Datenschutzbeauftragter extern: Kosten, Modelle und realistische Budgets 2026

Nach Art. 37 DSGVO und § 38 BDSG ist die Bestellung eines Datenschutzbeauftragten für viele Unternehmen in Deutschland verpflichtend, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder besondere Datenkategorien nach Art. 9 DSGVO verarbeitet werden. Die Frage, was ein externer Datenschutzbeauftragter konkret kostet, lässt sich seriös nur dann beantworten, wenn Risiko, Datenarten, Anzahl der Verarbeitungstätigkeiten, Standorte und Konzernstruktur sauber erhoben sind. Pauschalpreise aus Werbeanzeigen verfehlen den Punkt fast immer, weil sie weder die Initialphase mit Aufbau des Verzeichnisses nach Art. 30 DSGVO noch die Vorfallbearbeitung mit 72-Stunden-Frist sauber kalkulieren.

Dieser Leitfaden zeigt belastbare Preisbandbreiten für 2026, die fünf wichtigsten Kostentreiber, typische Modelle vom Stundensatz bis zur Konzern-Pauschale sowie die Punkte, an denen Unternehmen tatsächlich Geld verlieren. Sie erfahren, wann sich ein externer DSB gegenüber einer internen Bestellung rechnet, welche Leistungen im Standardpaket zwingend enthalten sein müssen und wie die Bestellurkunde, das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO sowie die 72-Stunden-Meldekette nach Art. 33 DSGVO in ein konsistentes Betriebsmodell passen. Am Ende erhalten Sie drei Preisbeispiele aus der Praxis sowie eine klare Entscheidungslogik für Workspace, externes Mandat oder Hybridvariante, inklusive Vertragsbausteinen, die im zweiten Mandatsjahr Reibung vermeiden.

Die Bestellpflicht ergibt sich primär aus § 38 BDSG in Verbindung mit Art. 37 DSGVO. Verpflichtend ist ein DSB, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl greift die Pflicht, wenn die Kerntätigkeit aus umfangreicher regelmäßiger Beobachtung von Betroffenen oder der Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO besteht, etwa in Kliniken, Personaldienstleistern, Versicherungsvermittlungen, in der Marktforschung oder bei Anbietern von Tracking- und Adtech-Diensten. Auch öffentliche Stellen unterliegen einer eigenständigen Bestellpflicht nach Art. 37 Abs. 1 lit. a DSGVO.

Die Wahl zwischen interner und externer Bestellung folgt drei harten Kriterien. Erstens die Verfügbarkeit von Fachkunde nach Art. 37 Abs. 5 DSGVO mit nachweisbaren Kenntnissen im Datenschutzrecht und in der einschlägigen Branche. Zweitens die Unabhängigkeit nach Art. 38 Abs. 3 DSGVO, die ausschließt, dass der DSB an Verarbeitungen mitentscheidet, die er selbst beurteilen soll. Drittens die Kapazität für laufende Beratung sowie für die Bearbeitung von Vorfällen und Betroffenenanfragen innerhalb der gesetzlichen Fristen. In Unternehmen mit weniger als rund 250 Beschäftigten überwiegt regelmäßig das externe Modell, weil die Vollzeitkosten einer internen Stelle mit nachweisbarer Fachkunde, Schulungsbudget, Tooling und Haftpflichtdeckung selten unter 95.000 Euro pro Jahr fallen. Hinzu kommt das praktische Problem, dass intern besetzte DSB-Stellen in regulierten Branchen oft schwer zu rekrutieren sind und das Risiko mehrmonatiger Vakanz nach Kündigung getragen werden muss. CIVAC tritt hier als Compliance-Plattform und Officer-as-a-Service auf und stellt qualifizierte externe Datenschutzbeauftragte samt Workspace, Bestellurkunde und dokumentierter Berichtslinie an die Geschäftsleitung. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen, je nach Reifegrad Ihrer Organisation.

Ein belastbares Angebot leitet sich aus messbaren Faktoren ab, nicht aus dem Bauchgefühl. Die fünf relevanten Treiber sind klar benennbar und sollten in jedem seriösen Mandatsangebot dokumentiert sein. Erstens die Anzahl der Mitarbeitenden und Standorte, weil daraus die Schulungs-, Audit- und Begehungslast skaliert. Ein Unternehmen mit drei Werken in unterschiedlichen Bundesländern erzeugt allein durch Reise- und Vor-Ort-Aufwand spürbar mehr Stunden als ein zentralisierter Anbieter. Zweitens das Datenrisiko, also der Anteil besonderer Kategorien nach Art. 9 DSGVO, Beschäftigtendaten, Bewerberdaten, Kreditkarteninformationen und insbesondere internationale Datentransfers nach Kapitel V DSGVO mit Standardvertragsklauseln und Transfer-Risk-Assessments.

Drittens die Zahl der Verarbeitungstätigkeiten, die im Verzeichnis nach Art. 30 DSGVO geführt werden müssen. Hier liegt erfahrungsgemäß der größte Initialaufwand, weil viele Unternehmen mit veralteten oder unvollständigen Verzeichnissen starten. Viertens die Branche und die zusätzlichen Spezialregime: TTDSG, Patientendatenschutzgesetz, Sozialgesetzbuch X, Geldwäschegesetz, berufsständische Schweigepflichten oder die NIS-2-Schnittstelle erhöhen den Beratungsaufwand spürbar. Fünftens die Reife der bestehenden Dokumentation. Ein Unternehmen ohne aktuelles VVT, ohne TOM-Konzept nach Art. 32 DSGVO und ohne dokumentierte Auftragsverarbeitungsverträge nach Art. 28 DSGVO zahlt im ersten Jahr regelmäßig das Doppelte des Folgejahres. Erfahrene DSB rechnen die Initialphase deshalb getrennt aus und reduzieren die laufende Pauschale, sobald die Grundlagen sauber stehen. Dieser Stufenpreis hat sich in der Praxis bewährt, weil er den realen Aufwand zwischen Erst- und Folgejahr abbildet und Geschäftsführung sowie Aufsichtsrat einen nachvollziehbaren Pfad zur Senkung der laufenden Kosten erhalten. Wer transparent gegenüberstellt, was im Workspace standardmäßig laufen kann und was wirklich individuelle Beratung erfordert, vermeidet die typische Nachforderungslogik. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die folgenden Bandbreiten spiegeln Marktbeobachtungen aus 2026 und Mandatsstrukturen in Deutschland wider. Kleinstunternehmen unter 20 Mitarbeitenden mit geringem Risikoprofil und ohne besondere Kategorien nach Art. 9 DSGVO liegen bei Pauschalen zwischen 150 und 350 Euro netto pro Monat. Klassische KMU zwischen 20 und 100 Beschäftigten bewegen sich regelmäßig zwischen 350 und 900 Euro netto pro Monat. Mittelständler mit 100 bis 500 Mitarbeitenden, mehreren Standorten oder mittlerem Datenrisiko zahlen zwischen 900 und 2.500 Euro netto pro Monat. Diese Bandbreiten enthalten in der Regel ein Stundenkontingent zwischen 4 und 16 Stunden pro Monat sowie die laufende Pflege der Verzeichnisse.

Konzernstrukturen ab 500 Mitarbeitenden mit internationalen Transfers, Joint Controllerships nach Art. 26 DSGVO und mehreren Gesellschaften beginnen bei rund 2.500 Euro netto pro Monat und reichen je nach Komplexität in den fünfstelligen Bereich. Stundensätze für qualifizierte externe DSB liegen in Deutschland regelmäßig zwischen 150 und 280 Euro netto. Spezialthemen wie internationale Transfers, KI-Systeme nach EU-AI-Act, Konzern-BCR oder DPIAs zu sensiblen Verfahren werden teils mit 320 bis 380 Euro netto kalkuliert. Wichtig ist, dass die Pauschale ein klar definiertes Stundenkontingent enthält und Mehrleistungen vor Beauftragung schriftlich freigegeben werden. Andernfalls drohen Nachforderungen am Jahresende, die das Budget sprengen. Auf der CIVAC-FAQ-Seite finden Sie typische Vertragsbestandteile, die diese Logik abbilden, und eine Übersicht über die in den 490 einsatzbereiten Audit-Vorlagen enthaltenen Pflichtprüfungen. Wer die Pauschale ohne klares Kontingent vereinbart, verliert die Kostenkontrolle bereits im zweiten Quartal. Sinnvoll ist eine schriftliche Quartalsabrechnung mit ausgewiesenem Restkontingent, damit Geschäftsführung und DSB gemeinsam steuern können.

Ein professionell zugeschnittenes DSB-Mandat deckt sieben Kernleistungen ab, die jede Ausschreibung und jeder Vertrag explizit benennen sollte. Erstens die Bestellung mit Bestellurkunde, Meldung an die zuständige Aufsichtsbehörde und Veröffentlichung der Kontaktdaten nach Art. 37 Abs. 7 DSGVO. Zweitens die laufende Beratung nach Art. 39 DSGVO inklusive Stellungnahmen zu neuen Verarbeitungen, neuen Tools, Marketingmaßnahmen und HR-Verfahren. Drittens die Pflege oder Prüfung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO mit regelmäßiger Aktualisierung und nachvollziehbarer Versionierung. Viertens die Begleitung von Betroffenenanfragen nach Art. 15 bis 22 DSGVO innerhalb der Monatsfrist nach Art. 12 Abs. 3 DSGVO, mit Eskalationspfad und dokumentierten Antwortvorlagen.

Fünftens die Vorbereitung und Begleitung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO inklusive Risikobewertung, Maßnahmenkatalog und gegebenenfalls vorheriger Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO. Sechstens das Vorfallmanagement mit 72-Stunden-Meldepfad nach Art. 33 DSGVO und Betroffenenbenachrichtigung nach Art. 34 DSGVO, einschließlich vorbereiteter Meldeformulare und einer dokumentierten Eskalationskette. Siebtens jährliche Schulungen für besonders exponierte Bereiche, Audits bei kritischen Auftragsverarbeitern und ein Tätigkeitsbericht an die Geschäftsleitung mit konkreten Empfehlungen für das Folgejahr. Was darüber hinausgeht, etwa internationale Transfers, Vertragsmuster für Auftragsverarbeitungen, Audits bei Dienstleistern, KI-Governance oder ISMS-Anbindung, sollte als Modul mit eigener Preislogik gepreist sein. Wer das im Vertrag sauber trennt, verhindert Reibung und schafft die Grundlage für die Aussage: Der Prüfer ruft an, der Nachweis liegt bereit. Im CIVAC-Workspace werden alle sieben Kernleistungen als getrennte Workflows mit Audit-Trail abgebildet, sodass die Geschäftsleitung jederzeit den Stand jeder Pflicht einsehen kann. Damit lässt sich in Aufsichtsratssitzungen jede Frage zur Reife des Datenschutzprogramms innerhalb von 24 Stunden belegen, ohne dass Mitarbeitende ad hoc Sonderauswertungen aus E-Mail-Postfächern ziehen müssen.

Die Entscheidung zwischen interner und externer Bestellung wird häufig auf den reinen Honorarvergleich verkürzt. Korrekt ist eine Vollkostenrechnung über den gesamten Lebenszyklus der Funktion. Eine interne DSB-Stelle umfasst Gehalt, Sozialabgaben, Arbeitsplatzkosten, Weiterbildung in Höhe von regelmäßig 3.000 bis 5.000 Euro pro Jahr, Fachliteratur, Tool-Lizenzen sowie Vertretungsregelungen für Urlaub und Krankheit. Realistisch beginnen die Vollkosten eines internen DSB bei rund 95.000 Euro pro Jahr und steigen mit Senior-Profilen aus regulierten Branchen schnell auf 130.000 bis 160.000 Euro. Hinzu kommen Onboarding-Aufwand, Recruiting-Kosten und das Risiko, die Stelle bei Fluktuation für mehrere Monate vakant zu halten.

Hinzu kommen Risiken aus mangelnder Unabhängigkeit nach Art. 38 Abs. 3 DSGVO, wenn der interne DSB im Konfliktfall der eigenen Geschäftsleitung gegenübersteht. Aufsichtsbehörden prüfen diese Konstellation kritisch, insbesondere wenn der DSB zugleich operativ in IT, HR oder Marketing eingebunden ist. Der Europäische Datenschutzausschuss hat in mehreren Stellungnahmen klargestellt, dass Doppelrollen mit Entscheidungsbefugnis über Verarbeitungstätigkeiten regelmäßig unzulässig sind. Ein externer DSB ist nicht automatisch günstiger, aber er entlastet das Unternehmen von Vertretungsfragen, Schulungslast und Haftungsrisiken aus interner Doppelrolle. Bei CIVAC läuft die Mandatsführung durchgehend im Workspace mit dokumentierter Berichtslinie an die Geschäftsleitung, mit nachvollziehbaren Tickets, Versionierung und Audit-Trail. Wer eine Mischform sucht, kombiniert eine interne Datenschutzkoordinatorin mit einem externen DSB, der die Letztverantwortung trägt. Die Kosten reduzieren sich gegenüber einer reinen Inhouse-Lösung in vielen Fällen um 30 bis 50 Prozent, ohne dass Reaktionsgeschwindigkeit oder Fachtiefe leidet. Die interne Koordinatorin bleibt Ansprechperson für Fachbereiche, der externe DSB übernimmt Letztverantwortung, Berichtslinie und Haftung.

Die Pauschale deckt die laufende Arbeit, nicht den Ernstfall. Wer das nicht sauber trennt, erlebt in der ersten Datenpanne eine teure Überraschung. Eine meldepflichtige Verletzung nach Art. 33 DSGVO bindet typischerweise zwischen 15 und 40 Stunden externer Beratung, je nach Anzahl der Betroffenen, Datenarten und gleichzeitig laufenden Klärungen mit Cyberversicherung, Forensik und Aufsichtsbehörde. Frist läuft ab Kenntnis. Wer die 72-Stunden-Meldung verpasst, riskiert Bußgelder nach Art. 83 DSGVO sowie Reputationsschäden, die finanziell oft deutlich schwerer wiegen als das Bußgeld selbst. Erfahrungsgemäß kostet eine sauber bearbeitete mittlere Datenpanne zwischen 4.000 und 12.000 Euro reine Beratungsleistung, ohne Forensik und ohne externe Anwaltsschriftsätze.

Auch Audits durch Aufsichtsbehörden oder Auftraggeber, Auskunftsersuchen nach Art. 15 DSGVO mit komplexen Datenbeständen über mehrere Systeme hinweg und Datenschutz-Folgenabschätzungen für KI-gestützte Verarbeitungen sind klassische Kostentreiber. Im Mandatsangebot sollten diese Leistungen entweder mit klar definiertem Stundenkontingent enthalten oder mit fixem Tagessatz vorab kalkuliert sein. CIVAC führt Vorfälle als strukturierte Cases im Workspace, mit Beweissicherung, Zeitstempel, Vier-Augen-Freigabe und automatischer Eskalationskette zu Geschäftsleitung, Versicherung und Aufsichtsbehörde. Damit gilt: Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Wer Vorfälle vorab vertraglich denkt, vermeidet Honorarstreitigkeiten im laufenden Schadenfall und erhält planbare Budgetreserven für Cyber- und Datenschutz-Vorkommnisse. Eine sinnvolle Kalkulationsregel sind 10 bis 15 Prozent der Jahrespauschale als Reserve für Sonderlagen, jährlich neu zu bewerten. In Branchen mit erhöhter Vorfallwahrscheinlichkeit, etwa Healthcare oder Adtech, sollten 20 Prozent eingeplant werden, weil Datenpannen dort regelmäßig größere Betroffenenkreise umfassen und parallel Meldungen an mehrere Aufsichtsbehörden in der EU erfordern.

Ein belastbarer DSB-Vertrag enthält acht Pflichtpunkte, die jede Rechtsabteilung vor Unterschrift prüfen sollte. Erstens den Leistungskatalog mit klarer Abgrenzung zwischen Pauschale und Stundenleistung sowie einer Liste der ausdrücklich nicht enthaltenen Leistungen. Zweitens die Reaktionszeiten, etwa 4 Stunden bei Datenpannen, 1 Werktag bei Behördenanfragen und 2 Werktage bei Standardanfragen, jeweils mit Service Level Agreement und Eskalationsstufe. Drittens die Berichtslinie an die Geschäftsleitung mit mindestens jährlichem Tätigkeitsbericht nach Art. 39 Abs. 1 lit. b DSGVO und einem definierten Quartalsformat. Viertens die Vertretungsregelung mit benannter Stellvertretung, telefonischer Erreichbarkeit und SLA bei Urlaub oder Krankheit, damit Fristen nach Art. 33 DSGVO nicht reißen.

Fünftens die Haftungsregelung mit Mindestdeckungssumme der Berufshaftpflicht, marktüblich sind 2 bis 5 Millionen Euro pro Schadenfall und Versicherungsjahr. Sechstens die Kündigungs- und Abberufungsregelung unter Beachtung des Sonderkündigungsschutzes nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG, der den DSB vor sachfremden Abberufungen schützt. Siebtens die Datenresidenz: für deutsche Unternehmen ist EU-Datenresidenz und DSGVO-konformes Hosting des Workspace ein hartes Kriterium, da der DSB selbst personenbezogene Daten verarbeitet und Datenpannen nicht in Drittstaaten exportieren darf. Achtens Transparenz über Subunternehmer, Tooling und etwaige Auftragsverarbeitungen nach Art. 28 DSGVO. Wer diese acht Punkte vor Vertragsschluss durchgeht, vermeidet die typischen Konflikte im zweiten Mandatsjahr und schafft Planungssicherheit. Audit-fest, dokumentiert, § 38 BDSG-fest. Auf der Übersichtsseite aller Beauftragten-Rollen sehen Sie, welche zusätzlichen Mandate, etwa Informationssicherheitsbeauftragter oder Geldwäschebeauftragter, sinnvoll mit dem DSB-Vertrag verzahnt werden können, ohne dass Doppelstrukturen entstehen. Eine integrierte Beauftragtenlandschaft senkt nicht nur Kosten, sondern verhindert auch widersprüchliche Empfehlungen an die Geschäftsleitung.

Beispiel 1: Steuerberatungskanzlei mit 35 Mitarbeitenden, einem Standort, hoher Mandantendichte, keine besonderen Kategorien nach Art. 9 DSGVO, aber strenge berufsständische Schweigepflicht. Pauschale: 480 Euro netto pro Monat, inklusive 4 Stunden Beratung, jährlicher Schulung und Bestellung. Stundensatz bei Mehrleistung: 195 Euro netto. Initiale Audit-Phase im ersten Quartal mit Aufbau des Verzeichnisses nach Art. 30 DSGVO, Prüfung aller Auftragsverarbeitungsverträge und Aktualisierung der Datenschutzerklärung: 2.800 Euro netto einmalig. Im zweiten Jahr sinkt der einmalige Aufwand erfahrungsgemäß auf unter 500 Euro netto, weil die Grundlagen stehen.

Beispiel 2: Medizintechnik-Hersteller mit 180 Mitarbeitenden, zwei Standorten, Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO und Drittlandtransfers in die USA für klinische Studien und Cloud-Dienste. Pauschale: 1.650 Euro netto pro Monat, inklusive 12 Stunden Beratung, DPIA-Vorbereitung und Begleitung von zwei Audits pro Jahr. Stundensatz bei Mehrleistung: 230 Euro netto. Initialprojekt zur Aktualisierung des Transfer-Risk-Assessments nach Schrems II und EuGH-Entscheidung zum Data Privacy Framework: 9.500 Euro netto einmalig. Hinzu kommt ein Sonderbudget von 6.000 Euro netto für ISMS-Anbindung an ISO/IEC 27001:2022 und Schnittstelle zur Medical-Device-Regulation.

Beispiel 3: Holding mit drei deutschen Tochtergesellschaften, insgesamt 720 Mitarbeitende, gemeinsamer Datenschutz nach Art. 26 DSGVO und konzernweitem ISMS. Pauschale: 4.200 Euro netto pro Monat für die Konzern-DSB-Funktion mit zentraler Berichtslinie. Drei Tochtergesellschaften mit eigenem Tätigkeitsbericht, gemeinsamer Plattform und einheitlichen Vorlagen. Stundensatz Spezialberatung: 280 bis 320 Euro netto. Diese Bandbreiten zeigen, dass nicht die Mitarbeiterzahl allein zählt, sondern die Risikodichte, die Konzernstruktur und die Schnittstellen zu weiteren regulatorischen Regimen wie NIS-2 oder EU-AI-Act. Wer die Pauschale nur an Kopfzahlen koppelt, unterschätzt regelmäßig den Aufwand für komplexe Datenflüsse.

Die Entscheidung folgt drei Fragen, die jede Geschäftsleitung schriftlich beantworten sollte, bevor sie ein Mandat oder eine Stelle ausschreibt. Erstens: Verfügt Ihr Unternehmen über interne Fachkunde nach Art. 37 Abs. 5 DSGVO, die mindestens 0,3 bis 0,5 Vollzeitäquivalente abdeckt und sich auch in Vertretungsfällen über Urlaub und Krankheit hinweg trägt? Zweitens: Ist die Unabhängigkeit nach Art. 38 Abs. 3 DSGVO strukturell sichergestellt, ohne dass der DSB an IT-, HR- oder Vertriebsentscheidungen weisungsgebunden mitwirkt und damit in seine eigene Prüfungsrolle hineinrutscht? Drittens: Können Sie ein professionelles Vorfallmanagement mit 72-Stunden-Meldekette nach Art. 33 DSGVO, dokumentierter Berichtslinie und Vier-Augen-Freigabe aus Bordmitteln zuverlässig betreiben?

Wer alle drei Fragen mit Ja beantwortet, lizenziert den CIVAC-Workspace und stellt damit Verzeichnisse, Bestellurkunden, Audit-Vorlagen, Schulungslogs und Vorfallchroniken auf eine konsistente Plattform mit EU-Datenresidenz. Wer mindestens eine Frage mit Nein beantwortet, lässt unsere Beauftragten bestellen und gewinnt damit Fachkunde, Vertretung, Haftungsabsicherung und Tooling in einem Paket. Hybride Modelle kombinieren beides: interne Koordinatorin plus externer DSB mit Letztverantwortung, gemeinsamer Workspace und gemeinsame Berichtslinie. CIVAC bietet beide Wege, dokumentiert in der Bestellurkunde und in der Berichtslinie an die Geschäftsleitung, jeweils mit klarer Übergabelogik bei Personalwechseln. Aus dem Lesen einen Auftrag machen. Schreiben Sie uns unter info@civac.de oder nutzen Sie das Kontaktformular auf der DSB-Rollenseite. Sie erhalten innerhalb von 2 Werktagen einen Vorschlag mit Bandbreite, Modulen und Reaktionszeiten, statt mit 2 bis 6 Wochen wie bei klassischen Kanzleimandaten zu warten. Der Vorschlag enthält bereits Vertragsbausteine, SLA-Definitionen und einen ersten Maßnahmenplan für die Initialphase.