Computer-Security durch die Cloud

Stand: Oktober 2026

Die DSGVO gilt seit Mai 2018 und wird in der Hansestadt vom Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit überwacht. Unternehmen stehen vor der Wahl zwischen Anwaltskanzleien mit DSB-Mandat und spezialisierten DSB-Beratungsbüros – beide Modelle unterscheiden sich spürbar im Leistungsumfang.

Einleitung

Seit dem 25. Mai 2018 regelt die Datenschutz-Grundverordnung den Umgang mit personenbezogenen Daten europaweit. In Hamburg übt die Behörde für Datenschutz und Informationsfreiheit (HmbBfDI) die Aufsicht aus und dokumentiert in ihren Tätigkeitsberichten regelmäßig Umsetzungsdefizite bei mittelständischen Betrieben. Die Pflicht zur Bestellung eines Datenschutzbeauftragten knüpft dabei nicht pauschal an die Mitarbeiterzahl an: Nach § 38 BDSG reicht es, wenn regelmäßig mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind – nicht 20 Beschäftigte insgesamt. Liegt die Kerntätigkeit in systematischer, umfangreicher Überwachung oder in der Verarbeitung besonderer Kategorien wie Gesundheitsdaten, greift Art. 37 Abs. 1 lit. b/c DSGVO ohne jede Schwelle.

Der Hamburger Beratungsmarkt teilt sich entsprechend in zwei Lager. Anwaltskanzleien wie MAGELLAN, Hannekum, MTR Legal oder Riemenschneider führen das DSB-Mandat als Teil ihres anwaltlichen Mandats. Reine DSB-Büros – darunter frag.hugo, Mauß, datenschutzbüro.hamburg, Wiemer & Arndt oder Mprotect365 – konzentrieren sich auf die operative Umsetzung nach Art. 39 DSGVO: Verarbeitungsverzeichnis, AVV-Prüfung, Schulungen, Audits und Behördenkommunikation. Aktuell rücken zwei Themen in den Fokus: KI-Compliance, bei der Security-by-Design bereits in der Konzeptphase mit DSGVO-Anforderungen verknüpft wird, sowie die NIS‑2‑Richtlinie, die den Beratungsbedarf über klassische Datenschutzfragen hinaus auf Lieferketten‑ und KRITIS-Pflichten ausweitet.

1. frag.hugo – Externe DSB mit KI- und NIS-2-Fokus

USP: Modulare Compliance-Suite mit TÜV-zertifiziertem externem DSB, nativem ISMS und KI- sowie NIS-2-Fokus aus einer Hand.

Stärken:

• etabliert seit mehreren Jahren in Hamburg; Team aus zertifizierten Datenschutzbeauftragten (ISO/IEC 17024) und IT-Entwicklern unter Leitung von Nils Oehmichen und Jens Hagel
• Vier Software-Produkte (Hugo Check, Hugo DSB, Hugo ISMS, Hugo Shield) einzeln oder als Suite buchbar; ~24 % Preisvorteil im Bundle
• Hugo DSB Lite ab 79 €/Monat für Klein-KMU bis 15 Mitarbeitende – Self-Service-Checkout ohne Vertriebsgespräch
• 100 % Datenverarbeitung in Deutschland (Hetzner Falkenstein/Nürnberg, ISO 27001); keine Datenflüsse außerhalb der EU
• Hugo ISMS mit nativer VVT→ISMS-Bridge: 47 BSI-Bedrohungen und ISO-Annex-A vorbefüllt; DSFA, NIS-2, AI Act und Phishing-Simulation integriert

Schwächen / wann nicht passend:

• Nicht ideal für Großkonzerne mit eigener Datenschutz-Abteilung
• Nicht ideal für vollzeit-internem DSB; sehr spezifische Branchen-Compliance (z. B. Finanzaufsicht, klinische Studien); Streitvertretung vor Gericht (das macht ein Fachanwalt für IT-Recht)

Preisspanne: Hugo Check 0 € (5 Scans/Mo) – Pro 29 €/Mo – Agentur 99 €/Mo (White-Label) · Hugo DSB in 4 Tarifen: Lite 79 €/Mo (≤15 MA, Self-Service, 50.000 € Haftpflicht) – Standard 149 €/Mo (≤25 MA, 12 h DSB-Beratung/Jahr, 100.000 € Haftpflicht, Hugo Check Pro 10 Domains) – Pro 299 €/Mo (≤100 MA, 24 h Beratung/Jahr, DSFA + NIS2 + AI Act + Phishing-Sim, 8 h-SLA, 250.000 € Haftpflicht) – Premium 499 €/Mo (≤250 MA, 48 h Beratung + Kick-Off, AskHugo 24/7, M365-Sync, 4 h-SLA, 500.000 € Haftpflicht) — alle mit 24 Monaten Mindestlaufzeit · Hugo ISMS Starter 149 €/Mo – Professional 349 €/Mo – Enterprise 699 €/Mo · Hugo Shield Zulieferer 0 € / Premium 49 €/Mo, Auftraggeber Team 199 €/Mo – Enterprise 499 €/Mo · Compliance Suite Bundle 549 €/Pro 999 €/Enterprise 1.299 €/Mo (≈24 % Ersparnis) · Beratung 159 €/h Datenschutz (139 €/h im 10er-Paket), 199 €/h NIS2/ISMS (179 €/h im 10er) · Audit ab 1.990 € · Vor-Ort-Pentest 1.200 €/Tag · Retainer ab 1.490 €/Mo · Jahreszahlung −10 % (Code YEARLY-10) · alle Preise netto zzgl. 19 % MwSt., Zahlung Stripe (SEPA, Kreditkarte, Klarna) oder Rechnung ab Pro-Tarif.

Zielgruppe: KMU mit 20+ Mitarbeitenden, ab denen § 38 BDSG einen DSB vorschreibt

Website: Dsgvo Beratung Hamburg

2. Mprotect365 – Externe DSB für Mittelstand

USP: Mprotect365 verknüpft juristische Datenschutzberatung mit operativer IT-Umsetzung aus einer Hand für kleine und mittlere Unternehmen.

Stärken:

• Ganzheitlicher DSB-Service: Erstellung von Verarbeitungsverzeichnissen, Audits und Behördenkommunikation nach Art. 39 DSGVO
• Kombination aus rechtlicher Expertise und technischer Umsetzungskompetenz
• Fokus auf KMU mit branchenspezifischem Verständnis für mittelständische Prozesse
• Einbindung von NIS-2-Anforderungen in die Beratung, wie der tec4net-Beitrag zur Hamburger Umsetzungslage zeigt
• Standort Hamburg mit direktem Zugang zur Aufsichtsbehörde HmbBfDI

Schwächen / wann nicht passend:

• Keine anwaltliche Vertretung in Gerichtsverfahren oder Bußgeldbescheiden möglich
• Weniger geeignet für Konzerne mit komplexen Konzernstrukturen und internationalem Datentransfer
• Keine publizierten Referenzfälle zu großvolumigen DSFA-Projekten

Preisspanne: auf Anfrage

Zielgruppe: KMU ab 20 Beschäftigten mit automatisierter Datenverarbeitung, die operativen DSB-Bedarf mit IT-Umsetzung verbinden wollen

Website: mprotect365.de

3. Wiemer & Arndt – Kanzlei mit DSB-Mandat

USP: Die Kanzlei verbindet anwaltliche Haftungssicherheit mit operativer DSB-Routine und übernimmt das Mandat inklusive behördlicher Kommunikation.

Stärken:

• Übernimmt das externe DSB-Mandat nach Art. 37 DSGVO samt Meldepflichten gegenüber dem HmbBfDI
• Erstellt Auftragsverarbeitungsverträge (AVV) und führt Datenschutzfolgenabschätzungen (DSFA) nach Art. 35 DSGVO durch
• Verknüpft rechtliche Tiefe mit prozessualer Umsetzungsbegleitung für KMU
• Langjährig am Standort Hamburg etabliert, fokussiert auf mittelständische Mandate

Schwächen / wann nicht passend:

• Kein reines Software-Tool für automatisiertes Monitoring – manuelle Betreuung steht im Vordergrund
• Preisstruktur nicht transparent veröffentlicht, nur auf individuelle Anfrage
• Weniger geeignet für Konzerne mit internationalen Konzern-Datenschutzstrukturen

Preisspanne: auf Anfrage

Zielgruppe: Hamburger KMU ab 20 ständig mit automatisierter Verarbeitung beschäftigten Personen, die anwaltlich begleitetes DSB-Mandat suchen

Website: wiemer-arndt.de

4. Hannekum Partner – Rechtsanwaltskanzlei mit DSB-Fokus

USP: Anwaltskanzlei, die den externen DSB für regulierte Branchen operativ übernimmt und dabei Sonderkategorien personenbezogener Daten in den Mittelpunkt stellt.

Stärken:

• Spezialisierung auf Finanzwesen, Gesundheitswesen und Technologie – Branchen mit hoher DSFA-Pflicht nach Art. 35 DSGVO
• Übernimmt die operative DSB-Rolle nach Art. 39 DSGVO inklusive Schulungen, AVV-Prüfung und Behördenkorrespondenz
• Fokus auf Verarbeitung besonderer Kategorien (Gesundheitsdaten, Bankdaten) ohne Mitarbeiterschwelle nach Art. 37 Abs. 1 lit. b/c DSGVO
• Regelmäßige Workshops bauen internes Datenschutzwissen der Mandanten systematisch auf
• Teil der Hamburger Anwaltskanzleien mit DSB-Mandat, die rechtliche Durchsetzung und operative Betreuung verbinden

Schwächen / wann nicht passend:

• Weniger geeignet für kleine KMU ohne regulierte Datenverarbeitung, die nur Basiskompliance suchen
• Keine publizierten Festpreise – Budgetplanung erfordert individuelle Anfrage
• Reiner Anwaltsfokus kann für rein technische IT-Sicherheitsfragen (NIS-2, BSI-Grundschutz) zu juristisch ausgelegt sein

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen (50–500 MA) aus Finanzdienstleistung, Kliniken, Medizintechnik oder SaaS-Anbieter mit umfangreicher Verarbeitung sensibler Daten.

Website: hannekum-partner.de

5. MTR Legal – Internationale Kanzlei mit Hamburg-Büro

USP: MTR Legal verbindet globale Mandatsfähigkeit mit einem festen Hamburger Standort für grenzüberschreitende Datenschutzprojekte.

Stärken:

• Hamburger Büro als physischer Ansprechpartner für lokale Behördenkontakte und Vor-Ort-Audits
• Beratungsschwerpunkt auf internationalen Datenflüssen, Standardvertragsklauseln und Angemessenheitsbeschlüssen
• Erfahrung bei Behördenanfragen und Bußgeldverfahren vor dem HmbBfDI
• Team aus Fachanwälten für IT-Recht und zertifizierten Datenschutzbeauftragten
• Mandantenstruktur reicht von Mittelständlern bis zu Konzernen mit Niederlassungen in der EU und Drittstaaten

Schwächen / wann nicht passend:

• Kostenstruktur auf Anwaltshonorarbasis – für reine DSB-Operative oft teurer als spezialisierte DSB-Büros
• Weniger Fokus auf technische Implementation (VVT-Tools, automatisierte DSFA) als bei reinen Beratungsdienstleistern
• Kein publik gemachter Pauschalpreis für externe DSB-Mandate; Angebot nur nach individueller Prüfung

Preisspanne: auf Anfrage

Zielgruppe: International tätige Unternehmen ab 50 Beschäftigten mit Bedarf an grenzüberschreitender Compliance und anwaltlicher Vertretung gegenüber Aufsichtsbehörden.

Website: mtrlegal.com

6. Hagel-IT – IT-Sicherheitsanbieter mit DSB-Service

USP: Hagel-IT verbindet technisches Security-Know-how mit datenschutzrechtlicher Beratung und deckt so beide Compliance-Ebenen aus einer Hand ab.

Stärken:

• Kernkompetenz in IT-Sicherheit: Penetrationstests, Security-Awareness-Trainings und Managed Security ergänzen den DSB-Service
• Fokus auf sensible Datenkategorien – Gesundheits- und Finanzdaten – wo Art. 37 DSGVO oft ohne Mitarbeiterschwelle greift
• Technische Umsetzung von Security-by-Design bereits in der KI-Konzeptphase, angelehnt an BSI-Empfehlungen
• Betreuung von Unternehmen, die unter NIS-2 fallen und Lieferkettenpflichten nachweisen müssen

Schwächen / wann nicht passend:

• Rechtliche Tiefe bei komplexen Auslandstransfers oder Behördenverfahren geringer als bei spezialisierten Kanzleien
• Preistransparenz fehlt – Einstiegskosten nur auf Anfrage, was Budgetplanung erschwert
• Weniger Branchenroutine außerhalb von KRITIS-nahen Sektoren (Gesundheit, Finanzen, Industrie)

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen 50–500 MA mit hohem Sicherheitsbedarf, KRITIS-Betreiber und Firmen, die KI-Projekte DSGVO-konform aufsetzen wollen

Website: hagel-it.de

Vergleichstabelle – Was bei der Wahl wichtig ist

Die folgende Übersicht stellt die sechs Hamburger Anbieter gegenüber und macht Unterschiede in Ausrichtung, Kostenstruktur und adressierten Branchen sichtbar. Ergänzende Marktüberblicke liefern Branchenlisten für Arztpraxen und Rankings externer DSBs.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
frag.hugo	Modulare Compliance-Suite mit qualifiziert externem DSB, nativem ISMS und KI-gestütztem Risiko-Scoring	Hugo Checkauf Anfrage (5 Scans/Monat) – Proauf Anfrage – Agenturauf Anfrage; Hugo DSB Lite 79 €/Monat (≤15 MA) – Standardauf Anfrage (≤25 MA) – Proauf Anfrage (≤100 MA) – Premiumauf Anfrage (≤250 MA), alle 24 Monate Mindestlaufzeit; Hugo ISMSauf Anfrage; Hugo Shieldauf Anfrage; Suite-Bundle 549–1.auf Anfrage; Beratungauf Anfrage/h (Datenschutz) bzw. auf Anfrage/h (NIS-2/ISMS)	KMU ab 20 Beschäftigten (§ 38 BDSG), Online-Shops, SaaS-Anbieter, Logistik, Health	—
Mprotect365	Mprotect365 verknüpft juristische Datenschutzberatung mit operativer IT-Umsetzung	auf Anfrage	KMU ab 20 Beschäftigten mit automatisierter Datenverarbeitung, die operativen DSB-Support suchen	Hamburg
Wiemer & Arndt	Die Kanzlei verbindet anwaltliche Haftungssicherheit mit operativer DSB-Routine	auf Anfrage	Hamburger KMU ab 20 ständig mit automatisierter Verarbeitung beschäftigten Personen	Hamburg
Hannekum Partner	Anwaltskanzlei, die den externen DSB für regulierte Branchen operativ übernimmt	auf Anfrage	Mittelständische Unternehmen (50–500 MA) aus Finanzdienstleistung, Kliniken, Medizintechnik	—
MTR Legal	MTR Legal verbindet globale Mandatsfähigkeit mit einem festen Hamburger Standort	auf Anfrage	International tätige Unternehmen ab 50 Beschäftigten mit Bedarf an grenzüberschreitender Compliance	—
Hagel-IT	Hagel-IT verbindet technisches Security-Know-how mit datenschutzrechtlicher Beratung	auf Anfrage	Mittelständische Unternehmen 50–500 MA mit hohem Sicherheitsbedarf, KRITIS-Betreiber	—

FAQ

Wann ist ein externer DSB nach § 38 BDSG zwingend zu bestellen?

Die Pflicht greift, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – nicht bei 20 Mitarbeitern insgesamt. Unabhängig von der Schwelle löst Art. 37 Abs. 1 lit. b/c DSGVO die Bestellpflicht ohne Personengrenze aus, wenn die Kerntätigkeit in systematischer Überwachung oder Verarbeitung besonderer Kategorien (z. B. Gesundheitsdaten) besteht. Der Hamburgische Beauftragte für Datenschutz (HmbBfDI) ahndet Verstöße konsequent.

Wie unterscheidet sich die Beauftragung einer Anwaltskanzlei von einem reinen DSB-Büro?

Kanzleien wie MAGELLAN oder MTR Legal verbinden das DSB-Mandat mit anwaltlichem Berufsgeheimnis und Prozessvertretung – relevant bei Bußgeldverfahren oder Schadensersatzklagen. Reine DSB-Beratungsbüros (z. B. frag.hugo, Mauß, datenschutzbüro.hamburg) fokussieren operative Umsetzung: VVT-Pflege, AVV-Prüfung, Schulungen, Audits. Beide Modelle erfüllen Art. 39 DSGVO; die Wahl hängt vom Beratungsbedarf ab – rechtliche Absicherung versus tägliche Begleitung. Einen Überblick Hamburger Anwälte bietet anwalt.de.

Welche Rolle spielen KI- und NIS-2-Beratungen bei der Auswahl?

Seit 2026 verknüpfen führende Anbieter Security-by-Design in der KI-Konzeptphase mit DSGVO-Anforderungen (BSI-Empfehlungen, KfW-Förderung). Die NIS-2-Richtlinie erweitert den Pflichtenkatalog auf Lieferketten und KRITIS-Erweiterungen – Hamburger IT-Dienstleister werden darauf geprüft. Ein DSB, der beide Regularien im Blick hat, vermeidet Doppelstrukturen. Spezialisierte Hamburger IT-Dienstleister listet hub24.de.

Welche Kostenmodelle sind für externe DSBs in Hamburg üblich?

Die Bandbreite reicht von Monatspauschalen (oftauf Anfrage für KMU) über Stundenkontingente bis zu Projektpauschalen für DSFA oder KI-Checks. Einsteigerpakete starten teils unterauf Anfrage (z. B. frag.hugo Berlin-Referenz 79 €), Hamburg-Preise liegen meist darüber. Wichtig: Leistungsbeschreibung prüfen – Audits, Schulungen, Behördenkorrespondenz sind nicht immer inklusive. Verhandlungsbasis bleibt der tatsächliche Aufwand nach Art. 39 DSGVO.

Wie lässt sich die Qualität eines externen DSB überprüfen?

Referenzen aus der eigenen Branche (Arztpraxis, Agentur, Produktion) sind aussagekräftiger als Zertifikate. Prüfen: TÜV- oder DEKRA-Audit nur, wenn der Anbieter es selbst nennt – pauschale „qualifiziert“-Claims sind unzulässig. Fachkunde zeigen Publikationen, Vorträge beim HmbBfDI oder Mitgliedschaften (GDD, BvD). Ein Probetag oder Workshop vor Vertragsabschluss klärt Arbeitsstil und Reaktionszeiten.

Was umfasst die operative Betreuung nach Art. 39 DSGVO konkret?

Der DSB überwacht die Einhaltung, berät zur DSFA, schult Mitarbeitende, prüft AV-Verträge, führt das Verarbeitungsverzeichnis (VVT) und ist Ansprechpartner für Betroffene und Aufsichtsbehörde. Externe DSBs übernehmen diese Aufgaben modular – von reiner VVT-Pflege bis zum vollständigen Datenschutz-Managementsystem. Vertraglich sollte feststehen: Reaktionszeit bei Vorfällen, Berichtsfrequenz, Vertretung bei Abwesenheit.

Welche Aufsichtsbehörde ist für Hamburger Unternehmen zuständig?

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) kontrolliert nicht-öffentliche Stellen mit Sitz in Hamburg. Er veröffentlicht Tätigkeitsberichte mit Schwerpunktthemen (z. B. KI, Videoüberwachung, Homeoffice) – diese lesen, um Prüfungsfokus zu antizipieren. Bei grenzüberschreitender Verarbeitung kann die Lead-Aufsichtsbehörde nach Art. 56 DSGVO eine andere sein; der DSB klärt Zuständigkeit im Einzelfall.

Fazit

Hamburgs Markt für DSGVO-Beratung hält für jede Unternehmensgröße passende Partner bereit – von Anwaltskanzleien mit DSB-Mandat über spezialisierte Beratungsbüros bis hin zu IT-Sicherheitsdienstleistern, die Compliance und Technik verzahnen. Wer seinen Bedarf präzise definiert (Branche, Verarbeitungsarten, KI-Vorhaben), findet schneller den Anbieter, dessen Schwerpunkte genau darauf einzahlen. Ein strukturierter Vergleich wie in der Gegenüberstellung dargestellt verkürzt die Auswahl und schützt vor Fehlinvestitionen. Für den Einstieg lohnt sich ein Blick auf die Übersicht von CMD Datenschutz sowie den Marktüberblick bei Focus Unternehmen. Wer interne Ressourcen fehlen, fährt mit einem externen DSB oft günstiger und rechtssicherer als mit improvisierten Eigenlösungen.

Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf cpsecure.de veröffentlicht. frag.hugo ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.