Wer personenbezogene Daten verarbeitet, steht früher oder später vor der Frage:
Soll der Datenschutzbeauftragte intern bestellt oder extern beauftragt werden?
Die Datenschutz-Grundverordnung (DSGVO) erlaubt ausdrücklich beide Wege. In diesem Leitfaden erfährst du, was ein externer Datenschutzbeauftragter ist, wann sich die Beauftragung lohnt, welche rechtlichen Anforderungen gelten – und worauf Unternehmen bei der Auswahl achten sollten.
1. Rechtsgrundlage und Definition
Die rechtliche Basis findet sich in Art. 37 Abs. 6 DSGVO. Dort ist geregelt, dass ein Datenschutzbeauftragter auch auf Grundlage eines Dienstleistungsvertrags bestellt werden kann – also nicht zwingend als Mitarbeiter.
Ein externer Datenschutzbeauftragter ist kein Auftragsverarbeiter im Sinne des Art. 3 Nr. 8 DSGVO. Er unterstützt den Verantwortlichen oder Auftragsverarbeiter bei der Erfüllung seiner Pflichten, bleibt aber der Sphäre des Auftraggebers zugeordnet.
Kurz gesagt:
Ein externer Datenschutzbeauftragter ist ein unabhängiger Experte, der Unternehmen oder Behörden beim Datenschutz berät und überwacht – ohne in einem Arbeitsverhältnis zu stehen.
2. Qualifikationsanforderungen
Gemäß Art. 37 Abs. 5 DSGVO muss jeder Datenschutzbeauftragte – ob intern oder extern – über ausreichende Fachkunde, Berufserfahrung und rechtliches Know-how verfügen.
Wichtige Nachweise sind zum Beispiel:
- Zertifizierungen (z. B. TÜV, DEKRA, ISO/IEC 17024)
- Referenzen aus früheren Datenschutzmandaten
- Nachgewiesene Schulungen und regelmäßige Fortbildungen
Unternehmen sollten bei der Auswahl darauf achten, dass der DSB sowohl juristische als auch technische Datenschutzkenntnisse nachweisen kann – etwa zu IT-Sicherheit, Datenmanagement und Prozessanalyse.
3. Vorteile eines externen Datenschutzbeauftragten
Ein externer Datenschutzbeauftragter bringt zahlreiche Vorteile mit sich – insbesondere für kleine und mittelständische Unternehmen, die keine eigene Datenschutzabteilung aufbauen möchten.
1. Hohe Professionalität und Spezialisierung
Externe DSB arbeiten in der Regel für viele Unternehmen verschiedener Branchen. Dadurch verfügen sie über ein breites Praxiswissen und können Best Practices gezielt übertragen.
2. Objektive Beratung und Unabhängigkeit
Da kein Arbeitsverhältnis besteht, bestehen weniger Interessenkonflikte. Die Unabhängigkeit ist von Anfang an gewährleistet.
3. Flexible Kostenstruktur
Leistungen können nach Bedarf abgerufen werden – ideal für Start-ups, KMU und Organisationen mit schwankendem Beratungsbedarf.
4. Zeit- und Ressourceneinsparung
Unternehmen sparen sich Schulung, Weiterbildung und Urlaubsvertretung eines internen Mitarbeiters.
4. Mögliche Nachteile und Grenzen
Natürlich hat auch das externe Modell Grenzen. Wichtig ist, diese von Beginn an zu kennen und vertraglich zu berücksichtigen.
- Reaktionszeiten: Ein externer DSB muss rechtzeitig eingebunden werden – spontane Entscheidungen dauern ggf. länger.
- Einbindung in Prozesse: Ohne ständige Präsenz besteht das Risiko, dass Datenschutzfragen erst im Nachhinein berücksichtigt werden.
- Interessenkonflikte: Nach Art. 38 Abs. 6 DSGVO dürfen Datenschutzbeauftragte keine Tätigkeiten ausüben, die mit ihrer Funktion unvereinbar sind. Bei Rechtsanwälten gilt zusätzlich § 45 BRAO (Verbot widerstreitender Interessen).
Tipp: Klare vertragliche Regelungen und eine eindeutige Rollenbeschreibung beugen Konflikten vor.
5. Anwendungsbereiche und Besonderheiten
Ein externer Datenschutzbeauftragter kann in nahezu allen Organisationen eingesetzt werden:
- Private Unternehmen: Vom Start-up bis zum Konzern nutzen viele Firmen externe Expertise.
- Öffentliche Stellen: Auch Behörden können externe DSB bestellen, bevorzugen aber oft interne Bedienstete.
- EU-Organe und Einrichtungen: Hier ist die Bestellung interner Datenschutzbeauftragter vorgesehen; gemeinsame externe DSB sind aber möglich.
- Sonderfall Strafverfolgungsbehörden: Nach der Richtlinie (EU) 2016/680 ist ein interner Datenschutzbeauftragter verpflichtend.
6. Berufs- und steuerrechtliche Rahmenbedingungen
Auch für externe Datenschutzbeauftragte gelten rechtliche Grenzen:
- Berufsrechtlich: Rechtsanwälte dürfen keine Mandate übernehmen, die im Konflikt mit ihrer Rolle als DSB stehen (§ 45 BRAO).
- Steuerrechtlich: Die Tätigkeit gilt als gewerblich. Externe Datenschutzbeauftragte unterliegen daher der Gewerbesteuer- und Buchführungspflicht.
→ In der Praxis wird diese Leistung häufig über eine eigenständige Gesellschaft erbracht.
7. Juristische Personen als Datenschutzbeauftragte
Die DSGVO schließt juristische Personen nicht ausdrücklich aus. Viele Aufsichtsbehörden fordern jedoch, dass eine namentlich benannte natürliche Person als Ansprechpartner für die Behörde hinterlegt wird.
Das bedeutet: Auch wenn eine GmbH den Auftrag übernimmt, muss ein individueller DSB benannt sein.
8. Handlungsempfehlungen für Unternehmen
Damit die Zusammenarbeit mit einem externen Datenschutzbeauftragten reibungslos funktioniert, sollten folgende Punkte beachtet werden:
- Dienstleistungsvertrag
Klare Vereinbarungen zu Umfang, Pflichten, Vergütung und Kündigung. Konfliktträchtige Nebentätigkeiten ausschließen. - Personelle Trennung
In Kanzleien oder Beratungsfirmen sollten DSB-Aufgaben und Mandatsberatung strikt getrennt werden. - Dokumentation
Maßnahmen zur Vermeidung von Interessenkonflikten sollten dokumentiert werden. - Qualifikationsnachweise
Aktuelle Zertifikate und Fortbildungsnachweise regelmäßig anfordern.
Fazit: Externer Datenschutzbeauftragter als flexible Lösung
Ein externer Datenschutzbeauftragter ist eine effiziente, unabhängige und kostentransparente Alternative zum internen Modell.
Mit klaren Verträgen, nachgewiesener Fachkunde und sauberer Prozessintegration kann Datenschutz so nicht nur rechtssicher, sondern auch praxisnah umgesetzt werden.
FAQ – Häufige Fragen zum externen Datenschutzbeauftragten
Wann muss ein Datenschutzbeauftragter bestellt werden?
Sobald mindestens 20 Personen regelmäßig mit personenbezogenen Daten arbeiten oder besonders sensible Daten verarbeitet werden (§ 38 BDSG).
Was kostet ein externer Datenschutzbeauftragter?
Je nach Unternehmensgröße und Umfang zwischen 150 € und 400 € pro Monat – individuell vertraglich geregelt.
Kann eine GmbH Datenschutzbeauftragter sein?
Ja, aber eine natürliche Person muss als konkrete Ansprechperson benannt werden.
Was spricht für einen externen DSB?
Professionelles Fachwissen, Unabhängigkeit und flexible Skalierbarkeit.
