Start / Glossar / Recht und Normen
Datenschutzbeauftragter
Der Datenschutzbeauftragte berät ein Unternehmen zu seinen Pflichten aus der DSGVO und überwacht, ob es sie einhält. In Deutschland ist er unter anderem Pflicht, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Art. 37 Abs. 1 DSGVO verlangt einen Datenschutzbeauftragten von Behörden und von Unternehmen, deren Kerntätigkeit eine umfangreiche Überwachung von Personen oder die umfangreiche Verarbeitung besonders sensibler Daten ist. § 38 BDSG ergänzt die 20-Personen-Schwelle. Ist eine Datenschutz-Folgenabschätzung nötig, gilt die Pflicht unabhängig davon. Laut Koalitionsbeschluss vom 2. Juli 2026 soll es in kleineren und mittleren Unternehmen weniger betriebliche Datenschutzbeauftragte geben. Bis zu einer Gesetzesänderung gilt die Schwelle.
| Frage | Was das Gesetz sagt |
|---|---|
| Wer darf es sein? | Beschäftigter oder externer Dienstleister mit Fachwissen im Datenschutz (Art. 37 Abs. 5 und 6 DSGVO) |
| Wann wird er beteiligt? | Ordnungsgemäß und frühzeitig in allen Datenschutzfragen (Art. 38 Abs. 1) |
| Wie unabhängig ist er? | Weisungsfrei, berichtet direkt der höchsten Managementebene (Art. 38 Abs. 3) |
| Was prüft er? | Einhaltung von Gesetz und internen Datenschutzstrategien, einschließlich Zuständigkeiten, Schulungen und Überprüfungen (Art. 39 Abs. 1 lit. b) |
Ist die Benennung Pflicht, schützt § 6 Abs. 4 BDSG ihn vor Abberufung und Kündigung ohne wichtigen Grund. Weitere Aufgaben dürfen keinen Interessenkonflikt auslösen (Art. 38 Abs. 6 DSGVO). Die Datenschutzkonferenz sieht einen solchen Konflikt insbesondere, wenn jemand zugleich im leitenden Management arbeitet oder über Zwecke und Mittel der Datenverarbeitung entscheidet. Wer die Ausmusterung plant, sollte sie nicht selbst als Datenschutzbeauftragter prüfen.
Sicherstellen und nachweisen müssen Sie als Verantwortlicher, nicht er (Art. 24 Abs. 1 DSGVO). Zur Prüfung braucht er vorab:
- Geräteliste mit Seriennummern, Geräte mit Daten markiert,
- Auftragsverarbeitungsvertrag mit dem Dienstleister,
- Löschverfahren und Weg für nicht löschbare Datenträger, passend zu TOM und Löschkonzept,
- Eintrag im Verzeichnis von Verarbeitungstätigkeiten.
Bei uns liegt der AVV vor jeder Abholung von Geräten mit Daten vor. Danach erhalten Sie einen Übergabeschein und ein Löschprotokoll je Gerät mit Seriennummer. Geht ein Gerät ungelöscht verloren, ist Ihr Datenschutzbeauftragter Anlaufstelle für die Aufsichtsbehörde (Art. 39 Abs. 1 lit. e DSGVO): siehe Datenschutzpanne mit einem Altgerät.
Was das für Ihre Ausmusterung bedeutet
Melden Sie die Ausmusterung Ihrem Datenschutzbeauftragten, bevor Sie einen Dienstleister beauftragen. Geben Sie ihm die Geräteliste mit Seriennummern, den Auftragsverarbeitungsvertrag und das vereinbarte Löschverfahren. Nach der Abholung bekommt er Übergabeschein und Löschprotokolle, damit er Liste und Protokolle abgleichen kann.
Verwandte Begriffe
- Auftragsverarbeitungsvertrag (AVV)
- Verzeichnis von Verarbeitungstätigkeiten (VVT)
- Technische und organisatorische Maßnahmen (TOM)
- Löschkonzept (DIN 66398)
- Löschprotokoll
Ankauf
Ausgemusterte IT verkaufen?
Wir kaufen alles an, auch alte und defekte Geräte, und zahlen auch dort noch, wo andere abwinken. Die Abholung ist kostenlos, schon ab einem Gerät. Sie bekommen noch am selben Werktag eine Antwort.
Stand: 10.10.2026. Keine Rechtsberatung.