Datenschutzbeauftragter extern oder intern – welche Lösung passt zu Ihrem Unternehmen?

Ob ein Datenschutzbeauftragter extern oder intern bestellt werden sollte, wirkt auf den ersten Blick wie eine reine Organisationsfrage. Tatsächlich berührt die Entscheidung rechtliche Pflichten, interne Ressourcen, mögliche Interessenkonflikte und die Frage, wer die geforderte Fachkunde dauerhaft mitbringt.

Das Wichtigste in Kürze

• Die Benennungspflicht ergibt sich aus Art. 37 DSGVO und ergänzend aus § 38 BDSG. Ob die Rolle intern oder extern besetzt wird, steht dem Unternehmen frei. 
• Ein interner Datenschutzbeauftragter kennt die Abläufe, benötigt aber Fortbildung, Zeit und eine Position ohne Interessenkonflikt. 
• Ein externer Datenschutzbeauftragter bringt Erfahrung aus mehreren Mandaten mit, muss sich dafür aber in die Prozesse einarbeiten. 
• Der besondere Kündigungsschutz gilt nur, wenn die Benennung verpflichtend ist. 
• Weder das interne noch das externe Modell verlagert die datenschutzrechtliche Verantwortung. Diese bleibt beim Unternehmen. 
• Entscheidend sind Umfang und Risiko der Verarbeitung, vorhandene Fachkunde, verfügbare Ressourcen und die Frage der Unabhängigkeit. 

Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten?

Zwei Rechtsquellen regeln die Benennungspflicht: Art. 37 der Datenschutz-Grundverordnung und ergänzend § 38 BDSG. Nach der DSGVO ist ein Datenschutzbeauftragter unter anderem dann zu benennen, wenn die Kerntätigkeit eines Unternehmens in Verarbeitungsvorgängen besteht, die eine umfangreiche, regelmäßige und systematische Überwachung von Personen erforderlich machen. Ebenfalls erfasst ist eine Kerntätigkeit, die in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO besteht.

An dieser Stelle lohnt eine Präzisierung, die in der Praxis häufig untergeht. Zu den besonderen Kategorien zählen etwa Gesundheitsdaten, Daten über die religiöse oder weltanschauliche Überzeugung sowie biometrische Daten, sofern diese zur eindeutigen Identifizierung einer Person verarbeitet werden. Finanz- und Zahlungsdaten sind zwar wirtschaftlich sensibel und praktisch schutzbedürftig, gehören aber nicht allein deshalb zu den besonderen Kategorien im Sinne von Art. 9 DSGVO.

Das BDSG ergänzt eine zahlenmäßige Schwelle. Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, greift nach § 38 Abs. 1 Satz 1 BDSG die Benennungspflicht. Unabhängig von dieser Personenzahl gilt die Pflicht außerdem, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

Welche Aufgaben der Datenschutzbeauftragte nach Art. 39 DSGVO im Einzelnen übernimmt, fasst die Europäische Kommission übersichtlich zusammen. Steht die Pflicht fest, bleibt die Organisationsform offen. Art. 37 Abs. 6 DSGVO stellt ausdrücklich klar, dass der Datenschutzbeauftragte Beschäftigter des Unternehmens sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen kann. Beide Varianten sind rechtlich gleichwertig.

Der interne Datenschutzbeauftragte

Ein interner Datenschutzbeauftragter ist ein Mitarbeiter des Unternehmens, der die Funktion neben oder anstelle seiner bisherigen Tätigkeit übernimmt. Auf dem Papier klingt das unkompliziert. In der Umsetzung hängt viel davon ab, wie ernsthaft die Rolle ausgestattet wird.

Was für einen internen DSB spricht

Der naheliegendste Vorteil liegt im Unternehmenswissen. Ein interner Datenschutzbeauftragter kennt die Abläufe, versteht die eingesetzten Systeme und weiß, wer für welchen Prozess zuständig ist. Kurze Wege ermöglichen schnelle Abstimmungen, Datenschutzanforderungen lassen sich früh in Projekte einbringen. Auch die Akzeptanz in der Belegschaft ist oft höher, wenn ein bekanntes Gesicht ansprechbar ist. 

Wo die Schwierigkeiten liegen

Fachkunde muss aufgebaut und gehalten werden. Art. 37 Abs. 5 DSGVO verlangt eine Benennung auf Grundlage der beruflichen Qualifikation und insbesondere des Fachwissens im Datenschutzrecht und in der Datenschutzpraxis. Regelmäßige Fortbildung ist daher kein optionales Extra, sondern Voraussetzung. Nach Art. 38 Abs. 2 DSGVO muss das Unternehmen zudem die erforderlichen Ressourcen bereitstellen, wozu auch Arbeitszeit zählt. Diese Zeit fehlt an anderer Stelle.

Ein zweiter Punkt wird häufig unterschätzt: der besondere Kündigungsschutz. § 38 Abs. 2 BDSG erklärt § 6 Abs. 4 BDSG für anwendbar, allerdings nur dann, wenn die Benennung eines Datenschutzbeauftragten verpflichtend ist. In diesem Fall ist eine Kündigung des Arbeitsverhältnisses grundsätzlich nur aus wichtigem Grund möglich, und dieser Schutz wirkt nach dem Ende der Tätigkeit noch für ein Jahr fort. Wichtig ist die Unterscheidung zwischen der Abberufung aus der Funktion und der Kündigung des Arbeitsverhältnisses. Wird ein Datenschutzbeauftragter freiwillig benannt, greift dieser besondere Schutz nicht automatisch. Unternehmen sollten die Konsequenzen dennoch bewusst prüfen, bevor sie eine Benennung aussprechen.

Hinzu kommt die Frage der Unabhängigkeit. Nach Art. 38 Abs. 3 DSGVO darf der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen erhalten, und Art. 38 Abs. 6 DSGVO verlangt, dass weitere Aufgaben nicht zu einem Interessenkonflikt führen. Entscheidend ist dabei nicht die Abteilungsbezeichnung, sondern die tatsächliche Rolle: Problematisch sind vor allem Positionen, in denen jemand selbst maßgeblich über Zwecke und Mittel der Datenverarbeitung entscheidet und diese Entscheidungen anschließend kontrollieren müsste. Typische Risikokonstellationen sind die Geschäftsführung, die IT-Leitung und die Leitung des Personalbereichs.

Der externe Datenschutzbeauftragte

Ein externer Datenschutzbeauftragter wird auf vertraglicher Grundlage benannt. Er arbeitet nicht im Unternehmen, betreut in der Regel mehrere Mandate und bringt Erfahrung aus unterschiedlichen Branchen mit.

Warum Unternehmen einen externen DSB wählen

Der wesentliche Vorteil liegt in der vorhandenen Fachkunde. Wer die Rolle beruflich ausübt, verfolgt Gesetzgebung, Aufsichtspraxis und Rechtsprechung ohnehin fortlaufend und kennt typische Stolperfallen aus der Praxis. Diese Breite lässt sich intern nur mit erheblichem Aufwand aufbauen. Zertifikate und Nachweise können dabei ein sinnvolles Auswahlkriterium sein, vorgeschrieben ist eine bestimmte Zertifizierung durch die DSGVO jedoch nicht.

Ein zweiter Punkt betrifft die Unabhängigkeit. Da der externe Datenschutzbeauftragte nicht in die Hierarchie eingebunden ist und keine operativen Entscheidungen über Verarbeitungen trifft, lassen sich klassische Rollenkonflikte leichter vermeiden. Automatisch gegeben ist die Unabhängigkeit damit allerdings nicht. Auch ein externer Dienstleister kann in einen Interessenkonflikt geraten, etwa wenn er zugleich zentrale Systeme betreibt oder Verarbeitungen maßgeblich mitgestaltet.

Praktisch relevant ist zudem die Vertragsgestaltung: Laufzeiten, Leistungsumfang und Vertretungsregelungen lassen sich im Rahmen des gesetzlich Möglichen vereinbaren, ein arbeitsrechtlicher Sonderkündigungsschutz entsteht nicht. Viele Anbieter verfügen über eine Berufshaftpflichtversicherung. Das sollte im Auswahlprozess geprüft und im Vertrag geregelt werden, statt es als Selbstverständlichkeit vorauszusetzen.

Grenzen des externen Modells

Jeder externe Datenschutzbeauftragte muss die spezifischen Prozesse, Systeme und Datenflüsse zunächst kennenlernen. Diese Einarbeitung kostet auf beiden Seiten Zeit. Je nach Vereinbarung ist der externe Ansprechpartner nicht täglich vor Ort, was bei kurzfristigen Fragen zusätzliche Abstimmung erfordert. Ohne einen internen Ansprechpartner, der Informationen bündelt, läuft das Modell ins Leere. Und bei einem Anbieterwechsel müssen Dokumentation und Wissen sauber übergeben werden.

Datenschutzbeauftragter extern oder intern – die Kostenfrage realistisch betrachten

Häufig wird das interne Modell als günstiger wahrgenommen, weil keine Rechnung eines Dienstleisters eingeht. Dieser Eindruck greift zu kurz, taugt aber umgekehrt auch nicht als Beleg dafür, dass die externe Variante generell wirtschaftlicher wäre. 

Belastbar wird der Vergleich erst, wenn beide Modelle anhand derselben Kriterien bewertet werden:

• Vergütung beziehungsweise anteilige Personalkosten 
• Erstqualifikation und laufende Fortbildung 
• Freistellung von bisherigen Aufgaben und interne Koordination 
• Audits, Schulungen und Sonderprojekte wie Datenschutz-Folgenabschätzungen 
• Vertretung bei Urlaub, Krankheit oder Ausscheiden 
• Vereinbarte Erreichbarkeit und Reaktionszeiten 
• Vertragslaufzeit, Kündigungsmöglichkeiten und Wechselkosten 

Erst diese Gesamtbetrachtung zeigt, welches Modell im konkreten Fall tragfähig ist. Je kleiner das Unternehmen und je geringer die vorhandene Fachkunde, desto häufiger fällt das Ergebnis zugunsten der externen Lösung aus. Bei großem Verarbeitungsvolumen und dauerhaftem Betreuungsbedarf kann sich das Bild drehen.

Datenschutzbeauftragter extern oder intern – welche Variante für welches Unternehmen?

Pauschale Antworten helfen hier nicht weiter. Einige typische Konstellationen verdeutlichen die Abwägung.

Ein kleines Unternehmen ohne eigene Datenschutzkompetenz hat selten die Ressourcen, einen Mitarbeiter auszubilden und dauerhaft teilweise freizustellen. Hier liegt die externe Lösung nahe, weil Fachkunde ohne langen Aufbau verfügbar ist.

Mittelgroße Betriebe mit geeignetem Personal, etwa mit juristischem oder IT-nahem Hintergrund, können einen internen Datenschutzbeauftragten ernsthaft in Betracht ziehen. Voraussetzung ist, dass Interessenkonflikte ausgeschlossen sind, ausreichend Arbeitszeit zur Verfügung steht und die Fortbildung verbindlich eingeplant wird.

Unternehmen mit besonders risikoreichen Verarbeitungen, etwa im Gesundheitswesen, im Finanzsektor oder in der Versicherungswirtschaft, benötigen ein höheres Maß an Fachkunde und Kapazität. Das spricht nicht automatisch für eine externe Lösung. Gerade große Organisationen dieser Branchen besetzen die Rolle häufig intern, teils mit einem ganzen Datenschutzteam, und ziehen externe Spezialisten punktuell hinzu.

Verbreitet ist inzwischen auch eine Kombination beider Modelle. Ein interner Datenschutzkoordinator begleitet das operative Tagesgeschäft und dient als Ansprechpartner für die Fachbereiche. Der externe Datenschutzbeauftragte übernimmt die gesetzlich vorgesehenen Beratungs- und Überwachungsaufgaben, führt Prüfungen durch und ist Anlaufstelle für die Aufsichtsbehörde.

Wichtig ist dabei eine Klarstellung: Die datenschutzrechtliche Verantwortung nach Art. 5 Abs. 2 und Art. 24 DSGVO verbleibt in jedem Modell beim Unternehmen. Der Datenschutzbeauftragte berät und überwacht, er übernimmt die Verantwortung nicht.

Worauf Sie bei der Auswahl achten sollten

Unabhängig vom Modell lohnt ein strukturierter Auswahlprozess. Sinnvolle Prüfpunkte sind die nachweisbare Fachkunde und Berufserfahrung, Referenzen aus vergleichbaren Branchen, die konkrete Ausgestaltung von Erreichbarkeit und Vertretung, ein klar beschriebener Leistungsumfang einschließlich Schulungen und Prüfungen, ein sauberes Berichtswesen an die Geschäftsleitung sowie eine dokumentierte Prüfung möglicher Interessenkonflikte.

Bei externen Anbietern kommen Vertragslaufzeit, Haftungsregelungen, Versicherungsschutz und die Vereinbarung zur Übergabe der Dokumentation hinzu. Die Kontaktdaten des Datenschutzbeauftragten sind nach Art. 37 Abs. 7 DSGVO zu veröffentlichen und der Aufsichtsbehörde mitzuteilen.

Typische Fehler bei der Wahl des Datenschutzbeauftragten

In der Praxis wiederholen sich dieselben Fehler. Ein Klassiker ist die Selbstbenennung der Geschäftsführung. Wer die wesentlichen Entscheidungen über Datenverarbeitungen trifft, kann diese nicht unabhängig überwachen. Ein solcher Interessenkonflikt führt dazu, dass die Benennung ihren Zweck verfehlt und im Rahmen einer Prüfung beanstandet werden kann.

Häufig ist auch die Benennung ohne ausreichende Qualifikation. Interesse am Thema genügt nicht, die Fachkunde muss vorhanden und nachweisbar sein und dem Risiko der Verarbeitungen entsprechen.

Ein dritter Fehler betrifft die Ausstattung der Rolle. Wird ein Datenschutzbeauftragter benannt, ohne ihm Zeit, Budget und Zugang zu Informationen einzuräumen, bleibt die Funktion formal bestehen und praktisch wirkungslos. Ebenso problematisch ist es, den Datenschutzbeauftragten erst dann einzubinden, wenn Projekte bereits entschieden sind.

Schließlich fehlt es oft an Kontinuität. Datenschutz ist kein Projekt mit Abschlussdatum. Unternehmen, die die Rolle besetzen und das Thema anschließend ruhen lassen, riskieren veraltete Verzeichnisse von Verarbeitungstätigkeiten, ausbleibende Schulungen und ein schleichendes Absinken des Datenschutzniveaus.

Häufige Fragen zum Thema Datenschutzbeauftragter extern oder intern

Muss ein Datenschutzbeauftragter zertifiziert sein?

Nein. Die DSGVO verlangt berufliche Qualifikation, Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie die Fähigkeit, die Aufgaben nach Art. 39 DSGVO zu erfüllen. Eine bestimmte Zertifizierung ist nicht vorgeschrieben, kann aber ein Auswahlkriterium sein.

Gilt der besondere Kündigungsschutz für jeden internen Datenschutzbeauftragten?

Nein. Nach § 38 Abs. 2 BDSG ist § 6 Abs. 4 BDSG nur anwendbar, wenn die Benennung verpflichtend ist. Bei einer freiwilligen Benennung greift der besondere Schutz nicht automatisch.

Haftet der Datenschutzbeauftragte für Datenschutzverstöße des Unternehmens?

Die datenschutzrechtliche Verantwortung trägt der Verantwortliche, also das Unternehmen. Ein externer Datenschutzbeauftragter kann gegenüber seinem Auftraggeber vertraglich für eigene Beratungsfehler einstehen. Umfang und Grenzen ergeben sich aus dem Vertrag und den allgemeinen Haftungsregeln.

Darf der IT-Leiter die Rolle übernehmen?

In der Regel nicht, wenn er maßgeblich über Zwecke und Mittel der Verarbeitung entscheidet. Dann besteht ein Interessenkonflikt nach Art. 38 Abs. 6 DSGVO. Mitarbeiter aus dem IT-Bereich ohne solche Entscheidungsbefugnis kommen dagegen grundsätzlich in Betracht.

Kann ein Unternehmen das Modell später wechseln?

Ja. Ein Wechsel ist möglich und in der Praxis nicht selten. Er sollte geplant werden: Übergabe der Dokumentation, Information der Aufsichtsbehörde über die neuen Kontaktdaten und bei internen Benennungen die Prüfung der arbeitsrechtlichen Folgen.

Fazit – Datenschutzbeauftragter extern oder intern: So treffen Sie die richtige Wahl

Für viele kleine und mittelständische Unternehmen spricht vieles für eine externe Lösung: vorhandene Fachkunde, planbarer Leistungsumfang, klare Vertragsgestaltung und weniger Risiko interner Rollenkonflikte.

Größere Organisationen mit geeignetem Personal und ausreichenden Ressourcen können eine interne Besetzung sinnvoll gestalten, sofern Unabhängigkeit, Fortbildung und Arbeitszeit dauerhaft gesichert sind. In beiden Fällen bleibt die Verantwortung für die Einhaltung der DSGVO beim Unternehmen.

Am Anfang steht deshalb eine ehrliche Bestandsaufnahme: Welche Daten werden in welchem Umfang verarbeitet? Welche Fachkunde ist vorhanden? Lässt sich Unabhängigkeit dauerhaft gewährleisten? Die Entscheidung, ob ein Datenschutzbeauftragter extern oder intern benannt wird, lässt sich auf dieser Grundlage fundiert treffen.

Kontaktieren Sie uns gerne für eine individuelle Einschätzung Ihrer Situation.