Der Markt für externe Datenschutzbeauftragte (eDSB) – Kosten, Modelle und Perspektiven
Spätestens seit Geltung der DSGVO in 2018 hat sich ein eigenständiger Markt für externe Datenschutzbeauftragte (eDSB) entwickelt. Gerade für kleine und mittlere Unternehmen (KMU) stellt sich häufig die Frage bei Verpflichtung einen DSB zu haben, ob sie sich für einen externen DSB entscheiden sollen und mit welchen Kosten, Modellen und Akteuren dann zu rechnen ist.
Der Beitrag beleuchtet:
- typische Vergütungsmodelle und Jahreskosten
- das Verhältnis von internen zu externen DSB
- die Rolle von Rechtsanwälten als eDSB und typische Ausbildungshintergründe
- Entwicklung und Zukunft des Marktes
- Typische Kosten für einen externen Datenschutzbeauftragten
Es fehlt an konkreten, statistisch belastbaren Durchschnittswerten. Daher muss auf Marktbeobachtungen, Preisübersichten von Anbietern und Schätzungen aus Verbands- und Beratungskreisen zurückgegriffen werden, um daraus Bandbreiten abzuleiten.
Preisniveaus nach Unternehmensgröße
In Deutschland bewegten sich die Jahreskosten in 2023/2024 für einen eDSB typischerweise noch in einer Bandbreite von ca. 5.000–20.000 EUR netto, abhängig von Größe, Branche und Risikoprofil (grobe Marktwerte). Sie lagen bei größeren Unternehmen und Unternehmensgruppen deutlich darüber. Dennoch waren die Kosten auch dann noch wesentlich geringer als Lohn- und Lohnnebenkosten für einen internen DSB im Angestelltenverhältnis. Angesichts des im Datenschutz gestiegenen Beratungsbedarfs wegen Compliance- und KI-Fragestellungen ist zudem allgemein ein deutlicher Anstieg der Jahresausgaben für DSB zu beobachten.
Vergütungsmodelle im eDSB-Markt
Die Vergütung folgt im Wesentlichen drei Grundmodellen, die oft kombiniert werden.
Das gängigste Modell ist eine feste monatliche oder jährliche Pauschale für die formale Benennung als DSB. Es kann auch Leistungen wie ein jährlicher Tätigkeitsbericht oder die Teilnahme an 1–2 Regelterminen pro Jahr (z.B. Jour fixe, Schulung) enthalten. Manche Angebote, die zumeist hochpreisiger sind, enthalten auch eine Standard-Beratung per E-Mail/Telefon bis zu einer definierten Grenze oder sogar eine Grundinventarisierung (Verzeichnis von Verarbeitungstätigkeiten etc.).
In den meisten Fällen werden neben der Pauschale optionale, dann zusätzlich zu vergütende Zusatzleistungen angeboten.
Dieses Modell hat für das Unternehmen den Vorteil der Kalkulierbarkeit eines gewissen Kostenrahmens.
Ein Hybridmodell liegt gänzlich vor, wenn neben der Grundpauschale bereits zusätzlich Mehrleistungen vereinbart werden (z.B. umfangreiche Projekte wie die Einführung neuer Software, Mitarbeit bei Audits etc.).
In der Praxis wird bei vielen Mandate früher oder später dieses Modell gelebt, weil es immer wieder Veranlassung zu umfangreichen Datenschutzberatungen gibt.
Bei größeren Unternehmen mit wechselndem Bedarf wird häufiger eine reine Stunden- oder Projektvergütung vereinbart, ohne oder nur mit einer niedrigen Grundpauschale.
- Anteil externer DSB an der Gesamtzahl der Datenschutzbeauftragten
Belastbare, aktuelle Statistikdaten sind begrenzt – es gibt punktuelle Erhebungen von Aufsichtsbehörden, Verbänden und Studien. Tendenzen sind aber erkennbar.
In KMU und in Branchen mit hohem Beratungsbedarf (u.a. IT-Dienstleister und SaaS-Anbieter, Gesundheitswesen, Arztpraxen, Handwerk und kleinere Produktionsbetriebe, Marketing- und Werbeagenturen) ist der externe DSB stark vertreten.
Insgesamt dürfte der Marktanteil externer DSB im Bereich von etwa 30–50 % liegen, ohne dass es dafür eine harte offizielle Zahl gibt. Der Anteil externer DSB steigt mit abnehmender Unternehmensgröße. Bei größeren Unternehmen werden eher interne DSB in Vollzeit oder zumindest Teilzeit eingestellt.
- Anwälte als externe Datenschutzbeauftragte
Bei kleinen, günstigen Anbietern (z.B. „eDSB ab 99 EUR/Monat“) sind häufig keine Volljuristen tätig, sondern im besten Fall Wirtschaftsjuristen, IT-Sicherheits-Spezialisten oder Datenschutz-Manager mit Zertifikaten (z.B. TÜV, IHK), die zuvor beruflich etwas anderes gemacht haben.
Realistisch ist, dass ein relevanter, aber nicht überwiegender Teil der eDSB Anwälte sind, oft mit Spezialisierung im IT- und Datenschutzrecht. In Bezug auf die Umsätze im Markt ist der Anwaltsanteil eher höher als in Bezug auf die reine Kopfzahl, weil Kanzleien häufig höherpreisige Mandate abbilden. Daneben haben sich etliche, teils auch größere Beratungsgesellschaften mit gemischten beruflichen Hintergründen herausgebildet, die von vielen Unternehmen als eDSB benannt werden und sie beraten.
Bei den eDSB gibt es unterschiedliche Ausbildungshintergründe. Ein wesentlicher Teil der professionellen eDSB hat einen juristischen Hintergrund mit Schwerpunkt IT-/Datenschutzrecht, ebenso ergänzen aber auch viele technische und betriebswirtschaftliche Profile den Markt.
In der Praxis sind Mischprofile besonders gefragt: ein Grundverständnis von Recht und Technik, ergänzt um Beratungskompetenz und Verständnis für wirtschaftliche Zusammenhänge und praktikable Lösungen.
- Entwicklung und Zukunft des Marktes für externe DSB
In den Anfangsjahren während der Einführung der DSGVO gab es eine starke Nachfrage mit zahlreichen neuen Anbietern.
In der Folgezeit konsolidierte sich der Markt wobei eine Professionalisierung der Angebote zu beobachten war (z.B. strukturierte Pakete, Tools, Online-Schulungsprogramme).
In den letzten Jahren ist der Datenschutz ein Bestandteil von Governance geworden, bei zunehmender Verzahnung mit Informationssicherheit (ISMS), Compliance/Whistleblowing als auch IT- und zuletzt KI-Governance.
Der Datenschutz wird infolge neuer Regelwerke wie der EU-Digitalstrategie mit DSA, DMA, Data Act, NIS-2, KI-Verordnung (AI Act) etc. immer komplexer.
Bei der Einordnung der zahlreichen Wechselwirkungen zwischen den neuen Regelungen und dem Datenschutzrecht benötigen Unternehmen eine professionelle, umfassendere Begleitung, die vor allem spezialisierte Kanzleien bieten können.
Außerdem lässt sich eine Bündelung von IT-Sicherheit und Compliance in Unternehmen beobachten – viele Unternehmen führen den Datenschutz, die Informationssicherheit (CISO/ISB) und Compliance-Funktionen zusammen.
Zunehmend lassen sich die Unternehmen von bestimmten Tools unterstützen wie Datenschutzmanagement-Software, E-Learning-Plattformen, Ticket-Systeme.
Schließlich ist ein Qualitätsdruck zu beobachten, denn Aufsichtsbehörden erwarten nachweisbare Fachkunde und praktische Wirksamkeit.
- Ausblick
Es wird einen stabilen bis wachsenden Bedarf an eDSB geben, denn die Anzahl der Unternehmen, bei denen Datenschutz ernsthaft geprüft wird (z.B. durch Kunden, Aufsichtsbehörden, Auditoren), steigt.
Gerade KMU werden sich weiterhin häufig für externe Lösungen entscheiden.
Dabei ist auf dem Markt der eDSB eine Professionalisierung und Spezialisierung festzustellen, von spezialisierten Beratungsgesellschaften und Kanzleien sowie branchenspezifische Angebote für Gesundheit, Finanzen, AdTech, Industrie, öffentliche Hand, usw.
Zudem stehen Haftung und Governance immer mehr im Fokus. Unternehmen werden kritischer bei der Auswahl ihres eDSB hinsichtlich dessen Qualifikation, Versicherungsschutz, Haftungsregelungen, dokumentierte Prozesse, Nachweisführung (Accountability). Hier haben Anwälte einen Vorteil, weil Haftungsregime, Berufsrecht und Verschwiegenheitspflichten attraktiv sind.
Datenschutz wird immer mehr ein zentraler Baustein in einer breiteren digitalen Compliance und Transformation, die aus Datenschutzrecht, IT-Sicherheit, Plattform- und Wettbewerbsregulierung und KI-Regulierung besteht. eDSB, die diese Themen mit abdecken können, gewinnen an Bedeutung.
- Fazit
Der Markt für externe Datenschutzbeauftragte ist inzwischen ein eigener, durchaus reifer Dienstleistungsmarkt:
- Kosten:
Für ein typisches KMU liegen die Jahreskosten für einen externen DSB meist in einer Bandbreite von ca. 5.000–20.000 EUR netto, abhängig von Größe, Branche und Risikoprofil, bei größeren Unternehmen und Unternehmensgruppen auch deutlich darüber. - Vergütungsmodelle:
Dominierend sind Pauschalen mit optionalen Zusatzleistungen, flankiert von Stunden-/Projektabrechnung – insbesondere bei komplexen Mandaten. - Externe vs. interne DSB:
In KMU ist der externe DSB stark vertreten; insgesamt dürfte der Marktanteil externer DSB im Bereich von etwa 30–50 % liegen, ohne dass es dafür eine harte offizielle Zahl gibt. - Akteure und Ausbildungshintergründe:
Ein großer Teil der professionellen eDSB sind entweder technisch oder juristisch geprägt, häufig in Beratungsgesellschaften zusammengeschlossen, es finden sich aber auch kleinere Einheiten wie Anwaltskanzleien. Weitere, darunter betriebswirtschaftliche Profile ergänzen den Markt. Mischkompetenzen werden zunehmend wichtiger. - Entwicklung:
Der Bedarf an qualifizierten eDSB wird eher steigen als sinken – insbesondere angesichts neuer Digitalregulierung, wachsender Compliance-Anforderungen, etablierter Standards und steigender Erwartungen von Kunden und Aufsichtsbehörden.