Sobald ein Unternehmen zur Benennung eines Datenschutzbeauftragten verpflichtet ist, stellt sich unmittelbar die Kostenfrage: intern besetzen oder extern beauftragen? Die Antwort fällt in der Praxis oft anders aus, als die erste Kalkulation vermuten lässt. Denn während beim externen Datenschutzbeauftragten ein transparenter Festpreis auf dem Angebot steht, verstecken sich die tatsächlichen Kosten eines internen DSB in Positionen, die selten vollständig gerechnet werden: anteilige Personalkosten, laufende Fortbildungspflicht, Software, Vertretungsregelungen – und ein Sonderkündigungsschutz, der die Personalentscheidung faktisch unumkehrbar macht.
Dieser Beitrag stellt beide Modelle ehrlich gegenüber: mit realistischen Zahlen, einem konkreten Rechenbeispiel für ein mittelständisches Unternehmen und einer klaren Einordnung, in welchen Konstellationen ein interner Datenschutzbeauftragter trotz höherer Kosten die bessere Wahl sein kann. Ziel ist keine Verkaufsargumentation, sondern eine belastbare Entscheidungsgrundlage für Geschäftsführung und Verwaltung.
Kostenloses Erstgespräch vereinbaren
Die Benennungspflicht ergibt sich aus zwei Quellen. Nach § 38 BDSG müssen Unternehmen einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden dabei nicht Vollzeitstellen, sondern Köpfe – Teilzeitkräfte, Werkstudierende und regelmäßig eingesetzte freie Mitarbeitende eingeschlossen. In der Praxis erreichen viele Unternehmen die Schwelle deutlich früher, als die Geschäftsführung annimmt.
Unabhängig von der Mitarbeiterzahl greift die Pflicht nach Art. 37 DSGVO, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht – etwa Gesundheitsdaten in Praxen, Pflegediensten oder bei Personaldienstleistern mit Gesundheitsprofilen – oder wenn eine umfangreiche, systematische Überwachung betroffener Personen stattfindet. Auch Unternehmen, die regelmäßig Datenschutz-Folgenabschätzungen durchführen müssen, sind zur Benennung verpflichtet.
Wichtig für die Kostenbetrachtung: Die Pflicht ist keine Formalie. Ein fehlender oder nur auf dem Papier existierender Datenschutzbeauftragter ist ein eigenständiger Bußgeldtatbestand – und einer der ersten Punkte, die eine Aufsichtsbehörde bei einer Prüfung oder nach einer Beschwerde kontrolliert. Die Frage ist also selten, ob ein DSB benannt wird, sondern nur, in welchem Modell.
Die naheliegende Lösung scheint oft, einen vorhandenen Mitarbeitenden zum Datenschutzbeauftragten zu ernennen – schließlich entstehen dann „keine zusätzlichen Kosten". Diese Rechnung übersieht mehrere Positionen. Zunächst die Arbeitszeit: Je nach Unternehmensgröße und Datenintensität bindet die DSB-Rolle realistisch 10 bis 25 Prozent einer Vollzeitstelle – für Verzeichnis von Verarbeitungstätigkeiten, AVV-Prüfungen, Schulungen, Betroffenenanfragen und die laufende Beratung der Fachabteilungen. Bei einem qualifizierten Mitarbeitenden mit 75.000 € Arbeitgeberkosten pro Jahr entspricht das bereits 7.500 bis knapp 19.000 € – Arbeit, die an anderer Stelle fehlt.
Hinzu kommt die gesetzliche Fortbildungspflicht: Der DSB muss sein Fachwissen nachweisbar aktuell halten. Grundqualifikation (z. B. TÜV- oder GDD-Zertifikat), jährliche Fortbildungen, Fachliteratur und Verbandsmitgliedschaften summieren sich auf 2.000 bis 4.000 € im ersten Jahr und 1.000 bis 2.000 € in den Folgejahren. Dazu kommen Werkzeuge: Ohne DSMS-Software oder zumindest strukturierte Vorlagen entsteht keine prüfungssichere Dokumentation – weitere 1.000 bis 3.000 € jährlich.
Zwei Posten lassen sich schwer beziffern, wiegen aber am schwersten. Erstens der Sonderkündigungsschutz nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG: Ein interner DSB ist während der Tätigkeit und ein Jahr darüber hinaus praktisch unkündbar – die Personalentscheidung ist damit faktisch irreversibel. Zweitens das Interessenkonflikt-Verbot: Geschäftsführung, IT-Leitung oder Personalleitung dürfen die Rolle nicht übernehmen, weil sie sich selbst kontrollieren müssten. Genau die Personen mit dem nötigen Überblick scheiden also aus. Rechnet man alle Positionen zusammen, liegen die realen Kosten eines internen DSB im Mittelstand bei etwa 15.000 € pro Jahr aufwärts – zuzüglich Ausfallrisiko bei Krankheit, Elternzeit oder Kündigung, denn die Pflicht besteht lückenlos weiter.
Ein externer Datenschutzbeauftragter (eDSB) wird per Dienstleistungsvertrag benannt und übernimmt dieselben gesetzlichen Aufgaben – ohne Arbeitsverhältnis, ohne Sonderkündigungsschutz und ohne Fortbildungskosten auf Seiten des Unternehmens. Die Qualifikation, Haftpflichtversicherung und laufende Weiterbildung liegen beim Dienstleister. Marktüblich sind monatliche Pauschalen, die sich nach Unternehmensgröße und Datenintensität richten; im Mittelstand bewegen sich seriöse Angebote grob zwischen 250 und 1.500 € pro Monat, also 3.000 bis 18.000 € im Jahr.
Entscheidend ist weniger der nominale Preis als der Leistungsumfang dahinter. Ein belastbares eDSB-Paket sollte enthalten:
Vorsicht ist bei zwei Mustern geboten: bei Lockangeboten, die nur die Benennung enthalten und jede tatsächliche Leistung nach Aufwand abrechnen – hier explodieren die Kosten im ersten Ernstfall – und bei anonymen Plattformmodellen ohne festen Ansprechpartner, bei denen im Prüfungsfall niemand das Unternehmen wirklich kennt. Ein transparenter Festpreis mit klar definiertem Inklusivumfang und ausgewiesenen Stundensätzen für Zusatzleistungen ist das belastbarste Modell.
Ein konkretes Beispiel: ein Dienstleistungsunternehmen mit 60 Mitarbeitenden, ohne besondere Datenkategorien, aber mit digitaler Personalverwaltung, CRM und Online-Marketing. Intern besetzt bindet die DSB-Rolle hier realistisch rund 15 Prozent einer qualifizierten Stelle (ca. 11.000 €), dazu Fortbildung und Verbandskosten (ca. 1.500 €), DSMS-Werkzeuge (ca. 1.500 €) und die einmalige Grundqualifikation im ersten Jahr (ca. 2.500 €). Ergebnis: rund 16.500 € im ersten Jahr, danach etwa 14.000 € jährlich – Sonderkündigungsschutz und Vertretungsrisiko nicht eingepreist.
Der Kostenvorteil des externen Modells liegt in dieser Größenordnung typischerweise bei 50 bis 75 Prozent – bei gleichzeitig höherer Prüfungssicherheit, weil Dokumentation und Prozesse beim Dienstleister standardisiert vorliegen, statt neben dem Tagesgeschäft gepflegt zu werden.
Der ehrliche Teil: Es gibt Konstellationen, in denen ein interner DSB die bessere Wahl ist. Konzerne und Unternehmen ab mehreren hundert Mitarbeitenden mit komplexen, sich täglich ändernden Verarbeitungen profitieren von einer Vollzeitkraft, die jede interne Abteilung persönlich kennt. Auch wer Datenschutz als Kernbestandteil des eigenen Produkts betreibt – etwa Software-Anbieter im Gesundheitswesen – fährt mit tief integrierter interner Expertise oft besser, häufig ergänzt um externe Auditoren. Für die große Mehrheit der Unternehmen zwischen 20 und 250 Mitarbeitenden gilt das jedoch nicht: Hier liefert der externe Datenschutzbeauftragte dieselbe gesetzliche Absicherung zu einem Bruchteil der realen Kosten – planbar, kündbar und ohne verstecktes Kleingedrucktes in der Personalakte.
Im kostenlosen Erstgespräch rechnen wir den Vergleich für Ihr Unternehmen konkret durch – unverbindlich und ohne Verkaufsdruck.
Jetzt unverbindlich anfragen
Wir verwenden technisch notwendige Speichertechnologien für den Betrieb dieser Website. Mit Ihrer Einwilligung setzen wir zusätzlich Marketing-Dienste (Google Ads, Microsoft Advertising, Meta) zur Erfolgsmessung unserer Werbung ein. Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen" im Footer ändern. Details: Datenschutzerklärung · Impressum
Legen Sie fest, welche Kategorien wir verwenden dürfen. Notwendige Technologien sind für den Betrieb der Website erforderlich und können nicht deaktiviert werden.