In einem Satz. Ein externer Datenschutzbeauftragter kostet 2026 je nach Unternehmensgröße und Aufwand typischerweise rund 100–300 € im Monat für kleine Betriebe und mehrere hundert bis über tausend Euro monatlich für mittelständische Unternehmen — verpflichtend wird ein DSB nach § 38 BDSG, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind.
Wichtige Punkte
- DSB-Pflicht in Deutschland ab 20 Personen mit automatisierter Verarbeitung (§ 38 BDSG) — strenger als die DSGVO.
- Zusätzlich Pflicht bei DSFA-pflichtiger Verarbeitung oder Art.-9-Kerntätigkeit.
- Externe Preise: Pauschale (monatlich) oder Stundensatz.
- Interner DSB: Personalkosten + Fortbildung + Sonderkündigungsschutz.
- Bußgeld bei fehlendem DSB bis 10 Mio. € / 2 % (Art. 83 Abs. 4).
Wann ist ein DSB Pflicht?
| Grundlage | Auslöser |
|---|---|
| § 38 Abs. 1 BDSG | i. d. R. ≥ 20 Personen ständig mit automatisierter Verarbeitung |
| Art. 37 Abs. 1 lit. b DSGVO | Kerntätigkeit = umfangreiche regelmäßige Überwachung |
| Art. 37 Abs. 1 lit. c DSGVO | Kerntätigkeit = umfangreiche Art.-9/10-Daten |
| § 38 Abs. 1 S. 2 BDSG | Verarbeitung, die einer DSFA bedarf, oder geschäftsmäßige Übermittlung |
Kosten externer DSB 2026 (Orientierung)
| Unternehmensgröße | Modell | Grobe Spanne / Monat |
|---|---|---|
| Kleinbetrieb (bis ~25 MA) | Pauschale | ca. 100–250 € |
| Kleines KMU (25–75 MA) | Pauschale | ca. 250–600 € |
| Mittelstand (75–250 MA) | Pauschale / Kontingent | ca. 600–1.500 € |
| Projekt / Zusatzaufwand | Stundensatz | ca. 120–250 €/Std. |
Intern vs. extern: der Vergleich
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Kosten | Anteiliges Gehalt + Fortbildung | Feste Pauschale |
| Fachwissen | muss aufgebaut werden | von Beginn an vorhanden |
| Unabhängigkeit | Interessenkonflikt-Risiko | strukturell unabhängig |
| Kündigungsschutz | Sonderkündigungsschutz (§ 6 Abs. 4 BDSG) | Vertrag ordentlich kündbar |
| Haftung | Arbeitnehmerhaftung | Berufshaftpflicht des Dienstleisters |
| Verfügbarkeit | ständig im Haus | vertraglich geregelt |
Ein interner DSB verursacht oft versteckte Kosten: Der DSB darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6) — der IT-Leiter oder Geschäftsführer scheidet damit aus. Zudem genießt der interne DSB einen Sonderkündigungsschutz nach § 6 Abs. 4 BDSG (analog für nicht-öffentliche Stellen über § 38 Abs. 2 BDSG).
So wählen Sie richtig
Was die Preisspanne wirklich bestimmt
Der Monatspreis eines externen DSB ist kein Zufallswert, sondern ergibt sich aus dem tatsächlichen Betreuungsaufwand. Fünf Faktoren treiben ihn: die Zahl der Beschäftigten mit Datenzugriff (mehr Nutzer bedeuten mehr Prozesse und Schulungsbedarf), die Datenintensität (Gesundheits-, Finanz- oder Beschäftigtendaten erhöhen Risiko und Aufwand deutlich), die Zahl der Verarbeitungstätigkeiten und Dienstleister (jeder AVV und jeder Prozess will betreut sein), die Standortstruktur (mehrere Niederlassungen, internationale Datenflüsse) und die Servicetiefe (reine Erreichbarkeit versus aktive Betreuung mit Schulungen, Audit-Begleitung und DSFA). Ein Pauschalpreis „von der Stange" ohne Blick auf diese Faktoren führt regelmäßig zu Nachverhandlungen oder zu unzureichender Betreuung.
Achten Sie beim Vergleich von Angeboten deshalb weniger auf den nackten Monatspreis als auf den enthaltenen Leistungsumfang: Sind Verzeichnisführung, Betroffenenanfragen, Schulungen, DSFA-Begleitung und Reaktionszeiten bei Vorfällen eingeschlossen — oder werden sie separat nach Stundensatz berechnet? Ein scheinbar günstiges Angebot mit engem Leistungsumfang kann im Ergebnis teurer sein als eine umfassende Pauschale.
Der Bestellprozess Schritt für Schritt
Häufige Fehler
FAQ
Ab wie vielen Mitarbeitern brauche ich einen Datenschutzbeauftragten?
In Deutschland regelmäßig ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Unabhängig von dieser Zahl besteht die Pflicht, wenn die Kerntätigkeit umfangreiche Überwachung oder besondere Datenkategorien umfasst (Art. 37 DSGVO) oder eine DSFA erforderlich ist.
Ist ein externer DSB günstiger als ein interner?
Häufig ja, gerade bei kleinen und mittleren Unternehmen. Der interne DSB verursacht anteilige Personalkosten, Fortbildungsaufwand und einen Sonderkündigungsschutz, während der externe DSB als planbare Pauschale abgerechnet wird und das Fachwissen mitbringt. Bei sehr großen, datenintensiven Organisationen kann eine interne Stelle wirtschaftlicher sein.
Was passiert, wenn ich keinen DSB bestelle?
Wer trotz Pflicht keinen DSB benennt, begeht einen Verstoß, der nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden kann. Aufsichtsbehörden prüfen die DSB-Bestellung regelmäßig als einen der ersten Punkte.
Kann die Geschäftsführung selbst DSB sein?
Nein. Die Geschäftsführung bestimmt maßgeblich über Zwecke und Mittel der Datenverarbeitung und würde sich als DSB selbst kontrollieren — ein unzulässiger Interessenkonflikt nach Art. 38 Abs. 6. Dasselbe gilt für den IT-Leiter, den Personalleiter oder den Marketingleiter. Aufsichtsbehörden haben solche Konstellationen bereits sanktioniert. Wer intern niemanden ohne Interessenkonflikt benennen kann, ist mit einem externen DSB regelmäßig besser beraten.
Kann ich den externen DSB kurzfristig wechseln?
Ja, ein externer DSB lässt sich über die ordentliche Kündigung des Dienstleistungsvertrags wechseln — anders als beim internen DSB, der einen Sonderkündigungsschutz nach § 6 Abs. 4 i. V. m. § 38 Abs. 2 BDSG genießt. Diese Flexibilität ist ein wesentlicher Vorteil des externen Modells: Passt die Betreuung nicht, ist ein Anbieterwechsel vertraglich planbar. Achten Sie beim Wechsel auf eine geordnete Übergabe — Verarbeitungsverzeichnis, offene Betroffenenanfragen, laufende DSFA und die Dokumentation gehören vollständig an den neuen DSB übergeben. Vergessen Sie nicht, die geänderten Kontaktdaten erneut der Aufsichtsbehörde zu melden (Art. 37 Abs. 7) und in der Datenschutzerklärung zu aktualisieren.
Fazit
Die Kosten eines externen DSB sind planbar und für die meisten KMU niedriger als ein interner Aufbau. Prüfen Sie zuerst, ob überhaupt eine Pflicht nach § 38 BDSG besteht, bewerten Sie die Datenintensität und definieren Sie den Leistungsumfang klar. Entscheidend bleibt: Der DSB berät und überwacht, die Verantwortung trägt das Unternehmen. Den § 38 BDSG lesen Sie unter gesetze-im-internet.de, die DSGVO-Grundlagen bei EUR-Lex.
Siehe auch: Wie sich die Gesamtkosten zusammensetzen, zeigen unsere Analysen zu DSGVO-Kosten nach Unternehmensgröße und zu Kosten eines DSGVO-Audits.