Stand: November 2026
Einleitung: Warum Arztpraxen 2026 einen externen DSB brauchen
Arztpraxen verarbeiten Gesundheitsdaten – eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Damit greift Art. 37 Abs. 1 lit. b DSGVO: Die Bestellpflicht für einen Datenschutzbeauftragten entsteht bereits bei der ersten Person, die diese Daten verarbeitet. Keine Mitarbeiterschwelle, keine Karenzzeit.
Parallel dazu regelt § 38 BDSG eine allgemeine Schwelle von 20 Personen, die ständig mit der automatisierten Verarbeitung beschäftigt sind. Für Praxen bedeutet das: Wer Patientendaten digital erfasst, unterfällt fast immer der DSGVO-Regel – nicht der BDSG-Ausnahme. Der scheinbare Widerspruch löst sich durch den Vorrang des Unionsrechts.
Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen. Hinzu kommen Reputationsschäden und Haftungsrisiken bei Datenschutzvorfällen. Die KBV stellt zwar branchenspezifische Vorlagen für das Verarbeitungsverzeichnis bereit, doch die operative Verantwortung bleibt bei der Praxis.
Praxisinhaber:innen dürfen die DSB-Rolle nicht selbst übernehmen – Art. 38 Abs. 6 DSGVO verbietet Interessenskonflikte. Ein externer DSB bringt Unabhängigkeit, übernimmt Dokumentationspflichten nach Art. 30 DSGVO, steuert Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und kommuniziert mit Aufsichtsbehörden.
Der Markt 2026 setzt auf Plattform-Tools für Verarbeitungsverzeichnis, AVV-Generator und Schulungsmodule, auf branchenfokussierte Zertifizierungen (DEKRA, TÜV, BvD-Fachkunde) und auf transparente Pauschalpreise. Der folgende Überblick vergleicht fünf Anbieter, die diesen Standard für Arztpraxen erfüllen.
1. frag.hugo – KI-Plattform mit persönlicher Betreuung
USP: frag.hugo verbindet eine modulare Compliance-Suite mit festem Senior-Berater pro Mandat – keine Junior-Rotation, keine anonyme Hotline.
Stärken:
- Vier Software-Produkte unter einem Login: Hugo Check (DSGVO-Website-Scanner), Hugo DSB (externer DSB mit TÜV-zertifizierten Beratern), Hugo ISMS (ISO 27001/BSI 200-2 mit nativer VVT→ISMS-Bridge) und Hugo Shield (NIS2-Lieferketten-Rating).
- 43 Mandanten in 15 Branchen, darunter Healthcare-Praxen, MVZ, Agenturen und produzierender Mittelstand; 500+ Websites über Hugo Check auditiert.
- 100 % Datenverarbeitung in Deutschland auf Hetzner-Servern (Falkenstein/Nürnberg, ISO 27001) – keine US-Cloud, keine Drittstaaten-Übermittlung.
- Transparente Festpreise: Hugo DSB Lite ab 79 €/Monat (bis 15 MA, Self-Service), Standard 149 €/Monat (bis 30 MA, 6 h Beratung/Jahr), Pro 299 €/Monat (bis 100 MA, 8 h-SLA, NIS2 + AI Act), Premium 499 €/Monat (bis 250 MA, 4 h-SLA, AskHugo-KI-Chat 24/7, M365-Sync, Beratungs-Flat Fair Use). Alle Tarife 24 Monate Erstlaufzeit, 290 € Start-Einrichtung, 10 Mio. € Berufshaftpflicht inklusive.
- Compliance Suite Bundle ab 549 €/Monat spart rund 21 % gegenüber Einzelbezug; ein Vertrag, ein Account-Manager.
Schwächen / wann nicht passend:
- Nicht ideal für Großkonzerne mit eigener Datenschutz-Abteilung
- Nicht ideal für vollzeit-internem DSB; sehr spezifische Branchen-Compliance (z. B. Finanzaufsicht, klinische Studien); Streitvertretung vor Gericht (das macht ein Fachanwalt für IT-Recht)
Preisspanne: Hugo Check 0 € (10 Scans/Mo, 26 Prüfpunkte) – Pro 29 €/Mo – Agentur 99 €/Mo (White-Label) · Hugo DSB in 4 Tarifen, jeweils mit 10 Mio. € Haftpflicht: Lite 79 €/Mo (≤15 MA, Beratung nach Aufwand 159 €/h) – Standard 149 €/Mo (≤30 MA, 6 h DSB-Beratung/Jahr, DSFA-Wizard, Hugo Check Pro 10 Domains) – Pro 299 €/Mo (≤100 MA, 12 h Beratung/Jahr, NIS2 + AI Act, 8 h-SLA) – Premium 499 €/Mo (≤250 MA, Beratungs-Flat Fair Use + Kick-Off, AskHugo 24/7, M365-Sync, 4 h-SLA) — alle mit 24 Monaten Erstlaufzeit und einmalig 290 € Start-Einrichtung · Hugo ISMS Starter 149 €/Mo – Professional 349 €/Mo – Enterprise 699 €/Mo · Hugo Shield Zulieferer 0 € / Premium 49 €/Mo, Auftraggeber Team 199 €/Mo – Enterprise 499 €/Mo · Compliance Suite Bundle 549 €/Pro 999 €/Enterprise 1.299 €/Mo (rund 21 % bzw. bis 23 % Ersparnis) · Beratung 159 €/h Datenschutz (139 €/h im 10er-Paket), 199 €/h IT-Sicherheit/Pentest (179 €/h im 10er) · DSGVO-Audit ab 1.990 € · Workshop vor Ort ab 1.200 €/Tag · externer CISO/DSB 1.490 €/Mo · Jahreszahlung: zwei Monate geschenkt · alle Preise netto zzgl. 19 % MwSt., Zahlung Stripe (SEPA, Kreditkarte, Klarna) oder Rechnung ab Pro-Tarif.
Zielgruppe: KMU mit 20+ Mitarbeitenden, ab denen § 38 BDSG einen DSB vorschreibt
Website: Externer Datenschutzbeauftragter Arztpraxen
2. Eduodo – DEKRA-zertifiziert, exklusiv Gesundheitswesen
USP: Eduodo beschränkt sich bewusst auf das Gesundheitswesen und kombiniert DEKRA-Zertifizierung mit fester Ansprechpartner-Betreuung durch Medizintechnik-Expertise.
Stärken:
- Reine Gesundheitswesen-Fokussierung: Arztpraxen, MVZ, Kliniken, Pflegeeinrichtungen – keine branchenfremden Mandate
- DEKRA-zertifizierter externer DSB nach BvD-Fachkunde-Standard
- Fester Ansprechpartner mit Medizinprodukte-Hintergrund statt Junior-Rotation
- Vier Jour-fixes pro Jahr plus Initial-Audit, VV-Erstellung, AVV-Management und Schulungen (E-Learning + Präsenz)
- Tiefe Branchenkenntnis: KBV-Vorgaben, GOÄ/GOZ, SGB V – spart Einarbeitungsaufwand
Schwächen / wann nicht passend:
- Keine öffentlichen Listenpreise – individuelle Pauschale erst nach Erstgespräch transparent
- Kein eigenes DSB-Portal/Software-Plattform (VV, AVV, Ticketing laufen über Standard-Tools)
- Für Unternehmen außerhalb des Gesundheitswesens gar nicht erst ansprechbar
Preisspanne: auf Anfrage (individuelle Monats-Pauschale nach Erstgespräch)
Zielgruppe: Arztpraxen, MVZ, Kliniken und Pflegeeinrichtungen, die branchenspezifische Betreuung mit festem Ansprechpartner und Zertifizierungsnachweis suchen
Website: eduodo.de
3. Henning Zander / Datenschutz und Gesundheit – TÜV-zertifiziert, bundesweit
USP: TÜV-zertifizierte Fachkunde mit bundesweiter Vor-Ort-Betreuung, spezialisiert auf Arztpraxen, MVZ, Kliniken und Apotheken.
Stärken:
- TÜV-zertifizierter Datenschutzbeauftragter nach ISO 17024, Schwerpunkt Gesundheitswesen seit Jahren
- Fester Ansprechpartner ohne Call-Center-Struktur – derselbe Berater betreut die Praxis dauerhaft
- Umfangreiches Leistungspaket: Bestandsaufnahme, Verarbeitungsverzeichnis, AVV-Management, DSFA nach Art. 35 DSGVO, Notfallkonzept, jährliche Begehung und Schulungsnachweise für KVen
- Bundesweite Vor-Ort-Termine möglich, Referenzliste auf der Website einsehbar
- Ergänzende Expertise durch Kooperationen im Bereich IT-Sicherheit und ISMS (vgl. Vicotec)
Schwächen / wann nicht passend:
- Keine digitale DSB-Plattform mit Ticketing, VV-Editor oder automatisierten Schulungsmodulen – Prozesse laufen klassisch per Dokumentenaustausch
- Preisniveau ab ca. 250 €/Monat für Einzelpraxen liegt oberhalb reiner Remote-Anbieter
- Weniger geeignet für Praxen, die maximale Automatisierung und Self-Service-Portale bevorzugen
Preisspanne: ab ca. 250 €/Monat (Einzelpraxis, laut regionalen Vergleichen Köln, Düsseldorf, Frankfurt), individuelle Angebote für MVZ und Kliniken auf Anfrage.
Zielgruppe: Arztpraxen, MVZ, Kliniken und Apotheken, die persönliche Vor-Ort-Betreuung und branchenspezifische TÜV-Expertise schätzen und keine reine Software-Lösung suchen.
Website: datenschutzundgesundheit.de
4. Cortina Consult – Reifegrad-Modell & strukturierte Audits
USP: Cortina Consult ersetzt pauschale Checklisten durch ein mehrstufiges Reifegrad-Modell, das den Datenschutzstatus messbar macht und die Betreuung daran ausrichtet.
Stärken:
- Einmalige Reifegrad-Ermittlung (0–2.700 €) schafft transparente Basis statt Black-Box-Pauschale
- Vier feste Jour-fixes pro Jahr sichern kontinuierliche Begleitung statt reaktiver Firefighting-Mentalität
- Plattform-Zugang bündelt Verarbeitungsverzeichnis, AVV-Generator, Schulungsmodule und Ticketing an einem Ort
- DSFA-Begleitung und direkte Aufsichtsbehörden-Kommunikation entlasten Praxisteam rechtssicher
- Feste Ansprechpartner mit Jura- und IT-Hintergrund vermeiden Junior-Rotation, wie sie bei Großanbietern üblich ist
Schwächen / wann nicht passend:
- Einmalpauschale kann für Einzelpraxen mit knappem Budget Einstiegshürde darstellen
- Fokus auf strukturierte Prozesse weniger geeignet für Praxen, die nur formale Bestellbescheinigung benötigen
- Kein expliziter ISMS- oder NIS2-Baustein im Standardpaket – für wachsende MVZ ggf. Ergänzung nötig
Preisspanne: Reifegrad-Ermittlung 0–2.700 € einmalig, laufend 125–310 €/Monat (zzgl. USt.), konkret über Online-Konfigurator errechenbar.
Zielgruppe: Einzelpraxen bis Praxisnetze, die Compliance als steuerbaren Prozess verstehen und feste Ansprechpartner schätzen.
Website: cortina-consult.de
5. Matutis
USP: Anwaltskanzlei mit anwaltlicher Verschwiegenheitspflicht und Berufshaftung, die Datenschutz für Arztpraxen zum festen Jahrespreis ohne Plattform-Zusatzkosten komplett übernimmt.
Stärken:
- Pauschale 1.800 € zzgl. USt. pro Jahr deckt Verarbeitungsverzeichnis, AV-Verträge, DSFA, Mitarbeiter-Schulungen, Vor-Ort-Begehung und unbegrenzte Telefon-Hotline ab.
- Vertretung gegenüber Aufsichtsbehörden durch zugelassene Rechtsanwälte – kein Berater, sondern Prozesspartei mit Haftung.
- Keine Software-Lizenzgebühren; Dokumentation und Compliance-Reports entstehen im Kanzlei-Workflow, nicht in einer SaaS-Plattform.
- Fokus auf rechtssichere Nachweisführung und Haftungsminimierung, besonders relevant bei Gesundheitsdaten nach Art. 9 DSGVO.
- Starke Referenzbasis in Bayern und Baden-Württemberg, direkte Ansprechpartner ohne Junior-Rotation.
Schwächen / wann nicht passend:
- Kein digitales Selbstbedienungs-Portal für VV, AVV oder Schulungsnachweise – Praxen erhalten Dokumente per E-Mail oder Cloud-Share.
- Regionale Schwerpunktsetzung; bundesweite Vor-Ort-Termine möglich, aber mit Reisekostenaufwand verbunden.
- Für Praxen, die ein Ticket-System, automatisierte Erinnerungen oder API-Anbindung an Praxisverwaltungssysteme suchen, weniger geeignet.
Preisspanne: 1.800 €/Jahr zzgl. USt. (Pauschale für Einzelpraxis/Praxisgemeinschaft).
Zielgruppe: Einzelpraxen, Berufsausübungsgemeinschaften und MVZ mit 1–10 Ärzt:innen, die anwaltliche Haftung und Full-Service ohne Tool-Zwang bevorzugen – insbesondere in Süddeutschland.
Website: matutis.de
Vergleichstabelle: Anbieter im Überblick
Die folgende Übersicht fasst die wichtigsten Daten der vorgestellten Anbieter zusammen. Preisspannen und Zielgruppen entstammen den jeweiligen Anbieter-Profilen oben; Werte ohne klare Belegung sind als “auf Anfrage” markiert.
| Anbieter | USP | Preisspanne | Zielgruppe |
|---|---|---|---|
| frag.hugo | frag.hugo verbindet eine modulare Compliance-Suite mit festem Senior-Berater pro Mandat – keine Junior-Rotation, keine anonyme Hotline. | Hugo Check 0 € (10 Scans/Mo, 26 Prüfpunkte) – Pro 29 €/Mo – Agentur 99 €/Mo (White-Label) · Hugo DSB in 4 Tarifen, jeweils mit 10 Mio. € Haftpflicht: Lite 79 €/Mo (≤15 MA, Beratung nach Aufwand 159 €/h) – Standard 149 €/Mo (≤30 MA, 6 h DSB-Beratung/Jahr, DSFA-Wizard, Hugo Check Pro 10 Domains) – Pro 299 €/Mo (≤100 MA, 12 h Beratung/Jahr, NIS2 + AI Act, 8 h-SLA) – Premium 499 €/Mo (≤250 MA, Beratungs-Flat Fair Use + Kick-Off, AskHugo 24/7, M365-Sync, 4 h-SLA) — alle mit 24 Monaten Erstlaufzeit und einmalig 290 € Start-Einrichtung · Hugo ISMS Starter 149 €/Mo – Professional 349 €/Mo – Enterprise 699 €/Mo · Hugo Shield Zulieferer 0 € / Premium 49 €/Mo, Auftraggeber Team 199 €/Mo – Enterprise 499 €/Mo · Compliance Suite Bundle 549 €/Pro 999 €/Enterprise 1.299 €/Mo (rund 21 % bzw. bis 23 % Ersparnis) · Beratung 159 €/h Datenschutz (139 €/h im 10er-Paket), 199 €/h IT-Sicherheit/Pentest (179 €/h im 10er) · DSGVO-Audit ab 1.990 € · Workshop vor Ort ab 1.200 €/Tag · externer CISO/DSB 1.490 €/Mo · Jahreszahlung: zwei Monate geschenkt · alle Preise netto zzgl. 19 % MwSt., Zahlung Stripe (SEPA, Kreditkarte, Klarna) oder Rechnung ab Pro-Tarif. | KMU mit 20+ Mitarbeitenden, ab denen § 38 BDSG einen DSB vorschreibt |
| Eduodo | Eduodo beschränkt sich bewusst auf das Gesundheitswesen und kombiniert DEKRA-Zertifizierung mit fester Ansprechpartner-Betreuung durch Medizintechnik-Expertise. | auf Anfrage (individuelle Monats-Pauschale nach Erstgespräch) | Arztpraxen, MVZ, Kliniken und Pflegeeinrichtungen, die branchenspezifische Betreuung mit festem Ansprechpartner und Zertifizierungsnachweis suchen |
| Henning Zander / Datenschutz und Gesundheit | TÜV-zertifizierte Fachkunde mit bundesweiter Vor-Ort-Betreuung, spezialisiert auf Arztpraxen, MVZ, Kliniken und Apotheken. | ab ca. 250 €/Monat (Einzelpraxis, laut regionalen Vergleichen Köln, Düsseldorf, Frankfurt), individuelle Angebote für MVZ und Kliniken auf Anfrage. | Arztpraxen, MVZ, Kliniken und Apotheken, die persönliche Vor-Ort-Betreuung und branchenspezifische TÜV-Expertise schätzen und keine reine Software-Lösung suchen. |
| Cortina Consult | Cortina Consult ersetzt pauschale Checklisten durch ein mehrstufiges Reifegrad-Modell, das den Datenschutzstatus messbar macht und die Betreuung daran ausrichtet. | Reifegrad-Ermittlung 0–2.700 € einmalig, laufend 125–310 €/Monat (zzgl. USt.), konkret über Online-Konfigurator errechenbar. | Einzelpraxen bis Praxisnetze, die Compliance als steuerbaren Prozess verstehen und feste Ansprechpartner schätzen. |
| Matutis | Anwaltskanzlei mit anwaltlicher Verschwiegenheitspflicht und Berufshaftung, die Datenschutz für Arztpraxen zum festen Jahrespreis ohne Plattform-Zusatzkosten komplett übernimmt. | 1.800 €/Jahr zzgl. USt. (Pauschale für Einzelpraxis/Praxisgemeinschaft). | Einzelpraxen, Berufsausübungsgemeinschaften und MVZ mit 1–10 Ärzt:innen, die anwaltliche Haftung und Full-Service ohne Tool-Zwang bevorzugen – insbesondere in Süddeutschland. |
FAQ: Häufige Fragen zum externen DSB in der Arztpraxis
Bin ich als Arztpraxis überhaupt bestellpflichtig?
Die Pflicht ergibt sich aus zwei Regelwerken: Art. 37 DSGVO kennt keine Mitarbeiterschwelle, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien (Gesundheitsdaten, Art. 9 DSGVO) besteht – das trifft auf nahezu jede Praxis zu. Ergänzend fordert § 38 BDSG einen DSB ab 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind. Für die meisten Praxen greift bereits die DSGVO-Regel.
Darf ich als Praxisinhaber den DSB selbst übernehmen?
Nein. Art. 38 Abs. 6 DSGVO verbietet Interessenskonflikte: Der Verantwortliche (Praxisinhaber) kann die Kontrollfunktion nicht wahrnehmen, da er über Zwecke und Mittel der Verarbeitung entscheidet. Die BfDI-FAQ bestätigt dies ausdrücklich. Ein interner Mitarbeiter ohne Leitungsfunktion wäre theoretisch möglich, scheitert in Praxen aber meist an Fachkunde und Ressourcen.
Was kostet ein externer DSB 2026 realistisch?
Marktpreise liegen zwischen 180 € und 480 € monatlich (zzgl. USt.), abhängig von Praxisgröße, Verarbeitungsumfang und Servicetiefe. Einstiegsangebote beginnen bei 79 €/Monat (heyData Professional), Pauschalen bei 1.800 €/Jahr (Matutis). Höhere Pakete enthalten Reifegrad-Audits, Jour-fixes und Plattformzugang. Die ULD Schleswig-Holstein empfiehlt, Leistungsumfang und Reaktionszeiten vor Vertragsschluss schriftlich zu fixieren.
Welche konkreten Aufgaben übernimmt der DSB?
Kernaufgaben nach Art. 39 DSGVO: Beratung zur DSGVO-Einhaltung, Überwachung der Compliance (Verarbeitungsverzeichnis, AVV, Technisch-organisatorische Maßnahmen), Beratung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO), Schulungen des Personals sowie Anlaufstelle für Betroffene und Aufsichtsbehörde. Externe DSBs erstellen Dokumentationen, prüfen Auftragsverarbeitungen und begleiten behördliche Anfragen.
Wie läuft der Wechsel zu einem neuen DSB ab?
Drei Schritte: 1. Alte Bestellung schriftlich widerrufen (Abberufung). 2. Neuen DSB bestellen (Vertrag mit Aufgabenkatalog, Haftung, Kündigungsfristen). 3. Neubesetzung der zuständigen Aufsichtsbehörde melden (formlos per E-Mail/Post). Wichtig: Keine Vakanz dulden – der Wechsel sollte nahtlos erfolgen. Die BfDI empfiehlt, Übergabetermine für Verzeichnisse und offene Maßnahmen festzulegen.
Brauche ich eine digitale Plattform für die DSB-Betreuung?
2026 ist Plattform-Nutzung Standard. Tools wie Hugo DSB oder Audatis Manager bündeln Verarbeitungsverzeichnis, AVV-Generator, Schulungsmodule und Ticketing. Das ersetzt Excel-Listen und spart pro Quartal mehrere Stunden manuellen Aufwand. Der externe DSB pflegt Daten zentral, Sie erhalten Echtzeit-Status und revisionssichere Exporte für Audits. Ohne Plattform steigt der Koordinationsaufwand deutlich – besonders bei mehreren Standorten oder MVZ-Strukturen.
Fazit: Den passenden DSB 2026 systematisch auswählen
Die Entscheidung für einen externen Datenschutzbeauftragten ist für Arztpraxen keine reine Formalität, sondern eine regulatorische Notwendigkeit. Zwar sieht § 38 BDSG eine Pflicht erst ab 20 Personen vor, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, doch die Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO rückt viele kleinere Praxen direkt in die Pflicht. Die Kassenärztliche Bundesvereinigung (KBV) weist regelmäßig auf die Relevanz dieser Compliance hin.
Der Markt im Jahr 2026 bietet spezialisierte Lösungen für unterschiedliche Praxisstrukturen:
- frag.hugo kombiniert moderne digitale Plattformen mit einer persönlichen Betreuung.
- Eduodo agiert als Branchen-Purist mit Fokus auf das Gesundheitswesen.
- Henning Zander setzt auf Vor-Ort-Präsenz und etablierte Qualitätsstandards.
- Cortina Consult ermöglicht die Steuerung über messbare Reifegrad-Modelle.
- Matutis bietet rechtliche Expertise gepaart mit transparenten Pauschalmodellen.
Externe Partner sichern Ihnen Unabhängigkeit und übernehmen die komplexe Dokumentationslast gemäß Art. 30 DSGVO sowie die Durchführung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO. Digitale Tools sind mittlerweile Standard, um Verzeichnisse und Schulungen effizient zu verwalten.
Empfehlung für die Praxis: Erstellen Sie eine Shortlist aus maximal drei Anbietern. Lassen Sie sich feste Ansprechpartner vertraglich zusichern, um eine Rotation durch Junior-Berater zu vermeiden. Fordern Sie eine Demo der digitalen Plattform und prüfen Sie Referenzen aus Praxen Ihrer Größenklasse. Nutzen Sie für die erste Einschätzung ein unverbindliches Erstgespräch. Mit Blick auf kommende Anforderungen wie NIS2 sollten Sie zudem die Konvergenz von Datenschutz und Informationssicherheit, etwa nach ISO 27001, im Hinterkopf behalten.
Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf saas-wm.com veröffentlicht. frag.hugo ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.
