Top-bewertet bei Google
Externer Datenschutzbeauftragter
Pflichten, Prozesse und Nachweise aus einer Hand
Ist Datenschutz in Ihrem Unternehmen nicht mehr nebenbei steuerbar? Dann braucht es eine unabhängige Funktion, die Pflichten, Prozesse, Nachweise und Kommunikation zusammenführt. Wir übernehmen oder begleiten die externe DSB-Funktion.
Bitte geben Sie zuerst eine kurze Beschreibung ein.
Der Erstkontakt ist kostenfrei. Bevor Kosten entstehen, machen wir Sie ausdrücklich darauf aufmerksam.
Rückmeldung an Werktagen innerhalb von 24 Stunden
Stand: 23.10.2026
Übernahmephase2 von 5
- Benennungspflicht geprüftLiegt vor
- Kontaktdaten und MitteilungLiegt vor
- Systeme und DatenflüssePrüfen
- DienstleisterkettePrüfen
- Offene VorfälleSpezialmandat möglichFehlt
Prüfstelle: Passen Unterlagen zur tatsächlichen Verarbeitung?
- 1Bedarf einordnenPflicht und Ausgangslage
- 2Funktion übernehmenBenennung und Prioritäten
- 3Laufend steuernAudits, Schulung, Anfragen
Schematische Darstellung einer Übernahme. Beispiel vereinfacht.
Wir arbeiten für
- Start-ups
- SaaS-Anbieter
- Plattformen
- E-Commerce
- Mittelstand
Das Wichtigste in Kürze
- Ein externer Datenschutzbeauftragter begleitet die Datenschutzfunktion fortlaufend, priorisiert Risiken und bleibt Ansprechpartner für Unternehmen, Betroffene und Aufsicht.
- Ob eine Benennungspflicht besteht, richtet sich nach Art. 37 DSGVO und § 38 BDSG.
- Die datenschutzrechtliche Verantwortung bleibt beim Unternehmen.
- Der DSB berät, überwacht und ist Anlaufstelle.
- ITMR verbindet die DSB-Funktion mit IT-Recht, Datenrecht, SaaS, Plattformen, KI und Compliance.
- Ansprechpartner ist Jean Paul Bohne und sein Team. Er ist Fachanwalt für IT-Recht sowie für Urheber- und Medienrecht. Rückmeldung an Werktagen innerhalb von 24 Stunden.
- SaaS
- Software as a Service. Software, die über das Internet genutzt und nicht installiert wird.
- DSGVO
- Datenschutz-Grundverordnung der EU. Sie regelt, wie Unternehmen personenbezogene Daten verarbeiten dürfen.
- DSFA
- Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Sie bewertet Risiken einer Verarbeitung vor dem Start.
- VVT
- Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es listet auf, welche Daten wofür verarbeitet werden.
Ausgangslage
Wann fragen Unternehmen einen externen DSB an?
Der Bedarf zeigt sich an der Entwicklung des Unternehmens.
Wachstum, Tool-Landschaft, Kundenanforderungen oder interne Zuständigkeiten zeigen, dass Datenschutz eine unabhängige Funktion braucht.
Die Funktion muss dauerhaft erreichbar sein, Risiken priorisieren und Entscheidungen dokumentierbar machen. Ob ein externer Datenschutzbeauftragter nötig oder sinnvoll ist, ordnen wir vorab für Sie ein.
Ein externer DSB ist mehr als ein Name im Impressum oder eine E-Mail-Adresse für Betroffene. Er soll sicherstellen, dass Datenschutzfragen früh erkannt, fachlich eingeordnet und risikoorientiert begleitet werden.
Neben der formalen Benennung zählt, ob die Funktion intern erreicht wird, Zugriff auf relevante Informationen bekommt und unabhängig arbeiten kann.
Für die allgemeine Einordnung von DSGVO-Compliance, Behördenverfahren, Datenschutzverletzungen, Auskunft oder Schadensersatz bleibt die Seite Datenschutzrecht für Unternehmen der richtige Ausgangspunkt. Diese Seite konzentriert sich auf Auslagerung, Übernahme und laufende Steuerung der DSB-Funktion.
- Für wen
- Unternehmen mit wachsender Datenschutzverantwortung
- Rechtsgrundlage
- Art. 37 bis 39 DSGVO, § 38 BDSG
- Leistung
- Übernahme und laufende DSB-Funktion
- Verantwortung
- bleibt beim Unternehmen
Benennungspflicht klären. Das Unternehmen wächst, verarbeitet personenbezogene Daten in mehreren Bereichen oder erreicht eine Organisationsgröße, bei der die DSB-Frage nicht mehr offenbleiben sollte.
Interne Rolle entlasten. Ein interner Datenschutzbeauftragter ist überlastet, fachlich nicht sicher eingebunden oder wegen operativer Nähe in einer Konfliktlage.
Nachweise belastbar machen. Kunden, Investoren, Ausschreibungen, Aufsicht oder Management verlangen Datenschutzunterlagen, die zur tatsächlichen Verarbeitung passen.
Digitale Prozesse ordnen. Website, SaaS, Plattform, CRM, HR-Tools, Newsletter, Cloud-Dienste und Dienstleisterketten sind gewachsen und brauchen eine einheitliche Datenschutzlinie.
Reaktionsfähigkeit sichern. Auskunftsersuchen, Löschfragen, Datenschutzvorfälle oder Behördenkontakt zeigen, ob Zuständigkeiten und Dokumentation im Ernstfall funktionieren.
Datenschutz laufend führen. Die Organisation braucht statt einer einmaligen Textkorrektur eine externe Funktion, die Datenschutzfragen wiederkehrend einordnet, bündelt und priorisiert.
Schnelle Einordnung
Eine kurze Schilderung genügt. Wir melden uns an Werktagen innerhalb von 24 Stunden.
Ablauf
Wie übernimmt ITMR die DSB-Funktion?
In drei Schritten vom Bedarf zur laufenden Datenschutzfunktion.
01
Bedarf einordnen
Wir prüfen Pflicht, Ausgangslage, Datenverarbeitung, Unternehmensstruktur und den konkreten Bedarf an externer Datenschutzunterstützung.
02
Funktion übernehmen
Wir strukturieren Benennung, Kontaktdaten, Mitteilung an die Aufsichtsbehörde, interne Zuständigkeiten und die ersten Prioritäten.
03
Laufend steuern
Wir begleiten Audits, Dokumentation, Schulungen, Betroffenenfragen, DSFA-Themen, Dienstleisterketten und Behördenkommunikation risikoorientiert.
Von der Benennung zur Funktion
- 1
Ausgangslage offenlegen
Wir erfassen Unternehmensstruktur, Systeme, Datenkategorien, Dienstleister, Fachbereiche, bestehende Unterlagen, offene Risiken und den Anlass der Anfrage.
- 2
Pflicht und Rollen klären
Wir prüfen, ob eine Benennungspflicht besteht, wie die DSB-Funktion organisatorisch eingebunden werden sollte und welche internen Schnittstellen nötig sind.
- 3
Prioritäten festlegen
Nicht jede Datenschutzlücke ist gleich dringlich. Vorrang haben Punkte, die Behördenkontakt, Betroffenenrechte, Kundenfreigaben, Auditfähigkeit oder Haftung beeinflussen.
- 4
Laufende Linie einrichten
Nach der Übernahme geht es um erreichbare Kommunikation, nachvollziehbare Dokumentation, interne Zuständigkeiten und eine Struktur, die Fachbereiche nutzen können.
Wie lange dauert es? Die meisten Arbeitsschritte erledigen wir innerhalb weniger Werktage. Wie schnell es geht, hängt vom Umfang und von Ihren Rückmeldungen ab. Haben Sie einen festen Termin, etwa einen Launch? Nennen Sie ihn uns gleich bei der Anfrage, dann planen wir ihn ein.
Leistung
Was leistet ITMR als externer DSB?
Leistungspaket Externer Datenschutzbeauftragter
Start- und Übernahmephase
Prüfung von Pflicht, Bedarf und Rollenverteilung. Strukturierung von Benennung und Kontaktdaten. Erstaufnahme von Systemen, Datenflüssen, Dienstleistern und Zuständigkeiten. Priorisierung der ersten Datenschutzbaustellen.
Laufende DSB-Funktion
Beratung von Geschäftsleitung und Fachbereichen. Überwachung zentraler Datenschutzprozesse und Dokumentationsstände. Begleitung von Auskunft, Löschung und Widerspruch. Ansprechpartner für Aufsichtsbehörden.
Dokumentation und Nachweise
Einordnung von VVT, Datenschutzhinweisen, AVV, TOM und Löschkonzept. Abgleich zwischen Unterlagen und tatsächlicher Verarbeitung. Hinweise zu Lücken und umsetzbaren Korrekturen. Unterstützung bei Audit-, Kunden- und Managementanforderungen.
Risikothemen und Eskalation
Einbindung bei Datenschutz-Folgenabschätzung und risikoreichen Vorhaben. Begleitung von Datenschutzvorfällen und Meldefragen. Bewertung von Toolwechseln, Cloud-Diensten und internationalen Datenflüssen. Übergabe in Spezialmandate bei Streit, Incident oder Vertragsfragen.
- Für wen
- Unternehmen, Start-ups, Plattformen, SaaS, E-Commerce
- Erste Rückmeldung
- an Werktagen innerhalb von 24 Stunden
- Kosten
- Wir nennen Ihnen die Kosten vor Mandatserteilung transparent.
- Nicht im Paket
- Operative Umsetzung im Unternehmen. Gerichtsverfahren nur als separate Leistung, auf Anfrage.
Wer liefert was und wer entscheidet
Was Sie liefern
- Unternehmensgröße und Branche
- Eingesetzte Systeme und Dienstleister
- Bestehende Datenschutzunterlagen
- Aktueller Anlass
Was wir übernehmen
- Benennung als externer DSB
- Beratung und Überwachung
- Anlaufstelle für Betroffene und Aufsicht
- Priorisierung der Risiken
Wer entscheidet
- Ihre Geschäftsleitung über Maßnahmen
- Die Aufsichtsbehörde im Verfahren
Wie läuft die Beauftragung ab?
- 1
Erste Einschätzung
Sie schildern Ihre Ausgangslage über das Formular. Wir ordnen den DSB-Bedarf ein. Der Erstkontakt ist kostenfrei.
- 2
Angebot
Vor Beginn nennen wir Ihnen Umfang, Übernahmeplan und Kosten transparent.
- 3
Gerichtliche Schritte gesondert
Gerichtsverfahren, Behördenverfahren als Vertretung und Spezialmandate vereinbaren wir gesondert.
Vergleich
Interner oder externer Datenschutzbeauftragter?
Ein interner DSB kann passen, wenn Fachkunde, Unabhängigkeit, Zeitbudget und Stellung gesichert sind. Hat die Person zugleich operative Verantwortung für IT, HR, Marketing, Vertrieb oder Produkt, drohen Interessenkonflikte und unklare Berichtslinien.
| Kriterium | Interner DSB | Externer DSB |
|---|---|---|
| Unabhängigkeit | Kann passen, wenn keine operative Nähe zu den geprüften Entscheidungen besteht. | Stärker, wenn interne Rollen Interessenkonflikte oder Hierarchiedruck erzeugen. |
| Fachkunde | Muss aufgebaut, gepflegt und im Unternehmen verfügbar gehalten werden. | Sofort mit datenschutzrechtlicher Praxis, Dokumentationserfahrung und Behördennähe verbunden. |
| Ressourcen | Bindet interne Kapazität und konkurriert mit Tagesaufgaben. | Entlastet interne Teams und schafft einen klaren externen Ansprechpartner. |
| Digitale Komplexität | Anspruchsvoll, wenn Tools, SaaS, Plattformen, Cloud und internationale Dienstleister zusammenkommen. | Passt besonders, wenn Datenschutz, IT-Recht, Verträge und digitale Geschäftsmodelle gemeinsam einzuordnen sind. |
| Eskalation | Hängt stark von interner Stellung, Erfahrung und Zugriff auf Informationen ab. | Geht in Behörden-, Auskunfts-, Incident- oder Auditlagen schneller in anwaltliche Spezialunterstützung über. |
Abgrenzung
Wann liegt eine andere Datenschutz-Leistung näher?
Ein Audit prüft den Zustand. Ein Set-up baut Strukturen auf. Der externe DSB begleitet die Funktion fortlaufend. Bei isolierten Einzelthemen ist eine Spezialseite sachnäher.
Datenschutz-Audit
Prüfung des bestehenden Datenschutz-Zustands, bevor Prioritäten und Maßnahmen festgelegt werden.
Datenschutz Set-up
Go-live, Relaunch, Produktfreigabe oder Neuaufbau von Datenschutzstrukturen.
Vertrag zur Auftragsverarbeitung
Dienstleisterketten, SaaS, Cloud, Hosting oder Subunternehmer als Engpass.
Verzeichnis von Verarbeitungstätigkeiten
Die Dokumentation der Verarbeitungsvorgänge wird isoliert aufgebaut oder nachgeschärft.
Datenschutz-Folgenabschätzung
Einzelne Verarbeitungen werden wegen Risiko, Sensibilität oder Überwachung tiefer bewertet.
Datenschutz Website Prüfung
Tracking, Consent-Banner, Datenschutzerklärung und Website-Tools stehen im Vordergrund.
Rechtlicher Rahmen
Was muss die DSB-Funktion leisten?
Die DSB-Funktion ersetzt nicht die Verantwortung des Unternehmens. Geschäftsleitung, Verantwortliche und Fachbereiche müssen Datenschutzentscheidungen ermöglichen, Informationen bereitstellen und Maßnahmen umsetzen.
Der DSB unterrichtet, berät, überwacht, wirkt auf Einhaltung hin und ist Anlaufstelle. Operative Entscheidungen bleiben beim Verantwortlichen oder Auftragsverarbeiter. Eine erste Klärung der Rollen zwischen Ihnen und Ihren Dienstleistern ermöglicht unser Simulator zur DSGVO-Rollenverteilung.
Die Pflicht zur Benennung kann sich aus Art. 37 DSGVO und ergänzend aus § 38 BDSG ergeben. Für nichtöffentliche Stellen in Deutschland ist relevant, ob in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind.
Art. 38 DSGVO verlangt frühzeitige Einbindung, Ressourcen, Unabhängigkeit und eine konfliktfreie Aufgabenverteilung. Art. 39 DSGVO nennt Unterrichtung, Beratung, Überwachung, DSFA-Beratung und Zusammenarbeit mit der Aufsichtsbehörde. Verstöße gegen Pflichten aus Art. 25 bis 39 DSGVO können nach Art. 83 DSGVO bußgeldrelevant sein.
Quellen
- DSGVO auf EUR-Lex Art. 37 bis 39 und Art. 83 DSGVO.
- § 38 BDSG Benennung in nichtöffentlichen Stellen.
- EDPB-Leitlinien zum DSB Leitlinien zum Data Protection Officer.
Grenzen
Was bleibt beim Unternehmen?
Klare Rollen halten die DSB-Funktion wirksam.
- 1
Verantwortung bleibt
Die datenschutzrechtliche Verantwortung bleibt beim Verantwortlichen oder Auftragsverarbeiter.
- 2
Umsetzung intern
Maßnahmen, Ressourcen und Geschäftsentscheidungen verankern Sie im Unternehmen.
- 3
Spezialmandate gesondert
Audit, AVV, VVT oder DSFA können je nach Tiefe ein eigenes Mandat werden.
- 4
Streit gesondert
Gerichtsverfahren und streitige Behördenverfahren vereinbaren wir separat.
Woran eine DSB-Funktion scheitert
- Die Funktion steht nur auf dem Papier und wird bei Projekten nicht eingebunden.
- Der interne DSB entscheidet zugleich operativ über die Verarbeitungen, die er überwachen soll.
- Unterlagen beschreiben eine Verarbeitung, die so nicht mehr stattfindet.
Ihr Ansprechpartner
Jean Paul Bohne, LL.M., MM, CIPP/E, CIPM
Rechtsanwalt und Mediator · Partner · Fachanwalt für IT-Recht · Fachanwalt für Urheber- und Medienrecht
Zum Profil Düsseldorf, Schirmerstraße 80 · Hamburg, Palmaille 124
TOP Anwalt 2027 · Wirtschaftsanwälte · Gewerblicher Rechtsschutz
F.A.Z.-Institut und QuantiQuest. Grundlage sind Empfehlungen von Fachkollegen und Einschätzungen von Unternehmensjuristen. Quelle
Bewertungen
Was Mandanten sagen
5,0 von 5 · 167 Google-Bewertungen
5,0 von 5 · 71 Bewertungen auf anwalt.de
Ausgewählte Bewertungen, Stand: 23.10.2026. Weitere Bewertungen finden Sie auf den Plattformen.
„Komplexe Themen werden stets verständlich erläutert und gleich mit konkreten, umsetzbaren Vorschlägen ergänzt, wenn es um die Problemlösung geht. Hr. Bohnes Kompetenz und seine zuverlässige Arbeitsweise gibt uns die Sicherheit, dass wir in puncto Datenschutz und IT-Recht bestens aufgestellt sind.“
„Schnelle, hilfreiche und ehrliche Kommunikation. Saubere und zuverlässige Arbeit. Immer gerne wieder. Vielen Dank“
„Ich kann nur positives über Hr. Bohne bewerten. Er hat mir bei einem Fall geholfen und war immer freundlich, erreichbar, klar, kompetent und von sehr gute und engagierte Beratung. Eine klare Empfehlung!“
Keine Überprüfung der Bewertungen auf Google durch uns · Google
FAQ
Was fragen Unternehmen zum externen DSB?
Wann muss ein Unternehmen einen DSB benennen?
Eine Pflicht kann sich aus Art. 37 DSGVO und ergänzend aus § 38 BDSG ergeben. Für nichtöffentliche Stellen in Deutschland ist relevant, ob in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind oder ob bestimmte risikoreiche Verarbeitungen vorliegen. Die konkrete Einordnung hängt vom Unternehmen und der Verarbeitung ab.
Ist ein externer DSB besser als ein interner?
Nicht automatisch. Es kommt auf Fachkunde, Unabhängigkeit, Erreichbarkeit, Ressourcen und Konfliktfreiheit an. Extern wird die Lösung interessant, wenn intern keine geeignete Person vorhanden ist, Interessenkonflikte drohen oder Datenschutz mit IT, SaaS, Plattformen, Marketing, HR und Dienstleisterketten verknüpft ist.
Bleibt das Unternehmen verantwortlich, wenn ITMR externer DSB wird?
Ja. Die Verantwortung bleibt beim Verantwortlichen oder Auftragsverarbeiter. Der DSB berät, überwacht, sensibilisiert, unterstützt bei Risikofragen und ist Anlaufstelle. Maßnahmen, Ressourcen und Geschäftsentscheidungen bleiben im Unternehmen verankert.
Was sollte vor der Anfrage vorbereitet werden?
Hilfreich sind Unternehmensgröße, Branche, Standorte, Zahl der mit personenbezogenen Daten arbeitenden Personen, eingesetzte Systeme, bestehende Unterlagen, aktuelle Auslöser und bekannte Schwachstellen. Eine vollständige Dokumentation ist für die erste Einordnung nicht erforderlich.
Kann ITMR einen bestehenden DSB ablösen?
Ja, wenn die Ablösung rechtlich und organisatorisch sauber vorbereitet wird. Wichtig sind Übergabe, Kontaktdaten, behördliche Mitteilung, interne Kommunikation, offene Vorgänge und die Frage, welche Risiken beim Wechsel zuerst zu prüfen sind.
Ist ein externer DSB auch ohne Pflicht sinnvoll?
Ja, wenn Datenverarbeitung geschäftskritisch ist, Kunden Nachweise verlangen, sensible Prozesse bestehen oder Datenschutz intern nicht verlässlich geführt werden kann. Dann geht es um Governance, Nachweisfähigkeit und Handlungsfähigkeit.
Übernimmt der externe DSB auch Audit, AVV, VVT und DSFA?
Die DSB-Funktion kann solche Themen anstoßen, begleiten und priorisieren. Je nach Tiefe wird daraus ein separates Mandat, etwa ein Datenschutz-Audit, ein AVV, ein VVT-Projekt oder eine Datenschutz-Folgenabschätzung.
Wie schnell kann die DSB-Funktion übernommen werden?
Das hängt von Ausgangslage, Unterlagen, Struktur und offenen Risiken ab. Für die erste Einordnung genügt eine kurze Schilderung. Danach klären wir, ob zuerst eine Benennung, ein Audit, ein Wechselplan oder eine engere Prüfung sinnvoll ist.
Nächster Schritt
Externe Datenschutzfunktion belastbar aufstellen
Kann Datenschutz in Ihrem Unternehmen nicht mehr nebenbei geführt werden? Dann zählt eine klare Linie: Pflicht und Bedarf prüfen, Funktion einrichten, Risiken priorisieren und die Kommunikation zwischen Management, Fachbereichen, Betroffenen und Aufsicht handhabbar machen.
Für die Anfrage hilfreich
- Unternehmensgröße und Branche
- Zahl der Personen mit Datenzugriff
- Eingesetzte Systeme
- Aktueller Anlass
Unterlagen können Sie auch nach der ersten Rückmeldung nachreichen.
DSB-Bedarf einordnen lassen
Für Unternehmen, die die Datenschutzbeauftragten-Funktion auslagern oder wechseln wollen.
Ausgangslage schildern, DSB-Bedarf klären.