Neues zum Datenschutzrecht

10.2.2023

EuGH bestätigt besonderen Abberufungsschutz für Datenschutzbeauftragte

Der EuGH hat mit zwei Urteilen vom 9.2.2023 (Rs. C-453/21 , X-FAB Dresden, und Rs. C-560/21, KISA) entschieden, dass der im BDSG geregelte besondere Schutz von Datenschutzbeauftragten vor Abberufung mit EU-Recht vereinbar ist. Es steht den EU-Mitgliedstaaten frei, in Ausübung ihrer Zuständigkeit strengere Vorschriften für die Abberufung von Datenschutzbeauftragten zu treffen, als sie in der DSGVO enthalten sind. Allerdings darf die Verwirklichung der Ziele der DSGVO nicht beeinträchtigt werden.

Die in einem der beiden Vorlageverfahren außerdem aufgeworfene Frage, ob bei einem Datenschutzbeauftragten, der zugleich Betriebsratsvorsitzender ist, ein Interessenkonflikt besteht, blieb der EuGH indes schuldig.

+ + + Update vom 14.3.2023: Eine ausführliche Besprechung finden Sie im neuen Heft der Neuen Zeitschrift für Arbeitsrecht (NZA) 2023, S. 269 ff. des C. H. Beck-Verlags +  +  +

Ausgangsverfahren und Hintergrund

Die EuGH-Urteile ergingen auf zwei Vorabentscheidungsersuchen des BAG jeweils im Rahmen eines Rechtsstreits über die Wirksamkeit einer Abberufung des Datenschutzbeauftragten. In beiden Verfahren begründete der jeweilige Arbeitgeber und datenschutzrechtlich Verantwortliche die Abberufung mit dem Vorliegen bzw. der Gefahr eines Interessenkonflikts.

Das eine Ausgangsverfahren (BAG, 27.4.2021 – 9 AZR 621/19 (A)) hat die Abberufung eines behördlichen Datenschutzbeauftragten zum Gegenstand. Das andere Ausgangsverfahren (BAG, 27.4.2021 – 9 AZR 383/19 (A)) betrifft die Abberufung eines Datenschutzbeauftragten, der in einem privatrechtlich organisierten Unternehmen beschäftigt ist und zugleich das Amt des Betriebsratsvorsitzenden ausgeübt hat.

Das BAG fokussierte in seinen Vorlagebeschlüssen die Frage, ob ein Mitgliedstaat in seinem nationalen Recht – hier konkret § 6 Abs. 4 Satz 1 BDSG bzw. § 38 Abs. 2 BDSG i.V.m. § 6 Abs. 4 Satz 1 BDSG – strengere Voraussetzungen für die Abberufung von Datenschutzbeauftragten vorsehen kann als es nach der DSGVO der Fall ist. Während die unionsrechtliche Regelung in Art. 38 Abs. 3 Satz 2 DSGVO lediglich vorschreibt, dass Datenschutzbeauftragte wegen der Erfüllung ihrer Aufgaben nicht abberufen oder benachteiligt werden dürfen, sieht das BDSG einen besonderen Abberufungsschutz für verpflichtend bestellte Datenschutzbeauftragte auch dann vor, wenn die Abberufung nicht mit der Erfüllung der Aufgaben als Datenschutzbeauftragter zusammenhängt, sondern aus anderen Gründen erfolgt. Eine Abberufung ist gem. § 6 Abs. 4 Satz 1 BDSG bzw. § 38 Abs. 2 BDSG i.V.m. § 6 Abs. 4 Satz 1 BDSG nur in entsprechender Anwendung von § 626 BDSG und damit nur aus wichtigem Grund zulässig. Die Rechtmäßigkeit dieses stärkeren Abberufungsschutzes aufgrund nationaler Vorschriften ist umstritten. Daher legte das BAG am 27.4.2021 in beiden Ausgangsverfahren (Az. 9 AZR 383/19 (A) und Az. 9 AZR 621/19 (A)) dem EuGH u.a. folgende Frage vor:

Ist Art. 38 Abs. 3 Satz 2 DSGVO dahingehend auszulegen, dass er einer nationalen Regelung wie § 6 Abs. 4 Satz 1 BDSG bzw. § 38 Abs. 1 und 2 i.V.m. § 6 Abs. 4 Satz 1 BDSG entgegensteht, die eine arbeitgeberseitige Abberufung eines Datenschutzbeauftragten selbst dann nur aus wichtigem Grund zulässt, wenn die Abberufung nicht mit der Erfüllung der Aufgaben des Datenschutzbeauftragten in Zusammenhang steht?

Für den Fall, dass der EuGH diese Frage verneint, bat das BAG in einem der Vorlageverfahren (Az. 9 AZR 383/19 (A)) außerdem noch um Auskunft dazu, ob ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 Satz 2 DSGVO vorliegt, wenn der Datenschutzbeauftragte zugleich Betriebsratsvorsitzender ist und ob es für die Annahme eines solchen Interessenkonflikts einer besonderen Aufgabenzuweisung innerhalb des Betriebsrats bedarf.

Entscheidungen des EuGH

Der EuGH hat im Rahmen der zwei Vorabentscheidungsverfahren am 9.2.2023 (Rs. C-453/21, X-FAB Dresden, und
Rs. C-560/21, KISA) zum einen entschieden, dass es EU-Mitgliedstaaten freisteht, in Ausübung ihrer Zuständigkeit strengere Vorschriften für die Abberufung von Datenschutzbeauftragten vorzusehen. Entsprechende nationale Regelungen verstoßen nicht gegen die DSGVO.

Das Gericht begründet seine Entscheidung mit den Zielen und Regelungsbereichen der in Frage stehenden DSGVO- und BDSG-Vorschriften. Art. 38 Abs. 3 Satz 2 DSGVO zielt auf den Schutz der funktionellen Unabhängigkeit von Datenschutzbeauftragten und damit auf die Gewährleistung der Wirksamkeit der Bestimmungen der DSGVO. Hierbei verweist das Gericht auch ausdrücklich auf seine gleichen Erwägungen in der am 22.6.2022 ergangenen EuGH-Entscheidung zum deutschen Sonderkündigungsschutz für Datenschutzbeauftragte (Rs. C-534/20, Leistritz AG; zu dieser Entscheidung s. Datenschutz-News vom 29.7.2022). Es ist jedoch zu beachten, dass ein strengerer Abberufungsschutz für Datenschutzbeauftragte durch die Mitgliedstaaten als Art. 38 Abs. 3 Satz 2 DSGVO ihn vorsieht, die Verwirklichung der Ziele der DSGVO nicht beeinträchtigen darf. Das wäre laut EuGH beispielsweise der Fall, wenn eine nationale Regelung eine Abberufung verbietet, obgleich ein Datenschutzbeauftragter nicht mehr die zur Erfüllung seiner Aufgaben erforderliche berufliche Qualifikation besitzt oder seine Aufgaben nicht in Einklang mit der DSGVO erfüllt.

Die in einem der beiden Verfahren (Rs. C-453/21, X-FAB Dresden, vorgelegte Frage zum Interessenkonflikt i.S.v. Art. 38 Abs. 6 Satz 2 DSGVO im Fall des Datenschutzbeauftragten, der zugleich Betriebsratsvorsitzender ist, wurde vom EuGH nicht (wirklich) beantwortet. Vielmehr verallgemeinerte das Gericht die Vorlagefrage des BAG dahingehend, unter welchen Voraussetzungen das Vorliegen eines Interessenkonflikts festgestellt werden kann. Und auch hier wurde der EuGH wenig konkret. Ob ein Interessenkonflikt vorliegt, kann und muss vielmehr das nationale Gericht im Einzelfall unter Würdigung aller relevanten Umstände, insbesondere der Organisationsstruktur des Verantwortlichen bzw. Auftragsverarbeiters, und im Licht aller anwendbaren Rechtsvorschriften, einschließlich etwaiger interner Vorschriften feststellen. Dabei ist zu beachten, dass zur Wahrung der funktionellen Unabhängigkeit des Datenschutzbeauftragten keine Aufgaben oder Pflichten übertragen werden dürfen, die ihn dazu veranlassen würden, die Zwecke und Mittel der Verarbeitung personenbezogener Daten bei dem Verantwortlichen oder seinem Auftragsverarbeiter festzulegen. Das stünde im Widerspruch zur gesetzlichen Vorgabe, dass der Datenschutzbeauftragte die Überwachung dieser Zwecke und Mittel unabhängig durchführen muss.

Fazit und Hinweise für die Praxis

Der besondere Abberufungsschutz für Datenschutzbeauftragte nach § 6 Abs. 4 Satz 1 BDSG bzw. § 38 Abs. 1 und 2 i.V.m. § 6 Abs. 4 Satz 1 BDSG verstößt nicht gegen die DSGVO und ist europarechtskonform.

Nach der vorangegangenen EuGH-Entscheidung aus 2022 (Rs. C-534/20, Leistritz AG) zur Zulässigkeit der(selben) strengen Anforderungen an eine von der Abberufung grundsätzlich zu trennende Kündigung von Datenschutzbeauftragten (s. Datenschutz-News vom 29.7.2022) bleiben in Deutschland die hohen Hürden auch für eine Abberufung von Datenschutzbeauftragten bestehen. Die Anforderungen nach den BDSG-Vorschriften können aber im Einzelfall erfüllt sein, z.B. wenn ein Datenschutzbeauftragter seine Aufgaben trotz hinreichender Rahmenbedingungen nicht wahrnimmt.

Die praxisrelevante Frage, ob bei einem Datenschutzbeauftragten, der zugleich Betriebsratsvorsitzender ist, ein Interessenkonflikt besteht, hat der EuGH leider nicht beantwortet. Hier ist abzuwarten, wie das BAG in dem entsprechenden Verfahren (Az. 9 AZR 383/19 (A)) entscheiden wird. Das BAG hat in seinem Vorlagebeschluss zwar deutlich gemacht, dass es nach seiner bisherigen Rechtsprechung sowohl bei einer einfachen Mitgliedschaft im Betriebsrat als auch bei der Funktion als Betriebsratsvorsitzender grundsätzlich keinen Interessenkonflikt für einen Datenschutzbeauftragten sieht. Die vom EuGH geforderte Fokussierung darauf, dass Art. 38 Abs. 6 DSGVO die funktionelle Unabhängigkeit des Datenschutzbeauftragten wahren und damit die Wirksamkeit der Bestimmungen der DSGVO gewährleisten soll, spricht jedenfalls für einen strengen Prüfungsmaßstab und eine stärkere Zurückhaltung, wenn ein Datenschutzbeauftragter weitere Ämter bekleiden bzw. Funktionen wahrnehmen soll.

Sollten Sie Fragen zur Abberufung und Kündigung von Datenschutzbeauftragten haben oder insoweit Unterstützung benötigen, können Sie mich gerne kontaktieren.

Zurück zur Übersicht