Externer Datenschutzbeauftragter Kosten 2026: Preise + intern vs. extern (§ 38 BDSG)

In einem Satz. Ein externer Datenschutzbeauftragter kostet 2026 je nach Unternehmensgröße und Aufwand typischerweise rund 100–300 € im Monat für kleine Betriebe und mehrere hundert bis über tausend Euro monatlich für mittelständische Unternehmen — verpflichtend wird ein DSB nach § 38 BDSG, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind.

Ob intern oder extern, ist eine Kosten- und Risikofrage. Dieser Beitrag ordnet die Preise ein und vergleicht die Modelle. Grundlagen zu Aufgaben und Bestellung im Leitfaden Datenschutzbeauftragter und zu den Aufgaben des DSB.

Wichtige Punkte

• DSB-Pflicht in Deutschland ab 20 Personen mit automatisierter Verarbeitung (§ 38 BDSG) — strenger als die DSGVO.
• Zusätzlich Pflicht bei DSFA-pflichtiger Verarbeitung oder Art.-9-Kerntätigkeit.
• Externe Preise: Pauschale (monatlich) oder Stundensatz.
• Interner DSB: Personalkosten + Fortbildung + Sonderkündigungsschutz.
• Bußgeld bei fehlendem DSB bis 10 Mio. € / 2 % (Art. 83 Abs. 4).

Wann ist ein DSB Pflicht?

Die deutsche 20-Personen-Schwelle ist strenger als die DSGVO, die keine feste Zahl kennt. „Personen" umfasst auch Teilzeitkräfte, Azubis und dauerhaft eingebundene Freie. Wer die Schwelle reißt, muss bestellen — Details zum Verhältnis von DSGVO und BDSG im Vergleich BDSG vs. DSGVO.

Kosten externer DSB 2026 (Orientierung)

Die Spannen sind marktübliche Größenordnungen und variieren stark nach Branche, Datenintensität (z. B. Gesundheits- oder Finanzdaten), Standortanzahl und Servicetiefe. Datenintensive Branchen wie Banken liegen deutlich höher.

Intern vs. extern: der Vergleich

Ein interner DSB verursacht oft versteckte Kosten: Der DSB darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6) — der IT-Leiter oder Geschäftsführer scheidet damit aus. Zudem genießt der interne DSB einen Sonderkündigungsschutz nach § 6 Abs. 4 BDSG (analog für nicht-öffentliche Stellen über § 38 Abs. 2 BDSG).

So wählen Sie richtig

1. Pflicht prüfen. Zählen Sie die Personen mit automatisierter Verarbeitung ehrlich — inklusive Teilzeit und dauerhaft Externen.
2. Datenintensität bewerten. Verarbeiten Sie besondere Kategorien, steigt der Aufwand und damit der Preis.
3. Leistungsumfang definieren. Klären Sie, ob Verzeichnisführung, Schulungen und DSFA-Begleitung enthalten sind.
4. Interessenkonflikt vermeiden. Intern nur benennen, wer keine bestimmende Rolle bei der Datenverarbeitung hat.
5. Dokumentation mitdenken. Der DSB überwacht, dokumentiert aber nicht selbst jede Verarbeitung — dafür braucht es ein System wie das Verarbeitungsverzeichnis.

Was die Preisspanne wirklich bestimmt

Der Monatspreis eines externen DSB ist kein Zufallswert, sondern ergibt sich aus dem tatsächlichen Betreuungsaufwand. Fünf Faktoren treiben ihn: die Zahl der Beschäftigten mit Datenzugriff (mehr Nutzer bedeuten mehr Prozesse und Schulungsbedarf), die Datenintensität (Gesundheits-, Finanz- oder Beschäftigtendaten erhöhen Risiko und Aufwand deutlich), die Zahl der Verarbeitungstätigkeiten und Dienstleister (jeder AVV und jeder Prozess will betreut sein), die Standortstruktur (mehrere Niederlassungen, internationale Datenflüsse) und die Servicetiefe (reine Erreichbarkeit versus aktive Betreuung mit Schulungen, Audit-Begleitung und DSFA). Ein Pauschalpreis „von der Stange" ohne Blick auf diese Faktoren führt regelmäßig zu Nachverhandlungen oder zu unzureichender Betreuung.

Achten Sie beim Vergleich von Angeboten deshalb weniger auf den nackten Monatspreis als auf den enthaltenen Leistungsumfang: Sind Verzeichnisführung, Betroffenenanfragen, Schulungen, DSFA-Begleitung und Reaktionszeiten bei Vorfällen eingeschlossen — oder werden sie separat nach Stundensatz berechnet? Ein scheinbar günstiges Angebot mit engem Leistungsumfang kann im Ergebnis teurer sein als eine umfassende Pauschale.

Der Bestellprozess Schritt für Schritt

Ist die Pflicht festgestellt, folgt die Bestellung in wenigen Schritten. Zunächst schließen Sie mit dem externen DSB einen Dienstleistungsvertrag, der Aufgaben, Reaktionszeiten und Vergütung regelt. Der DSB muss die erforderliche Fachkunde besitzen (Art. 37 Abs. 5) und darf keinem Interessenkonflikt unterliegen (Art. 38 Abs. 6). Anschließend melden Sie die Kontaktdaten des DSB der zuständigen Aufsichtsbehörde (Art. 37 Abs. 7) und veröffentlichen sie — üblicherweise in der Datenschutzerklärung. Der DSB ist frühzeitig und ordnungsgemäß in alle Datenschutzfragen einzubinden (Art. 38 Abs. 1) und berichtet direkt an die höchste Leitungsebene. Diese formale Einbindung ist keine Kür: Ein „auf dem Papier" bestellter, aber nicht eingebundener DSB genügt den Anforderungen nicht.

Häufige Fehler

• DSB-Pflicht übersehen. Die 20-Personen-Schwelle wird oft unterschätzt, weil Teilzeitkräfte mitzählen. Ohne Bestellung droht ein Bußgeld nach Art. 83 Abs. 4.
• Interessenkonflikt. Geschäftsführer oder IT-Leiter als DSB ist unzulässig (Art. 38 Abs. 6) und wurde von Aufsichtsbehörden bereits sanktioniert.
• Nur den Preis vergleichen. Ein günstiger externer DSB ohne Reaktionszeit und Branchenwissen ist teurer, wenn eine Datenpanne schlecht gemanagt wird.
• DSB als „Feigenblatt". Der Verantwortliche bleibt haftbar; der DSB berät und überwacht, entscheidet aber nicht. Die Umsetzung bleibt Chefsache.
• Meldung an Aufsicht vergessen. Die Bestellung ist der Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7).

Ob intern oder extern: Ohne strukturierte Dokumentation bleibt jede DSB-Arbeit Stückwerk. Legiscope liefert dem Datenschutzbeauftragten Verzeichnis, TOM, AVV und Aufgabenverfolgung an einem Ort und macht so den Nachweis der Rechenschaftspflicht effizient.

FAQ

Ab wie vielen Mitarbeitern brauche ich einen Datenschutzbeauftragten?

In Deutschland regelmäßig ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Unabhängig von dieser Zahl besteht die Pflicht, wenn die Kerntätigkeit umfangreiche Überwachung oder besondere Datenkategorien umfasst (Art. 37 DSGVO) oder eine DSFA erforderlich ist.

Ist ein externer DSB günstiger als ein interner?

Häufig ja, gerade bei kleinen und mittleren Unternehmen. Der interne DSB verursacht anteilige Personalkosten, Fortbildungsaufwand und einen Sonderkündigungsschutz, während der externe DSB als planbare Pauschale abgerechnet wird und das Fachwissen mitbringt. Bei sehr großen, datenintensiven Organisationen kann eine interne Stelle wirtschaftlicher sein.

Was passiert, wenn ich keinen DSB bestelle?

Wer trotz Pflicht keinen DSB benennt, begeht einen Verstoß, der nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden kann. Aufsichtsbehörden prüfen die DSB-Bestellung regelmäßig als einen der ersten Punkte.

Kann die Geschäftsführung selbst DSB sein?

Nein. Die Geschäftsführung bestimmt maßgeblich über Zwecke und Mittel der Datenverarbeitung und würde sich als DSB selbst kontrollieren — ein unzulässiger Interessenkonflikt nach Art. 38 Abs. 6. Dasselbe gilt für den IT-Leiter, den Personalleiter oder den Marketingleiter. Aufsichtsbehörden haben solche Konstellationen bereits sanktioniert. Wer intern niemanden ohne Interessenkonflikt benennen kann, ist mit einem externen DSB regelmäßig besser beraten.

Fazit

Die Kosten eines externen DSB sind planbar und für die meisten KMU niedriger als ein interner Aufbau. Prüfen Sie zuerst, ob überhaupt eine Pflicht nach § 38 BDSG besteht, bewerten Sie die Datenintensität und definieren Sie den Leistungsumfang klar. Entscheidend bleibt: Der DSB berät und überwacht, die Verantwortung trägt das Unternehmen. Den § 38 BDSG lesen Sie unter gesetze-im-internet.de, die DSGVO-Grundlagen bei EUR-Lex.