Datenschutzbeauftragter: intern oder extern?

Beide Modelle sind erlaubt. Es kommt auf Fachkunde, Unabhängigkeit, Kosten und Kündigungsschutz an.

Hier lesen Sie die wichtigsten Unterschiede, wer nicht Datenschutzbeauftragter sein darf und wann der besondere Kündigungsschutz für den internen DSB gilt.

Intern oder extern: die kurze Antwort

Beide Wege sind zulässig. Der Datenschutzbeauftragte (DSB) kann Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6 DSGVO). Die Aufgaben sind in beiden Fällen dieselben (Art. 39 DSGVO).

  • Interner DSB: Er kennt den Betrieb von innen. Das Unternehmen muss ihm aber Zeit, Ressourcen und Mittel zur Fortbildung geben (Art. 38 Abs. 2 DSGVO). Andere Aufgaben dürfen nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Ist die Benennung Pflicht, gilt ein besonderer Kündigungsschutz (§ 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG).
  • Externer DSB: Er bringt die Fachkunde mit und hat keine Doppelrolle im Betrieb. Die Zusammenarbeit regelt ein Vertrag mit Laufzeit und Kündigungsfrist.

Wann was passt: Ein interner DSB passt eher, wenn Sie eine fachkundige Person ohne Leitungsfunktion haben und ihr dauerhaft genug Zeit geben können. Ein externer DSB passt eher, wenn diese Person fehlt, wenn Interessenkonflikte drohen oder wenn Sie planbare Kosten wünschen.

Ihre Vorteile

Sechs Gründe für den externen DSB

Jeder dieser Vorteile ist für sich genommen überzeugend. Zusammen ergeben sie ein Gesamtbild, das die externe Lösung zur klar besseren Wahl macht.

Keine Personalkosten

Ein interner Datenschutzbeauftragter verursacht erhebliche laufende Kosten, die weit über das reine Gehalt hinausgehen. Neben dem Bruttogehalt fallen Sozialversicherungsbeiträge, betriebliche Altersvorsorge, Kosten für den Arbeitsplatz und vor allem kontinuierliche Weiterbildungskosten an. Denn nach Art. 37 Abs. 5 DSGVO muss der DSB über die erforderliche Fachkunde verfügen und diese aufrechterhalten. Das bedeutet regelmäßige Schulungen, Fachkonferenzen und Fachliteratur.

Besonders gravierend: Der interne DSB genießt einen erweiterten Kündigungsschutz. Nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG darf der interne DSB während seiner Bestellung und noch ein Jahr nach dem Ende seiner Tätigkeit nicht ordentlich gekündigt werden. Das Unternehmen bindet sich also langfristig, selbst wenn die wirtschaftliche Lage eine Anpassung erfordert.

Kostenvergleich auf einen Blick

Interner DSB (jährlich)

  • Gehalt: 50.000 bis 80.000 EUR
  • Lohnnebenkosten: ca. 20 bis 25 %
  • Fortbildung: 3.000 bis 8.000 EUR
  • Fachliteratur und Tools: 1.000 bis 3.000 EUR
  • Kündigungsschutz: nicht kalkulierbares Risiko

Externer DSB (monatlich)

  • Feste monatliche Pauschale
  • Keine Lohnnebenkosten
  • Fortbildung inklusive
  • Vertragslaufzeit frei wählbar
  • Kein Kündigungsschutz-Risiko

Garantierte Fachkunde

Art. 37 Abs. 5 DSGVO verlangt, dass der Datenschutzbeauftragte auf Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens benannt wird. Die Fachkunde von Datenkodex ist durch DEKRA zertifiziert und wird regelmäßig rezertifiziert. Diese Zertifizierung nach DIN EN ISO/IEC 17024 ist ein anerkannter Nachweis der fachlichen Eignung und umfasst eine strenge Prüfung in den Bereichen Datenschutzrecht, IT-Sicherheit und Datenschutzmanagement.

Die DEKRA-Zertifizierung muss regelmäßig erneuert werden. Das bedeutet: fortlaufende Weiterbildung ist keine freiwillige Leistung, sondern eine Pflicht. Wir besuchen regelmäßig Fachveranstaltungen, absolvieren Fortbildungen und verfolgen aktuelle Rechtsprechung und Leitlinien der Aufsichtsbehörden.

Im Gegensatz dazu hat ein interner DSB häufig keine formale Zertifizierung. Oft wird ein Mitarbeiter aus der IT- oder Rechtsabteilung benannt, der die Rolle zusätzlich zu seinen Hauptaufgaben übernimmt. Das führt nicht nur zu Interessenkonflikten, sondern auch zu Lücken in der Fachkunde, die im Ernstfall teuer werden können.

DEKRA-zertifiziert Fortlaufende Weiterbildung Aktuelle Rechtsprechung

Volle Unabhängigkeit

Art. 38 Abs. 3 DSGVO ist eindeutig: Der Datenschutzbeauftragte darf bei der Ausübung seiner Aufgaben keine Anweisungen erhalten. Er berichtet unmittelbar der höchsten Managementebene und darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Diese Unabhängigkeit ist kein Nice-to-have, sondern eine gesetzliche Pflicht.

In der Praxis scheitert diese Unabhängigkeit bei internen DSBs regelmäßig. Die häufigsten Interessenkonflikte:

IT-Leiter als DSB

Die IT-Abteilung gestaltet die Datenverarbeitung. Der DSB soll sie kontrollieren. Beides in einer Person ist ein klassischer Interessenkonflikt, den Aufsichtsbehörden regelmäßig beanstanden.

Geschäftsführer als DSB

Die Geschäftsführung legt Zwecke und Mittel der Verarbeitung fest und kann sich nicht selbst kontrollieren. Nach den Leitlinien der europäischen Datenschutzbehörden (WP 243) und dem EuGH (C-453/21) ist das ein Interessenkonflikt.

Personalleiter als DSB

Die Personalabteilung verarbeitet besonders schützenswerte Beschäftigtendaten. Auch hier besteht ein direkter Interessenkonflikt mit der Kontrollfunktion des DSB.

Externer DSB: strukturell unabhängig

Ein externer DSB hat keine betriebsinterne Doppelrolle. Er ist weder in betriebliche Hierarchien eingebunden noch von innerbetrieblichen Entscheidungen abhängig. Das ist strukturelle Unabhängigkeit.

Branchenübergreifende Erfahrung

Ein interner DSB kennt nur die Datenverarbeitungsprozesse seines eigenen Unternehmens. Ein externer DSB arbeitet für Unternehmen aus unterschiedlichen Branchen und gewinnt dabei Einblicke, die direkt in jedes einzelne Projekt einfließen. Muster, die in einer Branche auftreten, können in einer anderen Branche frühzeitig erkannt und vermieden werden.

Gesundheitswesen

Art. 9 DSGVO, Patientendaten, Schweigepflicht, Telematikinfrastruktur

E-Commerce

Tracking, Cookie-Consent, Kundendaten, internationale Datentransfers

Produktion

Beschäftigtendatenschutz, Zutrittskontrolle, Videoüberwachung

Öffentliche Hand

Landesrecht, Informationsfreiheit, besondere Anforderungen an Transparenz

Dieses branchenübergreifende Wissen ist ein entscheidender Vorteil. Wenn wir beispielsweise Best Practices aus dem Gesundheitswesen in ein E-Commerce-Unternehmen einbringen oder Erfahrungen mit Beschäftigtendatenschutz aus der Produktion auf den öffentlichen Sektor übertragen, profitiert jedes Unternehmen, das wir betreuen.

Sofort einsatzbereit

Die Einarbeitung eines internen DSB dauert erfahrungsgemäß drei bis sechs Monate. Er muss sich in die Unternehmensstruktur einarbeiten, Schulungen absolvieren und eigene Prozesse entwickeln. In dieser Zeit fehlt der wirksame Datenschutz, und das Unternehmen ist angreifbar.

Bei Datenkodex arbeiten wir vom Start an mit fertigen Werkzeugen. Wir bringen bewährte Vorlagen, Prozesse und Checklisten mit, die sich über Jahre in der Praxis bewährt haben:

Dokumentenvorlagen

Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge, Datenschutzfolgenabschätzungen, Datenschutzerklärungen

Audit-Checklisten

Strukturierte Prüfprogramme für Erstaudits, Regelaudits und anlassbezogene Prüfungen

Etablierte Prozesse

Datenpannenmeldung, Betroffenenrechte, Datenschutz-Folgenabschätzung, TOM-Dokumentation

Das bedeutet für Sie: Kein monatelanges Warten, kein Aufbau von Strukturen bei Null. Stattdessen sofortige Arbeitsergebnisse und ein spürbarer Mehrwert vom ersten Tag an.

Klare Verantwortung

Für den Datenschutz verantwortlich bleibt immer das Unternehmen selbst, mit internem wie mit externem Datenschutzbeauftragten (Art. 24 DSGVO). Der DSB berät, prüft und weist auf Risiken hin. Entscheiden und umsetzen muss die Geschäftsleitung.

Der Unterschied liegt in der Rolle: Ein interner DSB ist Arbeitnehmer. Für Fehler haftet er nur eingeschränkt, nach den Grundsätzen der Arbeitnehmerhaftung. Ein externer DSB arbeitet auf Grundlage eines Vertrags. Er haftet für Fehler in seiner eigenen Beratung nach allgemeinem Vertragsrecht, und Aufgaben, Umfang und Erreichbarkeit stehen schriftlich fest.

Interner DSB

Arbeitnehmer mit eingeschränkter Haftung bei Fahrlässigkeit. Aufgaben und Zeitbudget müssen intern geregelt werden, dazu kommt der besondere Kündigungsschutz.

Externer DSB

Dienstleister mit Vertrag: Leistungen, Laufzeit und Haftung für die eigene Beratung sind klar geregelt. Die Verantwortung für den Datenschutz bleibt beim Unternehmen.

Wer darf nicht Datenschutzbeauftragter sein?

Das Gesetz enthält keine Liste verbotener Berufe. Es setzt zwei Maßstäbe: keinen Interessenkonflikt und ausreichende Fachkunde.

Kein Interessenkonflikt

Der DSB darf andere Aufgaben übernehmen. Das Unternehmen muss aber sicherstellen, dass diese nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Der Europäische Gerichtshof hat das konkretisiert (EuGH, Urteil vom 9. Februar 2023, C-453/21, X-FAB Dresden). Ein Interessenkonflikt kann bestehen, wenn der DSB durch andere Aufgaben die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Ob das so ist, prüft das nationale Gericht im Einzelfall, vor allem anhand der Organisationsstruktur.

Die europäischen Aufsichtsbehörden nennen als Faustregel Positionen des leitenden Managements (Leitlinien WP 243, vom Europäischen Datenschutzausschuss bestätigt). Dazu zählen zum Beispiel:

  • Geschäftsführung und Unternehmensleitung
  • Leitung der IT-Abteilung
  • Leitung der Personalabteilung
  • Leitung von Marketing oder Finanzen

Auch nachgeordnete Positionen können betroffen sein, wenn sie über Zwecke und Mittel der Verarbeitung entscheiden. Die Datenschutzkonferenz sieht einen Interessenkonflikt insbesondere bei Positionen des leitenden Managements (Kurzpapier Nr. 12).

Ausreichende Fachkunde

Der DSB wird auf Grundlage seiner beruflichen Qualifikation und seines Fachwissens im Datenschutzrecht und in der Datenschutzpraxis benannt (Art. 37 Abs. 5 DSGVO). Ein bestimmtes Zertifikat schreibt das Gesetz nicht vor. Das nötige Niveau richtet sich nach den Verarbeitungen: Je komplexer und sensibler sie sind, desto mehr Fachwissen braucht der DSB (Leitlinien WP 243). Wer dieses Wissen nicht hat und es auch nicht aufbauen kann, ist für das Amt nicht geeignet.

Kündigungsschutz und Abberufung des internen DSB

Für den internen DSB gilt in Deutschland ein besonderer Schutz. Er greift nur, wenn die Benennung verpflichtend ist (§ 38 Abs. 2 BDSG). Bei freiwilliger Benennung gilt er nicht.

  • Abberufung: nur in entsprechender Anwendung von § 626 BGB, also aus wichtigem Grund (§ 6 Abs. 4 Satz 1 BDSG).
  • Kündigung während der Tätigkeit: nur aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist (§ 6 Abs. 4 Satz 2 BDSG). Eine ordentliche Kündigung ist ausgeschlossen.
  • Nach dem Ende der Tätigkeit: Der Schutz wirkt ein Jahr lang nach (§ 6 Abs. 4 Satz 3 BDSG).

Ein wichtiger Grund liegt vor, wenn dem Kündigenden die Fortsetzung bis zum Ablauf der Kündigungsfrist nicht zugemutet werden kann. Dabei zählen alle Umstände des Einzelfalls (§ 626 Abs. 1 BGB). Die Kündigung muss innerhalb von zwei Wochen ab Kenntnis der Tatsachen erfolgen (§ 626 Abs. 2 BGB).

Der EuGH hält diesen Schutz für vereinbar mit der DSGVO (Urteil vom 22. Juni 2022, C-534/20, Leistritz). Eine nationale Regelung darf die Kündigung eines beschäftigten DSB auf wichtige Gründe beschränken. Das gilt auch, wenn die Kündigung nichts mit seinen Aufgaben zu tun hat, solange die Ziele der DSGVO nicht beeinträchtigt werden.

Ein externer DSB ist nicht angestellt. Für ihn gilt der Vertrag. Auch ihn darf das Unternehmen nicht wegen der Erfüllung seiner Aufgaben abberufen (Art. 38 Abs. 3 Satz 2 DSGVO).

Vergleich

Interner vs. externer DSB

Die folgende Gegenüberstellung zeigt die wesentlichen Unterschiede auf einen Blick.

Kriterium Interner DSB Externer DSB (Datenkodex)
Kosten Gehalt, Sozialabgaben, Weiterbildung, Arbeitsplatz (60.000 bis 100.000+ EUR/Jahr) Feste monatliche Pauschale, kalkulierbar und transparent
Fachkunde Abhängig von individueller Qualifikation, oft keine Zertifizierung DEKRA-zertifiziert, nachgewiesene Fachkunde nach ISO/IEC 17024
Unabhängigkeit Oft Interessenkonflikte durch Doppelrolle im Unternehmen Strukturell unabhängig, keine betriebsinterne Doppelrolle
Verfügbarkeit Urlaub, Krankheit, Kündigung = Lücke im Datenschutz Erreichbarkeit vertraglich geregelt
Haftung Eingeschränkte Arbeitnehmerhaftung Vertragliche Haftung für die eigene Beratung
Kündigungsschutz Bei Pflichtbenennung erweiterter Schutz während der Benennung und 1 Jahr danach (§ 38 Abs. 2, § 6 Abs. 4 BDSG) Reguläre Vertragskündigung, keine Sonderregelungen
Skalierbarkeit Kapazität einer einzelnen Person, schwer skalierbar Flexibel anpassbar an wachsende Anforderungen
Branchenwissen Begrenzt auf das eigene Unternehmen und die eigene Branche Branchenübergreifend, langjährige Erfahrung
Einarbeitungszeit Einarbeitung nötig, oft mehrere Monate Start mit erprobten Vorlagen und Prozessen

Häufige Fragen: intern oder extern

Wer darf kein Datenschutzbeauftragter sein?

Niemand, dessen andere Aufgaben zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Das ist vor allem der Fall, wenn die Person selbst über Zwecke und Mittel der Verarbeitung entscheidet. Nach den Leitlinien der Aufsichtsbehörden trifft das typischerweise auf Geschäftsführung, IT-Leitung und Personalleitung zu. Außerdem braucht der DSB ausreichende Fachkunde (Art. 37 Abs. 5 DSGVO).

Kann jeder Mitarbeiter Datenschutzbeauftragter werden?

Nein. Die Person braucht Fachwissen im Datenschutzrecht und in der Datenschutzpraxis (Art. 37 Abs. 5 DSGVO). Ihre übrigen Aufgaben dürfen keinen Interessenkonflikt auslösen (Art. 38 Abs. 6 DSGVO). Das Unternehmen muss ihr die nötigen Ressourcen und die Mittel zur Erhaltung des Fachwissens geben (Art. 38 Abs. 2 DSGVO).

Ist ein Datenschutzbeauftragter persönlich haftbar?

Für die Einhaltung der DSGVO ist der Verantwortliche zuständig, nicht der DSB (Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO). Auch Schadenersatzansprüche nach Art. 82 DSGVO richten sich gegen Verantwortliche und Auftragsverarbeiter. Die europäischen Aufsichtsbehörden stellen in den Leitlinien WP 243 klar, dass der DSB bei Verstößen nicht persönlich verantwortlich ist. Für eigene Pflichtverletzungen kann er nach allgemeinen Regeln haften, etwa aus dem Arbeits- oder Dienstleistungsvertrag. Das hängt vom Einzelfall ab.

Kann ein Datenschutzbeauftragter gekündigt werden?

Ein interner DSB mit Pflichtbenennung nur aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist. Das gilt noch ein Jahr nach dem Ende seiner Tätigkeit (§ 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG). Einen externen DSB kündigen Sie nach den Regeln des Vertrags. Wegen der Erfüllung seiner Aufgaben darf kein DSB abberufen werden (Art. 38 Abs. 3 Satz 2 DSGVO).

Wie viel kostet ein externer Datenschutzbeauftragter pro Monat?

Einen gesetzlichen Preis gibt es nicht. Bei Datenkodex gelten diese Monatspreise, netto zuzüglich Umsatzsteuer: bis 19 Beschäftigte ab 147 € ohne Einrichtungsgebühr, 20 bis 49 ab 277 €, 50 bis 249 ab 447 €, ab 250 individuell ab 997 €. Einzelheiten finden Sie unter Preise.

Welche 4 Aufgaben hat ein Datenschutzbeauftragter?

Art. 39 Abs. 1 DSGVO nennt Mindestaufgaben, die sich in vier Bereiche fassen lassen:

  1. Unterrichtung und Beratung des Unternehmens und der Beschäftigten
  2. Überwachung der Einhaltung des Datenschutzes, einschließlich Sensibilisierung und Schulung
  3. Beratung zur Datenschutz-Folgenabschätzung auf Anfrage und Überwachung ihrer Durchführung
  4. Zusammenarbeit mit der Aufsichtsbehörde und Tätigkeit als ihre Anlaufstelle

Wer trägt Verantwortung für Datenschutz im Unternehmen?

Das Unternehmen als Verantwortlicher. Es muss geeignete technische und organisatorische Maßnahmen umsetzen und nachweisen können, dass die Verarbeitung der DSGVO entspricht (Art. 24 Abs. 1 DSGVO, Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO). Die Entscheidungen trifft die Leitung. Der DSB berät und überwacht, entscheidet aber nicht selbst.

Quellen

Überzeugt? Sprechen wir darüber.

Vereinbaren Sie ein unverbindliches Erstgespräch. Wir analysieren Ihre aktuelle Situation und zeigen Ihnen, wie Sie mit Datenkodex als externem Datenschutzbeauftragten rechtssicher, kosteneffizient und professionell aufgestellt sind.

Kostenloses Erstgespräch vereinbaren