Das Wichtigste in Kürze
Ein externer Datenschutzbeauftragter (DSB) ist ein unabhängiger Fachmann, der die gesetzlichen DSB-Aufgaben nach Art. 39 DSGVO für Ihr Unternehmen übernimmt. Ab 20 Mitarbeitern mit Zugang zu personenbezogenen Daten ist ein DSB Pflicht (§ 38 BDSG). Im Vergleich zum internen DSB spart ein externer Beauftragter bis zu 93 % der Kosten, bringt branchenübergreifende Erfahrung mit und ist frei von Interessenkonflikten.
Stand: März 2026 — Dieser Artikel wurde zuletzt im März 2026 fachlich geprüft und aktualisiert.
Sie leiten ein Unternehmen in Hamburg und fragen sich, ob Sie einen Datenschutzbeauftragten brauchen? Oder ob ein externer DSB die bessere Wahl gegenüber einem internen Mitarbeiter ist? Dann sind Sie hier richtig.
In diesem Ratgeber erfahren Sie, was ein externer Datenschutzbeauftragter genau macht, wann die Pflicht greift, welche Vorteile er bietet und was er kostet. Ohne Juristendeutsch, mit konkreten Zahlen und Praxis-Beispielen aus Hamburg.
Ein externer Datenschutzbeauftragter ist ein unabhängiger Experte, der die gesetzlich vorgeschriebenen DSB-Aufgaben für Ihr Unternehmen übernimmt. Im Gegensatz zum internen DSB ist er kein Mitarbeiter, sondern ein externer Dienstleister.
Die Rechtsgrundlage findet sich in Art. 37-39 DSGVO und § 38 BDSG. Beide Varianten — intern wie extern — sind gesetzlich gleichgestellt. Die DSGVO unterscheidet bewusst nicht in der Qualifikation: Entscheidend ist die Fachkunde, nicht das Anstellungsverhältnis.
Die Aufgaben sind in Art. 39 DSGVO definiert:
Darüber hinaus übernimmt ein guter externer DSB auch Aufgaben, die über das gesetzliche Minimum hinausgehen: Mitarbeiterschulungen, Unterstützung bei Datenpannen, Begleitung von Audits und die Beratung zu neuen Themen wie AI Act oder NIS2. Er hilft Ihnen auch, heikle Fragen zu klären — etwa welche Daten nicht an Dritte weitergegeben werden dürfen oder wie Sie die vier Schutzziele der Informationssicherheit in Ihrem Unternehmen umsetzen.
Die Frage "Brauche ich überhaupt einen DSB?" höre ich in Erstgesprächen regelmäßig. Die Antwort steht in § 38 BDSG:
Ein Datenschutzbeauftragter ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wichtig dabei:
Unabhängig von der 20-Personen-Schwelle brauchen Sie einen DSB, wenn:
Für Hamburger Unternehmen ist das besonders relevant: In der Logistik fallen Frachtdaten an, im E-Commerce umfangreiche Kundenprofile, in der maritimen Wirtschaft Besatzungsdaten und GPS-Tracking. Viele KMU unterschätzen, wie schnell die Schwelle erreicht ist.
Als externer Datenschutzbeauftragter betreue ich KMU von 20 bis 300 Mitarbeitern. Der Vorteil: Sie bekommen Expertise ohne eine Vollzeitstelle finanzieren zu müssen — und ich bleibe unabhängig.
Nils OehmichenDatenschutzberater bei frag.hugo
Die Nichtbenennung trotz Pflicht ist ein Verstoß gegen Art. 37 DSGVO und kann mit einem Bußgeld bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden — welche weiteren Strafen bei einem Datenschutzverstoß drohen, haben wir in einem eigenen Artikel zusammengefasst. Die Hamburger Aufsichtsbehörde (HmbBfDI) unter Thomas Fuchs hat die Prüfungstätigkeit in den letzten Jahren deutlich intensiviert. Auch Geschäftspartner und Großkunden fragen zunehmend nach dem benannten DSB — wer keinen vorweisen kann, verliert Aufträge.
Die DSGVO lässt Unternehmen die Wahl: interner Mitarbeiter oder externer Dienstleister. In der Praxis gibt es klare Unterschiede.
Wenn Sie einen Mitarbeiter zum Datenschutzbeauftragten ernennen, gilt Folgendes:
Ein externer Datenschutzbeauftragter löst diese Probleme systematisch:
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Jahreskosten | ~25.000 € (Gehalt + Fortbildung) | Ab 1.788 € (149 €/Monat) |
| Kündigungsschutz | Besonderer Schutz (§ 6 BDSG) | Monatlich kündbar |
| Interessenkonflikt | Risiko bei internen Rollen | Ausgeschlossen |
| Fachwissen | Muss aufgebaut + gepflegt werden | Immer aktuell |
| Haftung | Arbeitnehmer haftet begrenzt | Berufshaftpflicht |
| Verfügbarkeit | Neben regulären Aufgaben | Dediziertes Team |
Gerade für KMU mit 20 bis 250 Mitarbeitern ist die Rechnung eindeutig: Ein externer DSB kostet einen Bruchteil, bringt mehr Erfahrung mit und verursacht keine arbeitsrechtlichen Risiken.
Die Kosten hängen von drei Faktoren ab: Mitarbeiterzahl, Branche und Komplexität der Datenverarbeitung.
Die meisten Anbieter arbeiten mit monatlichen Pauschalen. Die Spanne am Markt liegt zwischen 100 und 800 Euro pro Monat, abhängig vom Leistungsumfang.
Zum Vergleich: Ein interner DSB kostet durchschnittlich rund 25.000 Euro pro Jahr, wenn Sie Gehalt, Fortbildungen, Konferenzbesuche und den Arbeitszeit-Anteil einrechnen. Das sind über 2.000 Euro pro Monat — für eine Aufgabe, die oft nur 10-20 % der Arbeitszeit ausmacht.
Nicht jeder externe DSB bietet den gleichen Leistungsumfang. Achten Sie auf:
Praxis-Tipp
Fragen Sie im Erstgespräch konkret nach: Wie viele Unternehmen betreut der DSB? Wie schnell reagiert er bei einer Datenpanne? Gibt es eine digitale Plattform oder läuft alles über E-Mail-Anhänge? Die Antworten zeigen schnell, ob Qualität oder nur Preis im Vordergrund steht.
Was genau leistet ein externer Datenschutzbeauftragter im Alltag? Hier ein Überblick über die wichtigsten Tätigkeitsfelder.
Das VVT nach Art. 30 DSGVO ist die Pflichtdokumentation für jedes Unternehmen, das personenbezogene Daten verarbeitet. Es enthält alle Verarbeitungsprozesse mit Zweck, Rechtsgrundlage, betroffenen Personengruppen, Empfängern und Löschfristen. Ein externer DSB erstellt dieses Verzeichnis und hält es aktuell — bei neuen Tools, Prozessen oder Dienstleistern.
Jeder Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen AVV nach Art. 28 DSGVO. Cloud-Anbieter, Lohnbuchhaltung, Newsletter-Tool, CRM-System — die Liste wird schnell lang. Der externe DSB prüft bestehende Verträge und stellt sicher, dass neue AVVs rechtskonform abgeschlossen werden.
TOMs sind die konkreten Schutzmaßnahmen für personenbezogene Daten: Verschlüsselung, Zugangskontrollen, Backup-Konzepte, Berechtigungsmanagement. Der DSB bewertet den IST-Zustand, identifiziert Lücken und empfiehlt Verbesserungen. Die Dokumentation der TOMs ist zudem eine häufige Prüffrage der Aufsichtsbehörde.
Die DSGVO verlangt, dass Mitarbeiter im Umgang mit personenbezogenen Daten geschult werden. Ein externer DSB führt regelmäßige Datenschutzschulungen durch — praxisnah, branchenspezifisch und dokumentiert. Das reduziert menschliche Fehler, die nach wie vor die häufigste Ursache für Datenschutzverletzungen sind.
Wenn eine Datenpanne passiert — ein verlorener Laptop, ein Phishing-Angriff, eine fehlerhafte E-Mail mit offenem Verteiler — müssen Sie innerhalb von 72 Stunden die Aufsichtsbehörde informieren (Art. 33 DSGVO). Der externe DSB bewertet den Vorfall, hilft bei der Meldung an den HmbBfDI und dokumentiert alles rechtskonform. Ohne diese Unterstützung reißen viele Unternehmen die Frist — und riskieren ein zusätzliches Bußgeld.
Die zuständige Datenschutzaufsicht für Hamburger Unternehmen ist die Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), geleitet von Thomas Fuchs.
Die Behörde überwacht die Einhaltung der DSGVO und des BDSG in Hamburg. Sie:
Seit Inkrafttreten der DSGVO im Mai 2018 hat die Behörde ihre Prüfungstätigkeit deutlich ausgeweitet. Hamburger Unternehmen sollten darauf vorbereitet sein, dass eine Prüfung jederzeit möglich ist — nicht nur nach einer Beschwerde, sondern auch im Rahmen branchenspezifischer Schwerpunktprüfungen.
Die Behörde ist erreichbar unter datenschutz.hamburg.de. Als externer DSB Ihres Unternehmens übernehmen wir die komplette Kommunikation mit der Aufsichtsbehörde — von der Beantwortung von Anfragen bis zur Begleitung bei Prüfungen.
Hamburg als internationaler Wirtschaftsstandort bringt branchenspezifische Datenschutz-Herausforderungen mit sich.
Frachtdaten, Zolldokumente, Lieferketten-Informationen — die Logistikbranche verarbeitet täglich große Mengen personenbezogener Daten. GPS-Tracking von Fahrzeugen, Besatzungslisten und Hafenmeldungen fallen unter die DSGVO, sobald sie Personen zugeordnet werden können.
Hamburg ist einer der größten Medien- und E-Commerce-Standorte Deutschlands. Kundenprofile, Tracking-Daten, Newsletter-Verteiler und Payment-Daten — hier braucht es einen DSB, der die Anforderungen an Online-Datenschutz, Cookie-Consent und Drittland-Transfers kennt.
Arztpraxen, Pflegedienste, Labore — wer Gesundheitsdaten nach Art. 9 DSGVO verarbeitet, braucht einen DSB unabhängig von der Mitarbeiterzahl. Die Anforderungen sind hier besonders streng.
Als Auftragsverarbeiter nach Art. 28 DSGVO tragen IT-Dienstleister eine besondere Verantwortung. Sie brauchen nicht nur selbst einen DSB, sondern müssen auch ihren Kunden gegenüber Compliance nachweisen.
Prüfen Sie die folgenden Punkte. Treffen zwei oder mehr zu, sollten Sie handeln:
Ab 149 €/Monat übernehmen wir Ihre DSB-Pflichten – persönlich, zuverlässig und DSGVO-konform.
DSB-Service kennenlernenEin externer Datenschutzbeauftragter ist ein unabhängiger Fachmann, der als Dienstleister die gesetzlichen DSB-Aufgaben nach Art. 37-39 DSGVO für Ihr Unternehmen übernimmt. Er berät zur Einhaltung der DSGVO, überwacht die Datenverarbeitung, schult Mitarbeiter und ist Anlaufstelle für Aufsichtsbehörde und betroffene Personen.
Nach § 38 BDSG ist ein DSB Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Mitarbeiterzahl besteht die Pflicht bei der Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) oder wenn die Kerntätigkeit in der systematischen Überwachung betroffener Personen besteht.
Die Kernaufgaben sind in Art. 39 DSGVO definiert: Beratung und Unterrichtung des Unternehmens, Überwachung der DSGVO-Einhaltung, Beratung bei Datenschutz-Folgenabschätzungen, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für betroffene Personen. Darüber hinaus übernimmt er die Erstellung von VVT, AVV und TOMs sowie Mitarbeiterschulungen.
Die Kosten hängen von Unternehmensgröße und Branche ab. Am Markt liegen die Preise zwischen 100 und 800 Euro monatlich. Zum Vergleich: Ein interner DSB kostet ca. 25.000 Euro pro Jahr. Unser DSB-Service für Hamburg startet ab 149 Euro pro Monat — monatlich kündbar, inklusive Plattform und persönlicher Betreuung.
Ein interner DSB ist ein Mitarbeiter, der die Rolle zusätzlich übernimmt. Er genießt besonderen Kündigungsschutz, braucht Fortbildungen und kann in Interessenkonflikte geraten. Ein externer DSB arbeitet unabhängig, ist monatlich kündbar, bringt branchenübergreifendes Fachwissen mit und kostet bis zu 93 % weniger.
Ja. Der HmbBfDI hat das Recht, Unternehmen in Hamburg jederzeit zu prüfen — anlassbezogen nach Beschwerden oder anlasslos im Rahmen von Schwerpunktprüfungen. Ein externer Datenschutzbeauftragter bereitet Ihr Unternehmen auf solche Prüfungen vor und begleitet Sie während des Verfahrens.
Personen mit Interessenkonflikten sind ausgeschlossen: Geschäftsführer, IT-Leiter, Personalleiter und Marketingleiter dürfen die Rolle nicht übernehmen, weil sie selbst über die Verarbeitung personenbezogener Daten entscheiden. Ein externer DSB ist per Definition frei von solchen Konflikten.
Achten Sie auf nachgewiesene Fachkunde (z. B. TÜV-Zertifizierung), Erfahrung in Ihrer Branche, transparente Preise und eine digitale Plattform für die Dokumentation. Persönliche Betreuung statt anonymem Callcenter ist gerade für KMU entscheidend. Unser DSB-Service kombiniert persönliche Datenschutzberatung mit einer digitalen Plattform — lokal in Hamburg, ab 149 €/Monat.
Inhaltsverzeichnis
Die ultimative IT-Sicherheits-Checkliste für KMU: Prüfen Sie mit unserer branchenübergreifenden Checkliste, ob Ihr Unternehmen gegen Cyberangriffe gewappnet ist.
WeiterlesenWie KI-gestützte Datenschutzberatung kleine und mittlere Unternehmen entlastet – schneller, günstiger und rund um die Uhr verfügbar.
WeiterlesenBiometrische Daten sind für Geschäftsführer eines KMU von großer Bedeutung. In unserem Wordpress-Artikel erfahren Sie, wie Sie biometrische Daten in Ihrem Unter
Weiterlesen Über den Autor
Datenschutzberater & Geschäftsführer
Nils ist zertifizierter Datenschutzbeauftragter und Geschäftsführer der frag.hugo Informationssicherheit GmbH. Er berät mittelständische Unternehmen zu DSGVO, NIS2 und IT-Sicherheit – praxisnah und verständlich.
Vereinbaren Sie ein unverbindliches Erstgespräch mit unseren Experten. Wir beraten Sie persönlich zu Datenschutz, NIS2 und IT-Sicherheit.
