Datenschutzbeauftragter IT-Dienstleister Hamburg — dieses Thema landet regelmäßig auf dem Schreibtisch von Geschäftsführern hamburgischer Systemhäuser, SaaS-Anbieter und Managed-Service-Provider, spätestens wenn ein Unternehmenskunde das erste Mal einen ausgefüllten Auftragsverarbeitungsvertrag (AVV) einfordert oder die Hamburgische Datenschutzbehörde (HmbBfDI) eine Prüfanfrage verschickt. Das Besondere an IT-Unternehmen: Sie verarbeiten fremde Daten als Kerngeschäft — und haften dafür sowohl als Auftragsverarbeiter gegenüber ihren Kunden als auch als Verantwortliche im eigenen Betrieb.
Wer in Hamburg ein Systemhaus, einen Cloud-Anbieter oder einen IT-Dienstleister betreibt, bewegt sich damit in einem doppelten Datenschutz-Regelwerk. Dieser Leitfaden erklärt, wann die Pflicht zur Bestellung eines DSB greift, was ein externer DSB konkret kostet, wie der Onboarding-Prozess abläuft und worauf es bei der Auswahl ankommt.
In Kürze
IT-Dienstleister ab 20 MA mit regelmäßigem Datenzugriff sind nach § 38 BDSG zur DSB-Bestellung verpflichtet. Wer AVVs abschließt, braucht zwingend eine interne Anlaufstelle.
Vor-Ort-Realität
Hamburgs IT-Cluster rund um HafenCity und City Süd wächst. Viele Startups und Scale-ups überschreiten die 20-MA-Schwelle unbemerkt — und stehen dann ohne DSB vor dem ersten Großkunden-Audit.
Kostenlogik
Marktüblich liegen externe DSB-Pakete für IT-KMU zwischen 100 und 400 € monatlich, je nach Mitarbeiterzahl und Verarbeitungstiefe. Kein Vergleich zu einem Vollzeit-Internen (50–80 k€ p.a.).
Branchen-Mix
In Hamburg typisch: MSP mit 25–80 MA, SaaS-Anbieter für Logistik/Hafen, E-Commerce-Agenturen. Alle eint: Kundendaten auf eigener Infrastruktur, tägliche Datenverarbeitung im Auftrag Dritter.
Warum IT-Dienstleister einen anderen Datenschutzbedarf haben
Ein Steuerberater verarbeitet Mandantendaten, ein Arzt Patientendaten — aber beide tun das in einem streng definierten Rahmen mit eigenem Primärzweck. Ein IT-Dienstleister hingegen verarbeitet Daten als Mittel zum Zweck für Dutzende unterschiedliche Auftraggeber gleichzeitig. Das schafft drei Besonderheiten, die den Datenschutz strukturell anspruchsvoller machen:
- Auftragsverarbeitungs-Komplex: Jeder Cloud-Hosting-, Managed-Backup- oder RMM-Vertrag ist faktisch ein AVV nach Art. 28 DSGVO. Fehlt der AVV oder ist er lückenhaft, haftet der IT-Dienstleister solidarisch mit dem Kunden für etwaige Datenpannen.
- Privilegierter Systemzugriff: Administratoren eines MSP haben oft weitreichenderen Zugriff auf Kundensysteme als die Kunden selbst — bis hin zu Domänen-Admin-Rechten, Backup-Inhalten und E-Mail-Archiven. Das Risikopotenzial ist entsprechend hoch.
- Häufig Doppelrolle: Als Verantwortlicher für eigene HR- und CRM-Daten und gleichzeitig als Auftragsverarbeiter für Kunden gelten zwei voneinander unabhängige Dokumentationspflichten.
Hinzu kommt: Unternehmenskunden — insbesondere aus den Branchen Logistik, Gesundheit und Finanzdienstleistungen — verlangen beim Vendor-Onboarding zunehmend einen dokumentierten Datenschutznachweis. Wer keinen DSB vorweisen kann, fliegt aus der Lieferantenliste, bevor es zum ersten Angebot kommt.
Die gesetzliche Pflicht: § 38 BDSG und Art. 37 DSGVO
Die Bestellpflicht ergibt sich aus dem Zusammenspiel zweier Normen:
| Rechtsgrundlage | Schwellenwert | Relevanz für IT-Dienstleister |
|---|---|---|
| § 38 Abs. 1 BDSG | In der Regel ≥ 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind | Greift fast immer: Entwickler, Admins, Support — alle verarbeiten Kundendaten |
| Art. 37 Abs. 1 lit. b DSGVO | Kerntätigkeit = umfangreiche Verarbeitung besonderer Datenkategorien | Relevant für IT-Dienstleister im Gesundheits- oder HR-Umfeld |
| Art. 37 Abs. 1 lit. c DSGVO | Kerntätigkeit = umfangreiche, systematische Überwachung von Personen | Greift bei Monitoring-/Security-Operations-Dienstleistern (SOC, SIEM) |
Für einen typischen Hamburger MSP mit 20 bis 80 Mitarbeitenden bedeutet das: Die 20-Personen-Schwelle des § 38 BDSG ist der entscheidende Trigger. Dabei zählen nicht nur Vollzeitstellen — auch Teilzeitkräfte und Werkstudierende, die regelmäßig Tickets bearbeiten oder auf Kundensysteme zugreifen, fallen unter die Zählpflicht.
Realitätscheck: Viele IT-Startups glauben, die 20-MA-Grenze sei weit entfernt — bis sie die Köpfe durchzählen, die wöchentlich ins Ticketsystem schauen. Wer als MSP 15 Techniker, drei Projektmanager, zwei Sales und einen Office-Manager hat, ist längst over the threshold. Dann gilt: DSB innerhalb von vier Wochen bestellen, nicht irgendwann.
Interner vs. externer DSB: Pro und Contra für IT-Unternehmen
Externer DSB
- Keine Festanstellung notwendig, monatlich kündbar
- Sofort einsatzbereit, kein Einarbeitungsaufwand
- Unabhängig — kann Geschäftsführung widersprechen, ohne Kündigung zu riskieren
- Bringt Mandantennetzwerk mit: kennt Behördenpraxis beim HmbBfDI
- Keine Interessenkollision (kein Doppelhut wie „IT-Leiter + DSB“)
Interner DSB
- Tiefes Produkt- und Prozesswissen ab Tag eins
- Kurzfristig verfügbar bei internen Fragen
- Kann jedoch nicht in Personalentscheidungen eingebunden sein (Interessenkonflikt-Risiko)
- Fortbildung kostet Zeit und Budget
- Bei kleinen Teams: Ressource fehlt im Tagesgeschäft
Für die meisten IT-Dienstleister bis 150 Mitarbeitende ist der externe DSB die wirtschaftlichere und rechtssicherere Lösung — sofern der externe Partner die Branche versteht. Entscheidend ist, dass er den Unterschied zwischen einem AVV für ein SaaS-Produkt und einem klassischen Dienstleistungsvertrag kennt und technische TOMs nicht nur formal abhakt, sondern inhaltlich bewertet.
Ablauf: Wie läuft ein DSB-Onboarding bei einem IT-Unternehmen ab?
Ein strukturiertes Onboarding dauert bei einem typischen Hamburger MSP vier bis acht Wochen und läuft in diesen Phasen:
- Erstgespräch & Scope-Analyse (Woche 1): Welche Systeme laufen auf eigenem Hosting? Wie viele aktive AVVs existieren? Gibt es bereits ein Verzeichnis von Verarbeitungstätigkeiten (VVT)?
- Gap-Analyse (Woche 2–3): Abgleich der bestehenden Dokumentation mit DSGVO-/BDSG-Anforderungen. Besonders kritisch bei IT-Unternehmen: TOMs für den privilegierten Fernzugriff, Subunternehmer-Ketten, Logfile-Aufbewahrungsfristen.
- Dokumentations-Sprint (Woche 3–5): Erstellung oder Überarbeitung von VVT, Muster-AVV für eigene Kunden, Datenschutzrichtlinien, Löschkonzept, Incident-Response-Plan.
- Schulung (Woche 5–6): Sensibilisierung der Techniker und Sales-Mitarbeitenden — insbesondere zum Umgang mit Kundendaten bei Remote-Sessions, Backup-Zugriff und Social Engineering.
- Laufender Betrieb: Monatliche Erreichbarkeit für interne Rückfragen, jährliche Audits, Behördenkommunikation bei Anfragen des HmbBfDI, Meldepflicht binnen 72 Stunden bei Datenpannen.
„IT-Dienstleister unterschätzen häufig, wie exponiert sie als Auftragsverarbeiter sind. Wenn ein MSP durch einen kompromittierten Remote-Access-Zugang Kundendaten verliert, ist er gegenüber dem HmbBfDI nicht nur Zeuge — er ist Meldepflichtiger. Wer das erst im Ernstfall lernt, zahlt doppelt: einmal das Bußgeld, einmal den Kundenverlust.“
— Nils Oehmichen, zertifizierter Datenschutzbeauftragter, Externer Datenschutzbeauftragter Hamburg
Was kostet ein externer DSB für IT-Unternehmen in Hamburg?
Die Kosten hängen von drei Faktoren ab: Mitarbeiterzahl, Anzahl der betreuten Systeme und dem initialen Aufwand für die Erstdokumentation. Marktüblich gilt folgende Orientierung:
| Unternehmensgröße | Typischer Aufwand/Monat | Marktübliche Preisspanne |
|---|---|---|
| 10–25 Mitarbeitende | 2–4 Stunden | 100–200 €/Monat |
| 25–100 Mitarbeitende | 4–8 Stunden | 200–350 €/Monat |
| 100–250 Mitarbeitende | 8–15 Stunden | 350–600 €/Monat |
Anbieter mit Festpreis-Paketen machen die Kostenplanung verlässlicher. Beim externen Datenschutzbeauftragter Hamburg etwa liegen die Pakete bei 149 €/Mon (Starter, bis 25 MA), 299 €/Mon (Professional, bis 100 MA) und 499 €/Mon (Enterprise, 100+ MA) — monatlich kündbar, ohne Setup-Gebühr. Das ist für einen IT-Dienstleister mit 30 Mitarbeitenden weniger als ein halber Tagessatz für einen Senior-Entwickler, aber mit einer Reichweite, die intern kaum abzubilden wäre.
Hinzu kommt in der Regel eine einmalige Erstdokumentation (VVT, TOMs, AVV-Vorlagen), die je nach Ist-Zustand zwischen 500 und 2.000 € kosten kann — bei manchen Anbietern im Paketpreis inbegriffen, bei anderen separat.
Ab wann brauche ich als IT-Dienstleister in Hamburg einen DSB?
Die Bestellpflicht greift gemäß § 38 BDSG ab 20 Personen, die in Ihrem Unternehmen ständig automatisierte Datenverarbeitungsvorgänge durchführen. Bei einem MSP zählen dazu alle Techniker, Support-Mitarbeitenden und Entwickler, die regelmäßig auf Kundensysteme oder eigene Produktionssysteme zugreifen. Selbst wenn Sie formal nur 18 Vollzeitstellen haben, kommen Teilzeitkräfte und Werkstudenten hinzu — und überschreiten schnell die Schwelle.
Kann ich als IT-Leiter gleichzeitig DSB sein?
In der Regel nein. Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte: Ein IT-Leiter, der über Systeme und Verarbeitungswege entscheidet, kann nicht gleichzeitig deren datenschutzrechtliche Kontrolle übernehmen. Aufsichtsbehörden — auch der HmbBfDI — beanstanden diesen Doppelhut regelmäßig. Die sicherste Lösung ist ein externer DSB ohne operative Rolle im Unternehmen.
Was passiert, wenn ein Kundensystem kompromittiert wird und wir als MSP Zugriff hatten?
Dann sind Sie in der Meldekette: Als Auftragsverarbeiter müssen Sie Ihren Kunden (den Verantwortlichen) unverzüglich informieren — dieser hat dann 72 Stunden Zeit, den HmbBfDI zu benachrichtigen. Fehlt ein AVV, können Sie selbst als mitverantwortlich eingestuft werden. Ein externer DSB kennt die Meldepfade, übernimmt die Kommunikation und reduziert das Haftungsrisiko erheblich.
Wie schnell ist ein externer DSB arbeitsfähig?
Seriöse Anbieter reagieren auf Erstanfragen in der Regel innerhalb von 24 Stunden. Das initiale Onboarding — Bestellungsschreiben, erste Systemerfassung, Prioritätenliste — dauert typischerweise ein bis zwei Wochen. Die vollständige Dokumentation (VVT, AVV-Vorlagen, TOMs) ist innerhalb von vier bis acht Wochen fertig, je nachdem, wie viel bereits vorhanden ist.
Lohnt sich ein externer DSB auch für kleinere IT-Unternehmen unter 20 MA?
Auch ohne gesetzliche Pflicht kann es sinnvoll sein: Viele Unternehmenskunden verlangen im Rahmen ihrer eigenen DSGVO-Compliance einen AVV mit nachgewiesener DSB-Bestellung — unabhängig von Ihrer Mitarbeiterzahl. Wer Cloud-Hosting oder SaaS anbietet und an größere Kunden verkaufen will, ist mit einem DSB im Rücken deutlich wettbewerbsfähiger. Die Kosten sind bei kleinen Unternehmen überschaubar und oft schon ab dem ersten gewonnenen Enterprise-Auftrag refinanziert.
IT-Dienstleister, die in Hamburg wachsen und Unternehmenskunden bedienen wollen, kommen an einem strukturierten Datenschutzmanagement nicht vorbei — nicht aus bürokratischem Pflichtgefühl, sondern weil AVV-Fähigkeit und nachgewiesene DSB-Bestellung zunehmend Voraussetzung für den Eintritt in Lieferantenlisten sind. Wer die Wahl zwischen einem Pauschalpaket und einem stundenabgerechneten Berater hat, sollte auf Festpreistransparenz und Branchenkompetenz achten; für IT- und SaaS-Unternehmen lohnt der Blick auf Datenschutzbeauftragter für IT & SaaS, der auf genau dieses Segment spezialisiert ist, Auftragsverarbeitungsverträge aus der IT-Praxis kennt und den HmbBfDI-Meldeweg bei Vorfällen routiniert übernimmt.
