Datenschutzbeauftragter

Erläuterung

Bestellung

Die Pflicht zur Bestellung eines Datenschutzbeauftragten war früher in § 4 f  BDSG geregelt. Sie ist mit dem Ziel der Stärkung seiner Stellung mit Erlass der DSGVO seit dem 25.5.2018 in Art. 37- 39 DSGVO zu finden.
 Nach § 38 Abs. 1 BDSG sind Arbeitgeber u.a. verpflichtet einen Datenschutzbeauftragten zu bestellen, wenn sie personenbezogene Daten automatisiert verarbeiten und damit mindestens 20 (früher10) Personen beschäftigten. Dasselbe gilt, wenn sie Daten verarbeiten, die einer Datenschutz-Folgeabschätzung nach Art. 35 DSGVO unterliegen.  Ein stellvertretender Datenschutzbeauftragter ist nicht zu bestellen. Das folgt aus dem als Zahl zu verstehenden Wort "einen" in § 38 Abs. 1 DSGVO. Dennoch kann sich dies für den Fall einer längeren Abwesenheit des Datenschutzbeauftragten empfehlen. 

Zum Datenschutzbeauftragten darf gemäß § 5 Abs. 3 BDSG nur bestellt werden, wer über das für die Erfüllung der in Art. 39 DSGVO genannten Aufgaben erforderliche Fachwissen und die nötige Zuverlässigkeit verfügt (Art. 37 Abs. 5 DSGVO). Bei fehlender Qualifikation kann die Aufsichtsbehörde dessen Abberufung verlangen (§ 40 Abs. VI Satz 2 BDSG).

Das Fachwissen besteht, wenn die für die Aufgabe ausgewählte Person unter Berücksichtigung des Umfangs der im Betrieb anzutreffenden Datenverarbeitung deren Personenbezogenheit erkennen und die Beschränkung auf das erforderliche Maß beurteilen kann. Das Fachwissen sollte durch Schulung und Zertifikate ständig aktualisiert werden. Dies gilt insbesondere bezüglich der Verfahren und Techniken der automatisierten Datenverarbeitung. Aus der Pflicht zur Aktualisierung des Fachwissens lässt sich ein Schulungsanspruch des Datenschutzbeauftragten vergleichbar § 37 Abs. 6 BetrVG ableiten (vgl. dazu Henssler/Willemsen/Kalb, 11. Aufl. 2024, DSGVO Art. 39 Rn.10, 11). 
Der Datenschutzbeauftragte kann zusätzlich andere Aufgaben und Pflichten wahrnehmen. Der Arbeitgeber hat sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen (§ 38 Abs. 6 DSGVO). Diese Vorgabe kann für einen nach Amtsübernahme zum Vorsitzenden des Betriebsrats gewählten Datenschutzbeauftragten problematisch werden. Das könnte den Arbeitgeber zum Widerruf der Bestellung nach §§ 38 Abs. 1 Satz1, Abs. 2 mit § 6 Abs. 4 Satz 1 BDSG berechtigen. Es könnte zu einem Interessenkonflikt bei der Wahrnehmung der Aufgaben des Datenschutzbeauftragten und derjenigen des Betriebsratsvorsitzenden führen. Denn der Datenschutzbeauftragte ist Teil des Unternehmens. Er hat auch die Arbeit des Betriebsrats daraufhin zu prüfen, ob dieser gemäß § 79a BetrVG die Bestimmungen des Datenschutzes einhält. 
Das Bundesarbeitsgericht hält in der Entscheidung vom 6.6.2023 - 9 AZR 383/19 in NZA 2023, 1329 die Pflichten eines Datenschutzbeauftragten mit denen eines Betriebsratsvorsitzenden für unvereinbar. Die gleichzeitige Wahrnehmung beider Funktionen löst nach Ansicht des Bundesarbeitsgerichts einen Interessenkonflikt aus. Dieser rechtfertige den Widerruf der Bestellung des Betriebsratsvorsitzenden zum Datenschutzbeauftragten. Das Bundesarbeitsgericht hat offengelassen, ob dies auch für Betriebsratsmitglieder ohne herausgehobene Funktion im Betriebsrat gilt. Das wird zu bejahen sein (vgl. Dzida/Kröpelin in NZA 2011,1018). In dieser Entscheidung setzt sich das Bundesarbeitsgericht ausführlich mit den Aufgaben eines Datenschutzbeauftragten auseinander (Rn. 19,25).

Ein Arbeitnehmer ist trotz seiner Eignung nicht verpflichtet, das Amt des Datenschutzbeauftragten zu übernehmen. Etwas anderes kann für leitende Angestellte gelten. Eine Ausnahme besteht auch bei einer Einstellung des Arbeitnehmers für diese Aufgabe. In den anderen Fällen kann der Arbeitgeber die Übernahme der Aufgabe nicht unter Berufung auf sein Weisungsrecht anordnen (BAG v. 6.6.2023 - 9 AZR 383/19 in NZA 2023, 1329 Rn. 31) . Es bedarf dafür dann der Einigung mit dem Arbeitnehmer. 

Von dem Arbeitsvertrag und dessen einverständlicher Erweiterung auf die Übernahme des internen Datenschutzbeauftragten ist der weitere Akt der Bestellung zum Datenschutzbeauftragten streng zu trennen. 
Die Bestellung zum Datenschutzbeauftragten erfolgt einseitig durch den Arbeitgeber in Form einer Übertragung der Aufgaben und Pflichten des Datenschutzbeauftragten von dem Unternehmen auf den für dieses Amt einvernehmlich ausgewählten Arbeitnehmer. Die bestellte Person ist gemäß Art. 37 Abs. 7 DSGVO der Aufsichtsbehörde mitzuteilen. Sie ist außerdem am "Schwarzen Brett" oder der Internetseite des Unternehmens zu veröffentlichen. Dadurch soll deren Erreichbarkeit für Betroffene gesichert werden. Ein Verstoß gegen die Bestellungspflicht und/oder das Veröffentlichungserfordernis kann zu einer Geldbuße von bis zu 10 Millionen Euro führen (Art. 83 Abs. 4 DSGVO).

Arbeitsvertrag und Amt sind in der Folgezeit immer rechtlich getrennt zu bewerten. So kann z.B. der Widerruf, das heißt die Abberufung als Datenschutzbeauftragter wegen nicht mehr aktuellem Fachwissen, nicht die Kündigung des Arbeitsvertrages rechtfertigen. 

Der Datenschutzbeauftragte genießt zur Sicherung der unabhängigen Amtsführung einen besonderen Abberufungsschutz. Die Abberufung des Datenschutzbeauftragten ist nach § 38 Abs. 2 mit § 6 Abs. 4 BDSG nur in entsprechender Anwendung des § 626 BGB zulässig. Zu den in Betracht kommenden "wichtigen Gründen" nennt das Bundesarbeitsgericht in der Entscheidung vom 6.6.2023 - 9 AZR 383/19 in NZA 2023, 1329 Rn. 17 Bespiele. 

In Bezug auf sein Arbeitsverhältnis genießt der Datenschutzbeauftragte Kündigungsschutz. Die Kündigung des Arbeitsverhältnisses des internen Datenschutzbeauftragten ist unzulässig, es sei denn, dass Tatsachen vorliegen, welche den Arbeitgeber zur Kündigung aus wichtigem Grund berechtigten. Nach dem Ende des Amtes als Datenschutzbeauftragter ist die Kündigung des Arbeitsverhältnisses noch ein Jahr lang nur aus wichtigem Grund möglich.  In formeller Hinsicht ist die Beachtung der Zwei-Wochen-Frist ab Kenntnis der widerrufsberechtigten Person zu beachten.

Die befristete Bestellung eines Mitarbeiters zum Datenschutzbeauftragten ist möglich. Man kann insoweit die zugrundliegende arbeitsvertragliche Vereinbarung der Amtsübernahme als formlos teilbefristet ansehen. Ebenfalls ist eine Kopplung der Bestellung zum Datenschutzbeauftragten mit dem Arbeitsvertrag durch eine entsprechende Befristungsabrede hinsichtlich der Erweiterung der Inhalts des Arbeitsvertrages zulässig (siehe BAG v.18.10.2023 - 5 AZR 68/23 in NZA 2024, 124 betr. einen Abfallbeauftragten; vgl. dazu Henssler/Willemsen/Kalb, 11. Aufl. 2024, DSGVO Art. 39 Rn.29). Als "Zweckbefristung" wegen der Übernahme des Amtes eines Datenschutzbeauftragten kann die Befristung als sachlich gerechtfertigt angesehen werden (vgl. dazu Henssler/Willemsen/Kalb, 11. Aufl. 2024, DSGVO Art. 39 Rn.30).  
Wegen des für Befristungen geltenden Schriftformerfordernisses und aus Beweisgründen sollte die Teilbefristung der Amtsübernahme schriftlich vereinbart werden.
Die Bestellung kann durch Befristung, aus wichtigem Grund, Abberufungsverlangen der Aufsichtsbehörde oder Amtsniederlegung enden. 

Rechtsquellen

§§ 4f u. 4g, 38 BDSG, § 626 BGB