Wer braucht überhaupt einen DSB
Die Pflicht zur Bestellung eines DSB ergibt sich aus Art. 37 DSGVO und § 38 BDSG: Behörden, Unternehmen mit regelmäßiger und systematischer Überwachung in großem Umfang (Tracking-intensives E-Commerce, Plattformen), Unternehmen mit Kerntätigkeit ‚besondere Kategorien' (Gesundheit, Strafverfolgung), in Deutschland zusätzlich Unternehmen mit ≥ 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Was die Monatspauschale typisch umfasst
Bestellung mit Anzeige bei der Aufsichtsbehörde, regelmäßige Beratung der Geschäftsleitung, Schulung der Beschäftigten, Mitwirkung am Verarbeitungsverzeichnis nach Art. 30 DSGVO, Ansprechpartner für Betroffene, Begleitung von Datenpannen bis zum Standard-Umfang. Nicht enthalten sind regelmäßig: Aufwendige forensische Vorfallsbegleitung, Verteidigung im Bußgeldverfahren, Klagen , diese rechnen wir nach Stundensatz oder Pauschale ab.
Übersicht der Honorare
| Leistung | Bandbreite | Hinweis |
|---|---|---|
| eDSB bis 20 MA | 350 bis 650 € netto/Monat | — |
| eDSB 20 bis 50 MA | 550 bis 950 € netto/Monat | — |
| eDSB 50 bis 250 MA | 950 bis 2.500 € netto/Monat | — |
| eDSB über 250 MA | ab 2.500 € netto/Monat | Individuell nach Verarbeitungsumfang |
| Branchen-Aufschlag Gesundheit / HR | + 20 bis 40 % | — |
| Datenpannen-Begleitung über Standard hinaus | Stundensatz 220 bis 320 € netto/h | — |
Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.
Häufige Fragen
- Externer vs. interner Datenschutzbeauftragter , was ist günstiger?
- Bis ca. 100 MA ist der externe DSB regelmäßig deutlich günstiger als eine interne Vollstelle. Hinzu kommt der Vorteil unabhängiger Stellung und juristischer Qualifikation. Ab einer gewissen Größe lohnt sich oft eine interne Lösung mit externer Unterstützung in komplexen Fragen.
- Welche Qualifikation muss der eDSB haben?
- Art. 37 Abs. 5 DSGVO verlangt ‚Fachwissen' und ‚berufliche Qualifikation'. Eine juristische Ausbildung (mit Schwerpunkt Datenschutz) plus eine spezialisierte Zertifizierung (CIPP/E, DSB-TÜV) ist Branchenstandard. Wir bringen beides ein.
- Brauchen wir einen DSB, wenn wir weniger als 20 MA haben?
- Nicht automatisch, aber: Behörden, Unternehmen mit besonderen Kategorien als Kerntätigkeit oder mit umfangreichem Tracking sind unabhängig von der MA-Zahl pflichtig. Wir prüfen die Pflicht in der ersten Lageeinschätzung kostenfrei.
- Kann der eDSB-Vertrag gekündigt werden?
- Vertraglich ja, in der Regel mit 3 bis 6 Monaten Frist. Die abberufene Person darf nach Art. 38 Abs. 3 DSGVO nicht wegen der Erfüllung ihrer Aufgaben benachteiligt werden , eine ‚politische' Kündigung birgt Risiken für das Unternehmen.
Mehr Hintergrund im Ratgeber
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
