Datenschutzbeauftragter Kosten 2026: Was DSB intern, extern und as-a-Service wirklich kostet

Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich aus Art. 37 DSGVO und § 38 BDSG, sobald mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten oder eine umfangreiche regelmäßige Überwachung stattfindet. Wer die Rolle nicht oder fehlerhaft besetzt, riskiert Bußgelder nach Art. 83 Abs. 4 DSGVO von bis zu 10 Mio. Euro oder 2 Prozent des Konzernumsatzes. Die Kostenfrage entscheidet damit nicht über das Ob, sondern über das Wie.

Dieser Beitrag liefert belastbare Bandbreiten für 2026, trennt Stellenkosten, Tooling und Schulungen sauber voneinander und ordnet das Officer-as-a-Service-Modell ein. Sie sehen, welche Treiber den Preis verzehnfachen können, wo versteckte Risikoposten lauern und wie sich interne, externe und plattformgestützte Modelle bei vergleichbarem Schutzniveau preislich verhalten. Am Ende steht eine Entscheidungslogik, mit der Sie das passende Modell verteidigen können, gegenüber Geschäftsführung und Aufsichtsbehörde.

Art. 37 Abs. 1 DSGVO verlangt die Benennung eines Datenschutzbeauftragten in drei Fällen: bei Behörden, bei Kerntätigkeiten mit umfangreicher regelmäßiger Überwachung und bei Kerntätigkeiten mit besonderen Datenkategorien nach Art. 9 oder strafrechtlichen Daten nach Art. 10. § 38 BDSG ergänzt die deutsche Schwelle von 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten.

Die Kostenfrage beginnt mit der Pflichtanalyse. Wer ohne saubere Dokumentation behauptet, nicht benennungspflichtig zu sein, trägt im Streitfall die Beweislast. Eine schriftliche Analyse, Verarbeitungsverzeichnis nach Art. 30 DSGVO und Schwellenwertprüfung kosten in der Erstellung 1.500 bis 4.500 Euro, sparen aber Bußgelder im sechsstelligen Bereich.

Die Bestellung selbst ist formfrei wirksam, in der Praxis aber nur belastbar mit Bestellurkunde, Aufgabenbeschreibung nach Art. 39 DSGVO und Meldung an die zuständige Aufsichtsbehörde. Diese drei Dokumente sind Pflichtgrundlage jeder DSB-Kalkulation, unabhängig vom Modell.

Verstöße gegen die Benennungspflicht fallen unter Art. 83 Abs. 4 DSGVO mit einem Bußgeldrahmen bis 10 Mio. Euro oder 2 Prozent des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. Die Aufsichtsbehörden in Bayern, Baden-Württemberg und NRW haben 2024 und 2025 mehrfach Bußgelder im fünfstelligen Bereich allein für fehlende oder unklare Benennungen verhängt.

Praktische Konsequenz: Die DSB-Kostenfrage ist keine Marketingfrage, sondern eine Compliance-Investition mit klar definierten Mindestkomponenten. Wer hier den Preis vergleicht, muss zuerst den Leistungsumfang vergleichen, sonst rechnet er Äpfel gegen verspätete Meldungen. Mehr Details zur Rolle finden Sie auf externer Datenschutzbeauftragter.

Im nächsten Abschnitt zerlegen wir die internen Vollkosten in ihre Bestandteile.

Ein interner Datenschutzbeauftragter ist häufig der ersten Reflex größerer Mittelständler. Die Annahme, eine bestehende Fachkraft könne die Rolle nebenbei übernehmen, hält der Prüfung selten stand. Art. 38 Abs. 6 DSGVO verlangt Unabhängigkeit und Weisungsfreiheit, was Interessenkonflikte mit IT-, HR- oder Geschäftsleitungsfunktionen praktisch ausschließt.

Die Bruttogehälter erfahrener interner DSB liegen 2026 bei 65.000 bis 95.000 Euro je nach Region und Branche. Mit Arbeitgeberanteilen, Urlaubs- und Krankheitsabwesenheit sowie Arbeitsplatzkosten ergeben sich Vollkosten von 95.000 bis 125.000 Euro. Wer eine Vollzeitstelle einrichtet, aber nur 60 Prozent DSB-Tätigkeit braucht, zahlt für 40 Prozent Leerlauf oder kreiert genau jene Doppelrolle, die Art. 38 verbietet.

Hinzu kommen Pflichtschulungen nach Art. 37 Abs. 5 DSGVO mit 1.500 bis 4.000 Euro pro Jahr, Fachliteratur, Mitgliedschaften im BvD oder GDD mit rund 500 Euro sowie spezialisierte Software für Verarbeitungsverzeichnis, DSFA und Auskunftsmanagement zwischen 6.000 und 18.000 Euro jährlich.

Der größte versteckte Kostenposten ist das Vertretungs- und Ausfallrisiko. Krankheit, Urlaub oder Kündigung des einzigen DSB lassen Fristen nach Art. 33 DSGVO ungenutzt verstreichen. Ein dokumentiertes Vertretungskonzept oder eine Backup-Vereinbarung mit einer externen Kanzlei verursacht zusätzlich 3.000 bis 8.000 Euro pro Jahr.

In Summe landen Sie für eine belastbare interne Lösung bei 110.000 bis 160.000 Euro Vollkosten jährlich. Dieser Betrag ist verteidigbar, wenn das Datenvolumen, die Anzahl der Verarbeitungen und die Berichtspflichten ihn rechtfertigen. Für Organisationen mit 100 bis 500 Mitarbeitenden ist er meist überdimensioniert.

Die Alternative heißt externer DSB, der seine Skaleneffekte über mehrere Mandanten verteilt.

Der externe Datenschutzbeauftragte wird per Vertrag bestellt und arbeitet kanzlei- oder beratungsgebunden. Die Honorarmodelle teilen sich in drei Lager: Festpauschale, Stundenkontingent oder hybride Grund-plus-Abruf-Modelle. Die Preisspreizung ist erheblich, weil der Leistungsumfang selten standardisiert ist.

Festpauschalen für kleine Unternehmen bis 50 Mitarbeitende beginnen 2026 bei 250 bis 500 Euro pro Monat, decken aber meist nur Grundberatung, jährliches Audit und Behördenkommunikation ab. Für Mittelständler mit 50 bis 250 Mitarbeitenden sind 800 bis 2.500 Euro monatlich realistisch, größere Konzerne mit komplexen Verarbeitungen erreichen 3.000 bis 6.500 Euro pro Monat.

Stundensätze externer DSB bewegen sich zwischen 140 und 280 Euro netto, bei spezialisierten Boutique-Kanzleien auch darüber. Wer ein reines Stundenmodell wählt, muss die Reaktion auf Datenpannen, Auskunftsersuchen und Behördenanfragen vertraglich SLA-fest verankern, sonst gerät die 72-Stunden-Frist nach Art. 33 DSGVO ins Wanken.

Die häufigsten Lücken externer Verträge: keine Vertretungsregelung, kein Tool für das Verarbeitungsverzeichnis, kein dokumentierter Berichtsweg an die Geschäftsleitung und keine Eskalation bei Auskunftsersuchen über 30 Tage. Diese vier Lücken kosten im Schadensfall mehr als die gesamte Jahrespauschale.

Hinzu kommen Reisekosten, Schulungen für die Belegschaft und Audit-Honorare, die häufig separat abgerechnet werden. Wer die Pauschale ohne diese Posten vergleicht, vergleicht den falschen Preis. Eine saubere Vergleichsrechnung listet Grundleistung, Reaktions-SLA, enthaltene Audits, Schulungen und Tooling getrennt auf.

Die Alternative zum klassischen externen Modell ist Officer-as-a-Service, bei dem Bestellung und Nachweisplattform aus einer Hand kommen.

Das Modell Officer-as-a-Service kombiniert die externe Bestellung eines qualifizierten DSB mit einer integrierten Compliance-Plattform und Officer-as-a-Service. Die Plattform liefert Verarbeitungsverzeichnis, Auskunftsmanagement, DSFA-Vorlagen, Schulungstracking und einen 24/72-Meldepfad nach Art. 33 DSGVO. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Diese duale Logik adressiert beide Ausgangslagen: Wer bereits einen DSB hat, gewinnt das Werkzeug. Wer noch keinen hat, gewinnt Rolle und Werkzeug in einem Vertrag. Die Preisbandbreite liegt 2026 bei 850 bis 4.200 Euro pro Monat, abhängig von Mitarbeitenden, Verarbeitungen und Branche.

Der entscheidende Unterschied zum klassischen externen DSB ist die Audit-Festigkeit der Nachweise. 490 einsatzbereite Audit-Vorlagen, 93 Controls nach ISO/IEC 27001:2022 und ein dokumentierter Berichtsweg an die Geschäftsleitung lassen sich nicht mit einem Word-Dokument und einer E-Mail-Inbox abbilden. Der Prüfer ruft an, der Nachweis liegt bereit.

Die Plattform reduziert auch die typischen Verzugsrisiken bei Datenpannen. Wo klassische Modelle eine Reaktionszeit von zwei bis sechs Wochen für Erstgutachten ansetzen, liegt das CIVAC-SLA bei zwei Werktagen. Bei Meldepflichten nach Art. 33 ist diese Reaktionsgeschwindigkeit kein Komfort, sondern Bußgeldvermeidung.

Die EU-Datenresidenz aller Nachweise erfüllt zudem die Anforderungen aus Art. 44 DSGVO an Drittlandstransfers. Wer seine DSB-Dokumentation in einem US-Cloud-Tool ablegt, schafft genau jenen Compliance-Bruch, den er eigentlich vermeiden will.

Im nächsten Abschnitt vergleichen wir die drei Modelle in einer belastbaren Tabelle.

Ein belastbarer Vergleich zwingt zur gleichen Leistungsdefinition. Wir setzen drei Pflichtkomponenten voraus: laufende DSB-Tätigkeit nach Art. 39 DSGVO, Reaktion auf Datenpannen innerhalb der 72-Stunden-Frist und ein dokumentierter Berichtsweg an die Geschäftsleitung. Erst auf dieser Basis sind Preise vergleichbar.

Die Zahlen zeigen: Officer-as-a-Service ist nicht zwingend billiger als ein klassischer externer DSB, liefert aber regelmäßig mehr Leistung pro Euro. Der interne Vollzeit-DSB ist nur bei Datenvolumen ab etwa 250 Mitarbeitenden und besonderen Verarbeitungen wirtschaftlich verteidigbar.

Entscheidend ist der Blick auf Bußgeldrisiken. Wer eine Datenpanne sechs Wochen nicht meldet, weil sein externer DSB nicht erreichbar war, zahlt im schlimmsten Fall 4 Prozent des Konzernumsatzes nach Art. 83 Abs. 5 DSGVO. Die jährliche Kostendifferenz zwischen klassisch und plattformgestützt ist gegen dieses Risiko vernachlässigbar.

Frist läuft ab Kenntnis. Wer dieses Prinzip nicht prozessual abbildet, hat das falsche Modell gewählt, unabhängig vom Preis.

Die Kostentreiber im Detail klärt der nächste Abschnitt.

Die Bandbreiten oben sind keine Willkür, sondern Spiegel realer Treiber. Wer den eigenen Bedarf einschätzen will, prüft sieben Faktoren, die den Preis nachvollziehbar nach oben oder unten ziehen.

Erstens die Anzahl der Verarbeitungen nach Art. 30 DSGVO. Ein Unternehmen mit 25 Verarbeitungen fährt mit einer Basislizenz, ein Konzern mit 280 Verarbeitungen braucht skalierbares Tooling und mehr Beraterstunden. Zweitens die Datenkategorien: besondere Daten nach Art. 9 erhöhen Risiko und Aufwand spürbar.

Drittens internationale Datenflüsse. Drittlandstransfers nach Kapitel V DSGVO verlangen Standardvertragsklauseln, Transfer Impact Assessments und ein laufendes Monitoring der Empfängerstaaten. Diese Posten allein können den DSB-Aufwand um 30 bis 60 Prozent erhöhen.

Viertens die Anzahl der Auftragsverarbeiter. Jeder neue AVV nach Art. 28 DSGVO bedeutet Prüfung, Vertragsmanagement und regelmäßige Kontrolle. Fünftens die Branche: Gesundheit, Finanzen und kritische Infrastruktur erfordern zusätzliche Nachweise gegenüber BSI, BaFin oder Landesaufsicht.

Sechstens die Anzahl der Auskunftsersuchen nach Art. 15 DSGVO. Ein B2C-Onlinehändler mit 80 Anfragen pro Monat braucht Workflow-Automatisierung, ein B2B-Spezialdienstleister mit drei Anfragen pro Jahr nicht. Siebtens die Audit-Frequenz: jährliche Konzernaudits, Lieferantenaudits oder Zertifizierungsaudits binden DSB-Kapazität.

Wer diese sieben Treiber sauber kalkuliert, kommt zu einer belastbaren Preisspanne und vermeidet Überraschungen im zweiten Vertragsjahr, wenn das angenommene Kontingent reißt und der Stundensatz greift.

DSB-Verträge sind selten standardisiert, was sie schwer vergleichbar macht. Sechs Posten fehlen regelmäßig in günstigen Angeboten und werden im Schadensfall teuer.

Erstens die Reaktionszeit bei Datenpannen. Ohne SLA in Stunden ist die 72-Stunden-Frist nach Art. 33 DSGVO eine Hoffnung, kein Prozess. Zweitens die Vertretungsregelung bei Urlaub oder Krankheit des bestellten DSB. Ein einzelner Ansprechpartner ohne Backup ist ein Compliance-Risiko, kein Service.

Drittens die Behördenkommunikation. Manche Anbieter berechnen jede Anfrage einer Landesdatenschutzaufsicht zusätzlich, was im Bußgeldverfahren eine fünfstellige Rechnung produzieren kann. Viertens die Schulung der Belegschaft nach Art. 39 Abs. 1 lit. b DSGVO. Wenn diese pro Person abgerechnet wird, kippt die Kalkulation bei 200 Mitarbeitenden schnell.

Fünftens das Tooling. Verarbeitungsverzeichnis, DSFA, Auskunftsmanagement und Schulungstracking müssen irgendwo geführt werden. Wer das in Excel löst, scheitert beim ersten ernsthaften Audit. Sechstens die Übergabe nach Vertragsende. Ohne explizite Datenrückgabe und Übergabeprotokoll bleiben Nachweise im System des alten Dienstleisters und sind im Streitfall verloren.

Eine seriöse Vertragsprüfung listet diese sechs Posten ab. Wer sie nicht findet, fragt sie ab oder verhandelt sie nach. Der scheinbar günstige Anbieter wird so oft zum teuersten, weil die fehlenden Komponenten als Nachträge mit 30 bis 80 Prozent Aufschlag verkauft werden.

Audit-fest, dokumentiert, § 38-fest. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die Modellwahl folgt nicht dem Bauchgefühl, sondern fünf nüchternen Kriterien. Erstens die Mitarbeiterzahl: unter 50 Personen ist ein interner DSB selten verteidigbar, über 500 Personen mit besonderen Verarbeitungen wird er häufig zur Pflicht-Investition. Zwischen 50 und 500 dominiert das externe oder plattformgestützte Modell.

Zweitens die Datensensitivität. Wer Gesundheitsdaten, Finanzdaten oder biometrische Daten verarbeitet, braucht einen DSB mit Spezialkompetenz und ein Audit-festes Tool. Drittens die internationale Aufstellung. Drittlandstransfers, US-Tochtergesellschaften und SCCs nach Art. 46 DSGVO verlangen Erfahrung, die nicht jeder externe Dienstleister mitbringt.

Viertens die Audit-Frequenz. Wer einmal pro Jahr ein ISO-27001-Audit besteht, profitiert massiv von ISO 27001:2022-Vorlagen auf der Plattform. Fünftens das interne Reifegrad-Level. Eine Organisation ohne Verarbeitungsverzeichnis braucht Aufbauarbeit, eine reife Organisation braucht Optimierung.

Praktische Empfehlung: Unter 100 Mitarbeitenden ist Officer-as-a-Service in der Basis-Stufe wirtschaftlich. Zwischen 100 und 500 Mitarbeitenden überwiegt die Plattform-Variante mit erweitertem Kontingent. Über 500 Mitarbeitenden lohnt das hybride Modell aus internem DSB plus Workspace-Lizenz, weil das Tooling die Rolle entlastet und die interne Person ihre Zeit für strategische Themen nutzt.

Die saubere Entscheidung dokumentieren Sie in einer kurzen Modellbegründung mit Datum, Unterschrift der Geschäftsleitung und Verweis auf die geprüften Alternativen. Diese Notiz erspart im Streitfall die nachträgliche Rekonstruktion.

Der nächste Abschnitt zeigt, wie CIVAC diese Logik konkret unterstützt.

CIVAC ist eine deutsche Compliance-Plattform und Officer-as-a-Service mit 25 Beauftragten-Rollen, allen live. Für die DSB-Rolle stehen Bestellurkunde, Aufgabenbeschreibung nach Art. 39 DSGVO, Berichtslinie an die Geschäftsleitung und 490 einsatzbereite Audit-Vorlagen im Workspace bereit. EU-Datenresidenz und ein ISO 27001:2022 ISMS bilden die Grundlage.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle teilen sich denselben Nachweis- und Berichtsstandard, was Wechsel und Skalierung erleichtert. Das CIVAC-SLA von zwei Werktagen gilt für Datenpannen, Auskunftsersuchen und Behördenanfragen gleichermaßen.

Der 24/72-Meldepfad nach Art. 33 DSGVO ist im Workspace prozessual hinterlegt, inklusive Eskalation, Dokumentation und Belegkette. Der Prüfer ruft an, der Nachweis liegt bereit. Bestellurkunde, unterschrieben, abgelegt, belegbar. Die häufig gefürchtete Sechs-Wochen-Lücke des klassischen externen Modells entfällt.

Für Organisationen, die mehrere Rollen kombinieren, etwa DSB plus ISB plus Hinweisgeberschutz, sinkt der Gesamtaufwand spürbar, weil Nachweise, Schulungen und Audits eine gemeinsame Datenbasis nutzen.

Eine konkrete Kalkulation für Ihre Organisation erstellen wir auf Grundlage der sieben Treiber aus Abschnitt sechs, ohne Verpflichtung und mit transparenter Komponentenlogik. Aus dem Lesen einen Auftrag machen: schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de/faq für die Erstabschätzung.