DSB-Dienstleister auswählen: Kriterien, Kosten und Vertragsfallen 2026

Nach Art. 37 DSGVO und § 38 BDSG müssen Unternehmen mit in der Regel mindestens 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten, einen Datenschutzbeauftragten benennen. Die Aufsichtsbehörden der Länder bestätigten in den letzten Tätigkeitsberichten erneut, dass ein erheblicher Anteil der gemeldeten Datenpannen auf strukturelle Lücken in der DSB-Funktion zurückgeht. Wer einen DSB-Dienstleister auswählt, entscheidet damit nicht über eine Lieferantenfrage, sondern über eine Funktion mit gesetzlich definierter Stellung, Berichtslinie und Bestellurkunde. Genau hier scheitern Vertragswerke regelmäßig, weil sie wie klassische Beraterverträge aufgesetzt sind und die spezifischen Pflichten aus Art. 38 und 39 DSGVO ausklammern. Eine fehlende Bestellurkunde, eine unklare Vertretungsregelung oder ein Verarbeitungsverzeichnis, das niemand pflegt, sind keine Lappalien, sondern dokumentierte Beanstandungsgründe bei Aufsichtsprüfungen.

Dieser Beitrag ordnet den Markt für DSB-Dienstleister entlang von vier Modellen, benennt die zwölf Auswahlkriterien, mit denen Geschäftsführung und IT-Leitung Anbieter belastbar vergleichen können, und zeigt die drei Vertragsfallen, die Aufsichtsbehörden in den letzten Jahren wiederholt beanstandet haben. Sie erhalten am Ende einen Entscheidungspfad, der zwischen Werkstatt-Modell, Plattform-Modell und Hybrid-Modell unterscheidet, sowie eine realistische Kostenbandbreite für 2026. Der Beitrag richtet sich an Geschäftsführung, Datenschutzkoordinatoren und IT-Leitung in mittelständischen Unternehmen mit 50 bis 2.000 Mitarbeitenden und enthält am Ende einen konkreten Onboarding-Pfad für die ersten 30 Tage nach Vertragsschluss.

Ein DSB-Dienstleister erbringt nicht irgendeine Beratungsleistung. Er stellt eine Person, die nach Art. 37 bis 39 DSGVO benannt wird, die Aufgaben nach Art. 39 DSGVO wahrnimmt und gegenüber der Geschäftsführung direkt berichtet. Diese Person muss über Fachwissen verfügen, im Sinne des Art. 38 Abs. 5 DSGVO weisungsfrei agieren und darf wegen ihrer Tätigkeit nicht benachteiligt werden. Ein Dienstleister, der nur "Beratung" liefert und keine konkrete Person benennt, erfüllt diese Anforderung nicht. Die Aufsichtsbehörden prüfen bei Anlasskontrollen regelmäßig genau diesen Punkt: Wer ist die natürliche Person, die als Datenschutzbeauftragter benannt wurde, und seit wann? Die Antwort muss aus einem einzigen Dokument hervorgehen, nicht aus einer mündlichen Rekonstruktion.

In der Praxis bedeutet das vier prüfbare Pflichten: eine schriftliche Bestellurkunde mit Name, Bestelldatum und Aufgabenumfang; ein Meldeprozess an die zuständige Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO; eine dokumentierte Berichtslinie an die oberste Managementebene; und ein nachvollziehbarer Tätigkeitsnachweis in Form von Audit-Logs, Beratungsdokumentationen und Datenpannen-Registern. Wer einen externen Datenschutzbeauftragten mandatiert, sollte sich diese vier Elemente vor Vertragsschluss vorlegen lassen. Bestellurkunde, unterschrieben, abgelegt, belegbar. Ohne diese vier Artefakte ist auch ein hochqualifizierter Anwalt im Streitfall kein nachweisbarer DSB im Sinne der Verordnung.

Bei CIVAC ist das nicht eine Beratungsphilosophie, sondern ein Plattform-Standard. Die Compliance-Plattform und Officer-as-a-Service-Lösung erzeugt diese Artefakte automatisch im Workspace, ablegbar in einem Audit-Ordner mit Zeitstempel und Versionsstand. So entsteht ein prüffähiger Stand, ohne dass Sie hinterher rekonstruieren müssen, wer wann was bestellt hat. Wenn die Aufsichtsbehörde anruft, liegt der Nachweis bereit, und nicht erst nach einer Woche Suche im E-Mail-Archiv. Diese Form der Dokumentation reduziert Prüfungsstress und macht Übergaben zwischen Personen reibungsärmer.

Der DSB-Markt sortiert sich entlang von vier Modellen, die sich in Reaktionszeit, Kosten und Tiefe der Dokumentation deutlich unterscheiden. Erstens das Einzelanwalt-Modell: Ein spezialisierter Rechtsanwalt übernimmt die DSB-Funktion, oft hochkompetent in der Auslegung, jedoch häufig ohne Tooling für das Verarbeitungsverzeichnis und mit Stundensätzen oberhalb des Pauschalhonorars. Das Modell passt, wenn Sie schon eine interne Dokumentationsstruktur haben und nur die benannte Person samt rechtlicher Auslegung extern beziehen wollen. Es passt nicht, wenn Sie operative Unterstützung beim Verarbeitungsverzeichnis brauchen oder wenn Ihre IT-Landschaft regelmäßig wechselt.

Zweitens das Kanzlei-Modell: Eine Boutique- oder Wirtschaftskanzlei mit DSB-Team, robust in der Bearbeitung, jedoch in der Regel ohne Workspace, in dem operative Beauftragte gemeinsam arbeiten. Drittens das Werkstatt-Modell: Eine spezialisierte DSB-Agentur, oft mit Vor-Ort-Begehung und festen Ansprechpartnern, die jedoch bei mehreren Standorten skaliert nur über Personalaufbau. Diese Agenturen sind in der Branche eingespielt, kommen aber an Grenzen, sobald Sie mehr als drei Standorte oder mehrere Tochtergesellschaften haben. Die Übergabe zwischen Beratern innerhalb der Werkstatt ist dann oft das schwächste Glied.

Viertens das Plattform-Modell: Ein Anbieter wie CIVAC kombiniert benannte Personen mit einem Workspace, der Verarbeitungsverzeichnis, TOM-Liste, Auftragsverarbeitungs-Register und Datenpannen-Meldepfad in einem System hält. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beides liefert dieselbe Beweisstruktur. Welches Modell passt, hängt nicht von Größe allein ab, sondern von Standortanzahl, Tochtergesellschaftsstruktur und Audit-Frequenz. Ein Konzern mit fünf Tochtergesellschaften und ISO/IEC 27001:2022-Zertifizierung profitiert von einem Plattform-Ansatz, weil Nachweise konsolidiert ablegbar sind. Ein Mittelständler mit einem Standort und ohne ISMS-Pflicht kommt mit Werkstatt-Modell aus, sofern die Übergabe-Klausel im Vertrag sauber ist und der Stellvertreter benannt wurde.

Bevor Sie einen DSB-Dienstleister beauftragen, sollten Sie zwölf Fragen schriftlich beantwortet bekommen. Diese Fragen trennen seriöse Anbieter von Stundenhändlern und schützen Sie vor späten Überraschungen bei einer Aufsichtsprüfung. Beantworten Anbieter weniger als neun davon klar, ist das ein belastbares Aussortierungs-Signal. Die Fragen lassen sich in drei Blöcke gliedern: fachliche Qualifikation, prozessuale Reaktionsfähigkeit und vertragliche Klarheit.

Fachlich: Welche konkrete Person wird benannt und mit welchem Qualifikationsnachweis? Welche Branchenerfahrung liegt vor und wie viele DSB-Mandate werden parallel betreut? Wer ist die Vertretung bei Urlaub oder Krankheit, und wie ist deren Qualifikation? Wer übernimmt bei Wechsel der benannten Person die Übergabe und in welcher Frist?

Prozessual: Innerhalb welcher Frist wird auf eine Anfrage einer betroffenen Person nach Art. 15 DSGVO reagiert? Wie ist die 72-Stunden-Frist nach Art. 33 DSGVO operativ abgesichert, also wer ist nachts und am Wochenende erreichbar? Frist läuft ab Kenntnis. Wer pflegt das Verarbeitungsverzeichnis und in welchem System? Wie werden Schulungen geplant und nachgewiesen?

Vertraglich: Ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Dienstleister vorgesehen, und wenn ja, wer ist Verantwortlicher und wer Auftragsverarbeiter? Wie ist die Haftung begrenzt und welche Versicherungssumme liegt zugrunde? Welche Kündigungsfristen gelten? Gibt es eine Ausstiegsklausel mit Übergabe aller Dokumente in maschinenlesbarer Form?

Die Antworten auf diese zwölf Fragen sollten in einem strukturierten Vergleich nebeneinanderstehen. Anbieter, die mehr als drei Fragen ausweichend beantworten, sollten Sie streichen. Anbieter, die die Fragen schriftlich nicht beantworten wollen, fallen automatisch heraus, denn die Aufsichtsbehörde wird sie später ebenfalls schriftlich stellen. Was Sie heute mündlich akzeptieren, wird morgen zum dokumentierten Mangel.

Für die Kostenplanung 2026 hat sich der Markt entlang von vier Größenbändern verdichtet. Bei Unternehmen mit 20 bis 50 verarbeitenden Personen liegt das Pauschalhonorar typischerweise bei 350 bis 700 Euro pro Monat, abhängig vom Umfang des Verarbeitungsverzeichnisses und der Anzahl der Auftragsverarbeiter. Bei 50 bis 250 Personen bewegt sich der Markt zwischen 700 und 1.400 Euro pro Monat. Bei 250 bis 1.000 Personen liegt der Bereich bei 1.400 bis 3.000 Euro, abhängig von Standortanzahl, Branche und Vorhandensein einer ISO/IEC 27001:2022-Zertifizierung, die die Schnittstelle zwischen DSB und ISB erfordert.

Bei mehr als 1.000 Personen ist eine pauschale Aussage unseriös. Hier rechnen Anbieter projektbasiert, häufig mit einer Grundpauschale plus variabler Komponente für Audits, Schulungen und Ad-hoc-Anfragen. CIVAC arbeitet im Pauschalmodell mit einer klaren Trennung zwischen Workspace-Lizenz (operative Arbeitsumgebung für Ihr internes Team) und Officer-as-a-Service (CIVAC stellt die benannte Person und ein dokumentiertes Bestelldatum mit Aufsichtsmeldung).

Achten Sie auf vier Kostentreiber, die Pauschalen aushebeln: zusätzliche Standorte ohne Mengenstaffel, Schulungen, die nicht im Grundhonorar enthalten sind, Folgekosten bei Datenpannen-Meldungen nach Art. 33 DSGVO und Stundensätze für Audits durch Aufsichtsbehörden. Wer diese vier Posten beim Vertragsschluss nicht klärt, zahlt nach. Audit-fest, dokumentiert, § 38-fest. Das gilt nur, wenn die Kostenseite das Volumen tragen kann.

Ein häufiger Trugschluss: Der billigste DSB-Dienstleister ist nicht der günstigste. Bei einer einzigen Aufsichtsprüfung mit Mängelliste oder einer Datenpanne mit 72-Stunden-Frist kann die Nachforderung das Jahreshonorar überschreiten. Rechnen Sie deshalb nicht das Grundhonorar, sondern das erwartete Gesamtjahresvolumen einschließlich der vier oben genannten variablen Posten.

Die Tätigkeitsberichte mehrerer Landesdatenschutzbehörden benannten in den letzten zwei Jahren wiederkehrende Mängel in Verträgen mit DSB-Dienstleistern. Drei Muster traten besonders häufig auf und sollten beim Vertragsentwurf gezielt geprüft werden, weil sie nicht in den Standard-Mustern der Verbände auftauchen.

Falle 1: Unklare Reaktionszeit. Verträge ohne definierte Antwortfrist auf Anfragen betroffener Personen und ohne Erreichbarkeitsregelung am Wochenende sind problematisch, weil die Frist nach Art. 12 DSGVO unabhängig vom Dienstleistungsvertrag läuft. Ein guter Vertrag enthält eine schriftliche Reaktionszeit von 24 bis 48 Stunden für Standardanfragen und eine 24-Stunden-Erreichbarkeit für Datenpannen-Eskalationen. Ohne diese Klauseln ist das Risiko, dass eine 72-Stunden-Frist nach Art. 33 DSGVO verstreicht, real und vor Gericht oft nicht mehr heilbar.

Falle 2: Fehlende Vertretungsregelung. Wenn der benannte DSB im Urlaub oder krank ist, läuft die Frist nach Art. 33 DSGVO trotzdem weiter. Verträge ohne benannten Stellvertreter oder ohne Eskalationspfad führen dazu, dass die 72-Stunden-Frist verstreicht, bevor irgendjemand reagiert. Der Prüfer ruft an, der Nachweis liegt bereit. Das funktioniert nur mit Vertretung. Der Vertrag muss die Vertretung mit Namen und Qualifikation benennen, nicht abstrakt auf "qualifizierte Kollegen" verweisen.

Falle 3: Verarbeitungsverzeichnis außerhalb des Scopes. Verträge, die das Verzeichnis nach Art. 30 DSGVO als optionale Zusatzleistung deklarieren, verfehlen den gesetzlichen Mindeststandard, weil das Verzeichnis die operative Grundlage der DSB-Tätigkeit ist. Ein Anbieter, der das Verzeichnis aus dem Scope nimmt, kann seine Aufgaben nach Art. 39 DSGVO nicht erfüllen, weil ihm die Faktenbasis fehlt. Prüfen Sie deshalb Ziffer für Ziffer, was im Leistungsumfang steht und was als Add-on geführt wird.

CIVAC trennt sauber zwischen zwei Bezugsmodellen, und diese Trennung lohnt sich für Sie als Käufer, weil sie verschiedene Reifegrade abdeckt. Die Workspace-Lizenz adressiert Unternehmen, die einen internen Datenschutzkoordinator oder einen internen DSB haben und nur die Plattform mit den 490 einsatzbereiten Audit-Vorlagen, dem Verarbeitungsverzeichnis und dem Datenpannen-Meldepfad nutzen wollen. Die Bestellung bleibt intern, die Plattform stellt die Beweisstruktur. So entsteht ein konsolidierter Stand, ohne dass Sie die DSB-Funktion auslagern. Gerade in regulierten Branchen wie Banken, Versicherungen und Gesundheitswesen ist diese Variante häufig die gewünschte.

Das Officer-as-a-Service-Modell adressiert Unternehmen, die keine interne DSB-Kompetenz aufbauen wollen oder können. CIVAC benennt eine konkrete Person, stellt die Bestellurkunde aus, übernimmt die Meldung an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO und hält die Berichtslinie zur Geschäftsführung. Beide Modelle nutzen denselben Workspace, denselben Auditpfad und dieselbe ISO/IEC 27001:2022-zertifizierte Infrastruktur mit EU-Datenresidenz. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Die Wahl ist umkehrbar, und die Beweise wandern mit.

Der Wechsel zwischen beiden Modellen ist ohne Migrationsaufwand möglich. Ein Mittelständler, der heute ohne interne Kompetenz startet, kann nach zwölf Monaten den Workspace übernehmen und eine eigene Person bestellen, ohne dass Daten umziehen müssen. Ein größerer Mittelständler, der heute intern arbeitet, kann eine CIVAC-Person als Stellvertretung benennen, um die Vertretungsfalle zu schließen. Diese Modularität ist im klassischen Outsourcing-Markt selten, weil dort der Anbieter typischerweise an einer Vertragsbindung mit fester Personenstruktur festhält und Wechselkosten künstlich erhöht.

Für die Übersicht über alle 25 Beauftragten-Rollen auf der CIVAC-Plattform empfiehlt sich ein Blick in das Rollenverzeichnis, weil sich der DSB-Bezug oft mit ISB-, AGG- und Hinweisgeber-Rollen verschränkt und Synergien zwischen den Rollen die Gesamtkosten senken.

Die ersten 30 Tage nach Vertragsschluss entscheiden darüber, ob der DSB-Dienstleister einen prüffähigen Stand aufbaut oder ob Sie nach einem Jahr immer noch Excel-Listen zusammenführen. Ein strukturierter Onboarding-Pfad besteht aus fünf Schritten, die in der genannten Reihenfolge ablaufen sollten und die in einer guten Plattform als Standardprozess hinterlegt sind. Wer diese Reihenfolge umdreht, riskiert, dass die formale Bestellung läuft, während die operative Dokumentation noch leer ist.

Tag 1 bis 5: Bestellung der konkreten Person, Ausstellung der Bestellurkunde, Meldung an die zuständige Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO, Veröffentlichung der Kontaktdaten nach Art. 13 DSGVO auf der Website und in Datenschutzhinweisen. Diese Schritte sind nicht verschiebbar, weil ohne formal gemeldeten DSB die Pflicht aus Art. 37 DSGVO unerfüllt bleibt und auch die Verteidigung gegen Bußgeldbescheide schwieriger wird.

Tag 6 bis 12: Bestandsaufnahme der bestehenden Dokumente, Sichtung des Verarbeitungsverzeichnisses, Sichtung der TOM-Liste, Sichtung aller Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Tag 13 bis 20: Lückenanalyse und Priorisierung. Welche Verarbeitungen sind nicht im Verzeichnis? Welche AVV fehlen? Welche TOM sind nicht dokumentiert? Welche Drittlandtransfers laufen ohne Standardvertragsklauseln und welche Datenschutz-Folgenabschätzungen sind überfällig?

Tag 21 bis 27: Aufbau des Meldepfads für Datenpannen nach Art. 33 DSGVO mit 72-Stunden-Routing, einschließlich Erreichbarkeits-Matrix und Eskalationsstufen. Tag 28 bis 30: Erste Berichtslinie an die Geschäftsführung, schriftlicher Statusbericht mit Lückenliste, Prioritäten und Quartalsplan, inklusive Schulungsplanung für das nächste Halbjahr.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Im CIVAC-Workspace sind diese fünf Schritte als Standardprozess hinterlegt, einschließlich der Ablagepfade und der Erinnerungen an die jeweiligen Fristen. So gibt es nach 30 Tagen einen dokumentierten Stand, nicht eine to-do-Liste, die in der Mailbox des Datenschutzkoordinators schlummert.

Ein DSB-Dienstleister-Vertrag endet irgendwann, sei es durch Wechsel, durch interne Aufstellung oder durch Insolvenz des Anbieters. Die Übergabe entscheidet darüber, ob Sie nahtlos weiterarbeiten oder ob Sie bei null beginnen müssen. Vier Übergabeartefakte sollten vertraglich verankert sein, ergänzt durch eine Mindest-Frist, in der alter und neuer DSB parallel arbeiten.

Erstens das vollständige Verarbeitungsverzeichnis nach Art. 30 DSGVO in maschinenlesbarer Form, idealerweise als CSV, XLSX oder JSON, nicht als PDF. Zweitens das Datenpannen-Register mit allen Vorfällen, Meldungen und Schließungen samt Bezug zur jeweiligen Aufsichtsbehörde. Drittens die TOM-Liste mit Versionsstand und Letztprüfungsdatum sowie der zugrundeliegenden Risikoanalyse. Viertens das Audit-Protokoll der letzten 24 Monate, einschließlich aller Anfragen betroffener Personen und ihrer Bearbeitung mit Reaktionsfristen.

Beim Wechsel zur CIVAC-Plattform werden diese Artefakte importiert und in den Workspace überführt, wobei der Import unter ISO/IEC 27001:2022-zertifizierten Bedingungen erfolgt. Bei einem Wechsel weg von CIVAC werden alle Daten in offenen Formaten exportiert, ohne Vendor-Lock-in. Das ist nicht nur Marktstandard, das ist die einzige Form, in der Sie die Kontinuität Ihrer DSB-Funktion sicherstellen können. Wer einen Anbieter prüft, sollte sich die Exportoption schriftlich zusichern lassen, bevor er den ersten Datensatz hochlädt.

Eine saubere Kündigungsklausel mit drei Monaten Frist, schriftlicher Übergabe und einem definierten Übergabezeitpunkt verhindert die häufigste Aufsichts-Beanstandung: eine Lücke in der Berichtslinie, weil der alte DSB schon weg und der neue noch nicht bestellt ist. In dieser Lücke geschehen erfahrungsgemäß die größten Schäden, weil eine Datenpanne in dieser Zeit niemanden findet, der formal zuständig ist. Eine drei- bis vierwöchige Übergangsphase mit Doppelbesetzung schließt diese Lücke und ist günstiger als jeder Bußgeldbescheid.

Wer einen DSB-Dienstleister auswählt, baut eine Funktion auf, die zehn Jahre tragen soll. Die Auswahl entscheidet darüber, ob Ihre Datenschutz-Compliance auf einer Person, einem Aktenschrank oder einer Plattform mit Beweisstruktur ruht. Drei Fragen können Sie heute beantworten: Welches der vier Marktmodelle passt zu Ihrer Standortstruktur? Welche der zwölf Auswahlfragen können Sie aus Ihren aktuellen Verträgen schon klar beantworten? Und welche der drei Vertragsfallen ist in Ihrem bestehenden Setup offen, also bei Reaktionszeit, Vertretung oder Verzeichnis-Scope? Wenn Sie auf zwei dieser drei Fragen keine schriftliche Antwort haben, ist Handlungsbedarf da.

CIVAC bietet beides: die Compliance-Plattform und den Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen dieselbe ISO/IEC 27001:2022-zertifizierte Infrastruktur, dieselben 490 einsatzbereiten Audit-Vorlagen und dieselbe EU-Datenresidenz. Die Wahl hängt nicht von einer Vertriebsentscheidung ab, sondern davon, wo Sie heute stehen und wo Sie in zwölf Monaten stehen wollen. Wenn Sie eine interne Datenschutzkoordination haben, beginnen Sie mit dem Workspace. Wenn nicht, lassen Sie CIVAC die Person bestellen, mit Bestellurkunde, Aufsichtsmeldung und Berichtslinie.

Wenn Sie einen konkreten Anbietervergleich durchführen oder einen bestehenden Vertrag prüfen lassen wollen, schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Sie erhalten innerhalb von zwei Werktagen einen strukturierten Vorschlag mit benannter Person, Reaktionszeit und Übergabeplan. Die CIVAC-SLA von zwei Werktagen ersetzt den klassischen Sechs-Wochen-Pfad und macht den Anbieterwechsel zu einem planbaren Projekt statt zu einem Monate-Marathon. Eine Übersicht der Kernfragen finden Sie zudem in der CIVAC-FAQ. Aus dem Lesen einen Auftrag machen.