Externer Datenschutzbeauftragter

Datenschutz braucht eine klare Rolle - nicht noch einen Ordner.

AWARE7 übernimmt die unabhängige DSB-Funktion auf Grundlage eines Dienstleistungsvertrags. Wir beraten, überwachen und berichten - während Entscheidungen und Umsetzung dort bleiben, wo sie hingehören: in Ihrer Organisation.

DSB-Struktur klären Bestellpflicht einordnen

Art. 37-39 DSGVO Deutschlandweit Technik und Organisation im Blick

DSB-Mandat / Zuständigkeit

Art. 38 DSGVO

01 / Verantwortung

Leitung

entscheidet, stellt Ressourcen bereit und setzt Maßnahmen um

02 / Unabhängige Funktion

Externer DSB

berät, überwacht, berichtet und ist Kontaktstelle

03 / Umsetzung

Fachbereiche

führen Prozesse, Dokumentation und technische Maßnahmen

Berichtsweg

unmittelbar zur höchsten Managementebene

Kontakt nach außen

Betroffene und Aufsichtsbehörde

§ 38

BDSG

Benennung in der Regel ab 20 ständig mit automatisierter Verarbeitung beschäftigten Personen

Art. 37

DSGVO

Bestellpflicht nach Art, Umfang und Zweck bestimmter Kerntätigkeiten

Art. 38

DSGVO

Frühzeitige Einbindung, Ressourcen, Weisungsfreiheit und direkter Berichtsweg

Art. 39

DSGVO

Beratung, Überwachung, DSFA-Beratung und Kontakt zur Aufsichtsbehörde

Bestellpflicht

Die Prüfung beginnt nicht bei der Mitarbeiterzahl allein.

Die 20-Personen-Schwelle des BDSG ist nur ein Prüfschritt. Art, Umfang und Zweck der Verarbeitung können unabhängig davon eine Benennung erforderlich machen.

Entscheidend ist eine dokumentierte Einzelfallprüfung. Unsere Ersteinschätzung ersetzt keine pauschale Ampel, sondern ordnet die tatsächlichen Verarbeitungen Ihres Unternehmens ein.

§ 38 BDSG im Volltext Art. 37 DSGVO im Volltext

Arbeiten in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten?

§ 38 Abs. 1 Satz 1 BDSG

Führt das Unternehmen Verarbeitungen durch, für die eine Datenschutz-Folgenabschätzung erforderlich ist?

§ 38 Abs. 1 Satz 2 BDSG

Ist eine umfangreiche regelmäßige und systematische Überwachung oder die umfangreiche Verarbeitung besonderer Datenkategorien Kerntätigkeit?

Art. 37 Abs. 1 lit. b und c DSGVO

Werden Daten geschäftsmäßig zur Übermittlung, zur anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet?

§ 38 Abs. 1 Satz 2 BDSG

Ergebnis

Benennung erforderlich, freiwillig sinnvoll oder nicht notwendig - mit Begründung und nächstem Schritt.

Rollenklärung

Was der DSB tut - und was bei Ihnen bleibt

Der Datenschutzbeauftragte ist keine ausgelagerte Geschäftsleitung und kein Freigabestempel. Seine Wirksamkeit entsteht gerade durch die unabhängige Beratung und Kontrolle.

Verantwortlicher / Auftragsverarbeiter

entscheidet und setzt um

Zwecke und Mittel der Verarbeitung festlegen
Rechtsgrundlagen und Maßnahmen verantworten
VVT, Verträge und Prozesse führen
Ressourcen und Zugang für den DSB bereitstellen

Externer DSB

berät und überwacht

Leitung und Beschäftigte unterrichten und beraten
Einhaltung und interne Strategien überwachen
Zu Datenschutz-Folgenabschätzungen beraten
Mit der Aufsicht zusammenarbeiten und als Kontaktstelle handeln

Fachbereiche und IT

liefern Praxis und Nachweise

Verarbeitungen und Änderungen frühzeitig melden
Fachliche Abläufe und Systeme erklären
Empfohlene Maßnahmen bewerten und umsetzen
Vorfälle und Betroffenenanfragen sofort weitergeben

Interessenkonflikte

Vor der Bestellung klären wir Rollen und weitere Leistungen. Der DSB darf keine Aufgaben übernehmen, bei denen er Zwecke und Mittel einer Verarbeitung selbst festlegt und anschließend die eigene Entscheidung kontrollieren müsste.

Mandatsumfang

Drei Arbeitslinien statt einer Liste aus Einzelleistungen

Das Mandat folgt dem tatsächlichen Datenschutzbetrieb: steuern, prüfen und reagieren. Jeder Arbeitsgang endet mit einem nachvollziehbaren Ergebnis.

Steuern

Governance und Berichtsweg

Wir ordnen Pflichten, Rollen und Eskalationswege ein, beraten die Leitung und planen die risikoorientierte Kontrolle.

Sichtbarer Output

Jahres- und Prüfplan
Bericht an die Leitung
Empfehlungen mit Priorität

Prüfen

Verarbeitungen und Nachweise

Wir überwachen die Datenschutzorganisation und beraten zu VVT, AV-Verträgen, technischen Maßnahmen und Datenschutz-Folgenabschätzungen.

Sichtbarer Output

Prüfvermerke
DSFA-Stellungnahmen
Nachverfolgte Maßnahmen

Reagieren

Anfragen und Vorfälle

Wir werden frühzeitig eingebunden, bewerten datenschutzrechtliche Risiken und begleiten die Kommunikation mit Betroffenen und Aufsicht.

Sichtbarer Output

Fristen- und Meldeweg
Dokumentierte Bewertung
Kontaktstelle nach außen

Entscheidung

Intern oder extern ist eine Organisationsfrage.

Beide Modelle sind nach Art. 37 Abs. 6 DSGVO möglich. Fachkunde, Unabhängigkeit, Ressourcen und Zugang zur Organisation müssen in beiden Fällen funktionieren.

Kriterium	Interner DSB	Externer DSB
Organisatorische Form	Beschäftigte Person mit zusätzlicher oder eigenständiger Funktion	Aufgabenwahrnehmung auf Grundlage eines Dienstleistungsvertrags
Unabhängigkeit	Weisungsfreiheit und direkter Berichtsweg müssen intern abgesichert werden	Weisungsfreiheit und direkter Berichtsweg müssen vertraglich und praktisch abgesichert werden
Organisationswissen	Im Arbeitsalltag unmittelbar vorhanden	Wird durch strukturiertes Onboarding und feste interne Ansprechpersonen aufgebaut
Fachliche Kapazität	Zeit, Weiterbildung und Vertretung organisiert das Unternehmen	Kapazität, fachlicher Austausch und Vertretung werden im Mandat vereinbart
Passend, wenn …	dauerhaft genügend Auslastung, Fachkunde und eine konfliktfreie interne Rolle vorhanden sind	eine unabhängige Funktion mit planbarem Umfang und externer Fachkapazität benötigt wird

Unser Erstgespräch beginnt deshalb mit Ihrer Organisation und nicht mit einer vorgefertigten Empfehlung für das externe Modell.

AWARE7 ist seit dem 28. Mai 2026 auf die behördlich genehmigte Verhaltensregel Trusted Data Processor verpflichtet. Das schafft einen prüfbaren Nachweis für unsere eigene Auftragsverarbeitung - nicht nur ein Marketingversprechen.

Verzeichnis verpflichteter Unternehmen Beschwerdeverfahren der Kontrollstelle

Technischer Kontext

Unser ISO-27001-zertifiziertes Informationssicherheitsmanagement und die technische Security-Praxis helfen, organisatorische Aussagen an realen Systemen und Maßnahmen zu prüfen. Zusätzliche Leistungen werden so abgegrenzt, dass die Unabhängigkeit der DSB-Funktion gewahrt bleibt.

Siegel: AWARE7 GmbH ist auf die Verhaltensregel Trusted Data Processor verpflichtet

Regelwerk: Art. 40 DSGVO
Kontrolle: DSZ Datenschutz Zertifizierungsgesellschaft mbH
Stand: 28. Mai 2026

Kostenrahmen

Der Preis folgt dem Mandat - nicht der Mitarbeiterzahl allein.

Eine belastbare Pauschale setzt voraus, dass Risiken, Organisation und Betreuungstakt bekannt sind. Deshalb nennen wir keine Scheingenauigkeit aus Vergleichsbalken.

Im Angebot trennen wir den laufenden Grundumfang von klar benannten Zusatzleistungen. So bleibt erkennbar, was regelmäßig abgedeckt ist und was einen eigenen Auftrag benötigt.

Organisationsumfang

Beschäftigte, Standorte, Gesellschaften und interne Ansprechpersonen

Verarbeitungsrisiko

Datenkategorien, Betroffenengruppen, Überwachung und DSFA-Bedarf

Betriebsmodell

Zahl der Dienstleister, Systeme, internationalen Transfers und laufenden Projekte

Betreuungstakt

Regeltermine, Prüfplan, Schulungen, Reaktionswege und Vertretungsbedarf

Mandatsumfang und Kostenrahmen klären

Erste Einordnung mit nachvollziehbarem Ergebnis

Klären wir, welche DSB-Struktur zu Ihrer Organisation passt.

Beschreiben Sie kurz Ihre Organisation und die wichtigsten Verarbeitungen. Wir prüfen Ihre Angaben und melden uns werktags innerhalb von 24 Stunden mit Rückfragen oder einer ersten Einordnung. Ein Angebot folgt, sobald der Mandatsrahmen geklärt ist.

Bestellpflicht anhand Ihrer tatsächlichen Verarbeitungen einordnen
Verantwortung, DSB-Funktion und operative Aufgaben sauber trennen
Berichtsweg, interne Kontakte und Vertretung festlegen
Laufenden Grundumfang und Zusatzleistungen transparent abgrenzen

Verantwortliche Ansprechpartner

Auftragsverarbeitung vorab geprüft: AWARE7 ist auf die behördlich genehmigte Verhaltensregel Trusted Data Processor (Art. 40 DSGVO) verpflichtet - als eines von vier Unternehmen in Deutschland (Stand: Juni 2026). Das vereinfacht Ihre Dienstleisterprüfung nach Art. 28 DSGVO. Details & Nachweise

Lieber direkt einen Termin? Erstberatung buchen →

Formular wird geladen ...

Fragen zum externen Datenschutzbeauftragten

Wann muss ein Unternehmen einen Datenschutzbeauftragten benennen?

Für nichtöffentliche Stellen greift § 38 BDSG in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon kann eine Benennung nach Art. 37 DSGVO oder § 38 BDSG erforderlich sein, etwa bei bestimmten umfangreichen Überwachungen, umfangreicher Verarbeitung besonderer Datenkategorien oder Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung. Maßgeblich ist die konkrete Verarbeitung, nicht nur die Gesamtzahl der Beschäftigten.

Darf ein externer Dienstleister die DSB-Funktion übernehmen?

Ja. Art. 37 Abs. 6 DSGVO sieht ausdrücklich vor, dass der Datenschutzbeauftragte seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen kann. Fachkunde, Weisungsfreiheit, Ressourcen, Zugang zur Organisation und der unmittelbare Berichtsweg zur höchsten Managementebene müssen dabei praktisch abgesichert sein.

Übernimmt der externe DSB die Datenschutzverantwortung des Unternehmens?

Nein. Verantwortlicher oder Auftragsverarbeiter bleibt das Unternehmen. Es entscheidet über Zwecke und Mittel, führt die erforderlichen Nachweise und setzt Maßnahmen um. Der DSB unterrichtet und berät, überwacht die Einhaltung, berät zur Datenschutz-Folgenabschätzung und arbeitet mit der Aufsichtsbehörde zusammen.

Welche Aufgaben gehören zum laufenden Mandat?

Der konkrete Umfang wird vor der Bestellung festgelegt. Typisch sind ein risikoorientierter Prüfplan, Beratung von Leitung und Fachbereichen, Stellungnahmen zu Datenschutz-Folgenabschätzungen, Überwachung der Datenschutzorganisation, Begleitung von Betroffenenanfragen und Vorfällen sowie regelmäßige Berichte an die Leitung. Operative Aufgaben wie die Führung des VVT bleiben klar von der unabhängigen Kontrolle getrennt.

Wie wird ein externer DSB in der Organisation verankert?

Nach der Mandatsklärung folgen Dienstleistungsvertrag und formelle Benennung. Die Kontaktdaten werden veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt. Intern werden Berichtsweg, feste Ansprechpersonen, Vertretung, Zugang zu relevanten Informationen und die frühzeitige Einbindung in neue Projekte festgelegt.

Was geschieht bei einer Datenpanne?

Das Unternehmen informiert den DSB über den vereinbarten Meldeweg unverzüglich. Der DSB berät bei Risikobewertung, Dokumentation und der Frage, ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist. Die Meldung nach Art. 33 DSGVO erfolgt, wenn sie erforderlich ist, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden.

Können DSB-Mandat und IT-Sicherheitsberatung kombiniert werden?

Technische Sicherheitskenntnis hilft bei der Bewertung von Schutzmaßnahmen. Vor der Bestellung muss jedoch geprüft werden, ob weitere Leistungen einen Interessenkonflikt erzeugen. Der DSB darf insbesondere keine Zwecke und Mittel einer Verarbeitung festlegen und anschließend die eigene Entscheidung unabhängig kontrollieren. Rollen und Aufträge werden deshalb getrennt beschrieben.

Wovon hängen die Kosten eines externen DSB ab?

Maßgeblich sind Organisationsumfang, Risiken der Verarbeitungen, Zahl der Gesellschaften und Standorte, Dienstleister- und Systemlandschaft sowie der notwendige Betreuungs- und Prüfungstakt. Ein Angebot sollte den laufenden Grundumfang, Reaktionswege und gesondert zu beauftragende Zusatzleistungen transparent voneinander abgrenzen.