DSGVO-Beratung: Was Sie wirklich brauchen (nicht was verkauft wird)

DSGVO-Beratung reicht von einer einseitigen Checkliste bis zum sechsstelligen Transformationsprojekt, und der Abstand zwischen dem, was verkauft wird, und dem, was ein KMU wirklich braucht, ist groß. Die meisten KMU brauchen kein ausuferndes Projekt; sie brauchen ein dokumentiertes Fundament, ein paar geschlossene Lücken und jemanden, der es aktuell hält. Dieser Leitfaden zeigt, wie gute DSGVO-Beratung aussieht, den Unterschied zwischen Berater und DSB, und wofür Sie nicht zahlen sollten. Für die Funktion, die Beratung mit Verantwortung verbindet, siehe den Pillar zum externen DSB.

Was gute DSGVO-Beratung wirklich liefert

Wofür sollte ich zahlen?

Konkrete, nutzbare Ergebnisse, nicht einen Report in der Schublade:

• Ein vollständiges ROPA und eine Datenschutzerklärung, die Ihre Verarbeitungszwecke und Tools abdeckt.
• Unterschriebene AVVs und ein konkretes TOM-Dokument.
• Eine kurze, priorisierte Lückenliste - Risikoreichstes zuerst.
• Einen pflegbaren Prozess, damit die Arbeit nach dem Projekt nicht verfällt.

Lässt sich ein Angebot nicht in Dokumente übersetzen, die Sie bei einer Prüfung vorlegen können, löst es Ihr Problem nicht.

Berater vs. DSB

Ist das nicht dasselbe?

Nein, und der Unterschied zählt. Ein DSGVO-Berater bietet Beratungsleistungen auf Projektbasis. Ein Datenschutzbeauftragter ist eine gesetzlich definierte Funktion (Art. 37-39 DSGVO): unabhängig, geschützt vor Abberufung für die Tätigkeit, und die offizielle Kontaktstelle für Aufsichtsbehörden und Betroffene. Wenn Sie einen DSB bestellen müssen, erfüllt ein reines Beratungsverhältnis diese Pflicht nicht - Sie brauchen die Funktion, nicht nur den Rat.

Worauf Sie achten sollten

Wo wird DSGVO-Beratung zu viel verkauft?

• Offene Retainer ohne definiertes Ergebnis - zahlen Sie für Ergebnisse, nicht für Stunden.
• Konzern-Prozesse für ein 40-Personen-Unternehmen - unverhältnismäßige Dokumentation, die Sie nie pflegen.
• Ein Report ohne Umsetzung - Befunde ohne geschlossene Lücken senken kein Risiko.
• Keine KMU-Referenzen - ein Berater, der nur mit Konzernen arbeitet, überfrachtet Ihr Setup.
• „Zertifiziert“ ohne Nachweis - fragen Sie nach Qualifikation (z. B. CIPP/E) und KMU-Referenzen vor der Unterschrift.

Quellen & weiterführende Links