News

Im Wege der Digitalisierung werden in Verwaltungen oder privaten Unternehmen immer mehr Daten verarbeitet. Dazu gehören auch Daten, die personenbezogen und damit in der Regel vertraulich sind.

Mit der neuen Datenschutz-Grundverordnung (DSGVO) und dem neuen Datenschutzgesetz (BDSG) wird das Ziel verfolgt, den neuen sicherheitstechnischen Anforderungen im Zeitalter der Digitalisierung Rechnung zu tragen.

Mit der Benennung von Datenschutzbeauftragten soll die Umsetzung der neuen Anforderungen gewährleistet werden. Nicht selten kommt es vor, dass dazu ein interner Datenschutzbeauftragter benannt wird. Das bedeutet beispielsweise in privaten Unternehmen, dass ein Arbeitnehmer zum Datenschutzbeauftragten ernannt wird. In Verwaltungen bedeutet das, dass ein bereits öffentlich Bediensteter die Aufgaben eines Datenschutzbeauftragten zugewiesen bekommt. Eine solche herausragende Stellung im Unternehmen oder in der Verwaltung, welche letztlich in § 6 BDSG näher beschrieben ist, hat auch arbeitsrechtliche Konsequenzen.

Namentlich handelt es sich dabei um den Sonderkündigungsschutz. Dabei muss zwischen dem Datenschutzbeauftragten öffentlicher Stellen und denjenigen nicht-öffentlicher Stellen unterschieden werden.

1. Datenschutzbeauftragte öffentlicher Stellen:

Datenschutzbeauftragte öffentlicher Stellen genießen unmittelbar durch § 6 Abs. 4 BDSG Sonderkündigungsschutz. Insbesondere durch § 6 Abs. 4 S. 2 BDSG wird dieser gewährleistet. Dabei muss zwischen dem „Amt“ des Datenschutzbeauftragten und seinem Beschäftigungsverhältnis differenziert werden.

a) Beschäftigungsverhältnis:

Gemäß § 6 Abs. 4 ist die Kündigung des Arbeitsverhältnisses des internen Datenschutzbeauftragten unzulässig, solange keine Tatsachen vorliegen, welche die öffentliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigen. § 6 Abs. 4 S. 2 BDSG versperrt somit die Möglichkeit einer ordentlichen Kündigung. In Betracht kommt allein die außerordentliche Kündigung, sofern denn die gesetzlichen Voraussetzungen vorliegen.

b) „Amt“ des Datenschutzbeauftragten:

6 Abs. 4 S. 1 regelt die Abberufung des Datenschutzbeauftragten. Die Abberufung ist nur in entsprechender Anwendung des § 626 BGB zulässig. Die Abberufung erfordert damit einen sog. „wichtigen Grund“. Ein solcher kann in schweren Pflichtverletzungen liegen.

2. Datenschutzbeauftragte nicht-öffentlicher Stellen:

Da § 6 BDSG seinem Wortlaut nach nur Datenschutzbeauftragte in „öffentlichen Stellen“ erfasst, ist fraglich, ob Datenschutzbeauftragte nicht-öffentlicher Stellen i.S.d. § 2 Abs. 4 BDSG (private Unternehmen) ebenfalls den Sonderkündigungsschutz gemäß § 6 Abs. 4 BDSG genießen.

Die Frage ist zu bejahen. Grundsätzlich besteht auch für den Datenschutzbeauftragten privater Unternehmen der Sonderkündigungsschutz nach  § 6 Abs. 4 BDSG. Das leitet sich aus § 38 Abs. 2 BDSG ab, wonach § 6 Abs. 4 anwendbar ist. Das Bundesarbeitsgericht gewährt sogar dem Stellvertreter Sonderkündigungsschutz, wenn dieser tatsächlich die Aufgaben des Datenschutzbeauftragten stellvertretend wahrgenommen hat (BAG, Urteil vom 27.07.2017, Az. 2 AZR 812/16).

Der Sonderkündigungsschutz für den Datenschutzbeauftragten im Privatunternehmen gilt allerdings nur, wenn seine Benennung verpflichtend ist. Wann die Benennung verpflichtend ist, ergibt sich aus § 38 BDSG selbst.

Dessen Absatz 1 ergänzt Art. 37 der DSGVO, welcher die Grundlagen für die verpflichtende Bestellung eines Datenschutzbeauftragten schafft.

a) Mindestanzahl von Beschäftigten

Nach § 38 Abs. 1 S. 1 BDSG ist die Bestellung eines Datenschutzbeauftragten verpflichtend, wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daher reicht es nicht aus, dass im Unternehmen ständig zehn Mitarbeiter beschäftigt sind. Vielmehr müssen mindestens zehn Mitarbeiter auch mit der Verarbeitung der Daten beschäftigt sein. Dabei kommt es auf die regelmäßige Beschäftigung an.

b) Unabhängig von der Anzahl der Beschäftigten

Nach § 38 Abs. 1 S. 2 BDSG kann eine Bestellung auch unabhängig von der Anzahl der in der Datenverarbeitung Beschäftigten erforderlich sein. Das ist in folgenden Fällen gegeben:

aa) Datenschutz-Folgenabschätzung:

Es bedarf eines Datenschutzbeauftragten auch dann, wenn Daten verarbeitet werden, deren Verarbeitung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen.

Wann eine solche erforderlich ist, ergibt sich aus Art. 35 DSGVO. Nach Art. 35 Abs. 1 DSGVO ist eine Datenschutz-Folgenabschätzung dann erforderlich, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Maßgeblich ist also der Schutz personenbezogener Daten. Ausgangspunkt für die Prüfung, ob ein Datenschutzbeauftragter verpflichtend ist, ist somit, ob besonders sensible Daten verarbeitet werden. Die weiteren Absätze des Art. 35 DSGVO beschreiben verschiedene Situationen, in denen eine solche Abschätzung erforderlich ist. Dabei werden jedoch nur allgemeine Regeln aufgestellt, sodass ein relativ weiter Auslegungsspielraum bleibt. Konkretisiert wird das durch sogenannte „Muss-Listen“, die durch die Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO zu erstellen sind.

bb) Geschäftliche Betätigung des Unternehmens:

Andererseits kann sich eine Verpflichtung (unabhängig von der Mitarbeiterzahl) auch aus der Prägung der geschäftlichen Betätigung des Unternehmens ergeben. Wenn die geschäftliche Betätigung des Unternehmens gerade die Übermittlung, Verarbeitung und Nutzung personenbezogener Daten darstellt, ist gemäß § 38 Abs. 1 S. 2 ein Datenschutzbeauftragter zu ernennen.

3. Nachwirkung des Kündigungsschutzes:

Der Sonderkündigungsschutz des Datenschutzbeauftragten gemäß §§ 38 Abs. 2, 6 Abs. 4 BDSG endet nicht sofort mit dem Zeitpunkt, in dem dieser sein Amt niederlegt. Vielmehr wirkt der Sonderkündigungsschutz gemäß § 6 Abs. 4 S. 3 BDSG noch ein Jahr nach.

4. Fazit:

Unter der Prämisse, dass eine Bestellung auch für das Privatunternehmen verpflichtend ist, besteht für den Datenschutzbeauftragten generell Sonderkündigungsschutz. Dessen Arbeitsverhältnis  kann nur außerordentlich gekündigt werden.

Nicht zuletzt in Anbetracht des Sonderkündigungsschutzes von Datenschutzbeauftragten werden Arbeitgeber sorgsam überlegen, ob sie einen internen oder externen Datenschutzbeauftragten bestellen.

Sollte das Arbeitsverhältnis eines internen Datenschutzbeauftragten arbeitgeberseitig gekündigt worden sein, hat der gekündigte Arbeitnehmer regelmäßig Veranlassung, sich seinen Sonderkündigungsschutz vor Augen zu führen und die geeigneten Maßnahmen zu ergreifen. Auch bei einer Kündigung trotz Sonderkündigungsschutz gilt aber, dass eine etwaige Kündigungsschutzklage binnen 3-wöchiger Frist nach Zugang der Kündigungserklärung (§ 4 KSchG) zu erheben ist. Anderenfalls gilt die Kündigung ungeachtet des Sonderkündigungsschutzes von Anfang an als wirksam!

In sämtlichen Fragestellungen betreffend die Bestellung sowie die Rechtsstellung von Datenschutzbeauftragten beraten und unterstützen wir Sie gerne.