Ist ein externer Datenschutzbeauftragter überhaupt zulässig?

Ja, ausdrücklich. Art. 37 Abs. 6 DSGVO stellt beide Wege gleich: Der Datenschutzbeauftragte kann Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen. Beauftragt werden kann auch eine Organisation; dann sollte eine Ansprechperson benannt und der Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO mitgeteilt werden. Aufsichtsbehörden akzeptieren beide Modelle. Entscheidend ist nicht die Anbindung, sondern dass Fachkunde, Weisungsfreiheit, Ressourcen und die frühzeitige Einbindung tatsächlich gewährleistet sind.

Hat der interne Datenschutzbeauftragte Kündigungsschutz?

Ja, und zwar über § 38 Abs. 2 BDSG, der § 6 Abs. 4 BDSG auf nichtöffentliche Stellen erstreckt. Die Abberufung aus dem Amt ist nur in entsprechender Anwendung von § 626 BGB möglich, also aus wichtigem Grund. Die Kündigung des Arbeitsverhältnisses ist grundsätzlich unzulässig, solange die Bestellung besteht, und der Schutz wirkt noch ein Jahr nach ihrem Ende fort; eine außerordentliche Kündigung aus wichtigem Grund bleibt möglich. Nach der Rechtsprechung greift dieser Sonderschutz bei der gesetzlich vorgeschriebenen Bestellung; bei einer rein freiwilligen Benennung ist er nicht garantiert.

Was kostet ein interner Datenschutzbeauftragter wirklich?

Mehr als die reine Arbeitszeit. Zum anteiligen Personalaufwand kommen die Freistellung von anderen Aufgaben, die Erstqualifikation und die laufende Fortbildung, Fachliteratur und Zugang zu Rechtsprechung, Werkzeuge für Verzeichnis, Fristen und Nachweise sowie eine Vertretungslösung für Urlaub und Krankheit. Art. 38 Abs. 2 DSGVO verpflichtet den Verantwortlichen ausdrücklich, diese Ressourcen bereitzustellen und den Erhalt des Fachwissens zu ermöglichen. Der ehrliche Vergleich stellt diesen Gesamtaufwand dem Honorar eines externen Mandats gegenüber, nicht nur einen Stundensatz.

Kann man vom externen zum internen Modell wechseln?

Ja, jederzeit. Nötig sind eine neue Benennung, die Anpassung der veröffentlichten Kontaktdaten und die erneute Mitteilung an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO sowie eine geordnete Übergabe. Der kritische Punkt ist die Übergabe: Verarbeitungsverzeichnis, offene Betroffenenanfragen, laufende Folgenabschätzungen, Auditfeststellungen, Schulungsstände und die Dokumentation der zurückliegenden Jahre müssen vollständig übergehen, weil die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO beim Unternehmen liegt. Lassen Sie sich Format und Umfang der Übergabe im Dienstvertrag zusichern.

Braucht der interne Datenschutzbeauftragte eine eigene Software?

Verpflichtend ist keine bestimmte Software, aber die Aufgaben aus Art. 39 DSGVO erzeugen Arbeit, die ohne Werkzeug schnell in Tabellen und Postfächern verschwindet: Verzeichnis, Fristen, Schulungsnachweise, Auditfeststellungen, Meldungen nach Art. 33 DSGVO. Art. 38 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die zur Erfüllung erforderlichen Ressourcen bereitzustellen — Werkzeuge gehören dazu. CIVAC ist genau dafür gebaut und funktioniert in beiden Modellen: Die interne Beauftragte arbeitet im selben Workspace wie ein externer Beauftragter, dem Sie Zugang geben.

Alle Vergleiche

Modellvergleich

Interner oder externer Datenschutzbeauftragter

Art. 37 Abs. 6 DSGVO lässt beides zu: Der Datenschutzbeauftragte kann Beschäftigter des Verantwortlichen sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen. Die Entscheidung ist deshalb keine Rechtsfrage, sondern eine Organisationsfrage — mit rechtlichen Folgen, die sich deutlich unterscheiden. Wer intern bestellt, schafft eine geschützte Stellung im eigenen Betrieb und muss auf Interessenkonflikte achten. Wer extern beauftragt, kauft Fachkunde und Vertretung ein und bleibt trotzdem selbst verantwortlich. Diese Seite stellt die Unterschiede gegenüber, die in der Praxis tragen.

Die Unterschiede im Einzelnen

Kriterium	Interner Datenschutzbeauftragter	Externer Datenschutzbeauftragter
Rechtsgrundlage	Beschäftigter des Verantwortlichen, benannt nach Art. 37 Abs. 6 Alt. 1 DSGVO. Die Benennung tritt neben den Arbeitsvertrag und begründet ein eigenes Amt.	Tätigkeit auf Grundlage eines Dienstleistungsvertrags, Art. 37 Abs. 6 Alt. 2 DSGVO. Beauftragt werden kann auch eine Organisation, sofern eine Ansprechperson benannt ist.
Interessenkonflikt	Der kritische Punkt. Art. 38 Abs. 6 DSGVO erlaubt weitere Aufgaben nur ohne Interessenkonflikt. Wer die Zwecke und Mittel der Verarbeitung mitbestimmt, scheidet aus — regelmäßig Geschäftsführung, IT-Leitung, Personal- und Vertriebsleitung; die Rechtsprechung hat einen Konflikt unter anderem für den Vorsitz im Betriebsrat angenommen.	Systembedingt gering, weil keine operative Rolle im Unternehmen besteht. Zu prüfen bleibt, ob dieselbe Person zugleich Aufgaben mit Gestaltungsmacht übernimmt, etwa als IT-Dienstleister desselben Kunden.
Abberufungs- und Kündigungsschutz	Stark. § 38 Abs. 2 BDSG erklärt § 6 Abs. 4 BDSG für anwendbar: Abberufung nur in entsprechender Anwendung von § 626 BGB, Kündigung des Arbeitsverhältnisses grundsätzlich unzulässig und noch ein Jahr nach Ende der Bestellung geschützt. Nach der Rechtsprechung greift dieser Sonderschutz bei der gesetzlich vorgeschriebenen Bestellung.	Kein Sonderkündigungsschutz. Es gilt der Dienstvertrag mit den vereinbarten Laufzeiten und Kündigungsfristen; unabhängig davon darf auch hier keine Abberufung wegen der Aufgabenerfüllung erfolgen (Art. 38 Abs. 3 DSGVO).
Fachkunde	Muss aufgebaut und gehalten werden. Art. 37 Abs. 5 DSGVO bemisst das erforderliche Fachwissen an der Komplexität der Verarbeitungen; Art. 38 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die dafür nötigen Ressourcen und den Erhalt des Fachwissens zu ermöglichen.	Wird eingekauft und liegt beim Dienstleister. Fortbildung, Fachliteratur und die Verfolgung von Rechtsprechung und Aufsichtspraxis sind Teil des Honorars.
Vertretung bei Ausfall	Muss organisiert werden. Urlaub, Krankheit oder Ausscheiden erzeugen eine Lücke, die ohne benannte Vertretung auf die Geschäftsleitung zurückfällt.	In der Regel Teil des Vertrags: Der Dienstleister stellt Vertretung; ein Personalwechsel dort verändert Ihre Organisation nicht.
Kenntnis der Abläufe	Hoch. Wer im Haus sitzt, kennt Systeme, Verantwortliche und Sonderfälle und bekommt Vorhaben früh mit — das erleichtert die frühzeitige Einbindung nach Art. 38 Abs. 1 DSGVO.	Muss aufgebaut werden und hängt an einem funktionierenden Meldeweg. Dafür bringt der Blick von außen Vergleichswissen aus anderen Unternehmen mit.
Kostenstruktur	Anteilige Personalkosten, Freistellung von anderen Aufgaben, Fortbildung, Fachliteratur, Werkzeuge und die Vertretung. Der Aufwand ist real, taucht aber selten als eigene Position auf.	Vertraglich vereinbartes Honorar, meist als Pauschale mit definiertem Leistungsumfang. Zusätzlicher Aufwand wie Audits, Schulungen oder Projekte wird häufig gesondert abgerechnet.
Verschwiegenheit	Art. 38 Abs. 5 DSGVO verpflichtet zur Geheimhaltung. Über § 38 Abs. 2 BDSG kommen die Verschwiegenheit über die Identität betroffener Personen und ein Zeugnisverweigerungsrecht hinzu.	Dieselben Pflichten aus Art. 38 Abs. 5 DSGVO und § 38 Abs. 2 BDSG, ergänzt um die vertragliche Vertraulichkeit gegenüber dem Auftraggeber.
Meldung an die Aufsichtsbehörde	Identisch: Kontaktdaten veröffentlichen und der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).	Identisch: Kontaktdaten veröffentlichen und der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).

Hinweis zu den Angaben: Diese Seite dient der Orientierung und ist keine Rechtsberatung. Sie gibt den Stand von DSGVO und BDSG sowie der genannten Leitlinien und Rechtsprechung zum Zeitpunkt der Erstellung wieder (August 2026); Gesetzeslage, Aufsichtspraxis und Rechtsprechung können sich ändern. Ob eine Bestellpflicht besteht und welches Modell zu Ihrer Organisation passt, hängt von Ihren Verarbeitungen, Ihrer Struktur und Ihrem Personal ab — im Zweifel ziehen Sie fachkundigen Rat hinzu.

Der Interessenkonflikt entscheidet häufiger als das Budget

Art. 38 Abs. 6 DSGVO erlaubt es, dem Datenschutzbeauftragten weitere Aufgaben zu übertragen — aber nur, solange daraus kein Interessenkonflikt entsteht. Der Maßstab ist einfach: Wer über Zwecke und Mittel der Verarbeitung mitentscheidet, kann sich nicht selbst überwachen. Die zu den Datenschutzbeauftragten ergangenen Leitlinien der Art.-29-Datenschutzgruppe, die der Europäische Datenschutzausschuss übernommen hat, nennen dafür regelmäßig ausgeschlossene Positionen: Geschäftsführung, Leitung Operations, Finanzen, Marketing, Personal und IT. Die Rechtsprechung hat einen Konflikt unter anderem für den Vorsitz im Betriebsrat angenommen.

Für kleinere Unternehmen ist das oft der eigentliche Grund für die externe Lösung. Wenn die einzigen Personen mit genügend Nähe zur IT gerade diejenigen sind, die die Systeme betreiben, bleibt intern niemand übrig. Umgekehrt gilt: Eine Fehlbesetzung heilt kein guter Wille. Wird eine Person bestellt, die nach Art. 38 Abs. 6 DSGVO nicht bestellt werden durfte, ist die Benennung angreifbar, und die Aufsichtsbehörde kann die Abberufung verlangen.

Der Schutz des internen Beauftragten ist eine Bindung in beide Richtungen

Der interne Datenschutzbeauftragte ist gesetzlich geschützt, und zwar deutlich. § 38 Abs. 2 BDSG erklärt § 6 Abs. 4 BDSG auch für nichtöffentliche Stellen für anwendbar: Die Abberufung ist nur in entsprechender Anwendung von § 626 BGB möglich, also aus wichtigem Grund; die Kündigung des Arbeitsverhältnisses ist grundsätzlich unzulässig, und der Schutz wirkt noch ein Jahr nach dem Ende der Bestellung fort. Nach der Rechtsprechung greift dieser Sonderschutz dort, wo die Bestellung gesetzlich vorgeschrieben ist — bei einer freiwilligen Benennung ist er nicht garantiert.

Diese Regelung sichert die Unabhängigkeit des Amtes, bindet aber auch das Unternehmen. Wer intern bestellt, entscheidet nicht nur über eine Zuständigkeit, sondern über eine Personalie mit erhöhtem Bestandsschutz. Das ist kein Argument gegen die interne Lösung — es ist ein Argument dafür, die Auswahl ernst zu nehmen, die Aufgaben schriftlich zu fassen und die nach Art. 38 Abs. 2 DSGVO erforderlichen Ressourcen tatsächlich bereitzustellen.

Was in beiden Modellen gleich bleibt

Unabhängig von der Wahl bleibt die Verantwortung beim Verantwortlichen. Der Datenschutzbeauftragte überwacht und berät (Art. 39 Abs. 1 DSGVO), haftet aber nicht für die Einhaltung; die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO trifft das Unternehmen. Gleich bleiben ebenso die frühzeitige Einbindung nach Art. 38 Abs. 1 DSGVO, die Meldung der Kontaktdaten an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO und die Pflicht, dem Amt Ressourcen und Zugang zu verschaffen.

Gleich bleibt auch die Arbeit selbst: Verarbeitungsverzeichnis pflegen, Auftragsverarbeiter prüfen, Betroffenenanfragen fristgerecht beantworten, Meldefristen nach Art. 33 DSGVO überwachen, Schulungen ausrollen und nachhalten, Folgenabschätzungen begleiten und all das so dokumentieren, dass es eine Prüfung übersteht. Genau dafür ist CIVAC gebaut — und zwar für beide Modelle: Ihre interne Beauftragte arbeitet im selben Workspace wie ein externer Beauftragter, dem Sie Zugang geben. Wechselt das Modell, bleibt die Historie.

Wann welches Modell passt

Intern bestellen, wenn …

es eine geeignete Person ohne Interessenkonflikt nach Art. 38 Abs. 6 DSGVO gibt.
die Verarbeitungen so eng mit dem Kerngeschäft verwoben sind, dass Nähe zum Betrieb den Ausschlag gibt.
genügend Zeit für die Aufgabe freigestellt und Fortbildung dauerhaft finanziert werden kann.
eine Vertretung für Urlaub, Krankheit und Ausscheiden benannt ist.
der erhöhte Bestandsschutz der Person bewusst in Kauf genommen wird.

Extern beauftragen, wenn …

alle in Betracht kommenden internen Personen einem Interessenkonflikt unterliegen.
die erforderliche Fachkunde intern nicht vorhanden ist und der Aufbau unverhältnismäßig wäre.
durchgehende Verfügbarkeit und Vertretung vertraglich zugesichert sein sollen.
der Blick von außen und Vergleichswissen aus anderen Unternehmen gewünscht sind.
der Aufwand als kalkulierbare Position statt als verdeckter interner Aufwand geführt werden soll.

Häufige Fragen

Ist ein externer Datenschutzbeauftragter überhaupt zulässig?: Ja, ausdrücklich. Art. 37 Abs. 6 DSGVO stellt beide Wege gleich: Der Datenschutzbeauftragte kann Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen. Beauftragt werden kann auch eine Organisation; dann sollte eine Ansprechperson benannt und der Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO mitgeteilt werden. Aufsichtsbehörden akzeptieren beide Modelle. Entscheidend ist nicht die Anbindung, sondern dass Fachkunde, Weisungsfreiheit, Ressourcen und die frühzeitige Einbindung tatsächlich gewährleistet sind.
Wer darf intern nicht Datenschutzbeauftragter werden?: Nach Art. 38 Abs. 6 DSGVO jeder nicht, bei dem weitere Aufgaben zu einem Interessenkonflikt führen. Ausgeschlossen sind deshalb regelmäßig Personen, die über Zwecke und Mittel der Verarbeitung mitentscheiden: Geschäftsführung, Leitung von IT, Personal, Vertrieb, Marketing oder Finanzen. Die zu den Datenschutzbeauftragten ergangenen Leitlinien der Art.-29-Datenschutzgruppe, die der Europäische Datenschutzausschuss übernommen hat, führen diese Positionen ausdrücklich an; die Rechtsprechung hat einen Konflikt unter anderem für den Vorsitz im Betriebsrat angenommen. Maßgeblich ist immer die tatsächliche Entscheidungsmacht, nicht die Bezeichnung der Stelle.
Hat der interne Datenschutzbeauftragte Kündigungsschutz?: Ja, und zwar über § 38 Abs. 2 BDSG, der § 6 Abs. 4 BDSG auf nichtöffentliche Stellen erstreckt. Die Abberufung aus dem Amt ist nur in entsprechender Anwendung von § 626 BGB möglich, also aus wichtigem Grund. Die Kündigung des Arbeitsverhältnisses ist grundsätzlich unzulässig, solange die Bestellung besteht, und der Schutz wirkt noch ein Jahr nach ihrem Ende fort; eine außerordentliche Kündigung aus wichtigem Grund bleibt möglich. Nach der Rechtsprechung greift dieser Sonderschutz bei der gesetzlich vorgeschriebenen Bestellung; bei einer rein freiwilligen Benennung ist er nicht garantiert.
Was kostet ein interner Datenschutzbeauftragter wirklich?: Mehr als die reine Arbeitszeit. Zum anteiligen Personalaufwand kommen die Freistellung von anderen Aufgaben, die Erstqualifikation und die laufende Fortbildung, Fachliteratur und Zugang zu Rechtsprechung, Werkzeuge für Verzeichnis, Fristen und Nachweise sowie eine Vertretungslösung für Urlaub und Krankheit. Art. 38 Abs. 2 DSGVO verpflichtet den Verantwortlichen ausdrücklich, diese Ressourcen bereitzustellen und den Erhalt des Fachwissens zu ermöglichen. Der ehrliche Vergleich stellt diesen Gesamtaufwand dem Honorar eines externen Mandats gegenüber, nicht nur einen Stundensatz.
Kann man vom externen zum internen Modell wechseln?: Ja, jederzeit. Nötig sind eine neue Benennung, die Anpassung der veröffentlichten Kontaktdaten und die erneute Mitteilung an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO sowie eine geordnete Übergabe. Der kritische Punkt ist die Übergabe: Verarbeitungsverzeichnis, offene Betroffenenanfragen, laufende Folgenabschätzungen, Auditfeststellungen, Schulungsstände und die Dokumentation der zurückliegenden Jahre müssen vollständig übergehen, weil die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO beim Unternehmen liegt. Lassen Sie sich Format und Umfang der Übergabe im Dienstvertrag zusichern.
Braucht der interne Datenschutzbeauftragte eine eigene Software?: Verpflichtend ist keine bestimmte Software, aber die Aufgaben aus Art. 39 DSGVO erzeugen Arbeit, die ohne Werkzeug schnell in Tabellen und Postfächern verschwindet: Verzeichnis, Fristen, Schulungsnachweise, Auditfeststellungen, Meldungen nach Art. 33 DSGVO. Art. 38 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die zur Erfüllung erforderlichen Ressourcen bereitzustellen — Werkzeuge gehören dazu. CIVAC ist genau dafür gebaut und funktioniert in beiden Modellen: Die interne Beauftragte arbeitet im selben Workspace wie ein externer Beauftragter, dem Sie Zugang geben.