Externer Datenschutzbeauftragter mit mehreren Mandanten: die DSGVO aller betreuen, ohne unterzugehen

Für wen

Für wen dieser Ratgeber ist: externe DSB und Beratende

Die Szene · Montag, 9:05 Uhr

Vierzehn Mandanten, vierzehn Arten, sich zu organisieren

Kostenlose Vorlage: das Kit für DSB mit mehreren Mandanten macht aus diesem Ratgeber eine einsatzbereite Tabelle.

Schritt 1

Was das Gesetz einer bzw. einem DSB mit mehreren Mandanten erlaubt, und was es verlangt

Die DSGVO sagt es deutlich: Die bzw. der Datenschutzbeauftragte kann Beschäftigter der Organisation sein oder die Aufgaben „auf der Grundlage eines Dienstleistungsvertrags“ erfüllen. In Deutschland erklärt die Datenschutzkonferenz (DSK) in ihrem Kurzpapier Nr. 12, dass DSB intern oder extern sein können und externe DSB ihre Aufgabe auf Grundlage eines Dienstleistungsvertrags wahrnehmen. Eine gesetzlich vorgeschriebene Zertifizierung gibt es nicht; freiwillige Zertifikate können helfen, die Fachkunde nachzuweisen. In Portugal, wo Inês arbeitet, fügt das Gesetz 58/2019 hinzu, dass die bzw. der DSB unabhängig vom Rechtsverhältnis fachlich autonom handelt und keine berufliche Zertifizierung braucht.

Art. 37 Abs. 6 DSGVO; DSK, Kurzpapier Nr. 12; Gesetz 58/2019, Art. 9

Wann muss ein Mandant in Deutschland überhaupt eine bzw. einen DSB benennen? Zusätzlich zur DSGVO verlangt § 38 BDSG eine Benennung, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und unabhängig von dieser Zahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig zur Übermittlung oder für Markt- oder Meinungsforschung verarbeitet werden. Das Kurzpapier Nr. 12 stammt von 2018 und nennt noch die frühere Schwelle von zehn Personen; seit 2019 gilt 20.

Extern zu sein ändert nichts an den Pflichten derjenigen, die Sie beauftragen. Jeder Mandant muss immer:

• Sie ordnungsgemäß und frühzeitig in alle Fragen des Datenschutzes einbinden;
• Ihnen die erforderlichen Ressourcen bereitstellen, einschließlich des Zugangs zu personenbezogenen Daten und Verarbeitungsvorgängen;
• Ihnen keine Anweisungen zur Ausübung Ihrer Aufgaben erteilen und Ihnen erlauben, unmittelbar der höchsten Managementebene zu berichten;
• Ihre Kontaktdaten veröffentlichen und der Aufsichtsbehörde mitteilen. In Deutschland ist das in der Regel die Datenschutzbehörde des Bundeslandes, in dem der Mandant sitzt; die Behörden stellen dafür eigene Formulare bereit, und jede Organisation meldet für sich. In Portugal meldet man der CNPD (der portugiesischen Datenschutzbehörde) mit ihrem Formular.

Art. 37 Abs. 7 und Art. 38 Abs. 1 bis 3 DSGVO; CNPD, Encarregado de proteção de dados (auf Portugiesisch)

Auf Ihrer Seite wiegen drei Regeln schwerer, wenn es viele Mandanten sind. Sie sind an Geheimhaltung oder Vertraulichkeit gebunden, auch nach Ende des Mandats. Sie dürfen andere Aufgaben übernehmen, solange sie nicht zu einem Interessenkonflikt führen. Und Sie tragen dem mit der Verarbeitung verbundenen Risiko gebührend Rechnung, was in der Praxis heißt: das Riskanteste zuerst, ohne den Rest zu vernachlässigen.

Art. 38 Abs. 5 und 6 und Art. 39 Abs. 2 DSGVO

Die DSGVO schützt Sie auch: Sie dürfen wegen der Erfüllung Ihrer Aufgaben nicht abberufen oder benachteiligt werden (Art. 38 Abs. 3). Und betroffene Personen können sich mit allen Fragen zur Verarbeitung ihrer Daten und zur Ausübung ihrer Rechte direkt an Sie wenden (Art. 38 Abs. 4). Das zählt für die Triage: Diese Nachrichten kommen oft mit einer Frist, die schon läuft. In Portugal überträgt das Gesetz 58/2019 der bzw. dem DSB außerdem Audits, Sensibilisierung zum Erkennen von Vorfällen und den Kontakt mit betroffenen Personen (Art. 11).

Gesetz 58/2019, Art. 11 (Diário da República, auf Portugiesisch)

Wenn Sie im Team arbeiten, lassen die europäischen Leitlinien zu DSB zu, dass eine Gruppe von Personen die Funktion ausübt, empfehlen aber eine einfache Regel: eine Person als Hauptansprechpartner und verantwortlich für jeden Mandanten. Für den Mandanten sollte es nie „das Team“ sein.

Leitlinien WP243 zu Datenschutzbeauftragten, Abschnitt 2.5 (vom Europäischen Datenschutzausschuss, EDSA, übernommen)

Schritt 2

Was die Behörden festgestellt haben

2023 haben 25 europäische Behörden eine koordinierte Aktion zur Benennung und Stellung der DSB durchgeführt. Der Bericht des EDSA, veröffentlicht im Januar 2024, beschreibt den Alltag derer, die diesen Ratgeber lesen.

Quelle: EDSA, Bericht zur koordinierten Aktion 2023 zur Benennung und Stellung der DSB (Medianwerte über die Behörden).

Zwei Schlussfolgerungen betreffen externe DSB direkt. Mehrere Behörden warnten, dass eine bzw. ein DSB mit vielen Mandanten Gefahr läuft, „sich zu verzetteln“. Und der EDSA empfiehlt, dass eine Organisation, die eine externe DSB beauftragt, prüft, wie viele Mandanten diese betreut, um sicherzugehen, dass genug Zeit und Kapazität vorhanden sind. Er empfiehlt auch, Aufgaben und Bedingungen in einem Beauftragungsschreiben festzuhalten.

EDSA, Bericht zur koordinierten Aktion 2023 zur Benennung und Stellung der DSB, Abschnitte 4.2 bis 4.6 (auf Englisch)

Schritt 3

Wo Ihre Rolle endet

Je mehr ein Mandant Ihnen vertraut, desto größer die Versuchung, an seiner Stelle zu entscheiden. Dort geht die Unabhängigkeit verloren, fast immer aus gutem Willen.

Die europäischen Leitlinien sind direkt: Der Verantwortliche, nicht die bzw. der DSB, führt die Folgenabschätzung durch, wenn sie nötig ist. Die bzw. der DSB berät, ob sie durchzuführen ist, nach welcher Methode und ob die Ergebnisse mit der DSGVO übereinstimmen.

Art. 35 Abs. 2 und Art. 39 Abs. 1 Buchst. c DSGVO; WP243, Abschnitt 4.2

Zu Interessenkonflikten hat der Gerichtshof der Europäischen Union (EuGH) in der Rechtssache X-FAB, einem Fall aus Sachsen, entschieden, dass ein Konflikt vorliegt, wenn die bzw. der DSB andere Aufgaben wahrnimmt, die dazu führen, Zwecke und Mittel der Verarbeitung festzulegen, und dass dies im Einzelfall zu prüfen ist. Die europäischen Leitlinien geben ein Beispiel, das Beratende betrifft: Ein Konflikt besteht, wenn die externe DSB den Mandanten in einem Datenschutz-Rechtsstreit vor Gericht vertreten soll.

EuGH, C-453/21, X-FAB Dresden; WP243, Abschnitt 3.5

In der Praxis schützen Sie drei Gewohnheiten:

• Geben Sie Ihre Stellungnahmen schriftlich ab, auch kurze.
• Wenn der Mandant Ihrer Stellungnahme nicht folgt, bitten Sie ihn, den Grund festzuhalten. Die europäischen Leitlinien nennen das gute Praxis, und eine Folgenabschätzung muss begründen, warum der Rat nicht befolgt wurde.
• Lehnen Sie Aufgaben ab, die Sie auf die Seite der Entscheidenden stellen, etwa Kampagnen freigeben, Dienstleister auswählen oder im Namen des Mandanten unterschreiben.

WP243, Abschnitte 3.1 und 4.2; Art. 38 Abs. 6 DSGVO

Schritt 4

Mandanten nach Risiko einstufen, nicht nach Honorar

Der Mandant, der am meisten zahlt, ist nicht unbedingt der, der am meisten Aufmerksamkeit braucht. Die DSGVO verlangt von der bzw. dem DSB, das mit der Verarbeitung verbundene Risiko zu berücksichtigen, und das legt die Kontakthäufigkeit mit jedem fest. Ein einfaches Modell mit sechs Kriterien, bewertet von 0 bis 2:

Arbeitsmodell von Pulsaiq, gestützt auf Art. 39 Abs. 2 DSGVO. Es ist kein gesetzliches Kriterium: Passen Sie es an Ihren Mandantenbestand an.

Stunden pro Monat als Ausgangspunkt.

Überprüfen Sie die Einstufung einmal im Jahr und immer dann, wenn ein Ereignis aus dem letzten Kriterium eintritt.

Schritt 5

Dasselbe Einstiegspaket für alle Mandanten

Zeit geht vor allem beim Kontextwechsel verloren: Jeder Mandant organisiert sich anders. Lösen Sie das vom ersten Tag an, mit vier Bausteinen.

Schritt 6

Der Jahreskalender

Mit demselben Kalender für alle hängt die wiederkehrende Arbeit nicht mehr vom Gedächtnis ab. Jeder Mandant hat diese Aufgaben in denselben Monaten; die Risikostufe legt nur die Häufigkeit der Prüfungen und Treffen fest.

1. JanuarJahresbericht an die Leitung
2. Februar—
3. MärzPrüfung des Verzeichnisses
4. AprilSchulung und Sensibilisierung
5. MaiPrüfung der Auftragsverarbeiter (Art. 28)
6. JuniPrüfung des Verzeichnisses · nur A
7. JuliInternes Audit
8. AugustBewusst leer
9. SeptemberPrüfung des Verzeichnisses · A und BÜberprüfung der Risikoeinstufung
10. OktoberSchulung und Sensibilisierung
11. NovemberÜbung zu einer Datenpanne
12. DezemberPrüfung des Verzeichnisses · nur A

Vorschlag von Pulsaiq; das Gesetz legt diese Termine nicht fest.

Der August bleibt bewusst leer. Vorfälle machen keinen Urlaub, Ihre Mandanten schon, und Treffen in diesem Monat finden selten statt.

Schritt 7

Die Triage: wenn alles gleichzeitig kommt

Zurück zu Inês’ Montag. Die Reihenfolge hängt nicht davon ab, wer am lautesten ruft, sondern davon, welche Uhr läuft.

1. 1

   Mögliche Datenpannen

   72 Stunden

   Der Verantwortliche hat 72 Stunden ab Kenntnis, um die Aufsichtsbehörde zu benachrichtigen (in Deutschland in der Regel die Datenschutzbehörde des Bundeslandes, in Portugal die CNPD), es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Die Uhr gehört dem Mandanten und läuft schon. Ist der Mandant Auftragsverarbeiter, muss er den Verantwortlichen unverzüglich informieren. Und jede Datenpanne wird dokumentiert, auch die, die nicht gemeldet werden.

   Art. 33 Abs. 1, 2 und 5 DSGVO · siehe den Ratgeber Datenpanne: was in den ersten 72 Stunden zu tun ist
2. 2

   Anträge betroffener Personen

   1 Monat

   Ein Monat ab Eingang, um zwei weitere verlängerbar, wenn der Antrag komplex ist oder es viele Anträge gibt, sofern die Person innerhalb des ersten Monats informiert wird. Der neun Tage alte Antrag in Inês’ Posteingang hat schon fast ein Drittel der Frist verbraucht.

   Art. 12 Abs. 3 DSGVO · siehe den Ratgeber Auskunftsersuchen und Löschung
3. 3

   Fristen des Mandanten oder der Behörde

   Festes Datum

   Auskunftsersuchen der Aufsichtsbehörde, Nacharbeiten nach einer Prüfung, von der Behörde weitergeleitete Beschwerden, Sitzungen der Leitung, Produkteinführungen.

4. 4

   Alles andere

   Im Kalender

   Kommt mit einem Datum in den Kalender, statt im Posteingang zu bleiben.

Schritt 8

Ein Nachweisregister, das die Arbeit belegt

Der Grundsatz der Rechenschaftspflicht verpflichtet den Mandanten, die DSGVO einzuhalten und das nachweisen zu können. Ein großer Teil dieses Nachweises beruht auf Ihrer Arbeit: Stellungnahmen, Schulungen, Prüfungen. Was nicht schriftlich festgehalten ist, ist bei einer Prüfung, als wäre es nie passiert.

Art. 5 Abs. 2 und Art. 24 DSGVO

Eine Zeile pro Einsatz genügt, in einem einzigen Register für alle Mandanten:

Fiktive Beispiele. In der Praxis ergänzen Sie eine Spalte mit dem Link zum Dokument im Ordner 09 des Mandanten.

Schritt 9

Tabellen oder Software?

Alles, was dieser Ratgeber beschreibt, funktioniert mit Tabellen und einer guten Ordnerstruktur. Für viele DSB mit wenigen Mandanten reicht das. Die Probleme kommen mit der Größe, und fast immer an denselben Stellen:

Was Sie auch wählen, die Methode kommt zuerst. Ein Werkzeug bringt keinen Bestand ohne Risikoeinstufung in Ordnung und keinen Mandanten, der seine Vorfälle nicht meldet.

Aktualisiert am 21. Oktober 2026

Was sich ändern kann

Zwei laufende EU-Vorschläge ändern die DSGVO. Keiner berührt den Kern dieses Ratgebers: Aufgaben und Stellung der bzw. des DSB. Aber sie verändern die Arbeit, die Sie für Mandanten leisten.

• Verzeichnis von Verarbeitungstätigkeiten (Omnibus IV). Die Kommission hat vorgeschlagen, die Ausnahme vom Verzeichnis auf Organisationen mit weniger als 750 Beschäftigten auszuweiten. In der vorläufigen Einigung vom 26. Juni 2026 haben Rat und Parlament die Schwelle auf weniger als 1.000 Personen angehoben und das Verzeichnis für Verarbeitungen mit hohem Risiko, für Organisationen, die eine bzw. einen DSB benötigen, und für öffentliche Stellen beibehalten. Die Abstimmung im Plenum ist für den 23. November 2026 geplant. Manche Mandanten der Stufe C brauchen dann vielleicht kein Verzeichnis mehr, müssen ihre Daten aber trotzdem kennen, um Anträge zu beantworten und die Einhaltung nachzuweisen.
• Datenpannen und Anträge (Digital Omnibus). Der Vorschlag vom November 2025 würde nur noch Datenpannen mit hohem Risiko meldepflichtig machen, die Frist auf 96 Stunden verlängern, eine einheitliche EU-Meldestelle schaffen und klären, wann ein Auskunftsersuchen missbräuchlich ist. Er sieht auch gemeinsame EU-Listen der Verarbeitungen vor, die eine Folgenabschätzung erfordern oder nicht. Der EDSA und der Europäische Datenschutzbeauftragte (EDSB) unterstützen mehrere dieser Maßnahmen, mit Vorbehalten. Die Botschafter der Mitgliedstaaten berieten am 21. Oktober 2026 über das Verhandlungsmandat des Rates.

Solange die neuen Regeln nicht im Amtsblatt veröffentlicht und anwendbar sind, gelten die aktuellen: 72 Stunden, Meldung immer dann, wenn ein Risiko besteht, und das Verzeichnis mit der heutigen Ausnahme nach Art. 30 Abs. 5.

Was der Digital Omnibus für Datenpannen und Auskunftsersuchen ändert, erklären wir in unserem Beitrag zum Digital Omnibus.

Verfahren 2025/0130(COD); COM(2025) 837; gemeinsame Stellungnahme 2/2026 von EDSA und EDSB; Tagesordnung des AStV, 21. Okt. 2026

Zum Ausdrucken

Checkliste für externe DSB mit mehreren Mandanten

Häufige Fragen

Häufige Fragen

Wie viele Mandanten darf ein externer Datenschutzbeauftragter haben?

Das Gesetz legt keine Höchstzahl fest, der Bericht des EDSA auch nicht. Erwartet wird, dass Sie nachweisen können, für jeden Mandanten Zeit und Mittel zu haben, und der EDSA empfiehlt Organisationen, das vor der Beauftragung zu prüfen. Das Blatt Kapazität im Kit für externe DSB mit mehreren Mandanten rechnet das für Sie aus.

Darf eine externe DSB die Folgenabschätzung des Mandanten durchführen?

Sie sollte es nicht. Die Folgenabschätzung ist Sache des Verantwortlichen (Art. 35 Abs. 2). Die bzw. der DSB berät, ob sie nötig ist, nach welcher Methode und ob die Ergebnisse mit der DSGVO übereinstimmen (Art. 39 Abs. 1 Buchst. c). Sie kann die Vorlage liefern, aber die Entscheidung wird als Entscheidung des Mandanten festgehalten.

Muss eine DSB in Deutschland zertifiziert sein?

Nein, eine Zertifizierung ist gesetzlich nicht vorgeschrieben. Die DSGVO verlangt, dass die bzw. der DSB auf der Grundlage der beruflichen Qualifikation und insbesondere des Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis benannt wird (Art. 37 Abs. 5). Freiwillige Zertifikate können helfen, dieses Fachwissen nachzuweisen.

Wer meldet die Kontaktdaten der bzw. des DSB der Aufsichtsbehörde?

Jeder Mandant für sich. Die Organisation, die die bzw. den DSB benennt, veröffentlicht die Kontaktdaten und teilt sie der Aufsichtsbehörde mit (Art. 37 Abs. 7). In Deutschland ist das meist die Datenschutzbehörde des Bundeslandes, mit ihrem eigenen Formular. Das Beauftragungsschreiben sollte festlegen, wer das erledigt und wann.

Und wenn der Mandant der Stellungnahme der DSB nicht folgt?

Bitten Sie darum, den Grund festzuhalten. Die schriftliche Stellungnahme und die Entscheidung des Mandanten kommen ins Nachweisregister, und eine Folgenabschätzung muss begründen, warum dem Rat nicht gefolgt wurde. So bleibt die Entscheidung bei dem, der sie getroffen hat, und Ihre Arbeit ist dokumentiert.

Nur amtliche Quellen

Quellen

Gesetze und Rechtsprechung

• Verordnung (EU) 2016/679 (DSGVO), Art. 5, 12, 24, 33, 35 und 37 bis 39 (EUR-Lex)
• Bundesdatenschutzgesetz, § 38 (gesetze-im-internet.de)
• Portugiesisches Gesetz Nr. 58/2019 vom 8. August 2019, Art. 9 bis 11 (Diário da República, auf Portugiesisch)
• EuGH, Urteil vom 9. Februar 2023, C-453/21, X-FAB Dresden

EDSA und nationale Behörden

• DSK, Kurzpapier Nr. 12: Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern (Stand 2018)
• EDSA, koordinierte Aktion 2023: Benennung und Stellung der DSB (Januar 2024, auf Englisch)
• CNPD (Portugal), Encarregado de proteção de dados (auf Portugiesisch)

Laufende Änderungen

• Europäisches Parlament, Verfahren 2025/0130(COD) (Omnibus IV)
• COM(2025) 837, Vorschlag Digital Omnibus
• Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB zum Digital Omnibus (auf Englisch)
• Rat der EU, Tagesordnung des AStV vom 21. Oktober 2026 (auf Englisch)

Zuletzt geprüft: 21. Oktober 2026. Wir überprüfen diesen Ratgeber, sobald sich das Gesetz oder die Leitlinien der Behörden ändern.

Dieser Ratgeber ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall. Die Personen, Unternehmen und Situationen in den Szenen sind fiktiv.