Eine allgemeingültige Preisliste für externe Datenschutzbeauftragte gibt es nicht. Weder DSGVO noch BDSG legen Honorare fest. Ein belastbares Angebot richtet sich nach dem vereinbarten Leistungsumfang, dem Datenschutzrisiko, der Zahl und Komplexität der Verarbeitungen, Standorten, Sprachen, Reaktionszeiten und dem bereits vorhandenen Datenschutzmanagement. Vergleichen Sie deshalb keine Monatspauschalen ohne Leistungsbeschreibung, sondern die Vollkosten für denselben Bedarf.
Kerntatsachen
- Kein gesetzlicher Tarif: Honorare werden vertraglich vereinbart.
- Externe Kosten bestehen häufig aus Bestandsaufnahme oder Onboarding, laufender Funktionspauschale und klar definierten Zusatzleistungen.
- Interne Kosten umfassen nicht nur Arbeitszeit, sondern auch Fortbildung, Fachinformationen, Vertretung, Arbeitsmittel und die organisatorische Absicherung der Unabhängigkeit.
- Gleicher Vergleichsmaßstab: Beide Modelle müssen dieselben Aufgaben, Risiken, Reaktionszeiten und Vertretungsanforderungen abdecken.
- Die Verantwortung bleibt im Unternehmen: Die Benennung eines DSB verlagert die Verantwortlichkeit für die DSGVO-Einhaltung nicht auf diese Person.
- Billig kann teuer werden: Eine Pauschale ohne Zeitbudget, Erreichbarkeit, Vorfallunterstützung und Ausschlüsse ist nicht vergleichbar.
Was kostet ein externer Datenschutzbeauftragter?
Die seriöse Antwort lautet: so viel, wie die konkret benötigte und vertraglich zugesagte Funktion kostet. Eine feste Zahl ohne Aufnahme der Ausgangslage wäre Scheingenauigkeit. Zwei Unternehmen mit gleich vielen Beschäftigten können einen sehr unterschiedlichen Bedarf haben: Ein regionaler B2B-Betrieb mit wenigen stabilen Prozessen ist anders zu betreuen als eine Plattform mit Profiling, internationalen Datenflüssen oder umfangreicher Verarbeitung von Gesundheitsdaten.
Für eine erste Budgetierung sollten Unternehmen daher drei Blöcke getrennt betrachten:
| Kostenblock | Typische Inhalte |
|---|---|
| Startphase | Prüfung der Benennungspflicht, Datenschutz-Inventur, Übergabe bestehender Dokumentation, Prioritätenplan, Meldung der Kontaktdaten |
| Laufende DSB-Funktion | Beratung, risikobasierte Überwachung, Regeltermine, Bericht an die Leitung, Anlaufstelle für Aufsicht und Betroffene |
| Zusatz- oder Projektleistungen | DSFA, größere Vertrags- oder Systemprüfungen, M&A, internationale Roll-outs, umfangreiche Vorfälle, Vor-Ort-Termine |
Ein Angebot sollte jeden Block entweder einschließen oder als klar kalkulierbare Zusatzleistung ausweisen.
Welche Faktoren bestimmen das Honorar?
Verarbeitung und Risiko
Entscheidend ist nicht allein die Beschäftigtenzahl. Relevant sind insbesondere:
- Zahl und Veränderungsgeschwindigkeit der Verarbeitungstätigkeiten
- besondere Kategorien personenbezogener Daten und Daten nach Art. 10 DSGVO
- regelmäßige und systematische Überwachung oder Profiling
- Umfang von Auftragsverarbeitung und Drittlandtransfers
- Zahl der Gesellschaften, Standorte und zuständigen Aufsichtsbehörden
- Häufigkeit von Betroffenenanfragen und Datenschutzverletzungen
- anstehende Produkte, Migrationen oder Digitalisierungsprojekte
Ausgangsreife
Ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten, aktuelle Verträge, geklärte Zuständigkeiten und ein funktionierender Vorfallprozess reduzieren den laufenden Abstimmungsbedarf. Fehlende Grundlagen gehören dagegen in einen transparenten Aufbauplan; sie sollten nicht stillschweigend in einer knapp bemessenen Pauschale verschwinden.
Service-Level
Preisrelevant sind außerdem vereinbarte Reaktionszeiten, feste Sprechstunden, Vor-Ort-Präsenz, Sprachen, Berichtsfrequenz und Vertretung. Gerade für die 72-Stunden-Frist bei Datenschutzverletzungen muss klar sein, wie die Beratung außerhalb regulärer Termine erreichbar ist.
Wie sind externe Angebote aufgebaut?
Gängige Modelle lassen sich kombinieren:
- Pauschale mit beschriebenem Kontingent: geeignet für planbare laufende Aufgaben, wenn Inklusivleistungen und Übertrag von Restzeiten klar geregelt sind.
- Zeitbasierte Abrechnung: transparent bei wechselndem Bedarf, benötigt aber Budgetsteuerung und eine Freigabelogik.
- Pauschale plus Projekte: trennt die gesetzliche Funktion von außergewöhnlichen Umsetzungsprojekten.
- Gestaffeltes Service-Level: unterscheidet etwa Regelberatung, garantierte Reaktionszeit und Krisenunterstützung.
Der Begriff „DSB-Pauschale“ sagt allein nichts aus. Lassen Sie im Angebot mindestens Folgendes beziffern:
- enthaltene Stunden oder Leistungen und Abrechnungsintervall
- Onboarding und Übernahme einer vorhandenen Organisation
- Regeltermine, Jahresbericht und Leitungsgespräche
- Beratung zu DSFA, Datenschutzverletzungen und Betroffenenrechten
- Schulungen, Vor-Ort-Termine und Reisekosten
- Stellvertretung und Erreichbarkeit
- zusätzliche Stundensätze, Mindestabnahmen und Kündigungsregeln
Was kostet ein interner DSB wirklich?
Beim internen Modell ist nicht automatisch eine Vollzeitstelle erforderlich. Die Organisation muss jedoch ausreichende Zeit, Ressourcen und Zugang zur Leitung bereitstellen. Die Vollkostenrechnung sollte deshalb den tatsächlichen Stellenanteil abbilden:
Interne Jahresvollkosten = anteilige Personalkosten + Arbeitgeberkosten + Fortbildung + Fachmedien und Tools + Vertretung + organisatorischer Aufwand + Opportunitätskosten der bisherigen Rolle
Zusätzlich ist zu prüfen, ob andere Aufgaben einen Interessenkonflikt erzeugen. Wer Zwecke und Mittel der Verarbeitung festlegt, kann diese Entscheidungen nicht zugleich unabhängig als DSB überwachen. Leitungsfunktionen wie Geschäftsführung, Personal- oder IT-Leitung sind deshalb regelmäßig kritisch; auch andere Rollen sind anhand der tatsächlichen Entscheidungsbefugnisse zu prüfen.
Bei einer verpflichtenden Benennung greifen für interne DSB zudem die deutschen Regeln zum Abberufungs- und Kündigungsschutz nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG. Das ist kein Nachteil des Modells, gehört aber in die Personal- und Nachfolgeplanung.
Fairer Kostenvergleich in fünf Schritten
1. Benennungspflicht und Bedarf klären
Prüfen Sie zuerst Art. 37 DSGVO und § 38 BDSG. In Deutschland besteht die zusätzliche Schwelle von in der Regel mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Unabhängig von der Personenzahl greift § 38 außerdem, wenn Verarbeitungen einer DSFA nach Art. 35 unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet werden. Daneben bleiben die europäischen Tatbestände des Art. 37 maßgeblich.
2. Jahresarbeitsplan definieren
Listen Sie laufende und absehbare Aufgaben für zwölf Monate auf: Beratung, Kontrollplan, DSFA, Vertragsprüfungen, Schulung, Managementbericht, Vorfallbereitschaft und Projektbegleitung.
3. Leistungsgleichheit herstellen
Fordern Sie externe Angebote für diesen Arbeitsplan an und kalkulieren Sie intern denselben Umfang. Rechnen Sie weder beim externen Modell jede kleine Rückfrage als Projekt noch beim internen Modell unbezahlte Mehrarbeit als kostenlos.
4. Qualität und Ausfallrisiko bewerten
Bewerten Sie Fachkunde, Branchenkenntnis, Vertretung, Reaktionszeit und den Zugang zu IT-Sicherheits- oder Spezialrechtswissen. Diese Faktoren lassen sich in einer Entscheidungsmatrix gewichten, statt ihnen willkürlich einen vermeintlichen Marktpreis zuzuordnen.
5. Szenarien rechnen
Berechnen Sie mindestens Normalbetrieb, ein veränderungsreiches Jahr und ein Vorfalljahr. So wird sichtbar, ob eine niedrige Grundpauschale durch Zusatzkosten steigt oder ob intern genügend Reserve vorhanden ist.
Welche Leistung muss unabhängig vom Modell erbracht werden?
Art. 39 DSGVO nennt den Kern:
- Verantwortliche, Auftragsverarbeiter und Beschäftigte unterrichten und beraten
- Einhaltung der Datenschutzvorschriften und internen Strategien überwachen
- Zuständigkeiten, Sensibilisierung, Schulung und Überprüfungen begleiten
- auf Anfrage zur DSFA beraten und ihre Durchführung überwachen
- mit der Aufsichtsbehörde zusammenarbeiten und als Anlaufstelle dienen
Der DSB entscheidet dabei nicht anstelle der Geschäftsleitung über Zwecke, Mittel oder die Akzeptanz von Risiken. Der Verantwortliche muss die Einhaltung sicherstellen und nachweisen.
Angebots-Checkliste
Vor einer Beauftragung sollten diese Fragen schriftlich beantwortet sein:
- Wer wird namentlich benannt und wer vertritt diese Person?
- Welche nachweisbare Fachkunde passt zu Branche und Risikoprofil?
- Welche Tätigkeiten sind in der Grundvergütung enthalten?
- Welche Reaktionszeit gilt bei Vorfällen und Behördenpost?
- Wie werden Interessenkonflikte geprüft und dokumentiert?
- Wie erfolgt der direkte Bericht an die höchste Managementebene?
- Wem gehören Arbeitsunterlagen und wie funktioniert die Übergabe bei Vertragsende?
- Welche Berufshaftpflicht besteht und welche Haftungsgrenzen gelten?
- Sind Beratungsprojekte klar von der unabhängigen DSB-Funktion getrennt?
Häufige Fehlkalkulationen
- Nur den Monatspreis vergleichen: Ein enger Leistungsumfang kann das günstigere Angebot im Betrieb verteuern.
- Interne Arbeitszeit mit null ansetzen: Der Stellenanteil fehlt dann an anderer Stelle.
- DSB und Umsetzung vermischen: Der DSB berät und überwacht; operative Umsetzung bleibt Aufgabe der Fachbereiche.
- Keine Vertretung einplanen: Urlaub, Krankheit oder Mandatswechsel dürfen Melde- und Antwortfristen nicht gefährden.
- Reifegrad ignorieren: Aufräumarbeiten gehören in ein eigenes, priorisiertes Startpaket.
- Erfolg garantieren lassen: Kein seriöser DSB kann Bußgeldfreiheit, Beschwerdefreiheit oder „vollständige Rechtssicherheit“ zusagen.
FAQ
Gibt es einen gesetzlichen Mindest- oder Höchstpreis?
Nein. DSGVO und BDSG regeln Funktion, Stellung und Aufgaben, nicht das Honorar eines externen DSB.
Ist ein externer DSB immer günstiger?
Nein. Das Ergebnis hängt von Umfang, vorhandener interner Kompetenz und benötigter Präsenz ab. Bei hohem dauerhaftem Arbeitsvolumen kann ein internes Team sinnvoll sein; bei schwankendem Bedarf kann ein externer Dienst besser skalieren.
Darf die DSB-Pauschale alle Datenschutzarbeiten enthalten?
Nur konfliktfreie Zusatzaufgaben dürfen mit der DSB-Funktion gebündelt werden. Eine Pauschale kann die gesetzlichen DSB-Aufgaben und ergänzende Beratung umfassen, sofern der DSB dadurch nicht Zwecke und Mittel der Verarbeitung bestimmt oder eigene operative Entscheidungen überwachen muss. Verantwortung und Umsetzung des Verantwortlichen bleiben organisatorisch klar getrennt.
Muss ein externer DSB persönlich benannt werden?
Die Funktion ist einer natürlichen Person zuzuordnen. Ein Dienstleistungsvertrag kann mit einer Organisation geschlossen werden, sollte aber die zuständige Person, Erreichbarkeit und Vertretung eindeutig regeln.
Welche Kostenangabe gehört in die Ausschreibung?
Besser als ein Wunschpreis ist ein realistischer Leistungskatalog mit Mengengerüst, Risikoprofil und Service-Level. Anbieter können dann vergleichbare Preise abgeben.
Nächster Schritt
Für einen belastbaren Vergleich erfassen wir zuerst Benennungspflicht, Verarbeitungsrisiken und gewünschten Leistungsumfang. Unsere Leistung Externer Datenschutzbeauftragter kann anschließend als klar abgegrenztes Angebot kalkuliert werden; für Aufbau- oder Sonderprojekte steht die Datenschutz-Beratung zur Verfügung.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
- DSGVO, insbesondere Art. 24 und Art. 37 bis 39 (EUR-Lex)
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- § 6 BDSG – Stellung und Schutz verpflichtend benannter interner DSB
- Leitlinien zu Datenschutzbeauftragten, WP 243 rev.01 (DSK)
- Rolle der Datenschutzbeauftragten und Meldeprozess nach Art. 37 DSGVO (BfDI, 2025)
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.