Externer Datenschutzbeauftragter für kleine Unternehmen
Unter 20 Beschäftigte, kein eigenes Rechtsteam, trotzdem volle DSGVO-Pflicht: Genau dafür ist unser Mandat gebaut. Sie bekommen einen benannten Datenschutzbeauftragten, ein gepflegtes Verarbeitungsverzeichnis und jemanden ans Telefon, wenn es brennt – zum Festpreis statt nach Stunden.
Für kleine Unternehmen
- Mandat ab 190 € / Monat bis 20 Beschäftigte
- Benennung und Behördenmeldung inklusive
- Kein Sonderkündigungsschutz im eigenen Team
- Digitales Managementsystem statt Ordner
- Alle Preise zzgl. USt.
Kurz beantwortet: Ein externer Datenschutzbeauftragter für kleine Unternehmen kostet bei CMD ab 190 € monatlich zzgl. USt. Benennen müssen Sie einen Datenschutzbeauftragten nach § 38 BDSG, sobald in der Regel mindestens 20 Personen ständig personenbezogene Daten automatisiert verarbeiten – und unabhängig von dieser Zahl, wenn Ihre Kerntätigkeit in umfangreicher Überwachung oder in der Verarbeitung besonderer Datenkategorien besteht. Wer nicht benennen muss, ist von den übrigen DSGVO-Pflichten trotzdem nicht befreit.
Wann ein kleines Unternehmen einen Datenschutzbeauftragten braucht
Die Schwelle ist niedriger, als viele Inhaber annehmen. Maßgeblich ist nicht die Mitarbeiterzahl insgesamt, sondern wie viele Personen ständig mit automatisierter Verarbeitung personenbezogener Daten befasst sind. Wer einen Rechner mit Kundenstamm, Warenwirtschaft, Lohnabrechnung oder auch nur dem Firmenpostfach bedient, zählt mit – Teilzeitkräfte, Werkstudenten und der Inhaber selbst eingeschlossen.
- Ab 20 Personen: Benennungspflicht nach § 38 Abs. 1 BDSG, ganz ohne weitere Voraussetzung
- Unabhängig von der Zahl: wenn die Kerntätigkeit in umfangreicher, regelmäßiger und systematischer Beobachtung von Personen besteht (Art. 37 Abs. 1 lit. b DSGVO)
- Unabhängig von der Zahl: bei umfangreicher Verarbeitung besonderer Kategorien nach Art. 9 DSGVO – Gesundheits-, Sozial- oder Gewerkschaftsdaten – oder von Daten über Straftaten
- Unabhängig von der Zahl: wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist
- Unabhängig von der Zahl: bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung oder für Markt- und Meinungsforschung
Für eine Arztpraxis, einen Pflegedienst oder ein Personalbüro greift die Pflicht damit häufig schon bei fünf Beschäftigten. Wer unsicher ist, klärt das in einem kurzen Gespräch – das ist billiger als eine Nachfrage der Aufsichtsbehörde.
Keine Benennungspflicht heißt nicht: keine Pflichten
Das ist der teuerste Irrtum im Kleinbetrieb. Die Benennungspflicht ist nur eine von vielen Vorgaben. Alles Übrige gilt ab dem ersten Datensatz – auch für den Zweipersonenbetrieb:
| Pflicht | Gilt für kleine Unternehmen |
|---|---|
| Verarbeitungsverzeichnis nach Art. 30 DSGVO | Ja. Die Ausnahme für Betriebe unter 250 Beschäftigten entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt – Personal- und Kundendaten sind immer regelmäßig |
| Auftragsverarbeitungsverträge nach Art. 28 | Ja, mit jedem Dienstleister: Steuerberater für die Lohnabrechnung, IT-Betreuer, Cloud-Anbieter, Newsletter-Tool |
| Informationspflichten nach Art. 13 und 14 | Ja, auf der Website, in Formularen, bei Bewerbungen und im Arbeitsvertrag |
| Betroffenenrechte, Frist ein Monat | Ja. Auskunftsanfragen kommen erfahrungsbezogen am häufigsten von ausgeschiedenen Mitarbeitenden |
| Meldung von Datenpannen binnen 72 Stunden | Ja. Die Frist läuft ab Kenntnis, nicht ab dem Ende der Aufarbeitung |
| Technische und organisatorische Maßnahmen, Art. 32 | Ja, angemessen zum Risiko – dokumentiert, nicht nur gelebt |
Wer keinen Datenschutzbeauftragten benennen muss, kann trotzdem einen bestellen. Viele kleine Unternehmen tun das freiwillig, weil ein benannter Ansprechpartner Ausschreibungen erleichtert und die Verantwortung aus der Geschäftsführung in geordnete Bahnen lenkt.
Was das Mandat für kleine Unternehmen kostet
Wir arbeiten mit Festpreisen statt Stundensätzen. Der Grund ist einfach: Im Kleinbetrieb ist nicht der Monat ohne Vorfall das Problem, sondern der Tag mit Datenpanne. Wenn genau dann die Uhr mitläuft, ruft niemand an – und das ist der teuerste Ausgang.
| Unternehmensgröße | Monatlicher Festpreis |
|---|---|
| Bis 20 Beschäftigte | ab 190 € zzgl. USt. |
| Bis 50 Beschäftigte | individuelles Festpreisangebot |
| Erhöhtes Risikoprofil (Gesundheits-, Sozial-, Bewerberdaten) | Aufschlag je nach Prüftiefe, vorab beziffert |
Im Monatsbetrag enthalten sind Benennung und Meldung an die Aufsichtsbehörde, das Datenschutz-Audit mit priorisiertem Maßnahmenplan, Aufbau und Pflege des Verarbeitungsverzeichnisses, Prüfung der Auftragsverarbeitungsverträge, Bearbeitung von Betroffenenanfragen, Sofortsupport bei Datenpannen, die jährliche Mitarbeiterschulung und das digitale Managementsystem. Die vollständige Aufstellung samt Preistreibern steht auf der Seite Kosten eines externen Datenschutzbeauftragten.
Intern oder extern – im Kleinbetrieb ist die Rechnung eindeutig
Die interne Lösung wirkt auf den ersten Blick günstiger, weil sie kein Rechnungsdokument erzeugt. Im kleinen Unternehmen kippt sie aus drei Gründen fast immer:
| Kriterium | Interner DSB im Kleinbetrieb | Externer DSB |
|---|---|---|
| Qualifikation | Grundausbildung ab etwa 1.500 €, dazu jährliche Fortbildung und Fachliteratur | Enthalten, laufend aktuell |
| Arbeitszeit | Geht von der eigentlichen Aufgabe ab – bei acht Mitarbeitenden spürbar | Keine Bindung interner Kapazität |
| Interessenkonflikt | Geschäftsführung, IT-Leitung, Personalleitung und Inhaber dürfen die Rolle nicht übernehmen | Strukturell ausgeschlossen |
| Kündigungsschutz | Sonderkündigungsschutz nach § 6 Abs. 4 BDSG, der ein Jahr nach Abberufung fortwirkt | Entfällt, das Mandat ist ordentlich kündbar |
| Vertretung bei Ausfall | In der Regel keine | Team statt Einzelperson |
| Haftung | Beim Unternehmen | Beim Unternehmen, aber mit berufshaftpflichtversichertem Dienstleister an der Seite |
Der Interessenkonflikt ist der Punkt, an dem die meisten kleinen Unternehmen scheitern: In einem Betrieb mit zwölf Personen bleibt nach Abzug von Geschäftsführung, IT und Personal oft schlicht niemand übrig, der die Rolle rechtssicher ausfüllen dürfte.
In fünf Schritten zum Mandat
-
Erstgespräch, 30 Minuten
Wir klären Größe, Branche, eingesetzte Systeme und ob überhaupt Benennungspflicht besteht. Kostenlos und ohne Verpflichtung.
-
Schriftliches Festpreisangebot
Mit klarem Leistungsumfang. Keine Stundenkontingente, keine Nachberechnung für Datenpannen oder Behördenkontakt.
-
Benennung und Meldung
Wir übernehmen die formelle Bestellung und melden die Kontaktdaten beim BayLDA beziehungsweise der für Sie zuständigen Aufsichtsbehörde.
-
Bestandsaufnahme
Audit, Verarbeitungsverzeichnis, Sichtung der Dienstleisterverträge. Sie bekommen einen priorisierten Maßnahmenplan statt einer Mängelliste.
-
Laufende Betreuung
Fester Ansprechpartner, jährliche Schulung, schriftlicher Tätigkeitsbericht und ein Telefon, das im Ernstfall abgenommen wird.
Alles zum externen Datenschutzbeauftragten → · Lösungen nach Branche → · Datenschutzbeauftragter Nürnberg →
Häufige Fragen von kleinen Unternehmen
Ab wie vielen Mitarbeitern braucht man einen Datenschutzbeauftragten?
Nach § 38 Abs. 1 BDSG ab 20 Personen, die in der Regel ständig personenbezogene Daten automatisiert verarbeiten. Gezählt werden alle, die dafür mit einem Rechner arbeiten – auch Teilzeitkräfte, Aushilfen und der Inhaber. Unabhängig von dieser Zahl greift die Pflicht, wenn Ihre Kerntätigkeit in umfangreicher Überwachung besteht, Sie im großen Umfang Gesundheits- oder andere besondere Daten verarbeiten oder eine Datenschutz-Folgenabschätzung nötig ist.
Was kostet ein externer Datenschutzbeauftragter für kleine Unternehmen?
Bei CMD ab 190 € monatlich zzgl. USt. für Betriebe bis 20 Beschäftigte, als Festpreis mit vollem Leistungsumfang. Größere oder besonders datenintensive Unternehmen erhalten vorab ein schriftliches Festpreisangebot. Stundenmodelle vermeiden wir bewusst, weil sie genau dann teuer werden, wenn Sie Hilfe am dringendsten brauchen.
Wir sind nur zu fünft – brauchen wir dann überhaupt Datenschutz?
Ja. Ohne Benennungspflicht entfällt lediglich die Bestellung eines Datenschutzbeauftragten. Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, Informationspflichten, Betroffenenrechte, die 72-Stunden-Meldung bei Datenpannen und angemessene technische Maßnahmen gelten unverändert. Bußgelder richten sich nach dem Verstoß, nicht nach der Betriebsgröße.
Kann der Chef selbst Datenschutzbeauftragter sein?
Nein. Die Geschäftsführung entscheidet über Zwecke und Mittel der Verarbeitung und kann sich nicht selbst kontrollieren – es liegt ein Interessenkonflikt nach Art. 38 Abs. 6 DSGVO vor. Dasselbe gilt für IT-Leitung, Personalleitung und in aller Regel für die Leitung der Buchhaltung.
Gilt die 250-Mitarbeiter-Ausnahme beim Verarbeitungsverzeichnis für uns?
In der Praxis nahezu nie. Art. 30 Abs. 5 DSGVO nimmt Unternehmen unter 250 Beschäftigten nur aus, solange die Verarbeitung lediglich gelegentlich erfolgt, kein Risiko für Betroffene birgt und keine besonderen Datenkategorien betrifft. Wer Personal beschäftigt oder Kundendaten führt, verarbeitet regelmäßig – damit ist das Verzeichnis Pflicht.
Wie schnell ist ein kleines Unternehmen startklar?
Benennung und Behördenmeldung erledigen wir innerhalb weniger Tage nach Auftragserteilung. Das Audit und der erste Stand des Verarbeitungsverzeichnisses brauchen erfahrungsgemäß zwei bis sechs Wochen, abhängig davon, wie viele Systeme und Dienstleister im Einsatz sind.
In 30 Minuten wissen Sie, ob Sie benennungspflichtig sind.
Kostenloses Erstgespräch, danach ein schriftliches Festpreisangebot mit klarem Leistungsumfang. Ohne Verpflichtung und ohne Vertriebsschleife.