# Externer Datenschutzbeauftragter mit mehreren Mandanten: die DSGVO aller betreuen, ohne unterzugehen
URL: https://pulsaiq.com/de/ratgeber/externer-datenschutzbeauftragter-mehrere-mandanten/
Zuletzt geprüft: 2026-10-23
Sprache: de
Rechtsgrundlage: Art. 37 bis 39 DSGVO
Eine Routine für alle, die als externe Datenschutzbeauftragte arbeiten, also für mehrere Organisationen gleichzeitig: was das Gesetz verlangt, wo Ihre Rolle endet und wie Sie Mandanten, Fristen und Nachweise so organisieren, dass Sie am Freitag auf dem Laufenden sind.
## In zwei Minuten
- **Sie dürfen DSB mehrerer Organisationen sein.** Die DSGVO sieht ausdrücklich eine bzw. einen DSB auf Grundlage eines Dienstleistungsvertrags vor. Bedingung ist, dass Sie für jeden Mandanten genug Zeit und Mittel haben, und die Behörden haben begonnen, das zu prüfen.
- **Die bzw. der DSB berät und überwacht; der Mandant entscheidet.** Wenn Sie Zwecke und Mittel festlegen oder Datenschutz-Folgenabschätzungen (DSFA) allein durchführen, ist Ihre Unabhängigkeit in Gefahr.
- **Die Fristen gehören dem Mandanten, nicht Ihnen.** Die 72 Stunden einer Datenpanne laufen ab dem Zeitpunkt, an dem der Mandant davon erfährt, und der Monat für ein Auskunftsersuchen ab dem Tag des Eingangs, auch wenn es noch niemand gelesen hat. Deshalb beginnt die Triage immer dort.
- **Wachsen mit einer einzigen Methode.** Stufen Sie Mandanten nach Risiko ein, nutzen Sie für alle dieselbe Ordnerstruktur und dasselbe Verzeichnisformat, folgen Sie einem Jahreskalender und halten Sie jede Stellungnahme fest.
## Für wen dieser Ratgeber ist: externe DSB und Beratende
Gedacht für
Externe Datenschutzbeauftragte, Beraterinnen und Berater und kleine Teams, die fünf bis einige Dutzend Organisationen betreuen.
Teilweise auch nützlich
Wenn Sie interne DSB eines einzigen Unternehmens sind, helfen Ihnen die Teile zu Unabhängigkeit und Nachweisen; der Rest vielleicht nicht.
## Vierzehn Mandanten, vierzehn Arten, sich zu organisieren
Inês öffnet ihre E-Mails beim ersten Kaffee. Nichts davon ist außergewöhnlich. Das Problem ist, dass alle Mandanten dringend wirken und jeder sein eigenes System hat.
Inês’ Posteingang
3Nachrichten mit dem Betreff „Ist das eine Datenpanne?“, zwei von verschiedenen Mandanten
2Auskunftsersuchen, vom Empfang weitergeleitet, eines davon neun Tage alt
1Jahresbericht für den Vorstand einer landwirtschaftlichen Genossenschaft, fällig am Donnerstag
14geteilte Ordner, jeder so organisiert, wie es die Person wollte, die ihn angelegt hat
Inês muss nicht mehr Stunden arbeiten; sie braucht eine einzige Arbeitsweise für alle. Diese Routine beschreibt der Ratgeber.
Inês, die Oficina Rocha und die anderen Mandanten sind fiktiv. Inês arbeitet in Portugal; wir zeigen, was in Deutschland anders ist.
## Was das Gesetz einer bzw. einem DSB mit mehreren Mandanten erlaubt, und was es verlangt
Die DSGVO sagt es deutlich: Die bzw. der Datenschutzbeauftragte kann Beschäftigter der Organisation sein oder die Aufgaben „auf der Grundlage eines Dienstleistungsvertrags“ erfüllen. In Deutschland erklärt die Datenschutzkonferenz (DSK) in ihrem [Kurzpapier Nr. 12](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_12.pdf), dass DSB intern oder extern sein können und externe DSB ihre Aufgabe auf Grundlage eines Dienstleistungsvertrags wahrnehmen. Eine gesetzlich vorgeschriebene Zertifizierung gibt es nicht; freiwillige Zertifikate können helfen, die Fachkunde nachzuweisen. In Portugal, wo Inês arbeitet, fügt das Gesetz 58/2019 hinzu, dass die bzw. der DSB unabhängig vom Rechtsverhältnis fachlich autonom handelt und keine berufliche Zertifizierung braucht.
Art. 37 Abs. 6 DSGVO; [DSK, Kurzpapier Nr. 12](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_12.pdf); Gesetz 58/2019, Art. 9
**Wann muss ein Mandant in Deutschland überhaupt eine bzw. einen DSB benennen?** Zusätzlich zur DSGVO verlangt [§ 38 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__38.html) eine Benennung, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und unabhängig von dieser Zahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig zur Übermittlung oder für Markt- oder Meinungsforschung verarbeitet werden. Das Kurzpapier Nr. 12 stammt von 2018 und nennt noch die frühere Schwelle von zehn Personen; seit 2019 gilt 20.
Extern zu sein ändert nichts an den Pflichten derjenigen, die Sie beauftragen. Jeder Mandant muss immer:
- Sie ordnungsgemäß und frühzeitig in alle Fragen des Datenschutzes einbinden;
- Ihnen die erforderlichen Ressourcen bereitstellen, einschließlich des Zugangs zu personenbezogenen Daten und Verarbeitungsvorgängen;
- Ihnen keine Anweisungen zur Ausübung Ihrer Aufgaben erteilen und Ihnen erlauben, unmittelbar der höchsten Managementebene zu berichten;
- Ihre Kontaktdaten veröffentlichen und der Aufsichtsbehörde mitteilen. In Deutschland ist das in der Regel die Datenschutzbehörde des Bundeslandes, in dem der Mandant sitzt; die Behörden stellen dafür eigene Formulare bereit, und jede Organisation meldet für sich. In Portugal meldet man der CNPD (der portugiesischen Datenschutzbehörde) mit ihrem Formular.
Art. 37 Abs. 7 und Art. 38 Abs. 1 bis 3 DSGVO; [CNPD, Encarregado de proteção de dados](https://www.cnpd.pt/organizacoes/outras-obrigacoes/encarregado-de-protecao-de-dados/) (auf Portugiesisch)
Auf Ihrer Seite wiegen drei Regeln schwerer, wenn es viele Mandanten sind. Sie sind an Geheimhaltung oder Vertraulichkeit gebunden, auch nach Ende des Mandats. Sie dürfen andere Aufgaben übernehmen, solange sie nicht zu einem Interessenkonflikt führen. Und Sie tragen dem mit der Verarbeitung verbundenen Risiko gebührend Rechnung, was in der Praxis heißt: das Riskanteste zuerst, ohne den Rest zu vernachlässigen.
Art. 38 Abs. 5 und 6 und Art. 39 Abs. 2 DSGVO
Die DSGVO schützt Sie auch: Sie dürfen wegen der Erfüllung Ihrer Aufgaben nicht abberufen oder benachteiligt werden (Art. 38 Abs. 3). Und betroffene Personen können sich mit allen Fragen zur Verarbeitung ihrer Daten und zur Ausübung ihrer Rechte direkt an Sie wenden (Art. 38 Abs. 4). Das zählt für die Triage: Diese Nachrichten kommen oft mit einer Frist, die schon läuft. In Portugal überträgt das Gesetz 58/2019 der bzw. dem DSB außerdem Audits, Sensibilisierung zum Erkennen von Vorfällen und den Kontakt mit betroffenen Personen (Art. 11).
[Gesetz 58/2019, Art. 11](https://files.diariodarepublica.pt/1s/2019/08/15100/0000300040.pdf) (Diário da República, auf Portugiesisch)
Wenn Sie im Team arbeiten, lassen die europäischen Leitlinien zu DSB zu, dass eine Gruppe von Personen die Funktion ausübt, empfehlen aber eine einfache Regel: eine Person als Hauptansprechpartner und verantwortlich für jeden Mandanten. Für den Mandanten sollte es nie „das Team“ sein.
Leitlinien WP243 zu Datenschutzbeauftragten, Abschnitt 2.5 (vom Europäischen Datenschutzausschuss, EDSA, übernommen)
## Was die Behörden festgestellt haben
2023 haben 25 europäische Behörden eine koordinierte Aktion zur Benennung und Stellung der DSB durchgeführt. Der Bericht des EDSA, veröffentlicht im Januar 2024, beschreibt den Alltag derer, die diesen Ratgeber lesen.
Gesammelte Antworten (Organisationen und DSB)17.490Das vollständigste Bild des Berufs in Europa.
Antworten, in denen die bzw. der DSB DSFA vorbereitet und durchführt≈ 1 von 3Die Folgenabschätzung ist Sache des Verantwortlichen. Wenn Sie sie durchführen, können Sie sie nicht mehr unparteiisch überwachen.
Häufigste Zahl der Berichte an die Leitung1–2 pro JahrEin Jahresbericht ist das Minimum. In vier Ländern antworteten 30 % oder mehr, dass nicht einmal der vorgesehen war.
Jährliche Fortbildung der DSB≤ 24 hDie meisten bleiben darunter. Planen Sie Ihre Fortbildung so, wie Sie die Ihrer Mandanten planen.
Quelle: EDSA, Bericht zur koordinierten Aktion 2023 zur Benennung und Stellung der DSB (Medianwerte über die Behörden).
Zwei Schlussfolgerungen betreffen externe DSB direkt. Mehrere Behörden warnten, dass eine bzw. ein DSB mit vielen Mandanten Gefahr läuft, „sich zu verzetteln“. Und der EDSA empfiehlt, dass eine Organisation, die eine externe DSB beauftragt, prüft, wie viele Mandanten diese betreut, um sicherzugehen, dass genug Zeit und Kapazität vorhanden sind. Er empfiehlt auch, Aufgaben und Bedingungen in einem Beauftragungsschreiben festzuhalten.
Es gibt keine Höchstzahl an Mandanten, weder im Gesetz noch im Bericht. Erwartet wird, dass Sie nachweisen können, dass die Zeit reicht. Schritt 4 zeigt, wie.
[EDSA, Bericht zur koordinierten Aktion 2023 zur Benennung und Stellung der DSB](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf), Abschnitte 4.2 bis 4.6 (auf Englisch)
## Wo Ihre Rolle endet
Je mehr ein Mandant Ihnen vertraut, desto größer die Versuchung, an seiner Stelle zu entscheiden. Dort geht die Unabhängigkeit verloren, fast immer aus gutem Willen.
Die Szene · Dienstag, 15:20 Uhr
„Wir bauen Gesichtserkennung am Eingang ein. Machen Sie uns die Folgenabschätzung und unterschreiben Sie sie, wir vertrauen Ihnen.“Die Leiterin einer Zahnarztpraxis, am Telefon
Inês schlägt etwas anderes vor: Die Praxis führt die Abschätzung mit einer Vorlage durch, die sie bereitstellt, sie gibt schriftlich ihre Stellungnahme zur Methode und zu den Ergebnissen ab, und die endgültige Entscheidung wird als Entscheidung der Leitung festgehalten.
Fiktive Szene.
Die europäischen Leitlinien sind direkt: Der Verantwortliche, nicht die bzw. der DSB, führt die Folgenabschätzung durch, wenn sie nötig ist. Die bzw. der DSB berät, ob sie durchzuführen ist, nach welcher Methode und ob die Ergebnisse mit der DSGVO übereinstimmen.
Art. 35 Abs. 2 und Art. 39 Abs. 1 Buchst. c DSGVO; WP243, Abschnitt 4.2
Zu Interessenkonflikten hat der Gerichtshof der Europäischen Union (EuGH) in der Rechtssache X-FAB, einem Fall aus Sachsen, entschieden, dass ein Konflikt vorliegt, wenn die bzw. der DSB andere Aufgaben wahrnimmt, die dazu führen, Zwecke und Mittel der Verarbeitung festzulegen, und dass dies im Einzelfall zu prüfen ist. Die europäischen Leitlinien geben ein Beispiel, das Beratende betrifft: Ein Konflikt besteht, wenn die externe DSB den Mandanten in einem Datenschutz-Rechtsstreit vor Gericht vertreten soll.
[EuGH, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0453); WP243, Abschnitt 3.5
In der Praxis schützen Sie drei Gewohnheiten:
- Geben Sie Ihre Stellungnahmen schriftlich ab, auch kurze.
- Wenn der Mandant Ihrer Stellungnahme nicht folgt, bitten Sie ihn, den Grund festzuhalten. Die europäischen Leitlinien nennen das gute Praxis, und eine Folgenabschätzung muss begründen, warum der Rat nicht befolgt wurde.
- Lehnen Sie Aufgaben ab, die Sie auf die Seite der Entscheidenden stellen, etwa Kampagnen freigeben, Dienstleister auswählen oder im Namen des Mandanten unterschreiben.
WP243, Abschnitte 3.1 und 4.2; Art. 38 Abs. 6 DSGVO
## Mandanten nach Risiko einstufen, nicht nach Honorar
Der Mandant, der am meisten zahlt, ist nicht unbedingt der, der am meisten Aufmerksamkeit braucht. Die DSGVO verlangt von der bzw. dem DSB, das mit der Verarbeitung verbundene Risiko zu berücksichtigen, und das legt die Kontakthäufigkeit mit jedem fest. Ein einfaches Modell mit sechs Kriterien, bewertet von 0 bis 2:
0 Punkte1 Punkt2 Punkte
Zahl der betroffenen PersonenUnter 1.0001.000 bis 50.000Über 50.000
Besondere Kategorien oder Strafdaten (Art. 9 und 10)NeinGelegentlichKerntätigkeit
Arbeitsmodell von Pulsaiq, gestützt auf Art. 39 Abs. 2 DSGVO. Es ist kein gesetzliches Kriterium: Passen Sie es an Ihren Mandantenbestand an.
Stufe A8–12 Punkte
Monatliches Treffen, quartalsweise Prüfung des Verzeichnisses8 h pro Monat
Stufe B4–7 Punkte
Quartalsweises Treffen, halbjährliche Prüfung des Verzeichnisses4 h pro Monat
Stufe C0–3 Punkte
Halbjährliches Treffen, jährliche Prüfung des Verzeichnisses2 h pro Monat
Stunden pro Monat als Ausgangspunkt.
Inês’ Rechnung3 Mandanten A · 6 B · 5 C
A 24 h · B 24 h · C 10 hPuffer 12 h70 h verfügbar
Die Stunden dienen einer Rechnung, die Sie machen sollten, bevor Sie einen weiteren Mandanten annehmen. Inês hat 3 Mandanten der Stufe A, 6 der Stufe B und 5 der Stufe C: 24 + 24 + 10 = 58 Stunden pro Monat geplante Arbeit, vor Datenpannen, Anträgen und Unvorhergesehenem. Hat sie nur 70 Stunden im Monat für diese Arbeit, ist der Puffer knapp. Genau diese Prüfung empfiehlt der EDSA den Mandanten, und es ist besser, Sie machen sie zuerst.
Überprüfen Sie die Einstufung einmal im Jahr und immer dann, wenn ein Ereignis aus dem letzten Kriterium eintritt.
## Dasselbe Einstiegspaket für alle Mandanten
Zeit geht vor allem beim Kontextwechsel verloren: Jeder Mandant organisiert sich anders. Lösen Sie das vom ersten Tag an, mit vier Bausteinen.
Das empfiehlt der EDSA, und es ist auch Ihr Schutz. Es sollte mindestens festhalten:
die Aufgaben der bzw. des DSB (Art. 39 DSGVO) und was Sie nicht tun, etwa Entscheidungen treffen oder Folgenabschätzungen verfassen;
die vorgesehene Zeit pro Monat und was passiert, wenn sie überschritten wird;
wem Sie berichten, der höchsten Managementebene, und wie oft;
dass Sie keine Anweisungen zur Ausübung Ihrer Aufgaben erhalten;
den Zugang, den Sie zu Personen, Systemen und Dokumenten haben;
die Zusage des Mandanten, Sie noch am selben Tag über jeden Vorfall und jeden Antrag oder jede Beschwerde einer betroffenen Person zu informieren;
wer die Kontaktdaten der bzw. des DSB der Aufsichtsbehörde meldet, und wann.
2. Erstfragebogen
Eine einzige Fragenliste für alle. Die Antworten fließen in die Risikoeinstufung und in die erste Fassung des Verzeichnisses von Verarbeitungstätigkeiten.
TätigkeitenSystemeDienstleister, die personenbezogene Daten verarbeitenÜbermittlungenVideoüberwachungfrühere Vorfällevorhandene Dokumentation
3. Dieselbe Ordnerstruktur
Name_Mandant/
01_Benennung_und_VertragSchreiben, Meldung an die Behörde02_VVTein Format für alle03_DSFAAbschätzungen und Stellungnahmen04_DatenpannenRegister nach Art. 33 Abs. 505_BetroffenenanfragenProtokoll und Antworten06_AuftragsverarbeiterVerträge nach Art. 2807_SchulungenTeilnahmen und Material08_Berichte_LeitungJahresbericht09_Stellungnahmen_NachweiseNachweisregister
Den Ordner 04 eines beliebigen Mandanten zu öffnen und sofort zu wissen, wo das Register der Datenpannen liegt, spart jeden Tag Minuten. Im Jahr Tage.
4. Benannte Ansprechpersonen
Für jeden Mandanten eine Person für Vorfälle und eine für Anträge betroffener Personen, jeweils mit Vertretung. Und eine Kontaktadresse der bzw. des DSB, die nicht Ihre persönliche E-Mail ist, damit kein Antrag in einem Postfach verloren geht, das Sie nur freitags ansehen.
## Der Jahreskalender
Mit demselben Kalender für alle hängt die wiederkehrende Arbeit nicht mehr vom Gedächtnis ab. Jeder Mandant hat diese Aufgaben in denselben Monaten; die Risikostufe legt nur die Häufigkeit der Prüfungen und Treffen fest.
Alle MandantenNur die genannten Stufen
JanuarJahresbericht an die Leitung
Februar—
MärzPrüfung des Verzeichnisses
AprilSchulung und Sensibilisierung
MaiPrüfung der Auftragsverarbeiter (Art. 28)
JuniPrüfung des Verzeichnisses · nur A
JuliInternes Audit
AugustBewusst leer
SeptemberPrüfung des Verzeichnisses · A und BÜberprüfung der Risikoeinstufung
OktoberSchulung und Sensibilisierung
NovemberÜbung zu einer Datenpanne
DezemberPrüfung des Verzeichnisses · nur A
Vorschlag von Pulsaiq; das Gesetz legt diese Termine nicht fest.
Der August bleibt bewusst leer. Vorfälle machen keinen Urlaub, Ihre Mandanten schon, und Treffen in diesem Monat finden selten statt.
## Die Triage: wenn alles gleichzeitig kommt
Zurück zu Inês’ Montag. Die Reihenfolge hängt nicht davon ab, wer am lautesten ruft, sondern davon, welche Uhr läuft.
1
Mögliche Datenpannen
72 Stunden
Der Verantwortliche hat 72 Stunden ab Kenntnis, um die Aufsichtsbehörde zu benachrichtigen (in Deutschland in der Regel die Datenschutzbehörde des Bundeslandes, in Portugal die CNPD), es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Die Uhr gehört dem Mandanten und läuft schon. Ist der Mandant Auftragsverarbeiter, muss er den Verantwortlichen unverzüglich informieren. Und jede Datenpanne wird dokumentiert, auch die, die nicht gemeldet werden.
Ein Monat ab Eingang, um zwei weitere verlängerbar, wenn der Antrag komplex ist oder es viele Anträge gibt, sofern die Person innerhalb des ersten Monats informiert wird. Der neun Tage alte Antrag in Inês’ Posteingang hat schon fast ein Drittel der Frist verbraucht.
Auskunftsersuchen der Aufsichtsbehörde, Nacharbeiten nach einer Prüfung, von der Behörde weitergeleitete Beschwerden, Sitzungen der Leitung, Produkteinführungen.
4
Alles andere
Im Kalender
Kommt mit einem Datum in den Kalender, statt im Posteingang zu bleiben.
15Min.
Die ersten 15 Minuten jedes Tages
Gehen Sie die Kontaktpostfächer aller Mandanten durch und suchen Sie nur zwei Dinge: Vorfälle und Anträge betroffener Personen. Halten Sie sie sofort fest: Datum und Uhrzeit, zu denen der Mandant davon erfuhr, bei Datenpannen, und das Eingangsdatum bei Anträgen. Genau dieses Protokoll beweist später, dass die Fristen eingehalten wurden.
## Ein Nachweisregister, das die Arbeit belegt
Der Grundsatz der Rechenschaftspflicht verpflichtet den Mandanten, die DSGVO einzuhalten und das nachweisen zu können. Ein großer Teil dieses Nachweises beruht auf Ihrer Arbeit: Stellungnahmen, Schulungen, Prüfungen. Was nicht schriftlich festgehalten ist, ist bei einer Prüfung, als wäre es nie passiert.
Art. 5 Abs. 2 und Art. 24 DSGVO
Eine Zeile pro Einsatz genügt, in einem einzigen Register für alle Mandanten:
Clínica Sorriso · Gesichtserkennung am Eingang2026-10-13
StellungnahmeDSFA erforderlich; schlägt Alternative mit Ausweiskarte vor
Entscheidung des MandantenDSFA durchführen und im November entscheiden
Befolgt?Ja
Nächster SchrittDSFA bis 2026-11-10 durchsehen
Oficina Rocha · E-Mail mit Kundendaten versehentlich verschickt2026-10-16
StellungnahmeBinnen 72 h der CNPD melden (Risiko nicht auszuschließen); Kundschaft vorerst nicht kontaktieren; neu bewerten, falls Anzeichen von Missbrauch auftauchen
Entscheidung des MandantenGemeldet am 19.10. um 9:30 Uhr; Ergänzung nachgereicht
Befolgt?Ja
Nächster SchrittSchulung zum Versand von Anhängen
Coop. Vale Verde · Aufbewahrung von Bewerbungsunterlagen2026-10-16
StellungnahmeNach 12 Monaten löschen, außer bei Einwilligung
Entscheidung des Mandanten3 Jahre aufbewahren
Befolgt?Nein Grund von der Leitung festgehalten
Nächster SchrittIn den Jahresbericht aufnehmen
Fiktive Beispiele. In der Praxis ergänzen Sie eine Spalte mit dem Link zum Dokument im Ordner 09 des Mandanten.
Dieses Register leistet drei Dinge zugleich
Es zeigt, was Sie für jeden Mandanten getan haben.
Es schreibt Ihnen den halben Jahresbericht.
Es schützt Sie, wenn eines Tages jemand fragt, warum Ihrer Stellungnahme nicht gefolgt wurde.
## Tabellen oder Software?
Alles, was dieser Ratgeber beschreibt, funktioniert mit Tabellen und einer guten Ordnerstruktur. Für viele DSB mit wenigen Mandanten reicht das. Die Probleme kommen mit der Größe, und fast immer an denselben Stellen:
| Wo es hakt | Mit Tabellen | Was ein spezialisiertes Werkzeug lösen sollte |
|------------------------------|---------------------------------------------------------------|----------------------------------------------------------------------------|
| Versionen | „VVT_v4_final_geprüft.xlsx“ an drei Orten | Eine einzige Version, mit Änderungsverlauf |
| Fristen | Erinnerungen im persönlichen Kalender, von Hand angelegt | 72-Stunden- und Monatsfristen, beim Anlegen des Vorgangs berechnet |
| Überblick | 14 Dateien öffnen, um den Stand jedes Mandanten zu kennen | Ein Dashboard mit allen Mandanten und allem, was überfällig ist |
| Nachweise | Stellungnahmen aus E-Mails ins Register kopieren | Stellungnahmen, Entscheidungen und Dokumente miteinander verknüpft |
| Austausch mit dem Mandanten | Anhänge mit personenbezogenen Daten | Kontrollierter Zugang zu einem eigenen Bereich pro Mandant |
Was Sie auch wählen, die Methode kommt zuerst. Ein Werkzeug bringt keinen Bestand ohne Risikoeinstufung in Ordnung und keinen Mandanten, der seine Vorfälle nicht meldet.
Aktualisiert am 21. Oktober 2026
### Was sich ändern kann
Zwei laufende EU-Vorschläge ändern die DSGVO. Keiner berührt den Kern dieses Ratgebers: Aufgaben und Stellung der bzw. des DSB. Aber sie verändern die Arbeit, die Sie für Mandanten leisten.
- **Verzeichnis von Verarbeitungstätigkeiten (Omnibus IV).** Die Kommission hat vorgeschlagen, die Ausnahme vom Verzeichnis auf Organisationen mit weniger als 750 Beschäftigten auszuweiten. In der vorläufigen Einigung vom 26. Juni 2026 haben Rat und Parlament die Schwelle auf weniger als 1.000 Personen angehoben und das Verzeichnis für Verarbeitungen mit hohem Risiko, für Organisationen, die eine bzw. einen DSB benötigen, und für öffentliche Stellen beibehalten. Die Abstimmung im Plenum ist für den 23. November 2026 geplant. Manche Mandanten der Stufe C brauchen dann vielleicht kein Verzeichnis mehr, müssen ihre Daten aber trotzdem kennen, um Anträge zu beantworten und die Einhaltung nachzuweisen.
- **Datenpannen und Anträge (Digital Omnibus).** Der Vorschlag vom November 2025 würde nur noch Datenpannen mit hohem Risiko meldepflichtig machen, die Frist auf 96 Stunden verlängern, eine einheitliche EU-Meldestelle schaffen und klären, wann ein Auskunftsersuchen missbräuchlich ist. Er sieht auch gemeinsame EU-Listen der Verarbeitungen vor, die eine Folgenabschätzung erfordern oder nicht. Der EDSA und der Europäische Datenschutzbeauftragte (EDSB) unterstützen mehrere dieser Maßnahmen, mit Vorbehalten. Die Botschafter der Mitgliedstaaten berieten am 21. Oktober 2026 über das Verhandlungsmandat des Rates.
**Solange die neuen Regeln nicht im Amtsblatt veröffentlicht und anwendbar sind, gelten die aktuellen:** 72 Stunden, Meldung immer dann, wenn ein Risiko besteht, und das Verzeichnis mit der heutigen Ausnahme nach Art. 30 Abs. 5.
Was der Digital Omnibus für Datenpannen und Auskunftsersuchen ändert, erklären wir in unserem Beitrag zum Digital Omnibus.
[Verfahren 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29); [COM(2025) 837](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex:52025PC0837); [gemeinsame Stellungnahme 2/2026 von EDSA und EDSB](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf); [Tagesordnung des AStV, 21. Okt. 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf)
## Checkliste für externe DSB mit mehreren Mandanten
0 von 11 abgehakt
Benennung
Bestand und Kapazität
Gemeinsame Methode
Routine und Unabhängigkeit
## Häufige Fragen
### Wie viele Mandanten darf ein externer Datenschutzbeauftragter haben?
Das Gesetz legt keine Höchstzahl fest, der Bericht des EDSA auch nicht. Erwartet wird, dass Sie nachweisen können, für jeden Mandanten Zeit und Mittel zu haben, und der EDSA empfiehlt Organisationen, das vor der Beauftragung zu prüfen. Das Blatt Kapazität im Kit für externe DSB mit mehreren Mandanten rechnet das für Sie aus.
### Darf eine externe DSB die Folgenabschätzung des Mandanten durchführen?
Sie sollte es nicht. Die Folgenabschätzung ist Sache des Verantwortlichen (Art. 35 Abs. 2). Die bzw. der DSB berät, ob sie nötig ist, nach welcher Methode und ob die Ergebnisse mit der DSGVO übereinstimmen (Art. 39 Abs. 1 Buchst. c). Sie kann die Vorlage liefern, aber die Entscheidung wird als Entscheidung des Mandanten festgehalten.
### Muss eine DSB in Deutschland zertifiziert sein?
Nein, eine Zertifizierung ist gesetzlich nicht vorgeschrieben. Die DSGVO verlangt, dass die bzw. der DSB auf der Grundlage der beruflichen Qualifikation und insbesondere des Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis benannt wird (Art. 37 Abs. 5). Freiwillige Zertifikate können helfen, dieses Fachwissen nachzuweisen.
### Wer meldet die Kontaktdaten der bzw. des DSB der Aufsichtsbehörde?
Jeder Mandant für sich. Die Organisation, die die bzw. den DSB benennt, veröffentlicht die Kontaktdaten und teilt sie der Aufsichtsbehörde mit (Art. 37 Abs. 7). In Deutschland ist das meist die Datenschutzbehörde des Bundeslandes, mit ihrem eigenen Formular. Das Beauftragungsschreiben sollte festlegen, wer das erledigt und wann.
### Und wenn der Mandant der Stellungnahme der DSB nicht folgt?
Bitten Sie darum, den Grund festzuhalten. Die schriftliche Stellungnahme und die Entscheidung des Mandanten kommen ins Nachweisregister, und eine Folgenabschätzung muss begründen, warum dem Rat nicht gefolgt wurde. So bleibt die Entscheidung bei dem, der sie getroffen hat, und Ihre Arbeit ist dokumentiert.
## Quellen
### Gesetze und Rechtsprechung
- [Verordnung (EU) 2016/679 (DSGVO)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), Art. 5, 12, 24, 33, 35 und 37 bis 39 (EUR-Lex)
- [Bundesdatenschutzgesetz, § 38](https://www.gesetze-im-internet.de/bdsg_2018/__38.html) (gesetze-im-internet.de)
- [Portugiesisches Gesetz Nr. 58/2019 vom 8. August 2019](https://files.diariodarepublica.pt/1s/2019/08/15100/0000300040.pdf), Art. 9 bis 11 (Diário da República, auf Portugiesisch)
- [EuGH, Urteil vom 9. Februar 2023, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0453)
### EDSA und nationale Behörden
- [DSK, Kurzpapier Nr. 12: Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_12.pdf) (Stand 2018)
- [EDSA, koordinierte Aktion 2023: Benennung und Stellung der DSB](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf) (Januar 2024, auf Englisch)
- [CNPD (Portugal), Encarregado de proteção de dados](https://www.cnpd.pt/organizacoes/outras-obrigacoes/encarregado-de-protecao-de-dados/) (auf Portugiesisch)
### Laufende Änderungen
- [Europäisches Parlament, Verfahren 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) (Omnibus IV)
- [COM(2025) 837, Vorschlag Digital Omnibus](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex:52025PC0837)
- [Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB zum Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (auf Englisch)
- [Rat der EU, Tagesordnung des AStV vom 21. Oktober 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) (auf Englisch)
**Zuletzt geprüft:** 21. Oktober 2026. Wir überprüfen diesen Ratgeber, sobald sich das Gesetz oder die Leitlinien der Behörden ändern.
Dieser Ratgeber ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall. Die Personen, Unternehmen und Situationen in den Szenen sind fiktiv.