Stand: Oktober 2026
Einleitung
Die Wahl zwischen internem und externem Datenschutzbeauftragten ist für KMU keine reine Formalie. Sie bestimmt, wie Compliance im Alltag gelebt wird, wer Haftungsrisiken trägt und ob Fachwissen bei neuen regulatorischen Anforderungen sofort verfügbar ist. Die rechtliche Basis liefert Art. 37 DSGVO: Unternehmen müssen einen DSB benennen, sobald sie personenbezogene Daten systematisch und umfangreich verarbeiten oder besondere Kategorien nach Art. 9 DSGVO verarbeiten — ohne Mitarbeiterschwelle. Ergänzend greift in Deutschland § 38 BDSG mit der 20-Personen-Grenze für die automatisierte Verarbeitung.
Aktuelle Entwicklungen verschärfen den Handlungsdruck. Der Cyber Resilience Act verpflichtet Hersteller ab September 2026, aktiv ausgenutzte Schwachstellen binnen 24 Stunden zu melden. Das erweitert den Beratungsbedarf rund um Incident Response und Datenschutz-Folgenabschätzungen. Viele KMU stehen vor der Frage: eigenen Mitarbeitenden teuer qualifizieren und Kündigungsschutz in Kauf nehmen — oder variable Expertise einkaufen? Externe DSB-Pakete kosten monatlich 99 bis 500 Euro, während interne Gesamtkosten (Gehalt, Sozialabgaben, Fortbildung, Ausfallzeiten) bei ca. 64.000 Euro pro Jahr liegen. Für rund 95 % der KMU ist das externe Modell günstiger. Dieser Beitrag liefert ein strukturiertes Entscheidungsframework mit acht Kriterien.
Bevor du startest: 3 Klärungsfragen
Bevor Sie zwischen internem und externem Datenschutzbeauftragten entscheiden, beantworten Sie drei Fragen. Sie bestimmen, ob überhaupt eine Bestellpflicht besteht und wo Interessenkonflikte lauern.
1. Wie viele Personen verarbeiten automatisiert personenbezogene Daten?
Die deutsche Schwelle liegt bei 20 Personen, die ständig mit der automatisierten Verarbeitung beschäftigt sind — nicht bei 20 Mitarbeitenden insgesamt. Teilzeitkräfte zählen anteilig, Aushilfen nur, wenn sie regelmäßig verarbeiten. Prüfen Sie Ihre Personalstatistik exakt nach diesem Kriterium. Die gesetzliche Grundlage finden Sie in § 38 BDSG. Ermitteln Sie den Kreis durch Abgleich von Stellenbeschreibungen, Zugriffsrechten im HR-System und Prozessverzeichnissen. Ein Unternehmen mit 50 Mitarbeitenden, davon nur 15 in Buchhaltung, Vertrieb und HR mit ständigem Datenzugriff, fällt nicht unter § 38 BDSG.
2. Lösen Kerntätigkeiten die Pflicht ohne Personenschwelle aus?
Art. 37 Abs. 1 lit. b und c DSGVO kennt keine Untergrenze. Wer systematisch und umfangreich überwacht (z. B. Videoüberwachung, Tracking) oder besondere Kategorien nach Art. 9 DSGVO verarbeitet (Gesundheitsdaten, Biometrie), muss ab der ersten Person einen DSB benennen. Ein Architekturbüro mit Bauüberwachung per Drohne fällt genauso drunter wie eine Praxis mit Patientendaten oder ein Online-Shop mit umfangreichem Nutzer-Tracking. Prüfen Sie Ihr Verarbeitungsverzeichnis gezielt auf diese Auslöser.
3. Welche Funktionen sind interessenkonfliktbelastet?
Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte. Intern besetzte DSB-Rollen kollidieren oft mit IT-Leitung, Personalverantwortung oder Geschäftsführung — also genau den Stellen, die Verarbeitungen entscheiden und kontrollieren sollen. Das BayLDA listet in seinem Merkblatt typische Konfliktkonstellationen auf. Prüfen Sie jede Kandidatin auf funktionale Unabhängigkeit, bevor Sie die Bestellung aussprechen. Dokumentieren Sie die Prüfung schriftlich — Aufsichtsbehörden fordern diesen Nachweis bei Kontrollen.
Diese drei Antworten liefern das Fundament für die nachfolgende Kriterien-Matrix.
Die 8 Auswahlkriterien
Die Wahl zwischen internem und externem Datenschutzbeauftragten hängt von acht Faktoren ab. Die BfDI-FAQ klärt die gesetzliche Bestellpflicht; ein praxisnaher Vergleich bei Datenschutzfachmann zeigt typische Vor- und Nachteile. Die Gewichtung richtet sich nach Unternehmensgröße, Verarbeitungstätigkeit und Risikoprofil. Prüfen Sie folgende Punkte systematisch:
- Rechtliche Pflicht & Schwellenwerte (§ 38 BDSG, Art. 37 DSGVO) – ab 20 Personen mit automatisierter Verarbeitung oder ohne Schwelle bei Kerntätigkeit
- Kostenstruktur: interne Fixkosten (Gehalt, Sozialabgaben, Fortbildung) versus externe variable Monats-Pauschale
- Fachkunde & Praxiserfahrung: IHK-Lehrgang (80–120 Stunden) gegen sofortige Projektroutine aus zahlreichen Mandaten
- Interessenkonflikte & Unabhängigkeit (Art. 38 Abs. 6 DSGVO) – interne Funktionen (IT, HR, GF) versus strukturell unabhängige Externe
- Kündigungsschutz & Personalrisiko: Sonderkündigungsschutz (Art. 38 Abs. 3 DSGVO) versus vertragliche Kündigungsfristen
- Haftung & Versicherung: Unternehmenshaftung versus Vermögensschaden-Haftpflicht des Dienstleisters (1–5 Mio. €)
- Qualifikationsnachweise: IHK-Zertifikat versus TÜV/DEKRA-zertifizierte DSBs mit Nachweispflicht
- Verfügbarkeit & Skalierbarkeit: Ausfallzeiten (Krankheit, Elternzeit) versus vertraglich gesicherte Stellvertretung
Kriterium 1: Rechtliche Anforderungen & Pflichtschwelle
Die DSGVO kennt zwei Auslöser für die Bestellpflicht. Art. 37 Abs. 1 DSGVO verlangt einen Datenschutzbeauftragten, wenn die Verarbeitung Kernaufgabe des Unternehmens ist – also systematische umfangreiche Überwachung oder Verarbeitung besonderer Kategorien nach Art. 9 DSGVO. Hier gibt es keine Personenschwelle; die Pflicht greift ab der ersten beschäftigten Person.
Daneben regelt § 38 BDSG die nationale Konkretisierung: Wer 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss einen DSB benennen. Entscheidend ist nicht die Gesamtbelegschaft, sondern der Kreis derer, die regelmäßig und strukturiert mit Personendaten arbeiten – etwa in HR, Buchhaltung, Vertrieb oder IT-Betrieb. Praktisch ermitteln Sie die Zahl durch Abgleich von Stellenbeschreibungen, Zugriffsrechten im HR-System und Prozessverzeichnissen. Prüfen Sie zudem, ob Ihre Kerntätigkeit (z. B. Bonitätsprüfung, Telemedizin, standortbasiertes Tracking) bereits Art. 37 Abs. 1 lit. b/c DSGVO auslöst.
Ein interner DSB genießt nach Art. 38 Abs. 3 DSGVO Sonderkündigungsschutz; ein Austausch ist nur aus wichtigem Grund möglich. Das birgt strukturelles Risiko, falls die Person ungeeignet wird oder Interessenkonflikte (Art. 38 Abs. 6 DSGVO) durch Parallelfunktionen (IT-Leitung, GF, HR) entstehen. Externe DSBs sind hier strukturell unabhängig. Kostenvergleiche zeigen, dass externe Mandate oft bei 99 bis 500 Euro monatlich liegen, während interne Gesamtkosten (Gehalt, Sozialabgaben, Fortbildung, Ausfallzeiten) deutlich höher ausfallen – ein Direktvergleich lohnt sich vor der Entscheidung. Der Cyber Resilience Act (CRA) erhöht ab 11.09.2026 den Beratungsbedarf: Hersteller müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Externe DSBs bringen dafür oft fertige Incident-Response-Prozesse mit.
Kriterium 2: Interessenkonflikte & Unabhängigkeit
Artikel 38 Absatz 6 DSGVO verbietet dem Datenschutzbeauftragten jede Tätigkeit, die einen Interessenkonflikt erzeugt. Genau hier scheitern viele interne Lösungen in der Praxis. Ein interner DSB sitzt oft in Leitungsfunktionen — IT-Leitung, Personalwesen, Geschäftsführung — und prüft dann Entscheidungen, die er selbst mitgetragen hat. Diese strukturelle Verquickung wiegt schwerer als formale Zertifikate.
Typische Konfliktfelder zeigen sich dort, wo der DSB operative Verantwortung trägt: Bei der Einführung neuer HR-Software, beim Einsatz von Monitoring-Tools, bei Verträgen mit Cloud-Diensten oder bei der Bewertung von Meldepflichten nach Artikel 33 DSGVO. Wer als IT-Leiter die Firewall konfiguriert, kann deren Datenschutzkonformität nicht neutral bewerten. Wer Personalentscheidungen vorbereitet, gerät bei der Prüfung von Beschäftigtendaten in die eigene Falle.
Ein externer DSB bringt die erforderliche Unabhängigkeit strukturell mit. Er untersteht keinen Weisungen des Auftraggebers in datenschutzfachlichen Fragen (Art. 38 Abs. 3 DSGVO) und besitzt keinen Karrierepfad im Unternehmen. Seine Position hängt allein von der Qualität seiner Beratung ab — nicht von internen Netzwerken oder Vorgesetzten. Diese Autonomie schützt auch den Auftraggeber: Aufsichtsbehörden wie das BayLDA prüfen bei Beanstandungen gezielt, ob der DSB frei von Weisungen und Konflikten agieren konnte.
Der Sonderkündigungsschutz nach Artikel 38 Absatz 3 DSGVO verschärft das Problem intern. Ein interner DSB lässt sich nur aus wichtigem Grund entbinden. Fehlende Fachkunde, mangelnde Verfügbarkeit oder gerade ein Interessenkonflikt reichen oft nicht für eine fristlose Trennung. Das Unternehmen trägt das Risiko jahrelang. Ein externer Dienstleister hingegen wird über vertragliche Kündigungsfristen gesteuert — Leistung stimmt nicht, Vertrag endet.
- IT-Verantwortung: Admin-Rechte, Netzwerküberwachung, Patch-Management kollidieren mit Kontrollaufgaben.
- Personalwesen: Bewerbermanagement, Videoüberwachung, Gesundheitsdaten — der DSB prüft eigene Prozesse.
- Geschäftsführung: Strategische Entscheidungen (Cloud, KI, Tracking) werden vom DSB begleitet, der zugleich Entscheider ist.
- Projektleitung: Wer neue Verfahren einführt, kann die Datenschutz-Folgenabschätzung (Art. 35 DSGVO) nicht neutral erstellen.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) betont in ihren FAQs: Die Unabhängigkeit muss „tatsächlich und nicht nur formell“ gegeben sein. KMU, die einen internen DSB benennen, sollten dokumentieren, wie sie Konflikte ausschließen — etwa durch klare Rollentrennung, Weisungsfreiheit in Datenschutzfragen und ein Eskalationsverfahren an die Spitze. Fehlt diese Dokumentation, wertet die Behörde dies als Verstoß gegen Artikel 38 Absatz 6 DSGVO.
Externe Anbieter lösen das über Mandatsstruktur: Der DSB berichtet an die Geschäftsführung, nimmt an keinen operativen Sitzungen mit Entscheidungsbefugnis teil und dokumentiert seine Unabhängigkeit vertraglich. Für KMU ohne eigene Compliance-Abteilung ist das der pragmatischere Weg zur Rechtskonformität. Externe DSBs verfügen zudem regelmäßig über Vermögensschaden-Haftpflichtversicherungen mit 1 bis 5 Millionen Euro Deckungssumme; bei internen DSBs haftet das Unternehmen voll. Zertifizierte Anbieter (TÜV, DEKRA, IHK) reduzieren das Haftungsrisiko durch nachgewiesene Due Diligence.
