Was kostet ein externer Datenschutzbeauftragter?

Die Frage nach den Kosten kommt meist am Ende eines Gesprächs, in dem längst klar geworden ist, dass die Bestellpflicht greift. Die Antwort fällt unterschiedlich aus – nicht, weil der Markt undurchsichtig wäre, sondern weil sich der Aufwand von Unternehmen zu Unternehmen erheblich unterscheidet.

Dieser Beitrag erklärt, welche Faktoren den Preis bestimmen, welche Modelle üblich sind und wie sich die externe Lösung gegen die interne rechnet.

Ab wann überhaupt Kosten entstehen

Vor der Preisfrage steht die Frage, ob die Benennung Pflicht ist. § 38 Abs. 1 BDSG verlangt sie, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl greift die Pflicht, wenn eine Datenschutz-Folgenabschätzung durchzuführen ist oder Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden.

Daneben stehen die Fälle des Art. 37 Abs. 1 DSGVO: die umfangreiche regelmäßige Überwachung von Personen als Kerntätigkeit und die umfangreiche Verarbeitung besonderer Datenkategorien. Beides kann auch ein kleines Unternehmen treffen – eine Praxis mit acht Beschäftigten unterliegt der Pflicht, ein Handwerksbetrieb mit fünfzehn in der Regel nicht.

Wer wissen will, ob die Kosten überhaupt anfallen, findet die Abgrenzung ausführlich im Beitrag Ab wann ein Datenschutzbeauftragter Pflicht ist.

Wovon hängt der Preis ab?

Die Zahl der Beschäftigten. Sie ist der gängigste Maßstab, weil mit ihr die Zahl der Verarbeitungen, der Systeme und der Betroffenenanfragen wächst. Bei den meisten Anbietern verläuft die Staffelung in Stufen, nicht linear.

Die Art der verarbeiteten Daten. Ein Handwerksbetrieb mit Kunden- und Personaldaten hat eine andere Ausgangslage als eine Arztpraxis oder ein sozialer Träger, die umfangreich besondere Datenkategorien nach Art. 9 DSGVO verarbeiten. Dort steigen Prüfaufwand und Dokumentationstiefe deutlich.

Die Zahl der Standorte und Systeme. Jedes zusätzliche Fachverfahren, jeder Dienstleister und jeder Standort bringt eigene Verarbeitungen mit.

Der Ausgangszustand. Ein Unternehmen, in dem Verzeichnis, Verträge und technisch-organisatorische Maßnahmen bereits gepflegt sind, verursacht laufend weniger Aufwand als eines, das bei null beginnt. Manche Anbieter bilden das über eine einmalige Aufbauphase ab, andere über einen höheren Monatspreis im ersten Jahr.

Die üblichen Modelle

Monatspauschale. Der verbreitetste Ansatz: Ein fester Betrag deckt die laufende Betreuung ab. Vorteil ist die Planbarkeit; entscheidend ist, was genau enthalten ist.

Stundensatz. Wird eher bei projekthaftem Bedarf gewählt, etwa bei einer einmaligen Bestandsaufnahme. Für die laufende Bestellung eignet er sich schlecht, weil die Kosten schwanken und der Anreiz besteht, Rückfragen zu vermeiden.

Mischform. Grundpauschale für die Pflichtaufgaben, zusätzliche Leistungen nach Aufwand – etwa Schulungen vor Ort oder die Begleitung eines Behördenverfahrens.

Wie hoch ist der Stundensatz eines externen Datenschutzbeauftragten?

Marktüblich sind 120 bis 200 Euro je Stunde, netto. Kanzleien liegen regelmäßig darüber – Stundensätze von 250 Euro und mehr sind dort keine Ausnahme –, während selbstständige Datenschutzbeauftragte mit Fachkundenachweis eher am unteren Rand ansetzen. Über alle Anbieter hinweg pendelt sich der Durchschnitt bei rund 150 Euro ein.

Die Spanne beruht auf öffentlich einsehbaren Preisangaben und Marktübersichten deutscher Anbieter, nicht auf einer repräsentativen Erhebung. Sie taugt zur Einordnung eines Angebots, nicht als Verhandlungsgrundlage.

Nach oben oder unten verschieben die Faktoren aus dem vorigen Abschnitt: Qualifikation, Branchenerfahrung und Region. Für Bereiche mit besonderen Anforderungen – Gesundheitswesen, Finanzsektor, oder wenn NIS-2 und ein Informationssicherheits-Managementsystem hinzukommen – werden Aufschläge verlangt.

Der Stundensatz allein sagt wenig. Zwei Angebote mit identischem Satz können sich um den Faktor drei unterscheiden, wenn das eine die Erstellung der Pflichtdokumente einschließt und das andere sie nach Aufwand abrechnet. Aussagekräftig wird der Vergleich erst mit der Frage, wie viele Stunden im Jahr realistisch anfallen – und genau diese Zahl nennt kaum ein Anbieter vorab. Das ist der Grund, warum wir nach Pauschale abrechnen: Sie beantwortet die Frage, bevor sie entsteht.

Worauf Sie beim Vergleich achten sollten

Der Monatspreis allein sagt wenig. Diese Punkte entscheiden darüber, ob er trägt:

• Ist die Meldung an die Aufsichtsbehörde enthalten, und übernimmt der Anbieter die Korrespondenz mit ihr?
• Wird das Verzeichnis von Verarbeitungstätigkeiten erstellt und gepflegt – oder nur geprüft?
• Sind Betroffenenanfragen abgedeckt? Eine einzige umfangreiche Auskunft nach Art. 15 kann mehrere Stunden binden.
• Ist die Unterstützung bei einer Datenpanne enthalten? Hier zählt Erreichbarkeit, nicht der Stundensatz.
• Gibt es einen Jahresbericht, und geht er an die Geschäftsführung?
• Sind Schulungen enthalten, und in welcher Form?
• Wie ist die Vertragslaufzeit geregelt, und lässt sich der Umfang bei Wachstum anpassen?

Ein günstiges Angebot, das bei jeder Betroffenenanfrage nachberechnet, ist im zweiten Jahr selten das günstigere.

Ist ein interner Datenschutzbeauftragter günstiger?

Die interne Benennung wirkt zunächst kostenneutral, weil kein Rechnungsbetrag entsteht. Die tatsächlichen Kosten liegen woanders:

Fachkunde. Sie ist keine Momentaufnahme, sondern muss aufgebaut und gehalten werden. Grundlagenschulungen und regelmäßige Fortbildungen verursachen Seminarkosten und Arbeitszeit.

Arbeitszeit. Die Aufgaben nach Art. 39 DSGVO entstehen zusätzlich zur eigentlichen Tätigkeit. Wer sie ernst nimmt, wendet dafür regelmäßig Zeit auf, die an anderer Stelle fehlt.

Kündigungsschutz. Bei einer Pflichtbenennung greift über § 38 Abs. 2 BDSG der Schutz des § 6 Abs. 4 BDSG: Abberufung nur entsprechend § 626 BGB, Kündigung des Arbeitsverhältnisses grundsätzlich untersagt – und das ein Jahr über das Ende der Tätigkeit hinaus. Das ist eine Bindung, die bei der Auswahl bedacht sein will.

Interessenkonflikte. Geschäftsführung, IT-Leitung und Personalleitung scheiden praktisch aus. In kleineren Unternehmen bleibt danach oft niemand übrig, der die Rolle unabhängig ausfüllen könnte.

Vertretung. Urlaub, Krankheit und Ausscheiden müssen abgedeckt sein. Die Funktion ist dauerhaft zu besetzen.

Was es bei uns kostet

Unsere Betreuung als externer Datenschutzbeauftragter beginnt bei 149 Euro im Monat für Unternehmen bis 19 Beschäftigte; ab 20 Beschäftigten liegt sie bei 189 Euro im Monat. Enthalten sind die Bestellung, die Meldung an die Aufsichtsbehörde, die Pflichtdokumente einschließlich Verarbeitungsverzeichnis sowie der Jahresbericht.

Die jeweils aktuellen Konditionen und den vollständigen Leistungsumfang finden Sie auf unserer Preisseite – sie ist maßgeblich.

Was der Preis nicht abnimmt

Eine Erwartung wird regelmäßig enttäuscht, und zwar zum falschen Zeitpunkt: Die Bestellung verlagert die Verantwortung nicht.

Art. 39 DSGVO beschreibt die Aufgaben des Datenschutzbeauftragten als unterrichten, beraten, überwachen und mit der Aufsichtsbehörde zusammenarbeiten. Verantwortlicher im Sinne der Verordnung bleibt nach Art. 24 DSGVO das Unternehmen. Wer eine Verarbeitung startet, die der Beauftragte für unzulässig hält, trägt die Folgen selbst – der Beauftragte hat beraten, entschieden hat die Geschäftsführung.

Daraus folgen drei Punkte, die in jedem Angebot mitgedacht gehören:

Mitwirkung kostet interne Zeit. Nach Art. 38 Abs. 2 DSGVO hat das Unternehmen die für die Aufgabenerfüllung erforderlichen Ressourcen bereitzustellen und Zugang zu den Verarbeitungen zu gewähren. Kein externer Beauftragter kann ein Verarbeitungsverzeichnis erstellen, ohne dass jemand im Haus Auskunft gibt.

Die frühe Einbindung ist Pflicht, nicht Höflichkeit. Art. 38 Abs. 1 DSGVO verlangt, den Beauftragten ordnungsgemäß und frühzeitig in alle Fragen des Schutzes personenbezogener Daten einzubinden. Wer ihn erst nach der Systemeinführung fragt, zahlt für Nacharbeit statt für Beratung.

Die Meldung ist eine eigene Handlung. Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Ein bestellter, aber nicht gemeldeter Beauftragter ist gegenüber der Behörde nicht existent.

Umgekehrt schützt Art. 38 Abs. 3 DSGVO seine Stellung: keine Weisungen zur Aufgabenerfüllung, keine Abberufung oder Benachteiligung deswegen, Berichtsweg direkt an die höchste Leitungsebene. Ein Anbieter, der Feststellungen abschwächt, weil sie unbequem sind, erfüllt seinen Auftrag nicht – auch wenn die Rechnung stimmt.

Die Rechnung, die selten aufgemacht wird

Der Vergleich sollte nicht zwischen „externer Beauftragter” und „nichts” gezogen werden, sondern zwischen den tatsächlichen Alternativen: externe Betreuung, interne Benennung mit Qualifizierung – oder das Risiko einer versäumten Bestellpflicht.

Die dritte Variante ist die teuerste. Die DSGVO sieht für Verstöße gegen die Benennungspflicht Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor. Unabhängig davon fehlt ohne Beauftragten die Stelle, die im Ernstfall weiß, was innerhalb von 72 Stunden zu tun ist.

Sie möchten wissen, was für Ihr Unternehmen gilt? Unser externer Datenschutzbeauftragter übernimmt die Bestellpflicht vollständig. Ob sie Sie überhaupt trifft, klärt der kostenlose Datenschutz-Check in unter einer Minute. Warum sich die Bündelung von Datenschutz, Arbeitsschutz und Hinweisgeberschutz bei einem Anbieter auch bei den Kosten bemerkbar macht, zeigt der Beitrag Compliance aus einer Hand.