Extern und intern sind nach der DSGVO gleichwertig zulässige Modelle. Die bessere Wahl ist diejenige, die für Ihr Risikoprofil nachweisbar genug Fachkunde, Zeit, Zugang, Vertretung und Unabhängigkeit bereitstellt. Ein interner DSB kennt die Organisation oft schneller; ein externer DSB kann spezialisiertes Wissen und Vertretungsstrukturen bündeln. Weder Beschäftigtenstatus noch externer Vertrag garantieren jedoch Konfliktfreiheit oder Qualität.
Kerntatsachen
- Gleiche Rechtsstellung: Art. 37 Abs. 6 DSGVO erlaubt Beschäftigte und externe Dienstleister.
- Gleiche Mindestaufgaben: Beide Modelle unterliegen Art. 38 und 39 DSGVO.
- Interessenkonflikte sind funktionsbezogen: Wer Zwecke und Mittel einer Verarbeitung bestimmt, darf diese Entscheidung nicht zugleich als DSB überwachen.
- Ressourcen entscheiden: Zeitbudget, Zugang zur Leitung, Fortbildung und Vertretung müssen im gewählten Modell tatsächlich verfügbar sein.
- Kosten fair vergleichen: Externes Honorar und interne Vollkosten sind für denselben Leistungsumfang gegenüberzustellen.
- Verantwortung bleibt gleich: Der Verantwortliche oder Auftragsverarbeiter bleibt für die DSGVO-Einhaltung zuständig.
Externer oder interner Datenschutzbeauftragter?
Die Entscheidung sollte nicht mit einer pauschalen Größenregel beginnen. Prüfen Sie zunächst:
- Welche Verarbeitungsrisiken und Projekte sind in den nächsten zwölf bis 24 Monaten zu erwarten?
- Wie viel regelmäßige und ungeplante Kapazität benötigt die DSB-Funktion?
- Gibt es intern eine fachkundige Person ohne Interessenkonflikt?
- Wie werden Urlaub, Krankheit, Spitzenlast und Spezialfragen abgedeckt?
- Welches Modell ermöglicht den direkten, unabhängigen Zugang zur höchsten Managementebene?
Aus diesen Antworten ergibt sich ein belastbarer Vergleich.
Rechtlicher Rahmen ist für beide Modelle identisch
Die Pflicht zur Benennung folgt für deutsche Unternehmen aus Art. 37 DSGVO und ergänzend aus § 38 BDSG. Die Wahl des Modells ändert die Tatbestände nicht.
Art. 38 verlangt insbesondere:
- ordnungsgemäße und frühzeitige Einbindung
- erforderliche Ressourcen und Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen
- Erhaltung des Fachwissens
- keine Weisungen zur Aufgabenerfüllung
- keine Abberufung oder Benachteiligung wegen der Aufgabenerfüllung
- unmittelbare Berichtslinie an die höchste Managementebene
- Vermeidung von Interessenkonflikten bei anderen Aufgaben
Art. 39 nennt Beratung, Überwachung, DSFA-Beratung, Zusammenarbeit mit der Aufsicht und die Funktion als Anlaufstelle. Diese Vorgaben werden nicht geringer, weil eine Person nur einen Teil ihrer Zeit oder auf Vertragsbasis tätig ist.
Direkter Vergleich
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Organisationswissen | häufig vorhandene Prozess- und Kulturkenntnis | muss im Onboarding systematisch aufgebaut werden |
| Fachkunde | kann gezielt intern entwickelt werden | kann über Spezialisierung und mehrere Fachrichtungen verfügbar sein |
| Verfügbarkeit | abhängig vom zugesagten Stellenanteil und anderen Aufgaben | abhängig von Vertrag, Kapazität und Service-Level |
| Unabhängigkeit | Rollen und Karriereabhängigkeiten aktiv absichern | wirtschaftliche Abhängigkeiten und Zusatzmandate aktiv prüfen |
| Interessenkonflikte | besonders bei leitenden oder entscheidenden Funktionen | besonders bei operativer Umsetzung oder widersprechenden Mandaten |
| Vertretung | intern zu planen und zu qualifizieren | kann vertraglich als Teamstruktur vereinbart werden |
| Kostenbild | anteilige Vollkosten und langfristige Personalbindung | Honorar, Onboarding, Zusatzleistungen und Preisänderungen |
| Wissensverbleib | Wissen bleibt eher in der Organisation | dokumentierte Übergabe und interne Ansprechpartner erforderlich |
Die Tabelle beschreibt typische Organisationsfragen, keine garantierten Eigenschaften.
Wann spricht mehr für einen internen DSB?
Ein internes Modell kann gut passen, wenn
- kontinuierlich ein hoher Beratungs- und Überwachungsbedarf besteht;
- komplexe interne Prozesse sehr enge tägliche Einbindung verlangen;
- eine fachkundige, konfliktfreie Person mit ausreichendem Stellenanteil verfügbar ist;
- Fortbildung, Vertretung und Zugang zu Spezialwissen dauerhaft finanziert werden;
- die Berichtslinie zur höchsten Managementebene praktisch funktioniert.
Die Person darf nicht bloß „zusätzlich“ benannt werden, ohne dass andere Aufgaben reduziert werden. Der DSB soll beraten und überwachen, nicht die zu prüfenden Entscheidungen selbst treffen.
Deutscher Schutz interner DSB
Bei verpflichtender Benennung verweist § 38 Abs. 2 BDSG auf den besonderen Abberufungs- und Kündigungsschutz des § 6 Abs. 4 BDSG. Diese Schutzwirkung soll die unabhängige Tätigkeit absichern und gehört in Personal-, Nachfolge- und Vertretungsplanung. Sie ist kein Ersatz für Ressourcen oder eine konfliktfreie Stellenbeschreibung.
Wann spricht mehr für einen externen DSB?
Ein externes Modell kann gut passen, wenn
- intern keine konfliktfreie Person mit passender Fachkunde verfügbar ist;
- der Bedarf schwankt oder mehrere Spezialgebiete berührt;
- Vertretung und definierte Reaktionszeiten vertraglich gebündelt werden sollen;
- eine unabhängige Außenperspektive erwünscht ist;
- mehrere Gesellschaften mit klaren Ansprechpartnern koordiniert werden müssen.
Die Distanz darf nicht zur Schwäche werden. Ein externer DSB benötigt frühzeitigen Zugang zu Projekten, Unterlagen, Fachbereichen und Leitung. Eine selten genutzte E-Mail-Adresse ohne feste Governance erfüllt die Funktion nicht wirksam.
Interessenkonflikte richtig prüfen
Entscheidend ist die tatsächliche Befugnis, Zwecke und Mittel festzulegen. Regelmäßig problematisch sind daher Funktionen an der Spitze von Geschäftsleitung, Finanzen, Personal, Marketing oder IT, sofern sie maßgebliche Verarbeitungsentscheidungen treffen. Auch weniger offensichtliche Rollen können im Einzelfall kollidieren.
Beim externen Modell sind insbesondere zu prüfen:
- operative Datenschutz- oder IT-Leistungen, bei denen der Anbieter selbst entscheidet
- Vertretung des Unternehmens in einem Streit über gerade zu überwachende Entscheidungen
- Mandate für mehrere Beteiligte mit gegenläufigen Interessen
- Vergütungs- oder Zielsysteme, die unabhängige Kritik wirtschaftlich sanktionieren
Dokumentieren Sie die Prüfung anhand von Aufgaben, Entscheidungsrechten und Eskalationswegen. Stellenbezeichnung oder Anbieterstatus allein genügen nicht.
Kostenvergleich ohne Scheingenauigkeit
Für externe DSB gibt es keinen gesetzlichen Tarif. Marktangaben ohne Leistungsumfang helfen nicht. Vergleichen Sie:
Externe Vollkosten
- Bestandsaufnahme und Onboarding
- laufendes Honorar
- enthaltene Kapazität und Reaktionszeit
- Zusatzleistungen, Reisen und Projekte
- Vertretung und Übergabe
Interne Vollkosten
- anteilige Vergütung und Arbeitgeberkosten
- wegfallende Kapazität in der bisherigen Rolle
- Fortbildung, Fachinformationen und Tools
- Vertretung und externe Spezialberatung
- organisatorische Absicherung und Nachfolge
Rechnen Sie beide Modelle für denselben Jahresarbeitsplan und zusätzlich für ein Vorfall- oder Veränderungsszenario.
Das Koordinatorenmodell
Viele Organisationen verbinden einen externen DSB mit internen Datenschutzkoordinatoren. Das kann kurze Wege und Spezialwissen kombinieren, wenn die Rollen klar sind:
- Geschäftsleitung: entscheidet, stellt Ressourcen bereit und verantwortet Compliance.
- Fachbereiche: setzen rechtmäßige Prozesse und Maßnahmen um.
- Koordinatoren: sammeln Informationen, pflegen Aufgaben und organisieren Termine.
- Externer DSB: berät und überwacht unabhängig, priorisiert risikobasiert und berichtet an die Leitung.
Koordinatoren ersetzen den benannten DSB nicht. Umgekehrt sollte der DSB nicht zum alleinigen Betreiber des Datenschutzmanagements werden.
Entscheidung in sieben Prüffragen
Bewerten Sie jedes Modell auf einer einheitlichen Skala:
- Ist die erforderliche Fachkunde heute und künftig nachweisbar?
- Ist ein realistisches Zeitbudget verbindlich reserviert?
- Sind Interessenkonflikte ausgeschlossen und dokumentiert?
- Besteht direkter Zugang zur höchsten Managementebene?
- Sind Vertretung und fristkritische Erreichbarkeit geregelt?
- Kann die Person alle relevanten Standorte und Sprachen bedienen?
- Sind Vollkosten und Übergaberisiken transparent?
Eine Entscheidungsvorlage sollte Belege und offene Maßnahmen enthalten, nicht nur eine Punktesumme.
Wechsel zwischen intern und extern
Ein Modellwechsel benötigt geordnete Übergabe. Erfassen Sie mindestens:
- Benennungs- und Kontaktdaten sowie Meldestatus
- VVT, DSFA, Prüfplan und Managementberichte
- offene Betroffenenanfragen, Vorfälle und Behördenvorgänge
- Verträge, Richtlinien, Schulungsnachweise und Maßnahmenlisten
- Ansprechpartner, Systeme und wiederkehrende Termine
- sichere Übergabe oder Löschung von Mandatsunterlagen
Veröffentlichen und melden Sie geänderte Kontaktdaten ohne vermeidbare Lücke. Die Organisation muss auch während des Wechsels fristfähig bleiben.
Häufige Fehlentscheidungen
- „Extern ist automatisch unabhängig“: Auch Vertrags- und Zusatzrollen können Konflikte erzeugen.
- „Intern ist kostenlos“: Arbeitszeit, Fortbildung und Vertretung sind reale Ressourcen.
- „Eine Zertifizierung genügt“: Fachkunde muss zum konkreten Risiko passen.
- „Der DSB setzt Datenschutz allein um“: Die Verantwortung bleibt in Leitung und Fachbereichen.
- „Wenig Stunden reichen, weil bisher nichts passiert ist“: Kapazität richtet sich nach Aufgaben und Risiko, nicht nur nach der Vorfallhistorie.
- „Kündigung des Vertrags beendet alle Pflichten“: Übergabe, neue Benennung und Meldung müssen koordiniert werden.
FAQ
Ist ein externer DSB unabhängiger als ein interner?
Nicht automatisch. Bei beiden Modellen sind Weisungsfreiheit, Berichtslinie, Ressourcen und Interessenkonflikte konkret zu prüfen.
Darf der interne DSB eine andere Aufgabe haben?
Ja, sofern genügend Ressourcen bleiben und die andere Aufgabe keinen Interessenkonflikt erzeugt. Maßgeblich ist, ob die Person Zwecke und Mittel von Verarbeitungen festlegt, die sie überwachen soll.
Kann ein Konzern einen gemeinsamen DSB haben?
Ja, sofern der DSB von jeder Niederlassung aus leicht erreichbar ist. Nationale Zusatzregeln, Zuständigkeiten, Sprachen und ausreichende Kapazität bleiben zu beachten.
Wer trägt die Verantwortung?
Der Verantwortliche beziehungsweise Auftragsverarbeiter. Der DSB unterstützt die Einhaltung durch Beratung und Überwachung, übernimmt aber nicht die Verantwortung des Managements.
Kann man erst extern starten und später intern wechseln?
Ja. Planen Sie Kompetenzaufbau, konfliktfreie Rolle, Meldung, Vertragsende und vollständige Übergabe frühzeitig.
Passende Unterstützung
Wir können die Pflicht- und Modellprüfung als Datenschutz-Beratung begleiten oder die Funktion als externer Datenschutzbeauftragter mit klarer Rollen- und Leistungsbeschreibung übernehmen.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
- DSGVO, insbesondere Art. 24 und Art. 37 bis 39 (EUR-Lex)
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- § 6 BDSG – Stellung und Schutz verpflichtend benannter interner DSB
- Leitlinien zu Datenschutzbeauftragten, WP 243 rev.01 (DSK)
- EuGH C-453/21 – Aufgaben, Abberufung und Interessenkonflikt
- Rolle der Datenschutzbeauftragten und Meldeprozess nach Art. 37 DSGVO (BfDI, 2025)
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.