Externer Datenschutzbeauftragter
Pflicht, Kosten und Anbieter in Deutschland, quellenbasiert verglichen.
Stand: 29. August 2026 | Quellen: BDSG, DSGVO, veroeffentlichte Anbieterpreise
Stand der Rechtslage: 29. August 2026
Die Pflicht zur Benennung eines Datenschutzbeauftragten richtet sich in Deutschland nicht allein nach der Unternehmensgröße. Entscheidend sind die Zahl der Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, besondere Verarbeitungssituationen und die Vorgaben aus Art. 37 DSGVO.
Eine SERP-Messung vom 29. August 2026 zu „externer Datenschutzbeauftragter“ zeigt in den Top 20 ausschließlich Anbieter der Leistung. Auch die acht Seiten, die dort einen Vergleich versprechen, stammen von Unternehmen aus diesem Geschäftsfeld. Die folgenden Kriterien trennen deshalb gesetzliche Pflicht, organisatorische Entscheidung und veröffentlichte Preisangaben.
Wann ist ein Datenschutzbeauftragter in Deutschland Pflicht?
In der Regel besteht die Pflicht ab mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das gilt für nichtöffentliche Stellen nach § 38 Abs. 1 Satz 1 BDSG (§ 38 BDSG, abgerufen am 29.08.2026).
Die Pflicht besteht außerdem unabhängig von der Personenzahl. Nach § 38 Abs. 1 Satz 2 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn eine Verarbeitung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegt. Gleiches gilt bei einer geschäftsmäßigen Verarbeitung personenbezogener Daten zur Übermittlung, zur anonymisierten Übermittlung oder zu Zwecken der Markt- oder Meinungsforschung (§ 38 Abs. 1 BDSG, abgerufen am 29.08.2026).
Art. 37 Abs. 1 DSGVO nennt drei weitere Fallgruppen ohne deutsche Personenschwelle:
1. Die Verarbeitung erfolgt durch eine Behörde oder öffentliche Stelle. Gerichte sind ausgenommen, soweit sie justiziell tätig werden. 2. Die Kerntätigkeit besteht in einer umfangreichen, regelmäßigen und systematischen Überwachung betroffener Personen. 3. Die Kerntätigkeit umfasst eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten.
Bei einer Unternehmensgruppe kann nach Art. 37 Abs. 2 DSGVO ein gemeinsamer Datenschutzbeauftragter benannt werden, wenn er von jeder Niederlassung aus leicht erreichbar ist (Art. 37 DSGVO, abgerufen am 29.08.2026).
Die 20-Personen-Schwelle: worauf sie sich wirklich bezieht
Die gesetzliche Formulierung lautet nicht „20 Mitarbeiter“. § 38 Abs. 1 Satz 1 BDSG erfasst in der Regel mindestens 20 Personen, die „ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt“ sind (§ 38 BDSG, abgerufen am 29.08.2026). „Ständig“ beschreibt dabei eine regelmäßige, auf Dauer angelegte Verarbeitungstätigkeit. Die Schwelle bezieht sich nicht pauschal auf die gesamte Belegschaft.
| Zählt typischerweise mit | Zählt nicht allein deshalb mit |
|---|---|
| Buchhaltung mit regelmäßigem Zugriff auf Kunden- und Abrechnungssysteme | Rein manuelle Tätigkeit ohne Systemzugang |
| Vertrieb mit laufender Bearbeitung von Kundendaten im CRM | Tätigkeit, bei der keine personenbezogenen Daten automatisiert verarbeitet werden |
| Personalabteilung mit regelmäßigem Zugriff auf ein digitales Bewerbungstool | Unternehmensangehörige, die nur gelegentlich mit einzelnen Unterlagen arbeiten |
Die Tabelle beschreibt typische Verarbeitungssituationen. Sie ersetzt keine Prüfung des konkreten Arbeitsablaufs. Die Zahl wurde 2019 von zehn auf 20 angehoben. Art. 12 des Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetzes EU ersetzte in § 38 Abs. 1 Satz 1 BDSG das Wort „zehn“ durch „20“. Das Gesetz wurde am 20. November 2019 verkündet und trat am 26. November 2019 in Kraft (Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU, BGBl. I 2019, S. 1626, Bundesgesetzblatt, abgerufen am 29.08.2026).
Gesetzlich nicht abschließend entschieden: § 38 Abs. 1 Satz 1 BDSG legt keine vollständige Zählmethode für Teilzeitkräfte, Praktikanten, Leiharbeitnehmer und Geschäftsführer fest. Eine einheitlich veröffentlichte Verwaltungspraxis der Aufsichtsbehörden ist für diese Einzelfragen nicht ersichtlich. Die konkrete Einordnung sollte deshalb anhand der tatsächlichen Aufgaben und Systemzugriffe dokumentiert werden.
Interner oder externer Datenschutzbeauftragter?
Rechtlich sind ein interner und ein externer Datenschutzbeauftragter gleichgestellt. Nach Art. 37 Abs. 6 DSGVO kann die Funktion ein Beschäftigter übernehmen oder auf Grundlage eines Dienstleistungsvertrags erfüllt werden (Art. 37 Abs. 6 DSGVO, abgerufen am 29.08.2026).
| Kriterium | Intern | Extern |
|---|---|---|
| Rechtsgrundlage | Beschäftigtenverhältnis und Art. 37 Abs. 6 DSGVO | Dienstleistungsvertrag nach Art. 37 Abs. 6 DSGVO |
| Interessenkonflikt | Prüfung von Hierarchie, Entscheidungsbefugnissen und Zusatzaufgaben | Prüfung der eigenen Zusatzleistungen und Kundeninteressen |
| Abberufung | Bei Pflichtbenennung nur entsprechend § 626 BGB | Bei Pflichtbenennung ebenfalls nur entsprechend § 626 BGB |
| Kündigungsschutz | Bei Arbeitsverhältnis grundsätzlich während der Tätigkeit und ein Jahr danach | Kein arbeitsrechtliches Kündigungsverbot |
| Vertretung | Muss intern organisiert werden | Kann vertraglich geregelt werden |
| Kosten | Personalkosten und notwendige Arbeitszeit | Vertragliche Vergütung und mögliche Zusatzleistungen |
Interessenkonflikte und Fachkunde
Nach Art. 38 Abs. 6 DSGVO muss der Verantwortliche oder der Auftragsverarbeiter sicherstellen, dass weitere Aufgaben nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO, abgerufen am 29.08.2026). Geschäftsführung, IT-Leitung oder Personalleitung können deshalb problematisch sein, wenn sie selbst Zwecke und Mittel der Verarbeitung festlegen.
Der EuGH entschied in seinem Urteil vom 9. Februar 2023, Rechtssache C-453/21, X-FAB Dresden, dass ein Datenschutzbeauftragter keine Aufgaben wahrnehmen darf, bei denen er diese Zwecke und Mittel bestimmt. Die Beurteilung erfolgt im Einzelfall (EuGH, C-453/21, abgerufen am 29.08.2026).
Unabhängig vom Modell muss der Datenschutzbeauftragte über berufliche Qualifikation und Fachwissen im Datenschutzrecht sowie in der Datenschutzpraxis verfügen. Das verlangt Art. 37 Abs. 5 DSGVO (Art. 37 DSGVO, abgerufen am 29.08.2026).
Zu den gesetzlichen Aufgaben gehören nach Art. 39 DSGVO insbesondere Unterrichtung und Beratung, die Überwachung der Einhaltung datenschutzrechtlicher Vorschriften, die Beratung bei Datenschutz-Folgenabschätzungen, die Zusammenarbeit mit der Aufsichtsbehörde und die Funktion als Anlaufstelle für die Behörde (Art. 39 DSGVO, abgerufen am 29.08.2026). Ein Angebot sollte erkennen lassen, welche dieser Aufgaben vom vereinbarten Leistungsumfang abgedeckt sind.
Abberufung und Kündigung
Für nichtöffentliche Stellen gilt § 6 Abs. 4 Satz 1 BDSG über § 38 Abs. 2 BDSG. Die Abberufung eines Datenschutzbeauftragten ist danach nur entsprechend § 626 BGB zulässig, wenn die Benennung verpflichtend ist. Diese Regel betrifft die Abberufung von der Funktion und hängt nicht davon ab, ob der DSB intern oder extern tätig ist (§ 6 Abs. 4 und § 38 Abs. 2 BDSG, abgerufen am 29.08.2026).
Das Kündigungsverbot während der Tätigkeit und der einjährige Nachwirkungsschutz nach § 6 Abs. 4 Sätze 2 und 3 BDSG setzen dagegen ein Arbeitsverhältnis voraus. Sie greifen bei einem externen DSB mit Dienstleistungsvertrag nicht. Für die Beendigung dieses Vertrags gelten die vereinbarten Laufzeiten und Kündigungsfristen. Der EuGH hat in C-453/21 außerdem bestätigt, dass Art. 38 Abs. 3 DSGVO einer strengeren nationalen Regel zur Abberufung nicht entgegensteht (EuGH, C-453/21, abgerufen am 29.08.2026).
Eine freiwillige Benennung löst die Pflichten aus Art. 37 bis 39 DSGVO aus. Der besondere Abberufungsschutz nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG setzt jedoch eine gesetzlich verpflichtende Benennung voraus.
Was kostet ein externer Datenschutzbeauftragter?
Die folgende Übersicht nennt veröffentlichte Preise und ihre Reichweite. Die BvD-Angaben stammen vom Berufsverband der Datenschutzbeauftragten Deutschlands e.V. Der BvD bündelt Datenschutzpraktiker und vermittelt zu Anbietern. Die zitierte Seite trägt kein Veröffentlichungsdatum und nennt keine Erhebungsmethode. Sie ist daher kein neutral erhobener Marktbenchmark.
| Preis | Quelle | Abrufdatum | Leistungsumfang und Geltungsbereich | Quelle selbst Anbieter? |
|---|---|---|---|---|
| 150 bis 300 Euro monatlich | BvD | 29.08.2026 | Durchschnitt für kleinere Unternehmen | Nein, Berufsverband |
| 500 bis 2.000 Euro monatlich | BvD | 29.08.2026 | Angabe für größere Unternehmen | Nein, Berufsverband |
| Ab 149 Euro monatlich | Gesellschaft Datenschutz | 29.08.2026 | Paket „Light“ für Strukturen mit weniger als 20 Beschäftigten; Leistungsumfang des Angebots prüfen | Ja |
Quellen: BvD, Kosten eines externen Datenschutzbeauftragten, abgerufen am 29.08.2026; Gesellschaft Datenschutz, abgerufen am 29.08.2026.
Die Preise sind nicht ohne Weiteres vergleichbar. Zu prüfen sind unter anderem Standorte, Verarbeitungstätigkeiten, Systemlandschaft, enthaltene Stunden, Erreichbarkeit bei Vorfällen, Vertretung, Schulungen, Verzeichnisse von Verarbeitungstätigkeiten und Audits. Ein niedriger Einstiegspreis kann eine gesetzliche Grundfunktion abdecken, aber nicht jede laufende Beratungsleistung.
Anbieter für externe Datenschutzbeauftragte in Deutschland
Anbieter fuer externe Datenschutzbeauftragte
| Provider | Description | Rating | Comment | Visit |
|---|---|---|---|---|
 DataGuard
Verified 2026-08-29 | Muenchener Anbieter, kombiniert eine Compliance-Plattform mit dem Dienst des externen Datenschutzbeauftragten. | | Nach eigenen Angaben mehr als 4000 betreute Organisationen. | Visit |
 DSEV
Verified 2026-08-29 | Bundesweit taetiger Anbieter mit veroeffentlichten Paketpreisen. | | Verzeichnis, Schulung und Audits im Paket. | Visit |
 Gesellschaft Datenschutz
Verified 2026-08-29 | DEKRA-zertifizierter externer Datenschutzbeauftragter, Preis ab 149 Euro monatlich veroeffentlicht. | | Komplettpaket fuer kleine und mittlere Unternehmen. | Visit |
 Nextwork
Verified 2026-08-29 | Anbieter mit Schwerpunkt Mittelstand, nach eigenen Angaben mehr als 500 Projekte. | | DSGVO-zertifizierter externer Datenschutzbeauftragter. | Visit |
 TechGDPR
Verified 2026-08-29 | Berliner Spezialist fuer technischen Datenschutz in Fintech und KI. | | Schwerpunkt Drittlandtransfers. | Visit |
 TUEV Rheinland
Verified 2026-08-29 | Zertifizierungsstelle mit gestuften eDSB-Paketen. | | Pakete Basic, Plus und Premium. | Visit |
Ratings are a weighted composite of performance signals, experience, credentials and availability. See the methodology for the full rubric, source catalogue and refresh cadence.
Die Vergleichstabelle bewertet Anbieter nach Preis und Abrufdatum, geografischer Abdeckung, Zertifizierungen, Vertragslaufzeit, Erreichbarkeit, Vertretung und dem beschriebenen Leistungsumfang. Zusätzlich ist zu unterscheiden, ob ein Anbieter nur die gesetzliche Funktion übernimmt oder weitere Datenschutzaufgaben anbietet.
Was passiert bei Verstoß gegen die Benennungspflicht?
Ein Verstoß gegen die Benennungspflicht kann nach Art. 83 Abs. 4 Buchstabe a DSGVO mit bis zu 10 Millionen Euro oder bei einem Unternehmen mit bis zu 2 Prozent des weltweiten Jahresumsatzes geahndet werden, jeweils der höhere Betrag. Die Vorschrift erfasst Pflichten aus Art. 25 bis 39 DSGVO (Art. 83 Abs. 4 Buchstabe a DSGVO, abgerufen am 29.08.2026).
Die Verbindung zur deutschen 20-Personen-Regel entsteht über die Selbstqualifikation von § 38 Abs. 1 Satz 1 BDSG. Die Norm ergänzt Art. 37 Abs. 1 Buchstaben b und c DSGVO. Art. 37 Abs. 4 Satz 2 DSGVO stellt anschließend klar, dass ein Datenschutzbeauftragter zu benennen ist, wenn dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist. Daraus folgt die Kette: § 38 Abs. 1 BDSG, ergänzt durch Art. 37 DSGVO, und die Bußgeldregel in Art. 83 Abs. 4 Buchstabe a DSGVO (§ 38 BDSG, abgerufen am 29.08.2026; Art. 37 DSGVO, abgerufen am 29.08.2026).
Art. 83 Abs. 4: bis zu 10 Millionen Euro oder 2 Prozent. Art. 83 Abs. 5: bis zu 20 Millionen Euro oder 4 Prozent für dort genannte schwerere Verstöße.
§ 43 BDSG sieht für einen Verstoß gegen § 38 BDSG keine eigene nationale Geldbuße vor (§ 43 BDSG, abgerufen am 29.08.2026).
Fällt die Pflicht zum Datenschutzbeauftragten 2026 weg?
Nein. § 38 Abs. 1 BDSG gilt am 29. August 2026 vollständig weiter. „Einbringen“ bedeutet in der politischen Ankündigung, dass ein Gesetzentwurf vorgelegt werden soll, nicht dass die Vorschrift bereits aufgehoben ist.
Die Föderale Modernisierungsagenda nennt unter Punkt 160 auf Seite 31 das Ziel, bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen. Die Pflicht im nichtöffentlichen Bereich soll dann auf Art. 37 DSGVO beschränkt werden. Grundlage ist der Beschluss des Bundeskanzlers und der Regierungschefinnen und Regierungschefs der Länder vom 4. Dezember 2025. Dabei handelt es sich um eine politische Vereinbarung und nicht um einen Rechtsakt (Föderale Modernisierungsagenda, Punkt 160, Seite 31, abgerufen am 29.08.2026).
Nach dem Stand dieses Beitrags ist kein entsprechender Gesetzentwurf eingebracht. Ob die Änderung kommt, wann sie in Kraft träte und welche Übergangsregeln gelten würden, ist offen.
Meldung an die Aufsichtsbehörde
Nach Art. 37 Abs. 7 DSGVO müssen Verantwortliche oder Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 DSGVO, abgerufen am 29.08.2026).
Bei nichtöffentlichen Stellen liegt die Zuständigkeit grundsätzlich bei der Datenschutzaufsichtsbehörde des jeweiligen Bundeslandes. Das folgt aus § 40 Abs. 1 BDSG. Ausgenommen ist der Bereich, für den nach § 9 BDSG die Bundesnetzagentur zuständig ist, insbesondere bestimmte Telekommunikations- und Postdienste (§ 40 BDSG, abgerufen am 29.08.2026; § 9 BDSG, abgerufen am 29.08.2026).
Zu dokumentieren sind Benennungsdatum, Name und Kontaktdaten, Zuständigkeit, interne Erreichbarkeit und bei einem externen Datenschutzbeauftragten zusätzlich Dienstleistungsvertrag und Leistungsumfang.