbehördenmeldung und einer Berichtslinie direkt zur Geschäftsführung. Am Ende des Onboardings liegt ein priorisierter Maßnahmenplan vor, der Quick Wins (etwa AVV-Lücken, Cookie-Banner), mittelfristige Themen (Folgenabschätzung, Schulungswelle) und langfristige Bausteine (Löschkonzept, Notfallplan) klar trennt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die jüngsten Tätigkeitsberichte der Landesdatenschutzbeauftragten für 2024 und 2025 nennen vier wiederkehrende Mängel bei externen Mandaten. Erstens, die formale Bestellung fehlt oder ist veraltet. Häufig wird ein Berater nur mündlich oder per Angebotsschreiben mandatiert, ohne dass eine Bestellurkunde im Sinne von Art. 37 DSGVO existiert. Bei einer Prüfung gilt das als Nichtbestellung mit unmittelbarer Bußgeldfolge nach Art. 83 Abs. 4 DSGVO. Gleiches gilt für eine Bestellurkunde ohne Datum, ohne Aufgabenbeschreibung oder ohne klare Unabhängigkeitsklausel nach Art. 38 Abs. 3 DSGVO.

Zweitens, die Meldung an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO ist nie erfolgt oder enthält veraltete Kontaktdaten, etwa weil ein Berater gewechselt wurde, ohne dass die Behörde nachgemeldet wurde. Drittens, der externe Beauftragte ist organisatorisch nicht eingebunden. Es gibt keine direkte Berichtslinie zur Geschäftsleitung nach Art. 38 Abs. 3 DSGVO, keine Teilnahme an relevanten Projekt- und Produktmeetings, keine Frühwarnung bei neuen Verarbeitungen, keinen festen Quartalstermin im Vorstand. Damit fehlt der Substanz, was die Form vorgibt.

Viertens, die Dokumentation ist lückenhaft. Verzeichnis nach Art. 30 unvollständig, Datenpannenprotokolle ohne Zeitstempel und ohne 72-Stunden-Eskalationsspur, Schulungsnachweise ohne Teilnehmerlisten, AVV-Listen ohne Subunternehmerprüfung nach Art. 28 Abs. 4 DSGVO. Bei einem Audit werden diese Lücken regelmäßig zum dokumentierten Befund mit Maßnahmenanordnung. CIVAC adressiert die vier Mängel über den Workspace mit versionierter Bestellurkunde, automatischer Aufsichtsbehördenmeldung, direkter Berichtslinie an die Geschäftsführung und 37 prüferfesten Vorlagen mit Zeitstempel und vollständigem Audit-Log. Der jährliche Tätigkeitsbericht entsteht automatisch aus den im Workspace dokumentierten Aktivitäten und enthält Maßnahmenstand, Schulungsquote und Risikomatrix.

Wenn Ihr Unternehmen die 20-Personen-Schwelle nach § 38 BDSG erreicht hat, eine umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 DSGVO betreibt oder die bestehende interne Lösung in einen strukturellen Interessenkonflikt nach Art. 38 Abs. 6 DSGVO geraten ist, lohnt sich der Wechsel zur externen Bestellung oder die Plattformanbindung Ihres internen Beauftragten. Auch eine bevorstehende Konzernprüfung, ein neuer Großkunde mit Vendor-Audit oder die Einführung einer KI-Anwendung mit personenbezogenen Eingaben sind klassische Anlässe für eine Neuaufstellung. Die Compliance-Plattform CIVAC kombiniert beide Wege. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle führen zur gleichen Bestellurkunde im selben System, mit denselben 490 Vorlagen, 93 Controls nach ISO/IEC 27001:2022 und vertraglich zugesicherter EU-Datenresidenz.

Ein typischer Start sieht so aus. Im ersten Gespräch klären wir die Bestellpflicht, das Risikoprofil und den passenden Officer-Zuschnitt. Im zweiten Schritt erhalten Sie innerhalb von zwei Werktagen die Bestellurkunde, die Meldung an die Aufsichtsbehörde und den Zugang zum Workspace mit allen Vorlagen, einer dokumentierten Berichtslinie und der schriftlich festgehaltenen Vertretungsregel. Im dritten Schritt übernimmt der CIVAC-Datenschutzbeauftragte das Tagesgeschäft mit fester Reaktionszeit, Quartalsbericht, Jahresplanung und Schulungsnachweis. Den Auftakt finden Sie über die Übersicht aller Beauftragten-Rollen. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Bringen Sie zum Erstgespräch idealerweise Mitarbeiterzahl, ein grobes Bild Ihrer Systemlandschaft und etwaige offene Befunde aus der letzten Aufsichts- oder Kundenprüfung mit, damit wir Bestellpflicht, Pakettiefe und Reaktionszeit konkret zuschneiden können.