Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Blog News
Seit 2018 verfolgt uns die Datenschutzgrundverordnung (DSGVO) in beinahe allen Bereichen unserer Arbeitswelt. Eines der Grundsätze der DSGVO ist die Bestellung eines Datenschutzbeauftragten, welcher bei der Einhaltung der datenschutzrechtlichen Pflichten mitwirken soll.
Als Datenschutzbeauftragter benötigt man gem. Art. 37 Abs. 5 DSGVO ein hinreichendes Fachwissen auf dem Gebiet des Datenschutzes sowie hinreichende Fähigkeiten die der Erfüllung seiner Aufgaben dienen.
Stellen Sie sich vor Sie üben seit Jahren diese Stellung in einem Unternehmen, für welches Sie bereits mehrere Jahrzehnte in weiteren Funktionen arbeiten aus, und werden nun als Datenschutzbeauftragter mit der Begründung eines vorliegenden Interessenskonflikt mit Ihrem weiteren Arbeitsbereich, abberufen.
Mit einem solchen Fall beschäftigte sich der EuGH. Nach dem der Kläger nach zwei Jahren als Datenschutzbeauftragter abberufen wurde, erhebt er Klage vor den deutschen Gerichten und erreichte auch die Statthaftigkeit der Klage in den Vorinstanzen.
Der Beklagte allerdings sieht den Kläger, der hauptsächlich die Funktion des Betriebsratsvorsitzenden ausübt, im Unrecht und legt beim Bundesarbeitsgericht Revision ein.
Eine Entscheidung ist dem Bundesarbeitsgericht nicht unmittelbar möglich. Grund hierfür ist, dass es fraglich erscheint, ob der Kläger aus genannten Gründen als Datenschutzbeauftragter hätte abberufen werden dürfen. Dies erscheint insbesondere bei Betrachtung des Art. 38 Abs. 6 der Datenschutzgrundverordnung (DSGVO), wonach der Datenschutzbeauftragte auch anderweitige Aufgaben haben darf, solange durch diese kein Interessenskonflikt entstehe, zumindest diskussionswürdig.
Außerdem erscheint eine Entscheidungsfindung deshalb schwierig, weil dem Datenschutzbeauftragten nach dem Art. 38 Abs. 3 Satz 2 DSGVO weiterhin wegen der Erfüllung seiner Aufgaben kein Nachteil entstehen oder die Abberufung folgen dürfte.
Der Erfolg der Revision des Beklagten hängt nun davon ab, ob strengere Voraussetzungen eines Mitgliedsstaates zur Abberufung des Datenschutzbeauftragten dem Unionsrecht und insbesondere dem Art. 38 Abs. 3 Satz 2 DSGVO entgegenstehen dürfen.
Aus der Betrachtung des Wortlautes, ist im Wesentlichen ein wichtiger Aspekt zu entnehmen.
Der Art. 38 Abs. 3 Satz 2 DSGVO gilt gem. Art. 37 Abs. 6 DSGVO unabhängig davon, in welchem Beschäftigungsverhältnis der Datenschutzbeauftragte zum Verantwortlichen oder zum Auftragsverarbeiter steht. Damit werden vom Art. 38 Abs. 3 Satz 2 DSGVO ganz deutlich auch Beschäftigte des Verantwortlichen bzw. des Auftragsverarbeiters (wie der Kläger) umfasst.
Der Art. 38 Abs. 3 Satz 2 DSGVO bestimmt, dass der Datenschutzbeauftragte vor Entscheidungen zu schützen ist, welche sein Amt beendigen würden, die eine Sanktion darstellen oder die für ihn einen Nachteil bedeuten. Dadurch wird eine Abberufung aus Gründen, die sich auf die Erfüllung der Aufgaben des Datenschutzbeauftragten beziehen verhindert.
Der Art. 38 Abs. 3 Satz 2 DSGVO verfolgt hauptsächlich zwei Ziele. Zum einen, das Ziel der Erfüllung der Pflichten und Aufgaben in vollständiger Unabhängigkeit seitens des Datenschutzbeauftragten. Zum anderen aber auch, dass dieser, wie bereits erwähnt, vor sämtlichen Entscheidungen im Zusammenhang mit der Erfüllung seiner Aufgaben geschützt wird, mit der sein Amt beendet werden würde, die eine Sanktion darstellen oder die für ihn einen Nachteil bedeuten.
Eine Gewährleistung dessen ist nur möglich, in dem der Datenschutzbeauftragte weisungslos seine Aufgaben erfüllt und der unmittelbar höchsten Managementebene berichtet.
Zuletzt wird zur Beantwortung der ersten Fragestellung die Rechtsgrundlage hinzugezogen.
Die Rechtsgrundlage der DSGVO ist der Art. 16 des Vertrags über die Arbeitsweisen der Europäischen Union (AEUV). Gem. diesem erlässt die Union Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen und über den freien Datenverkehr. Resultierend aus dieser Norm ist eine Grenze der Mitgliedstaaten zu erkennen, welche Vorschriften bzgl. der Datenverarbeitung ausschließt, die konkret nicht mit dem Unionsrecht vereinbar sind. Es steht den Mitgliedsstaaten aber frei strengere Vorschriften für die Abberufung eines Datenschutzbeauftragten zu erlassen die keine Beeinträchtigung der DSGVO darstellen. Eine solche ist dann gegeben, wenn die Abberufung durch den Verantwortlichen bzw. den Auftragsverarbeiter selbst dann nicht erlaubt wäre, wenn dieser die nach Art. 37 Abs. 5 DSGVO erforderlichen Qualifikationen besitzt oder seine Aufgaben nicht in Einigkeit mit der DSGVO erfüllt.
Dadurch erscheint es auch nur schwierig einen strengeren Schutz eines Datenschutzbeauftragten, der in einem Interessenskonflikt steht, zu dulden.
Es obliegt dem nationalen Gericht sicherzustellen, dass besondere Vorschriften mit dem Unionsrecht und insbesondere mit der DSGVO vereinbar sind.
Der Art. 38 Abs. 3 Satz 2 DSGVO steht grundsätzlich nationalen Regelungen bzgl. der Abberufung des Datenschutzbeauftragten nicht entgegen, solange diese die Zielen der DSGVO nicht beeinträchtigen.
Ein Interessenskonflikt ist nicht allein dadurch gegeben, dass der Datenschutzbeauftragte andere Aufgaben im Unternehmen erfüllt.
Der Verantwortliche bzw. der Auftragsverarbeiter muss lediglich dabei sicherstellen, dass die anderweitigen Funktionen des Datenschutzbeauftragten keinen Interessenskonflikt entstehen lassen. Der Datenschutzbeauftragte sollte demnach nicht mit Aufgaben betreut werden, die seine Stellung beeinträchtigen könnten. Davon sind in erster Linie Aufgaben umfasst, welche bewirken könnten, dass der Datenschutzbeauftragte die Zwecke und Mittel der Verarbeitung personenbezogener Daten beim Verantwortlichen bestimmen könnte.
Ob dies der Fall ist, kann nur im Einzelfall und unter Würdigung aller relevanter Umstände und aller anwendbarerer Rechtsvorschriften einschließlich interner Vorschriften des Verantwortlichen bzw. des Auftragsverarbeiters, festgestellt werden.
Zusammenfassend ist festzuhalten, dass ein Interessenskonflikt in unterschiedlichen Weisen vorliegen kann. Ob aber konkret ein Konflikt vorliegt, ist vom nationalen Gericht zu entscheiden.
Haben Sie noch Fragen zum Thema Datenschutz oder haben Sie Schwierigkeiten in der Umsetzung und Einhaltung der DSGVO? Als Experte für Datenschutzrecht beraten wir Sie mit entsprechender und jahrelanger Expertise auf diesem Rechtrsgebiet
Wir freuen uns auf Ihre Anfrage!