1. Fachkunde und Zertifizierung
Die DSGVO verlangt Fachwissen im Datenschutzrecht und in der Datenschutzpraxis. Fragen Sie nach Ausbildung und Zertifizierungen, etwa durch TÜV, DEKRA, GDD oder vergleichbare Stellen, und nach dem Nachweis regelmäßiger Fortbildung. Ein Jurist ohne IT-Verständnis ist ebenso wenig ideal wie ein IT-Spezialist ohne Rechtskenntnisse. Gute Anbieter arbeiten im Team oder decken beide Seiten nachweislich ab.
2. Erfahrung in Ihrer Branche
Eine Arztpraxis, ein Online-Händler und ein Maschinenbauer haben völlig unterschiedliche Datenschutzfragen: Berufsgeheimnis, Tracking und Cookies, Beschäftigtendaten in der Produktion. Lassen Sie sich Referenzen aus Ihrer Branche nennen und fragen Sie nach konkreten Fällen, die der Anbieter dort gelöst hat.
3. IT-Kompetenz
Datenschutz findet heute in Cloud-Diensten, Microsoft 365, CRM-Systemen und zunehmend in KI-Anwendungen statt. Der Datenschutzbeauftragte muss technische und organisatorische Maßnahmen bewerten können und mit Ihrer IT auf Augenhöhe sprechen. Fragen Sie, wie der Anbieter eine neue Software prüft und welche Unterlagen er dafür braucht.
4. Erreichbarkeit und Reaktionszeiten
Bei einer Datenpanne läuft die 72-Stunden-Frist ab dem Moment, in dem Sie davon erfahren. Ein Datenschutzbeauftragter, der zwei Tage nicht antwortet, ist dann ein Risiko. Klären Sie: Wer ist der feste Ansprechpartner, wer vertritt ihn, welche Reaktionszeit ist vertraglich zugesichert, und gibt es eine Notfallnummer?
5. Klar definierter Leistungsumfang
„Betreuung als externer Datenschutzbeauftragter" kann alles oder fast nichts bedeuten. Verlangen Sie eine Leistungsbeschreibung, die festlegt: Welche Leistungen sind in der Pauschale enthalten, welche kosten extra, wie viele Stunden oder Termine sind eingeplant, was passiert bei Mehrbedarf? Vergleichen Sie Angebote nur auf dieser Grundlage.
6. Haftpflichtversicherung
Ein professioneller Anbieter hat eine Vermögensschadenhaftpflichtversicherung, die Schäden durch Fehlberatung abdeckt. Lassen Sie sich die Deckungssumme nennen. Für die meisten mittelständischen Unternehmen sollte sie mindestens im hohen sechsstelligen Bereich liegen.
7. Vertragslaufzeit und Kündigung
Seriöse Anbieter binden Sie nicht länger als nötig. Üblich sind zwölf Monate mit einer Kündigungsfrist von drei Monaten. Prüfen Sie automatische Verlängerungen, Preisanpassungsklauseln und was bei Kündigung mit Ihrer Dokumentation passiert: Verzeichnis, Verträge und Berichte gehören Ihnen und müssen in einem nutzbaren Format übergeben werden.
8. Transparente Preise
Neben der Pauschale müssen Stundensätze für Zusatzleistungen, Fahrtkosten, Einrichtungsgebühren und Softwarekosten offenliegen. Ein Angebot, das nur eine Monatszahl nennt, ist noch kein Angebot. Mehr dazu im Ratgeber Was kostet ein externer Datenschutzbeauftragter.
9. Arbeitsweise und Werkzeuge
Arbeitet der Anbieter mit einem Datenschutz-Management-System, in dem Verzeichnis, Verträge und Maßnahmen gepflegt werden? Haben Sie darauf Zugriff, auch nach Vertragsende? Wie laufen Schulungen ab: vor Ort, per Video, als E-Learning? Wie oft findet ein Audit statt, und wie sieht der Jahresbericht aus? Lassen Sie sich ein anonymisiertes Beispiel zeigen.
10. Referenzen und persönlicher Eindruck
Sie arbeiten mit diesem Menschen oder Team über Jahre zusammen, oft in heiklen Situationen. Führen Sie ein Erstgespräch, bei dem Sie ein konkretes Problem aus Ihrem Alltag schildern. Erklärt der Anbieter verständlich, fragt er nach, nennt er Risiken und Lösungen statt nur Paragrafen? Sprechen Sie mit mindestens einem Referenzkunden.
Warnsignale
- Angebot ohne vorheriges Gespräch über Ihr Unternehmen und Ihre Verarbeitungen
- Laufzeiten über 24 Monate oder automatische Verlängerung um mehr als ein Jahr
- Keine Angabe zur Haftpflichtversicherung
- Keine namentlich benannte Ansprechperson, nur ein Postfach
- Versprechen wie „100 Prozent Rechtssicherheit" oder „abmahnsicher"
- Dokumentation nur in einem proprietären System, das Sie nach Kündigung nicht mehr nutzen können
- Auffällig niedriger Preis ohne Leistungsbeschreibung
Fragen für das Erstgespräch
- Wie viele Unternehmen unserer Größe und Branche betreuen Sie aktuell?
- Wer ist unser fester Ansprechpartner, und wer vertritt ihn im Urlaub oder Krankheitsfall?
- Welche Reaktionszeit garantieren Sie bei einer Datenpanne?
- Was genau ist in der Pauschale enthalten, und was kostet darüber hinaus wie viel?
- Wie läuft die Erstaufnahme ab, und wie lange dauert sie?
- Welche Deckungssumme hat Ihre Haftpflichtversicherung?
- In welchem Format erhalten wir unsere Dokumentation bei Vertragsende?
- Wie halten Sie uns über neue Anforderungen, etwa zu KI-Anwendungen, auf dem Laufenden?
Fazit
Wer drei Angebote anhand dieser zehn Kriterien nebeneinanderlegt, erkennt schnell, welches wirklich zum Unternehmen passt. Der günstigste Preis gewinnt dabei selten, das beste Verhältnis aus Leistung, Erreichbarkeit und Vertragsbedingungen fast immer.