Ein externer Datenschutzbeauftragter ist nach Art. 37 Abs. 6 DSGVO zulässig. Er erfüllt die gesetzliche Funktion auf Grundlage eines Dienstleistungsvertrags. Ob Ihr Unternehmen einen DSB benennen muss, entscheidet sich zuerst nach Art. 37 DSGVO und für nichtöffentliche Stellen in Deutschland zusätzlich nach § 38 BDSG. Extern bedeutet dabei nicht automatisch unabhängig oder geeignet: Fachkunde, Ressourcen, direkte Berichtslinie und mögliche Interessenkonflikte müssen vor der Benennung geprüft werden.
Kerntatsachen
- EU-Tatbestände: Behörden sowie bestimmte Kerntätigkeiten mit umfangreicher Überwachung oder umfangreicher Verarbeitung von Art.-9- beziehungsweise Art.-10-Daten benötigen einen DSB.
- Deutsche Zusatzregel: § 38 BDSG erfasst in der Regel mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten, und weitere Fälle ohne Personenschwelle.
- Extern ist möglich: Der Dienstleistungsvertrag kann mit einer natürlichen oder juristischen Person bestehen; die tatsächlich eingesetzten Personen müssen die Anforderungen erfüllen, und eine primäre Ansprechperson sollte klar benannt sein.
- Unabhängigkeit: Der DSB erhält für seine Aufgaben keine Weisungen, berichtet unmittelbar an die höchste Managementebene und darf wegen ordnungsgemäßer Aufgabenerfüllung nicht benachteiligt werden.
- Keine Verantwortungsübertragung: Geschäftsleitung, Verantwortlicher und Auftragsverarbeiter bleiben für die Einhaltung der DSGVO verantwortlich.
- Kontaktdaten: Sie sind zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen; einen einheitlichen bundesweiten Meldeweg für Privatunternehmen gibt es nicht.
Wann muss ein Datenschutzbeauftragter benannt werden?
Die Prüfung hat zwei Ebenen. Dokumentieren Sie das Ergebnis auch dann, wenn keine Pflicht besteht, und prüfen Sie es bei neuen Geschäftsmodellen oder Verarbeitungstätigkeiten erneut.
Art. 37 Abs. 1 DSGVO
Ein DSB ist zu benennen, wenn
- eine Behörde oder öffentliche Stelle verarbeitet, ausgenommen Gerichte im Rahmen ihrer justiziellen Tätigkeit;
- die Kerntätigkeit eine umfangreiche, regelmäßige und systematische Überwachung von Personen erfordert; oder
- die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 besteht.
„Kerntätigkeit“ meint die wesentlichen Tätigkeiten der Organisation, nicht jede unterstützende Verarbeitung. Für „umfangreich“ nennt die DSGVO keine feste Zahl. Zu bewerten sind unter anderem Zahl der Betroffenen, Datenvolumen, Dauer und geografische Reichweite.
§ 38 BDSG für nichtöffentliche Stellen
Deutschland ergänzt die europäischen Tatbestände. Verantwortliche und Auftragsverarbeiter benennen einen DSB, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Unabhängig von dieser Zahl besteht die Pflicht außerdem, wenn
- Verarbeitungen vorgenommen werden, die einer DSFA nach Art. 35 DSGVO unterliegen, oder
- personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
Nicht die Gesamtzahl aller Beschäftigten ist entscheidend, sondern die Zahl der Personen, die die gesetzlich beschriebene Verarbeitung ständig ausüben. Bei Grenzfällen sollte die Zählweise mit Rollen und Tätigkeiten nachvollziehbar dokumentiert werden.
Was ist ein externer DSB?
Art. 37 Abs. 6 erlaubt zwei Modelle: Der DSB kann Beschäftigter des Verantwortlichen oder Auftragsverarbeiters sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen. Dieser Vertrag kann mit einer natürlichen oder juristischen Person geschlossen werden. Setzt ein Anbieter ein Team ein, müssen die tatsächlich mit DSB-Aufgaben betrauten Personen die Anforderungen erfüllen; Aufgabenverteilung, primäre Ansprechperson, fachkundige Vertretung und Erreichbarkeit sollten klar benannt sein.
Ein externer DSB ist kein ausgelagerter Verantwortlicher. Das Unternehmen entscheidet weiterhin über Zwecke und Mittel, setzt Maßnahmen um, stellt Ressourcen bereit und weist die Einhaltung nach. Der DSB berät und überwacht unabhängig.
Aufgaben nach Art. 39 DSGVO
Der gesetzliche Mindestauftrag umfasst:
- Unterrichtung und Beratung von Verantwortlichem, Auftragsverarbeiter und Beschäftigten
- Überwachung der Einhaltung von DSGVO, sonstigem Datenschutzrecht und internen Strategien
- Beratung zur Zuweisung von Zuständigkeiten sowie zu Sensibilisierung, Schulung und Überprüfungen
- Beratung auf Anfrage zur Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung
- Zusammenarbeit mit der Aufsichtsbehörde
- Tätigkeit als Anlaufstelle der Aufsichtsbehörde einschließlich vorheriger Konsultation
Die Aufgaben werden risikoorientiert ausgeübt. Ein DSB muss nicht jeden Verarbeitungsschritt selbst durchführen und darf nicht zum operativen Entscheider über die zu überwachenden Verarbeitungen gemacht werden.
Stellung und Unabhängigkeit richtig organisieren
Frühzeitige Einbindung
Der DSB ist ordnungsgemäß und frühzeitig in alle Fragen zum Schutz personenbezogener Daten einzubinden. Praktisch bedeutet das feste Beteiligungspunkte bei neuen Systemen, Produkten, Dienstleistern, Datenübermittlungen, DSFA und Vorfällen.
Ressourcen und Zugang
Der Verantwortliche oder Auftragsverarbeiter muss erforderliche Ressourcen, Zugang zu Verarbeitungsvorgängen, Fachinformationen und Fortbildung ermöglichen. Bei einem externen Modell gehören Zeitbudget, Ansprechpartner und Eskalationsweg in den Vertrag und in interne Verfahren.
Weisungsfreiheit
Für die Erfüllung seiner gesetzlichen Aufgaben darf der DSB keine Weisungen erhalten. Er berichtet unmittelbar an die höchste Managementebene. Das schließt fachlichen Austausch und die Festlegung organisatorischer Schnittstellen nicht aus; unzulässig wäre etwa eine Weisung, eine Prüfung mit einem bestimmten Ergebnis abzuschließen.
Interessenkonflikte
Auch ein externer DSB kann in einen Konflikt geraten. Kritisch ist jede weitere Tätigkeit, bei der dieselbe Person Zwecke und Mittel einer Verarbeitung festlegt und diese Entscheidung anschließend überwachen soll. Prüfen Sie deshalb sämtliche Zusatzleistungen, Konzernmandate, Vertretung in Streitfällen und wirtschaftliche Abhängigkeiten anhand der tatsächlichen Befugnisse.
Fachkunde: Was sollte nachweisbar sein?
Art. 37 Abs. 5 verlangt berufliche Qualifikation, Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie die Fähigkeit, die Aufgaben nach Art. 39 zu erfüllen. Die erforderliche Tiefe richtet sich nach Risiko und Komplexität.
Für die Auswahl sind deshalb aussagekräftiger als ein einzelnes Zertifikat:
- Kenntnisse von DSGVO, BDSG und relevantem Fachrecht
- Erfahrung mit vergleichbaren Verarbeitungen und Branchenrisiken
- Verständnis von IT-Systemen, Informationssicherheit und Auftragsverarbeitung
- Praxis bei Betroffenenrechten, Datenschutzverletzungen und DSFA
- Fähigkeit, verständlich an Leitung, Fachbereiche und Aufsicht zu kommunizieren
- belastbare Fortbildung und Qualitätssicherung
Auswahl eines externen Datenschutzbeauftragten
1. Bedarf beschreiben
Erstellen Sie vor der Ausschreibung ein kurzes Profil: Gesellschaften und Standorte, Geschäftstätigkeit, besondere Daten, internationale Transfers, vorhandene Dokumentation, laufende Projekte und gewünschte Service-Level.
2. Rolle und Zusatzleistungen trennen
Kennzeichnen Sie, was zur unabhängigen DSB-Funktion gehört und welche operative Projektunterstützung zusätzlich gewünscht ist. So werden Verantwortlichkeiten und Angebote vergleichbar.
3. Interessenkonflikte prüfen
Fordern Sie eine schriftliche Konfliktprüfung und einen Prozess für später auftretende Konflikte. „Extern“ allein ist kein Nachweis.
4. Person und Vertretung kennenlernen
Entscheidend ist nicht nur die Marke des Anbieters. Prüfen Sie die tatsächlich benannte Person, feste Vertretung, Kapazität und Reaktionswege.
5. Vertrag und Benennung abstimmen
Der Dienstleistungsvertrag sollte Aufgaben, Ressourcen, Vertraulichkeit, Weisungsfreiheit, Berichtslinie, Vergütung, Haftung, Laufzeit, Übergabe und Datenschutz der eigenen Leistung regeln. Die interne Benennungsentscheidung und die Kommunikation der Kontaktdaten müssen dazu passen.
Benennung und Meldung in der Praxis
- Pflichtprüfung und Auswahlentscheidung dokumentieren.
- Dienstleistungsvertrag und Rollenabgrenzung abschließen.
- Natürliche Person intern eindeutig benennen und der Leitung sowie den Beschäftigten vorstellen.
- Direkte Berichtslinie, Zugang, Ressourcen und Beteiligungsprozesse einrichten.
- Kontaktdaten des DSB veröffentlichen, etwa in Datenschutzhinweisen.
- Kontaktdaten der zuständigen Aufsichtsbehörde mitteilen.
- Bestehende Dokumentation, offene Risiken und Termine geordnet übergeben.
Für Privatunternehmen sind meist die Landesaufsichtsbehörden zuständig; Ausnahmen bestehen etwa in bestimmten Bundeszuständigkeiten. Nutzen Sie den Meldeweg der tatsächlich zuständigen Behörde. Die DSGVO nennt für die Mitteilung keinen pauschalen deutschen Tageszeitraum, weshalb sie unmittelbar mit Wirksamwerden der Benennung organisiert werden sollte.
Vertragsklauseln, die nicht fehlen sollten
- benannte Person und qualifizierte Vertretung
- gesetzliche Aufgaben und definierte Zusatzleistungen
- zugesagte Kapazität und Reaktionszeiten
- Zugang zu Informationen, Personal und Management
- Vertraulichkeit und sicherer Umgang mit Mandatsdaten
- Schutz der Weisungsfreiheit und Konfliktprozess
- Dokumentation, Berichte und Herausgabe bei Vertragsende
- Vergütung, Zusatzaufwand und Reisekosten
- Haftung und Versicherungsnachweis ohne unzulässige Verantwortungsverlagerung
- Kündigung und geordnete Übergabe
Häufige Fehler
- Nur die 20-Personen-Schwelle prüfen: Art. 37 DSGVO und die weiteren §-38-Fälle werden übersehen.
- Eine Gesellschaft für den ganzen Konzern nennen, ohne Erreichbarkeit zu sichern: Ein gemeinsamer DSB ist nur sinnvoll, wenn jede Niederlassung ihn leicht erreichen kann.
- Den DSB zum Umsetzungsverantwortlichen machen: Er würde eigene Entscheidungen überwachen.
- Kontakt nur intern veröffentlichen: Art. 37 Abs. 7 verlangt Veröffentlichung und Mitteilung an die Aufsicht.
- Zu kleines Zeitbudget vereinbaren: Die Organisation muss wirksame Aufgabenerfüllung ermöglichen.
- Bußgeldfreiheit versprechen: Benennung reduziert keine gesetzliche Verantwortlichkeit und garantiert kein Ergebnis.
FAQ
Ist ein externer DSB genauso zulässig wie ein interner?
Ja. Art. 37 Abs. 6 DSGVO lässt beide Modelle zu. Ausschlaggebend sind Fachkunde, Stellung, Ressourcen, Erreichbarkeit und Konfliktfreiheit.
Muss jedes Unternehmen ab 20 Beschäftigten einen DSB haben?
Nein. § 38 BDSG zählt die Personen, die in der Regel ständig automatisiert personenbezogene Daten verarbeiten. Umgekehrt kann schon unterhalb der Schwelle eine Pflicht nach Art. 37 DSGVO oder den weiteren Tatbeständen des § 38 BDSG bestehen.
Kann eine Beratungsfirma benannt werden?
Ja. Der Dienstleistungsvertrag kann mit einer natürlichen oder juristischen Person bestehen. Bei einem Anbieterteam sollten alle eingesetzten Personen die Anforderungen erfüllen; eine primäre Ansprechperson, Aufgabenverteilung und qualifizierte Vertretung sind klar zu regeln.
Wer haftet für DSGVO-Verstöße?
Die Benennung ändert nicht die Verantwortlichkeit des Verantwortlichen oder Auftragsverarbeiters. Vertragliche oder berufsrechtliche Ansprüche gegen einen externen Dienstleister sind eine gesonderte Einzelfallfrage und ersetzen diese Verantwortlichkeit nicht.
Darf der externe DSB gleichzeitig Datenschutzprojekte umsetzen?
Unterstützung ist möglich, solange der DSB nicht Zwecke und Mittel festlegt oder sonst eigene Entscheidungen kontrolliert. Rolle, Entscheidungsbefugnisse und Interessenkonflikte müssen konkret getrennt werden.
Nächster Schritt
Wir prüfen zunächst Ihre Benennungspflicht, das Risikoprofil und mögliche Interessenkonflikte. Anschließend lässt sich die Leistung Externer Datenschutzbeauftragter sauber von ergänzender Datenschutz-Beratung abgrenzen und mit realistischen Service-Levels vereinbaren.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
- DSGVO, insbesondere Art. 24 und Art. 37 bis 39 (EUR-Lex)
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- Leitlinien zu Datenschutzbeauftragten, WP 243 rev.01 (DSK)
- EuGH C-453/21 – Aufgaben, Abberufung und Interessenkonflikt
- Rolle der Datenschutzbeauftragten und Meldeprozess nach Art. 37 DSGVO (BfDI, 2025)
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.