Datenschutzbeauftragten wechseln: Kosten, Fristen und Übergabe-Checkliste

Einordnung: Wann sich ein Wechsel lohnt

Der Datenschutzbeauftragte ist in vielen Unternehmen ein Posten, der einmal eingekauft und dann jahrelang nicht mehr hinterfragt wird. Dabei unterscheiden sich Qualität und Preis am Markt erheblich. Wenn einer oder mehrere der folgenden Punkte auf deine aktuelle Betreuung zutreffen, lohnt sich der Vergleich:

• Erreichbarkeit: Auf Anfragen wartest du regelmäßig mehrere Tage, einen festen Ansprechpartner gibt es nicht.
• Nur reaktiv: Dein DSB meldet sich einmal im Jahr für den Bericht, aber nie von sich aus, wenn sich die Rechtslage ändert.
• Veraltete Dokumentation: Verarbeitungsverzeichnis und TOMs spiegeln nicht mehr, wie dein Unternehmen heute arbeitet.
• Keine Schulungen: Deine Mitarbeitenden wurden seit über einem Jahr nicht geschult, oder Schulungen kosten extra.
• Neue Themen fehlen: Bei KI-Tools, Cloud-Diensten oder dem EU AI Act kommt keine belastbare Antwort.
• Preis-Leistung: Du zahlst eine Jahrespauschale, deren Gegenwert im Wesentlichen ein PDF ist.

Die gute Nachricht: Der Wechsel eines externen Datenschutzbeauftragten ist rechtlich unkompliziert. Er braucht nur eine saubere Reihenfolge, damit keine Lücke entsteht und die Dokumentation vollständig den Besitzer wechselt.

Wer braucht überhaupt einen Datenschutzbeauftragten?

Bevor du wechselst, lohnt ein kurzer Blick auf die Pflicht selbst. In Deutschland musst du einen Datenschutzbeauftragten benennen, wenn einer dieser Fälle vorliegt:

• In deinem Unternehmen sind mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 BDSG). Mitgezählt werden alle, die regelmäßig am Rechner mit Personendaten arbeiten, auch Teilzeitkräfte und freie Mitarbeitende.
• Du führst Verarbeitungen durch, die eine Datenschutz-Folgenabschätzung erfordern, oder verarbeitest Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung. Dann gilt die Pflicht unabhängig von der Personenzahl.
• Deine Kerntätigkeit besteht in der umfangreichen, regelmäßigen Überwachung von Personen oder der umfangreichen Verarbeitung besonders sensibler Daten (Art. 37 DSGVO).

Externen DSB kündigen: Vertrag und Fristen

Ein externer Datenschutzbeauftragter arbeitet auf Basis eines Dienstleistungsvertrags. Anders als beim internen DSB gibt es keinen gesetzlichen Abberufungsschutz: Es gelten schlicht die Laufzeiten und Kündigungsfristen aus dem Vertrag. Üblich sind Laufzeiten von zwölf bis 24 Monaten mit automatischer Verlängerung und Kündigungsfristen von einem bis drei Monaten zum Monats- oder Quartalsende. Prüfe also zuerst deinen Vertrag, sonst zahlst du im Zweifel ein weiteres Jahr.

Wichtig ist die Reihenfolge: Kündige erst, wenn die Nachfolge steht, oder plane die Kündigungsfrist als Übergabezeitraum ein. Unternehmen mit Benennungspflicht dürfen zu keinem Zeitpunkt ohne Datenschutzbeauftragten sein. Eine Überlappung von zwei bis vier Wochen zwischen altem und neuem DSB ist ideal, um die Übergabe geordnet abzuwickeln.

Sonderfall interner DSB: der besondere Schutz

Ganz anders liegt der Fall, wenn dein bisheriger Datenschutzbeauftragter ein eigener Mitarbeiter ist. Interne DSB genießen bei bestehender Benennungspflicht einen starken gesetzlichen Schutz (§ 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG): Die Abberufung ist nur aus wichtigem Grund entsprechend § 626 BGB zulässig, und das Arbeitsverhältnis ist während der Tätigkeit und noch ein Jahr danach besonders kündigungsgeschützt.

Ein wichtiger Grund kann etwa die dauerhafte Verletzung der DSB-Pflichten, ein Interessenkonflikt oder fehlende Fachkunde sein. Ob allein der Wunsch genügt, künftig auf einen externen Dienstleister umzustellen, ist rechtlich umstritten — hier solltest du dich vor der Abberufung beraten lassen. Unproblematisch ist dagegen der einvernehmliche Weg: Viele interne DSB geben die Rolle gern ab, weil sie neben dem Tagesgeschäft kaum zu stemmen ist.

Was kostet ein Datenschutzbeauftragter?

Die Kosten hängen vom Modell ab. Zur Orientierung die typischen Spannen, wie sie unter anderem der Berufsverband der Datenschutzbeauftragten (BvD) nennt:

Beim Wechsel selbst gibt es zwei Kostenfallen. Erstens die Doppelzahlung: Wer den neuen Vertrag startet, bevor der alte gekündigt ist, zahlt Monate doppelt — deshalb zuerst die Kündigungsfrist klären. Zweitens versteckte Einrichtungskosten: Manche Anbieter berechnen die Einarbeitung in deine Bestandsdokumentation extra. Frag das vor Vertragsschluss ab.

Der Fahrplan: in sechs bis acht Wochen zum neuen DSB

In der Praxis dauert ein geordneter Wechsel sechs bis acht Wochen, gerechnet ab der Entscheidung. Die vier Phasen:

Läuft dein Vertrag noch länger, kehrt sich der Plan um: Erst den neuen DSB auswählen, die Kündigung zum nächstmöglichen Termin aussprechen und die verbleibende Laufzeit als entspannten Übergabezeitraum nutzen.

Die Übergabe: diese Unterlagen wechseln den Besitzer

Das Herzstück des Wechsels ist die Übergabe der Dokumentation. Dein bisheriger DSB hat im Zweifel jahrelang Unterlagen aufgebaut, die dein Unternehmen für Audits, Behördenanfragen und den laufenden Betrieb braucht. Plane einen festen Übergabetermin ein und lass dir die Übergabe schriftlich bestätigen:

Zwei Punkte verdienen besondere Aufmerksamkeit. Erstens die Zugänge: Externe DSB haben oft Remote-Zugriffe, ein eigenes Datenschutz-Postfach oder Accounts in deinen Systemen — alle beenden oder übertragen. Zweitens die Gegenrichtung: Lass dir bestätigen, dass der alte DSB deine Unternehmensdaten nach der gesetzlichen Aufbewahrungszeit löscht. Er war schließlich selbst Empfänger sensibler Informationen.

Die Meldung an die Aufsichtsbehörde nicht vergessen

Der am häufigsten übersehene Schritt kommt zum Schluss: Nach Art. 37 Abs. 7 DSGVO musst du die Kontaktdaten des neuen Datenschutzbeauftragten veröffentlichen und der Aufsichtsbehörde mitteilen. Beim Wechsel heißt das: neuen DSB melden und damit die alte Meldung ersetzen. Alle Landesbehörden bieten dafür Online-Formulare an; empfohlen wird die Meldung innerhalb von etwa zwei Wochen nach dem Wechsel.

Dass das kein Papiertiger ist, zeigt ein bekannter Fall: Die Hamburger Aufsichtsbehörde verhängte gegen Facebook Germany ein Bußgeld von 51.000 €, weil der Behörde der neue Datenschutzbeauftragte nicht mitgeteilt worden war. Der Bußgeldrahmen für diesen Verstoß reicht nach Art. 83 Abs. 4 DSGVO bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

• Aufsichtsbehörde: Neuen DSB über das Online-Portal deines Bundeslandes melden.
• Datenschutzerklärung: Die DSB-Kontaktdaten auf der Website aktualisieren — sie sind Pflichtangabe.
• Intern: Team informieren, Aushänge und Intranet-Einträge anpassen, damit Betroffenenanfragen beim Richtigen landen.

So läuft der Wechsel mit Dieter

Der aufwendigste Teil des Wechsels ist selten die Kündigung, sondern das Drumherum: Bestellung, Behördenmeldung, Dokumentenumzug, Schulungen. Bei Dieter ist genau das keine Projektarbeit, sondern eingebaute Produktmechanik:

• Bestellung in drei geführten Schritten: Ein kurzer Fragebogen erzeugt die fertige Vereinbarung zur Bestellung des Datenschutzbeauftragten, du bestätigst sie digital — und ein TÜV-zertifizierter Datenschutzbeauftragter aus dem Dieter-Team ist dein fester Ansprechpartner.
• Behördenmeldung ohne Suchen: Dieter verlinkt direkt das Meldeportal deines Bundeslandes — alle 16 sind hinterlegt — und zeigt dir alle einzutragenden DSB-Daten fertig an. Die Meldung ist in wenigen Minuten erledigt.
• Bestandsdokumente ziehen mit um: Verarbeitungsverzeichnis, AV-Verträge, TOMs und Co. von deinem bisherigen DSB lädst du je Themenbereich hoch und verwaltest sie weiter. Was fehlt oder veraltet ist, erstellt Dieter per Fragebogen neu.
• Die Datenschutzerklärung wechselt automatisch mit: Die DSB-Kontaktdaten sind zentrale Stammdaten. Änderst du sie, aktualisieren sich alle betroffenen Dokumente — und per Live-Einbindung auch die Datenschutzerklärung direkt auf deiner Website.
• Schulungen samt Nachweisen: Deine Mitarbeitenden bekommen personalisierte Schulungslinks, Bestätigungen werden dokumentiert, Erinnerungen und jährliche Auffrischungen laufen automatisch.
• Statt Jahresbericht: eine laufende Aufgabenliste nach Priorität plus ein Datenschutz-Auditbericht deines DSB — Nachweise, die du bei einer Behördenanfrage direkt vorlegen kannst.

Fazit

Einen Datenschutzbeauftragten zu wechseln ist einfacher, als die meisten denken: Vertrag prüfen, Nachfolge sichern, geordnet übergeben, Behörde und Datenschutzerklärung aktualisieren. Der ganze Vorgang ist in sechs bis acht Wochen erledigt und amortisiert sich oft schon im ersten Jahr — durch niedrigere Kosten, vor allem aber durch eine Betreuung, die im Alltag tatsächlich stattfindet. Wer den Wechsel scheut, zahlt sonst Jahr für Jahr für ein PDF.