EuGH, Urt. 9.2.2023 - C-453/21 und C-560/21
Möglichkeit der Abberufung eines Datenschutzbeauftragten aus wichtigem Grund
Autor: RAin Victoria JohnsonRA Jörg Kornbrust, FPS Rechtsanwälte, Berlin
Aus: IT-Rechtsberater, Heft 04/2023
Aus: IT-Rechtsberater, Heft 04/2023
Art. 38 Abs. 3 Satz 2 DSGVO steht einer nationalen Regelung nicht entgegen, nach der ein bei einem Verantwortlichen oder einem Auftragsverarbeiter beschäftigter Datenschutzbeauftragter nur aus wichtigem Grund abberufen werden kann, auch wenn die Abberufung nicht mit der Erfüllung seiner Aufgaben zusammenhängt, sofern diese Regelung die Verwirklichung der Ziele dieser Verordnung nicht beeinträchtigt. Nach Art. 38 Abs. 6 DSGVO kann ein „Interessenkonflikt“ im Sinne dieser Bestimmung bestehen, wenn einem Datenschutzbeauftragten andere Aufgaben oder Pflichten übertragen werden, die ihn dazu veranlassen würden, die Zwecke und Mittel der Verarbeitung personenbezogener Daten bei dem Verantwortlichen oder seinem Auftragsverarbeiter festzulegen.
DSGVO Art. 38 Abs. 3 Satz 2, Abs. 6
Beide Beauftragte erhoben Klage. Während im Fall C-453/21 die Arbeitgeberin in den Vorinstanzen Recht bekam, obsiegte im Fall C-560/21 der Datenschutzbeauftragte. In beiden Verfahren wurde Revision beim BAG eingelegt. Dieses kam zu dem Schluss, dass die Entscheidungen von der Auslegung des Art. 38 Abs. 3 Satz 2 DSGVO, bzw. im Fall C-453/21 auch des Art. 38 Abs. 6 DSGVO abhingen. Daher setzte es die Verfahren aus und legte dem EuGH entsprechende Auslegungsfragen zur Vorabentscheidung vor.
Strengere Regeln der Mitgliedsstaaten: Art. 38 Abs. 3 Satz 2 DSGVO erlaube grundsätzlich eine nationale Regelung für die Abberufung des Datenschutzbeauftragten. Dies dürfe aber nicht die Wirkung einer Sanktion auf den Datenschutzbeauftragten haben. Aus dem Schutz der Position des Datenschutzbeauftragten durch Art. 38 Abs. 3 Satz 2 DSGVO lasse sich allerdings nicht ableiten, dass die einzelnen Mitgliedsstaaten keine strengeren Regeln für die Abberufung aufstellen dürften. Diese Regelungen müssten auch mit der DSGVO vereinbar sein und dürften zudem nicht zu einer Beeinträchtigung der Ziele der DSGVO führen. Dies wäre z.B. der Fall, wenn eine nationale Regelung die Abberufung eines Datenschutzbeauftragten verbiete, obwohl dieser seine Aufgaben nicht im Einklang mit der DSGVO erfülle. Eine Beeinträchtigung der Verwirklichung der Ziele der DSGVO liege ebenfalls vor, wenn die Abberufung des Datenschutzbeauftragten verhindert würde, obwohl er seine Aufgaben aufgrund eines Interessenkonflikts nicht in völliger Unabhängigkeit erfüllen könne.
Interessenkonflikt: Nach dem Wortlaut des Art. 38 Abs. 6 DS-GVO sei zunächst festzustellen, dass der Datenschutzbeauftragte auch andere Aufgaben und Pflichten beim Verantwortlichen wahrnehmen dürfe. Dies gelte allerdings nicht, wenn es um Aufgaben oder Pflichten gehe, die die Ausübung der Stellung als Datenschutzbeauftragter beeinträchtigten. Dies wäre insb. dann der Fall, wenn der Datenschutzbeauftragte im Rahmen seiner anderen Aufgaben die Zwecke und Mittel der Verarbeitung personenbezogener Daten beim Verantwortlich festlegen würde.
DSGVO Art. 38 Abs. 3 Satz 2, Abs. 6
Das Problem
§ 6 Abs. 4 BDSG legt fest, dass der Datenschutzbeauftragte nur aufgrund eines wichtigen Grundes abberufen werden kann. In zwei deutschen Unternehmen kam es unabhängig voneinander wegen der Abberufung zu Konflikten mit dem jeweiligen Datenschutzbeauftragten. Im Fall C-453/21 war der Datenschutzbeauftragte einer GmbH auch gleichzeitig Vorsitzender des Betriebsrats und stellvertretender Vorsitzender des Gesamtbetriebsrats der Muttergesellschaft. Auf Ersuchen des Thüringer Landesbeauftragten für Datenschutz wurde der Datenschutzbeauftragte im Dezember 2017 aufgrund des durch seine Doppelfunktion bestehenden Interessenkonflikts abberufen. Im Verfahren C-560/21 wurde der Datenschutzbeauftragte einer Körperschaft des öffentlichen Rechts mit der Begründung abberufen, dass ein Interessenkonflikt mit seiner sonstigen beruflichen Tätigkeit bestand, in deren Rahmen er Finanzdaten von Bürgern verarbeitete.Beide Beauftragte erhoben Klage. Während im Fall C-453/21 die Arbeitgeberin in den Vorinstanzen Recht bekam, obsiegte im Fall C-560/21 der Datenschutzbeauftragte. In beiden Verfahren wurde Revision beim BAG eingelegt. Dieses kam zu dem Schluss, dass die Entscheidungen von der Auslegung des Art. 38 Abs. 3 Satz 2 DSGVO, bzw. im Fall C-453/21 auch des Art. 38 Abs. 6 DSGVO abhingen. Daher setzte es die Verfahren aus und legte dem EuGH entsprechende Auslegungsfragen zur Vorabentscheidung vor.
Die Entscheidung des Gerichts
Abberufungsschutz der DSGVO: Unionsrecht sei nicht nur anhand des Wortlauts einer Norm auszulegen, sondern es sei auch der Gesamtkontext sowie die mit dem zugrunde liegenden Rechtsakt verfolgten Zwecke und Ziele zu berücksichtigen. Aus der Entscheidung EuGH v. 22.6.2022 – C-534/20 ergebe sich, dass Art. 38 Abs. 3 Satz 2 DSGVO den Datenschutzbeauftragten vor einer Abberufung schützen solle, die als Sanktion oder sonstigen Nachteil gegen ihn zu verstehen sei. Außerdem gelte Art. 38 Abs. 3 Satz 2 DSGVO für jeden Datenschutzbeauftragten, unabhängig davon, ob dieser beim Verantwortlichen angestellt sei oder aufgrund eines Dienstleistungsvertrages tätig werde. Auch dürfe der Datenschutzbeauftragte nicht aufgrund der Erfüllung seiner Aufgaben abberufen werden. All diese Punkte seien notwendig, um die unabhängige Stellung des Datenschutzbeauftragten aufrecht zu erhalten.Strengere Regeln der Mitgliedsstaaten: Art. 38 Abs. 3 Satz 2 DSGVO erlaube grundsätzlich eine nationale Regelung für die Abberufung des Datenschutzbeauftragten. Dies dürfe aber nicht die Wirkung einer Sanktion auf den Datenschutzbeauftragten haben. Aus dem Schutz der Position des Datenschutzbeauftragten durch Art. 38 Abs. 3 Satz 2 DSGVO lasse sich allerdings nicht ableiten, dass die einzelnen Mitgliedsstaaten keine strengeren Regeln für die Abberufung aufstellen dürften. Diese Regelungen müssten auch mit der DSGVO vereinbar sein und dürften zudem nicht zu einer Beeinträchtigung der Ziele der DSGVO führen. Dies wäre z.B. der Fall, wenn eine nationale Regelung die Abberufung eines Datenschutzbeauftragten verbiete, obwohl dieser seine Aufgaben nicht im Einklang mit der DSGVO erfülle. Eine Beeinträchtigung der Verwirklichung der Ziele der DSGVO liege ebenfalls vor, wenn die Abberufung des Datenschutzbeauftragten verhindert würde, obwohl er seine Aufgaben aufgrund eines Interessenkonflikts nicht in völliger Unabhängigkeit erfüllen könne.
Interessenkonflikt: Nach dem Wortlaut des Art. 38 Abs. 6 DS-GVO sei zunächst festzustellen, dass der Datenschutzbeauftragte auch andere Aufgaben und Pflichten beim Verantwortlichen wahrnehmen dürfe. Dies gelte allerdings nicht, wenn es um Aufgaben oder Pflichten gehe, die die Ausübung der Stellung als Datenschutzbeauftragter beeinträchtigten. Dies wäre insb. dann der Fall, wenn der Datenschutzbeauftragte im Rahmen seiner anderen Aufgaben die Zwecke und Mittel der Verarbeitung personenbezogener Daten beim Verantwortlich festlegen würde.