DSB-Kosten 2026: Was ein Datenschutzbeauftragter intern und extern wirklich kostet

Nach § 38 BDSG und Art. 37 DSGVO ist ein Datenschutzbeauftragter zu bestellen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder bestimmte Risikoverarbeitungen erfolgen. Die Pflicht ist klar, die Kostenfrage selten. Vorstände wollen wissen, ob 4.800 Euro Jahreshonorar realistisch sind, ob ein interner DSB günstiger ist und welche Posten in den Vergleichsangeboten regelmässig fehlen.

Dieser Leitfaden zerlegt die DSB-Kosten in Vollkostenbasis, vergleicht intern und extern, benennt die typischen Honorarmodelle, die Bandbreiten 2026 und die versteckten Posten, die in 9 von 10 Angeboten unterschätzt werden. Am Ende steht eine belastbare Entscheidungsmatrix und der Verweis auf das CIVAC-Modell als Dritt-Option. Aus dem Lesen einen Auftrag machen.

§ 38 Abs. 1 BDSG verpflichtet zur Bestellung, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Art. 37 Abs. 1 DSGVO ergänzt eine Pflicht bei Kerntätigkeiten mit umfangreicher regelmässiger Überwachung oder umfangreicher Verarbeitung sensitiver Daten nach Art. 9 oder strafrechtlicher Daten nach Art. 10 DSGVO.

Die 20-Personen-Schwelle wirkt niedriger, als sie ist. Praktikanten, Werkstudenten, Marketing- und Vertriebsmitarbeiter mit CRM-Zugang zählen mit. Wer das ignoriert, läuft schnell in eine ungeprüfte Bestellpflicht und damit in ein Bußgeldrisiko nach Art. 83 Abs. 4 lit. a DSGVO, das mit bis zu 10 Mio. Euro oder zwei Prozent des Konzernumsatzes sanktioniert ist.

Auch unterhalb der Schwelle ist eine freiwillige Bestellung sinnvoll, sobald die Risiken konkret sind. Eine Arztpraxis mit zwölf Mitarbeitenden, ein Online-Händler mit Profilbildung oder ein SaaS-Anbieter mit grenzüberschreitenden Transfers gehören dazu. In all diesen Fällen ist eine dokumentierte Risikoabwägung Pflicht, die freiwillige Bestellung folgt oft daraus.

Die Pflicht ist nicht delegierbar an einen Geschäftsführer oder einen IT-Leiter. Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte, und der EDSB hat 2019 klargestellt, dass Leitungsfunktionen mit Datenverarbeitungsverantwortung als kollidierend gelten. Das schränkt die internen Personaloptionen in vielen Unternehmen deutlich ein und erhöht die Attraktivität externer Modelle.

Die CIVAC-Rolle Datenschutzbeauftragter übernimmt sowohl die Pflichtanalyse als auch die anschliessende Bestellung mit Bestellurkunde, Meldung an die Aufsichtsbehörde und Berichtslinie an die Geschäftsführung. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Wer die Pflicht falsch einschätzt, riskiert nicht nur Bußgelder, sondern auch Schadensersatzansprüche nach Art. 82 DSGVO und in Ausnahmefällen strafrechtliche Folgen nach § 42 BDSG. Die Kostenfrage beginnt also mit einer sauberen Pflichtprüfung, nicht mit Honorarangeboten.

Die Vollkostenrechnung für einen internen DSB umfasst Bruttogehalt, Arbeitgeberanteile zur Sozialversicherung, Arbeitsplatz, IT, Weiterbildung, Reisekosten, Stellvertretung und Tooling. Ein erfahrener interner DSB im Mittelstand liegt 2026 bei 70.000 bis 95.000 Euro Bruttogehalt, die Vollkosten erreichen damit 95.000 bis 130.000 Euro jährlich, abhängig von Standort und Konzernzugehörigkeit.

In kleineren Organisationen wird die DSB-Rolle häufig nebenamtlich vergeben, etwa an die Rechtsabteilung oder das Qualitätsmanagement. Das senkt die Personalkosten scheinbar, erhöht aber das Konfliktrisiko nach Art. 38 Abs. 6 DSGVO und reduziert die für die Rolle verfügbare Zeit auf 10 bis 20 Prozent einer Vollzeitstelle. Bezogen auf die Vollkosten landet man auch hier schnell bei 18.000 bis 28.000 Euro pro Jahr.

Hinzu kommt die Weiterbildung. Der DSB muss seine Qualifikation laufend nachweisen, gängige Zertifizierungen wie TÜV oder Udo Helmbrecht-Akademie kosten initial 2.500 bis 4.000 Euro, dazu 1.500 bis 2.500 Euro pro Jahr für Updates und Konferenzen. Diese Posten fehlen in den meisten internen Kalkulationen und werden erst bei einer Aufsichtsprüfung sichtbar.

Die Stellvertretung ist Pflicht, sobald der DSB länger ausfällt. Eine namentliche Stellvertretung mit eigener Schulung kostet rund 30 bis 50 Prozent der Hauptrolle, oft auf Kollegen verteilt. Wer keine Stellvertretung benennt, riskiert Meldepfadlücken bei Urlaub oder Krankheit und damit erneut Bußgeldrisiken nach Art. 33 DSGVO.

Tooling und Dokumentation kosten zusätzlich. Einfache Lösungen wie Tabellen sind nicht audit-fest, kommerzielle Tools liegen bei 2.400 bis 12.000 Euro jährlich, dazu Aufwand für Einrichtung und Pflege. Insgesamt liegen die Vollkosten einer internen Lösung im Mittelstand selten unter 35.000 Euro pro Jahr, häufig deutlich höher.

Ein selten genannter Posten ist das Haftungsrisiko. Der DSB selbst haftet zwar nicht persönlich nach Art. 38 Abs. 3 DSGVO, das Unternehmen aber sehr wohl. Eine Vermögensschaden-Haftpflicht für die Position kostet 1.200 bis 3.500 Euro pro Jahr und wird im Vergleich gegenüber externen Modellen häufig vergessen.

Der externe DSB wird in der Regel pauschal oder stundenbasiert vergütet. Pauschalmodelle dominieren im KMU-Segment und liegen 2026 bei 400 bis 1.200 Euro pro Monat für Unternehmen bis 50 Mitarbeitende, 1.200 bis 2.500 Euro pro Monat für Unternehmen bis 250 Mitarbeitende und 2.500 bis 6.000 Euro pro Monat für grössere Mittelständler mit höherem Risikoprofil.

Stundenmodelle bewegen sich zwischen 140 und 280 Euro netto je Stunde, je nach Spezialisierung und Region. Sie eignen sich für Projektphasen, Audit-Vorbereitungen oder spezifische DPIA-Vorhaben nach Art. 35 DSGVO. Für die laufende DSB-Bestellung sind sie meist teurer als Pauschalen, weil regelmässige Tätigkeiten kontinuierlich anfallen und schwer kappbar sind.

Die Bandbreiten variieren stark mit dem Risikoprofil. Eine kleine Werbeagentur ohne Profiling zahlt 2026 selten mehr als 480 Euro pro Monat. Ein E-Commerce-Anbieter mit Tracking, Kundendaten und EU-weiten Transfers zahlt 1.200 bis 2.000 Euro. Ein Klinikbetreiber, Finanzdienstleister oder TK-Anbieter erreicht schnell 4.000 bis 8.000 Euro pro Monat.

Was im Pauschalpreis enthalten ist, unterscheidet sich erheblich. Standard sind Verzeichnis nach Art. 30, Schulung der Mitarbeitenden, Erstkontakt mit der Aufsichtsbehörde, Telefon- und E-Mail-Support, ein Audit pro Jahr. Was häufig nicht enthalten ist: DPIAs, Vorfallbearbeitung, internationale Transfers, Auftragsverarbeitungsverträge und Vor-Ort-Termine. Diese Posten werden separat abgerechnet und treiben die Kosten leicht um 30 Prozent.

Die CIVAC-Officer-as-a-Service-Variante bündelt diese Posten in einer transparenten Pauschale mit definiertem Leistungskatalog, dokumentierter SLA von zwei Werktagen und ohne nachträgliche Stundensätze für reguläre Tätigkeiten. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Wer Angebote vergleicht, sollte den Leistungskatalog, die Reaktionszeit, die Vor-Ort-Tage und die Vorfallbearbeitung explizit gegenüberstellen. Eine Pauschale von 480 Euro ohne Vorfallbearbeitung ist nicht günstiger als eine Pauschale von 980 Euro mit unbegrenzter Vorfallbearbeitung, sondern teurer, sobald der erste Vorfall eintritt.

Der häufigste Fehler ist die Unterschätzung des Vorfallaufwands. Eine einzelne Datenpanne nach Art. 33 DSGVO kostet bei externen Dienstleistern im Einzelfall 2.500 bis 8.000 Euro Sondervergütung, intern entsprechend an Mitarbeiterzeit. Wer pro Jahr drei Vorfälle hat, addiert leicht 15.000 Euro auf die nominell günstige Pauschale.

Der zweite Block ist die DPIA nach Art. 35 DSGVO. Sobald neue Verfahren eingeführt werden, etwa CRM-Wechsel, KI-Einsatz oder Cloud-Migration, wird eine Folgenabschätzung fällig. Externe DSB rechnen je DPIA 1.500 bis 6.000 Euro, intern liegt der Aufwand bei 40 bis 120 Stunden. In einem digitalisierungsstarken Mittelständler entstehen so 3 bis 6 DPIA pro Jahr.

Der dritte Block sind Auftragsverarbeitungsverträge. Jedes neue Saas-Tool benötigt eine Prüfung und einen AVV nach Art. 28 DSGVO. Externe Pauschalen decken 5 bis 10 AVV pro Jahr ab, alles darüber kostet extra. In schnell wachsenden Unternehmen fallen 30 bis 80 AVV pro Jahr an, der Differenzbetrag kann 5.000 bis 15.000 Euro überschreiten.

Der vierte Block ist die Schulung. Art. 39 Abs. 1 lit. b DSGVO verpflichtet zur Sensibilisierung und Schulung der Mitarbeitenden. Eine jährliche Online-Schulung für 200 Mitarbeitende kostet je nach Anbieter 1.800 bis 6.000 Euro, plus Tracking, Reminder-Mails und Erfolgskontrolle. Diese Posten sind selten in der Pauschale enthalten.

Der fünfte Block ist die Aufsichtsbehörden-Kommunikation. Anfragen, Anhörungen, Vor-Ort-Prüfungen kosten bei externen Anbietern zusätzlich 2.500 bis 12.000 Euro je Vorgang. CIVAC bündelt diese Kommunikation in der Officer-Pauschale, weil eine sauber dokumentierte Berichtslinie die Reaktionszeit auf wenige Stunden senkt. Der Prüfer ruft an, der Nachweis liegt bereit.

Der sechste Block ist die Versionierung. Wer keine revisionssichere Ablage hat, zahlt im Audit-Fall doppelt, einmal für die Wiederherstellung der Dokumente, einmal für die Erklärung gegenüber dem Prüfer. CIVAC stellt 490 einsatzbereite Audit-Vorlagen mit eingebauter Versionierung, das reduziert diesen Aufwand auf null.

Drei Modelle stehen 2026 zur Wahl. Das interne Modell mit eigener Stelle eignet sich für Unternehmen ab 500 Mitarbeitenden mit eigener Rechtsabteilung und hohem Verarbeitungsvolumen. Vollkosten liegen bei 95.000 bis 160.000 Euro pro Jahr, der Vorteil ist Tiefenintegration, der Nachteil sind Stellvertretung, Weiterbildung und Konfliktrisiken nach Art. 38 Abs. 6 DSGVO.

Das klassische externe Modell eignet sich für KMU mit überschaubarem Verarbeitungsvolumen. Pauschalen von 400 bis 2.500 Euro pro Monat sind realistisch, plus 25 bis 40 Prozent für versteckte Posten. Vorteil ist die Unabhängigkeit, Nachteil ist die häufig fehlende Tool-Integration und die nicht standardisierte Dokumentation.

Das Officer-as-a-Service-Modell, wie es CIVAC anbietet, kombiniert beide Welten. Der bestellte DSB arbeitet im selben Workspace, in dem Sie auch Ihre internen Beauftragten orchestrieren. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Varianten teilen Vorlagen, Berichtslinie, Vorfallregister und EU-Datenresidenz.

Die Kostenstruktur ist transparent. Officer-as-a-Service liegt im Mittelstand zwischen 1.500 und 4.500 Euro pro Monat inklusive Tooling, Schulung, AVV-Prüfung im definierten Volumen, Vorfallbearbeitung und Aufsichtsbehörden-Kommunikation. Das ist regelmässig 30 bis 50 Prozent günstiger als die Vollkostenrechnung einer internen Stelle mit gleichwertiger Reife.

Wer das Modell strikt mit klassischen externen Pauschalen vergleicht, sieht den Aufpreis. Wer alle versteckten Posten einbezieht, sieht die Ersparnis. Die Entscheidung fällt deshalb selten am Listenpreis, sondern am Reifegrad der eigenen Dokumentation und am Stellenwert, den die Geschäftsführung der Berichtslinie zumisst.

Eine belastbare Vergleichsbasis erfordert die Auflistung aller Posten, nicht nur des Pauschalpreises. CIVAC stellt im Workspace eine Vergleichsmatrix bereit, die die drei Modelle anhand von 18 Parametern gegenüberstellt, von der Reaktionszeit über die Schulungsfrequenz bis zur Versionierung. Audit-fest, dokumentiert, § 38 BDSG-fest.

Gesundheitswesen treibt die Kosten am stärksten. Klinikbetreiber, Arztpraxen und Pflegeeinrichtungen verarbeiten sensitive Daten nach Art. 9 DSGVO und unterliegen zusätzlich dem Krankenhauszukunftsgesetz, der Berufsordnung und dem SGB. Externe DSB-Pauschalen beginnen hier selten unter 1.500 Euro pro Monat, ein Klinikverbund erreicht schnell 6.000 bis 10.000 Euro.

Finanzdienstleister haben einen vergleichbaren Aufschlag, getrieben durch DORA, BAIT, KAIT und MaRisk. Hier kommt die enge Verzahnung mit dem Informationssicherheitsbeauftragten hinzu, weil viele Pflichten parallel zu erfüllen sind. Wer den DSB und den Informationssicherheitsbeauftragten in einem Workspace führt, spart 20 bis 30 Prozent Koordinationsaufwand.

E-Commerce ist mittelpreisig, aber volumenstark. AVV-Volumen, Cookie-Banner, Tracking, Profiling, internationale Transfers nach Art. 44 ff. DSGVO und die laufende Beobachtung von EuGH-Urteilen treiben den DSB-Aufwand. Eine Pauschale von 800 bis 1.800 Euro pro Monat ist hier üblich, mit Volumenklauseln für AVV-Prüfungen.

Industrie und Maschinenbau sind häufig günstiger, weil das Verarbeitungsvolumen pro Mitarbeitender niedriger ist. Pauschalen liegen bei 500 bis 1.200 Euro pro Monat, treibend ist hier eher der Joint-Venture- oder Konzernkontext mit grenzüberschreitenden Datenflüssen und die HR-Datenverarbeitung über Konzernsysteme.

Öffentliche Stellen und Behörden haben einen Sonderstatus nach § 5 Abs. 1 BDSG. Hier ist die Bestellung unabhängig von Mitarbeiterzahlen verpflichtend. Externe Mandate sind erlaubt, der Markt ist preisgetrieben, Pauschalen liegen oft im unteren Drittel. Dafür sind die Anforderungen an Schulung, Verzeichnis und Transparenz höher als in der Privatwirtschaft.

Wer die eigene Branche realistisch einordnet, vermeidet beide Fehler: die teure Überdimensionierung und die riskante Unterdimensionierung. CIVAC bietet eine kostenlose Erstklassifizierung, in der das Risikoprofil anhand von 12 Parametern eingeschätzt wird. Daraus ergibt sich eine belastbare Schätzung der DSB-Kosten für die kommenden 12 Monate.

Der Vertrag mit einem externen DSB sollte mindestens fünf Bausteine enthalten: Bestellurkunde nach Art. 37 ff. DSGVO, Leistungsbeschreibung mit klarem Mengengerüst, SLA mit Reaktionszeit, Vertraulichkeits- und Verschwiegenheitsverpflichtung nach § 38 Abs. 2 BDSG sowie eine Stellvertretungsregelung für Krankheit und Urlaub.

Die Laufzeit liegt üblicherweise bei 24 oder 36 Monaten mit Kündigungsfristen von drei bis sechs Monaten. Kürzere Laufzeiten erhöhen die Pauschale spürbar, weil Einarbeitung und Aufnahmeaufwand des Verarbeitungsverzeichnisses ein Erstaufwand sind, der sich erst über die Laufzeit amortisiert. Achtung bei Verlängerungsautomatik: § 309 Nr. 9 BGB setzt Grenzen.

Die Haftung ist sorgfältig zu regeln. Der DSB selbst haftet gemäss Art. 38 Abs. 3 DSGVO nicht für seine Beratungstätigkeit, der Anbieter aber sehr wohl für Schlechtleistung. Übliche Haftungsobergrenzen liegen bei einer Jahrespauschale oder 250.000 Euro, je nachdem welcher Betrag höher ist. Niedrigere Obergrenzen sind ein Warnsignal.

Die Datenresidenz wird oft übersehen. Wenn der externe DSB Cloud-Tools nutzt, die außerhalb der EU hosten, entsteht ein Drittstaaten-Transfer nach Art. 44 ff. DSGVO. CIVAC stellt EU-Datenresidenz als Standard, hostet alle Vorfall- und Verzeichnisdaten innerhalb der EU und legt das vertraglich fest.

Die Kündigungsfolgen müssen geregelt sein. Wer wechselt, muss das Verarbeitungsverzeichnis, die Audit-Berichte, die DPIA-Dokumente und die Schulungsnachweise vollständig erhalten, idealerweise in einem standardisierten Exportformat. Eine fehlende Exportklausel führt im Wechselfall zu erheblichen Reibungsverlusten und zusätzlichen Kosten.

Vor der Unterschrift lohnt eine Referenzprüfung. Zwei bis drei Mandanten in vergleichbarer Branche reichen, um die Aussagen zum Leistungskatalog zu validieren. CIVAC stellt Referenzen aus der jeweiligen Branche zur Verfügung, sofern die Mandantenfreigabe vorliegt. Frist läuft ab Kenntnis.

Unter 50 Mitarbeitende mit überschaubarem Verarbeitungsvolumen ist das klassische externe Modell meist die kosteneffizienteste Lösung. Pauschalen zwischen 400 und 800 Euro pro Monat decken den Standardbedarf, sofern keine sensitive Datenverarbeitung oder grenzüberschreitende Transfers vorliegen.

Zwischen 50 und 250 Mitarbeitende lohnt der genaue Vergleich. Klassische externe Pauschalen liegen bei 1.000 bis 2.500 Euro pro Monat, ohne Vorfall- und DPIA-Reserve. Officer-as-a-Service liegt in derselben Spanne, deckt aber das gesamte Leistungsspektrum ab. Die effektiven Gesamtkosten liegen häufig 20 bis 35 Prozent unter dem klassischen Modell.

Zwischen 250 und 1.000 Mitarbeitende beginnt der Vergleich mit einer internen Stelle. Reine Personalkosten liegen bei 95.000 Euro, Vollkosten bei 130.000 Euro. Officer-as-a-Service erreicht denselben Reifegrad bei 30.000 bis 55.000 Euro Jahrespauschale, ohne Stellvertretungsproblematik und mit garantierter SLA von zwei Werktagen.

Über 1.000 Mitarbeitende ist eine hybride Lösung sinnvoll. Eine interne Stelle für die Tiefenintegration, ein externer DSB als Sparring und Stellvertretung, ein gemeinsamer Workspace für Vorlagen, Vorfallregister und Berichtslinie. CIVAC ermöglicht diese Hybridform durch dieselbe Plattform für interne und externe Beauftragte.

Risikoreiche Branchen verschieben die Schwellen nach unten. Eine Arztpraxis mit 20 Mitarbeitenden hat einen höheren DSB-Bedarf als ein Maschinenbauer mit 80. Eine Online-Plattform mit Profiling hat einen höheren Bedarf als ein lokaler Handwerker. Die Schwellen sind also Anhaltspunkte, nicht absolute Grenzen.

Der wichtigste Hebel ist nicht der Preis pro Monat, sondern die Vermeidung von Bußgeld und Reputationsschaden. Ein einziges Bußgeld nach Art. 83 DSGVO im fünfstelligen Bereich kostet mehr als zehn Jahre externer DSB-Pauschale. Diese Asymmetrie sollte in jeder Entscheidungsvorlage erscheinen.

CIVAC ist Compliance-Plattform und Officer-as-a-Service. Sie können den Workspace für Ihre internen Beauftragten lizenzieren, oder Sie lassen unsere Beauftragten bestellen. Beide Varianten teilen Vorlagen, Vorfallregister, Berichtslinie und EU-Datenresidenz. Das macht den Vergleich zwischen Eigenleistung und Fremdvergabe operativ, nicht theoretisch.

Die Officer-as-a-Service-Pauschale enthält 490 Audit-Vorlagen, AVV-Prüfung im definierten Volumen, DPIA-Begleitung im definierten Volumen, Vorfallbearbeitung nach Art. 33 DSGVO, Aufsichtsbehörden-Kommunikation, Mitarbeitenden-Schulung und eine SLA von zwei Werktagen für die Erstreaktion. Versteckte Posten gibt es per Vertrag nicht, das Mengengerüst ist transparent.

Die Workspace-Lizenz für interne Beauftragte adressiert Unternehmen, die einen eigenen DSB beschäftigen, aber die Dokumentation und Berichtslinie auf ein modernes, audit-festes Fundament stellen wollen. Bestellurkunde, unterschrieben, abgelegt, belegbar. Die Lizenzkosten liegen bei 6.000 bis 24.000 Euro pro Jahr, abhängig von Nutzeranzahl und Modul-Auswahl.

Der Vergleich mit klassischen externen DSB-Modellen ist auf der CIVAC-FAQ-Seite dokumentiert, inklusive Beispielrechnungen für 50, 200, 500 und 1.500 Mitarbeitende. Wer eine individuelle Kalkulation will, erhält sie nach einem 30-minütigen Erstgespräch innerhalb von zwei Werktagen.

Wenn Sie heute prüfen möchten, ob Ihr aktuelles DSB-Modell wirtschaftlich und juristisch trägt, sprechen Sie uns an. Aus dem Lesen einen Auftrag machen: info@civac.de oder das Kontaktformular auf civac.de. Eine erste Einschätzung erhalten Sie inklusive Kostenmodell und Hinweis auf akute Lücken.

Wer aktuell vor einer Aufsichtsprüfung steht, wählt den Express-Pfad. Der bestellte DSB übernimmt die Behördenkommunikation, der Workspace stellt die Vorlagen, die Berichtslinie zur Geschäftsführung steht ab Tag eins. Der Prüfer ruft an, der Nachweis liegt bereit.