Update: Reichweite des Kündigungs- und Abberufungsschutzes des Datenschutzbeauftragten – Unvereinbarkeit mit Vorsitz des Betriebsrates

Das Zusammenspiel von europäischem Recht und nationalem Recht in Bezug auf die rechtliche Stellung des Datenschutzbeauftragten („DSB“) beschäftigte wiederholt sowohl das BAG als auch den EuGH in den letzten Jahren. Nachdem am 22. Juni 2022 der EuGH (Az. C-534/20) entschied, dass der Kündigungsschutz nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 S. 2 BDSG mit den europäischen Vorgaben aus Art. 38 Abs. 3 S. 2 DSGVO vereinbar ist, folgte der BAG diesem Urteil in seiner Entscheidung vom 25. August 2022 (Az. 2 AZR 225/20) und erklärte, dass die Ziele der DSGVO insoweit nicht durch den Kündigungsschutz beeinträchtigt werden. Zuletzt galt es für den EuGH und das BAG zu klären, ob auch die strengen Anforderungen an die Abberufung eines DSB gem. § 6 Abs. 4 S. 1 BDSG europarechtskonform sind.

Ferner hat das BAG festgestellt, dass die Tätigkeit als Betriebsratsvorsitzender unvereinbar mit der Rolle des DSB ist, mithin eine Abberufung aufgrund Interessenkonflikts rechtmäßig ist.

I. Reminder: BAG-Urteil zur (Un-) Wirksamkeit einer ordentlichen Kündigung des DSB

Im Rahmen seiner Entscheidung über die ordentliche Kündigung eines DSB durch eine privatrechtlich organisierte Gesellschaft als Arbeitgeber stellte sich dem BAG zunächst die Frage, ob der nationale Sonderkündigungsschutz des BDSG mit dem Unionsrecht vereinbar ist. Nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 S. 2 BDSG steht dem DSB nach deutschem Recht ein Sonderkündigungsschutz zu, wonach diesem nur aus wichtigem Grund (und somit nicht ordentlich) gekündigt werden kann. Die Vereinbarkeit mit Unionsrecht konnte insofern bezweifelt werden, da nach diesem nationalen Sonderkündigungsschutz strengere Voraussetzungen an die Kündigung eines DSB angelegt werden als nach der datenschutzrechtlichen Abberufungsschutzregelung in Art. 38 Abs. 3 S. 2 DSGVO. Der EuGH kam zum Ergebnis, dass Art. 38 Abs. 3 S. 2 DSGVO einer nationalen Regelung nicht entgegensteht, nach der ein bei einem Verantwortlichen oder einem Auftragsverarbeiter beschäftigten DSB nur aus wichtigem Grund gekündigt werden kann, auch wenn die Kündigung nicht mit der Erfüllung seiner Aufgabe zusammenhängt, sofern diese Regelung die Verwirklichung der Ziele des DSGVO nicht beeinträchtigt.

Der EuGH legte auch die Grenze fest, wann eine solche Beeinträchtigung durch die nationalen Schutzvorschriften bei einer arbeitgeberseitigen Kündigung vorliegt. Diese ist erreicht, wenn der Kündigungsschutz

„jede durch einen Verantwortlichen oder einen Auftragsverarbeiter ausgesprochene Kündigung eines Datenschutzbeauftragten verböte, der nicht mehr die für die Erfüllung seiner Aufgabe erforderlichen beruflichen Eigenschaften besitzt oder seine Aufgaben nicht im Einklang mit der DSGVO erfüllt“

Begründet wird dieses Ergebnis mit dem Zweck der Regelung des DSGVO: Es soll die funktionelle Unabhängigkeit des DSB sowie die Wirksamkeit der Bestimmungen der DSGVO und damit ein hohes Datenschutzniveau gewährleistet werden. Dem gegenüber dienen die nationalen Regelungen des Kündigungsschutzes des DSB primär der Sozialpolitik.

Die Regelung im BDSG bewegt sich nach dem Urteil des BAG allerdings innerhalb dieser Grenzen, indem „nur“ die Erheblichkeitsschwelle des „wichtigen Grundes“ erreicht werden muss. Somit bleibt die ordentliche Kündigung eines DSB aufgrund des Sonderkündigungsschutzes ausgeschlossen.

In Bezug auf die deutsche Regelung wurde dadurch allerdings weiterhin nicht eindeutig geklärt, ob und wann eine Kündigung auf datenschutzrechtliche Gründe gestützt werden darf. Mit dem Verweis darauf, dass die Abberufung des DSB regelmäßig für die Sicherung der Ziele der DSGVO genüge und eine Kündigung dann nicht notwendig sei, deutet das BAG an, dass die Beeinträchtigung der DSGVO-Ziele allein nicht für eine Kündigung reichen würde. Damit erklärt das BAG, dass eine Abberufung des DSB aus seiner Rolle, die nach deutschem Recht ebenfalls das Vorliegen eines wichtigen Grundes erfordert, unterhalb der Schwelle der außerordentlichen Kündigung ausgesprochen werden kann. Ob und wenn ja, in welchen Fällen es eine Kündigung im Interesse des Datenschutzes – wie vom EuGH gefordert – für möglich hält, bleibt offen.

Daher werden die Arbeitsgerichte sich zukünftig insbesondere mit der Frage auseinanderzusetzen haben, wann die mangelnde Befähigung eines DSB bzw. die Nichterfüllung seiner Amtspflichten das Vorliegen eines zur Kündigung berechtigenden wichtigen Grundes begründet. Diesbezüglich hat das ArbG Heilbronn in seiner Entscheidung vom 29. September 2022 (Az. 8 Ca 135/22) bereits beurteilt, dass ein rein pflichtwidriges Verhalten des DSB nur zu arbeitsrechtlichen Sanktionen führen kann, wenn die Pflichtverletzung mit einem Fehlverhalten im Arbeitsverhältnis korreliert. Weitere Entscheidungen bleiben abzuwarten.

In dem Zusammenhang ist wichtig darauf hinzuweisen, dass nach dem LAG Sachsen (Urteil vom 17. März 2023 Az. 4 Sa 133/22) der stellvertretende DSB ebenfalls dem Sonderkündigungsschutz des BDSG unterliegt.

II. Weiterentwicklung der Rechtsprechung führt zu Klarheit hinsichtlich der Abberufung eines DSB

Die Frage der Vereinbarkeit des deutschen Rechts mit der DSGVO stellte sich dem BAG auch hinsichtlich der Abberufung des DSB gem. § 6 Abs. 4 S. 1 BDSG, da auch hier die nationale Regelung strengere Voraussetzungen anlegt als das Unionsrecht. Im konkreten Fall wurde der DSB mit der Begründung abberufen, dass ein Interessenkonflikt vorliegt, wenn der DSB zugleich Betriebsratsvorsitzender ist. Auch in diesem Verfahren setzte das BAG das Verfahren aus und legte dem EuGH die folgende Frage zur Vorabentscheidung vor:

„Ist Art. 38 Abs. 3 S. 2 DS-GVO dahin auszulegen, dass er einer Bestimmung des nationalen Rechts, wie hier § 38 Abs. 1, 2 iVm § 6 Abs. 4 S. 1 BDSG, entgegensteht, die die Abberufung des Datenschutzbeauftragten durch den Verantwortlichen, der sein Arbeitgeber ist, an die dort genannten Voraussetzungen knüpft, unabhängig davon, ob sie im Wege der Erfüllung seiner Aufgaben erfolgt?“

Der EuGH kam am 9. Februar 2023 (Az. C-560/21) (wieder) zu dem Ergebnis, dass Art. 38 DSGVO nicht einer nationalen Regelung entgegensteht, nach der ein bei einem Verantwortlichen oder einem Auftragsverarbeiter beschäftigter DSB nur aus wichtigem Grund abberufen werden kann, auch wenn die Abberufung nicht mit der Erfüllung seiner Aufgabe zusammenhängt, sofern diese Regelung die Verwirklichung der Ziele der DSGVO nicht beeinträchtigt.

Insoweit kann von einer Fortführung der Rechtsprechung zum Sonderkündigungsschutz gesprochen werden. Dies zeigt sich auch insoweit, dass der Wortlaut der EuGH-Entscheidungen nahezu vollständig übereinstimmt. Zudem wird zur Begründung ebenfalls auf die Ziele der DSGVO abgestellt, die funktionelle Unabhängigkeit des DSB zu wahren und die Wirksamkeit der Bestimmungen der DSGVO zu gewährleisten. Auch hinsichtlich der festgelegten Grenzen wird die Parallele zur Entscheidung vom 22. Juni 2022 deutlich, sodass auch hier ein strengerer nationaler Schutz nicht zulässig ist, wenn jede durch einen Verantwortlichen oder einen Auftragsverarbeiter ausgesprochene Abberufung eines DSB verboten würde, der nicht mehr die für die Erfüllung seiner Aufgaben erforderlichen beruflichen Eigenschaften besitzt oder seine Aufgaben nicht im Einklang mit der DSGVO erfüllt.

III. Die Entscheidung des BAG: Keine Beeinträchtigung der Ziele der DSGVO durch Abberufungsregelung

Erwartungsgemäß ist das BAG in seinem Urteil vom 6. Juni 2023 (Az. 9 AZR 621/19) dieser Entscheidung des EuGH gefolgt und hat festgestellt, dass keine Beeinträchtigung der Verwirklichung der Ziele der DSGVO vorliegen. Die Voraussetzungen, unter denen der DSB rechtswirksam abberufen werden kann, würden zwar auf die Schwelle des „wichtigen Grundes“ erhöht, aber nicht vollständig unmöglich gemacht oder unzumutbar erschwert. Um zu unterstreichen, dass ein DSB nicht vor jedem Verlust seiner Rechtsstellung geschützt ist, führt das BAG die Möglichkeit eines Abberufungsverlangens durch die Aufsichtsbehörden der Länder nach § 40 Abs. 6 S. 2 BDSG an. In diesem Zusammenhang ergänzt das BAG, dass die Kündigung des Arbeitsverhältnisses eines DSB neben dessen Abberufung regelmäßig nicht nötig sei.

Darüber hinaus gibt das BAG Beispiele für „wichtige Gründe“:

• Dazu zählen Gründe, die mit der Funktion und Tätigkeit des Datenschutzbeauftragten zusammenhängen und eine weitere Ausübung dieser Tätigkeit unmöglich machen oder sie zumindest erheblich gefährden (z.B. Geheimnisverrat oder eine dauerhafte Verletzung der Kontrollpflichten als Datenschutzbeauftragter).
• Auch kann die Beendigung des zugrundeliegenden Arbeitsverhältnisses als wichtiger Grund verstanden werden.
• Zudem kann ein wichtiger Grund angenommen werden, wenn der DSB nicht die für die Aufgabenerfüllung erforderliche Fachkunde oder Zuverlässigkeit besitzt. Speziell über diese Fallgruppe stellt das BAG die Konformität mit der DSGVO her, denn bei der Prüfung, ob Fachkunde und Zuverlässigkeit fehlen, kommt es darauf an, ob durch den weiteren Einsatz des DSB eine (weitere) Verletzung von datenschutzrechtlichen Bestimmungen und damit eine Beeinträchtigung der von der DSGVO verfolgten Ziele droht.

Im konkreten Fall entschied das BAG, dass insbesondere ein Interessenkonflikt die Zuverlässigkeit des DSB in Frage stellen kann. In Anlehnung an die Entscheidung des EuGH stellte das BAG fest, dass ein abberufungsrelevanter Interessenkonflikt regelmäßig dann vorliege, wenn der DSB zugleich eine Position bekleidet, die die Festlegung von Zwecken und Mitteln der Verarbeitung personenbezogener Daten zum Gegenstand hat. Dies wiederum ist im Rahmen einer Einzelfallwürdigung unter Berücksichtigung der Organisationsstruktur und der internen Vorschriften der jeweiligen Einrichtung zu prüfen. Der konkrete Fall des BAG ist daher an das LAG Sachsen zurückverwiesen worden, um insbesondere die für die Einzelfallwürdigung notwendigen Informationen zu ermitteln. Dahingehend ist die Rechtsprechung weiter zu beobachten.

IV. Interessenkonflikt, wenn DSB gleichzeitig auch Betriebsratsvorsitzender ist

Der BAG befasste sich in einem weiteren Urteil vom 6. Juni 2023 (Az. 9 AZR 383/19) mit einem Fall, in dem der Betriebsratsvorsitzende zusätzlich zu seinem Ehrenamt als DSB eingesetzt war. Auf ein Schreiben vom Thüringer Landesbeauftragten für Datenschutz und Informationsfreiheit hin wurde der Betriebsratsvorsitzende aufgrund eines Interessenkonflikts als DSB abberufen. Für das BAG galt es zu klären, inwieweit tatsächlich ein Interessenkonflikt vorlag. Grundsätzlich kann der DSB auch zusätzliche Aufgaben und Pflichten wahrnehmen. Eine Grenze wird überschritten, wenn der DSB Positionen bekleidet, in denen die Festlegung von Zwecken und Mitteln der Verarbeitung personenbezogener Daten (auch) zum Aufgabengebiet gehört.

Das war vorliegend der Fall. Per Gremiumsbeschluss wird im Betriebsrat im Rahmen verschiedener Beteiligungs- und Mitbestimmungsrechte, z.B. nach § 87 Abs. 1 Nr. 6 BetrVG, entschieden, unter welchen konkreten Umstände der Betriebsrat personenbezogene Daten vom Arbeitgeber anfordert und auf welche Weise diese anschließend verarbeitet werden. Die Aufgabe des DSB umfasst demgegenüber die Kontrolle der Datenverarbeitungen des Arbeitgebers und damit auch etwaiger Datenübermittlungen an den Betriebsrat. Insoweit wäre der DSB im konkreten Fall z.B. verpflichtet, das Schutzkonzept des Betriebsrates auf die Einhaltung datenschutzrechtlicher Anforderungen in Bezug auf Datenübermittlungen des Arbeitgebers zu kontrollieren, welche er selbst als Vorsitzender des Betriebsrates veranlasst hätte. Hieraus und aus weiteren Tätigkeiten, in dem ein Betriebsratsvorsitzender über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, ergibt sich nach Auffassung des BAG ein unauflösbarer Interessenkonflikt, sodass die funktionelle Unabhängigkeit des DSB nicht mehr gewahrt wird und ein Abberufungsgrund vorliegt.

Ob dies auch auf das einzelne Betriebsratsmitglied übertragbar ist, bleibt vom BAG allerdings ungeklärt.

V. Konsequenzen für die Praxis

Das strenge deutsche Kündigungs- bzw. Abberufungsschutzrecht hält erneut einer europäischen Überprüfung stand. Der besondere Schutz vor Abberufung und Kündigung ist (noch) mit den europäischen Vorgaben vereinbar. Somit können Unternehmen in Deutschland, die zur Benennung eines DSB verpflichtet sind und hierfür einen internen DSB benannt haben, das Arbeitsverhältnis jedenfalls nicht ordentlich kündigen und auch im Falle der Abberufung muss der Arbeitgeber einen wichtigen Grund im Sinne des § 626 BGB vorweisen, der nicht zwingend mit der Erfüllung der Aufgabe des DSB zusammenhängen muss. Wann genau so ein wichtiger Grund jedoch angenommen werden kann, bleibt abgesehen von den wenigen genannten Beispielen (weiterhin) vage.

Unternehmen müssen insbesondere abwägen, ob ihnen die Abberufung des DSB – die das BAG als vorrangig gegenüber der Kündigung erachtet – unter Aufrechterhaltung des Arbeitsverhältnisses (noch) zumutbar ist.

Da die rechtlichen Hürden sowohl in Bezug auf die außerordentliche Kündigung als auch auf die Abberufung des DSB relativ hoch sind und zudem noch die oben beschriebenen Unklarheiten bestehen, dürften in der Praxis für Arbeitgeber weiterhin die befristete Benennung eines DSB oder der Einsatz eines externen DSB die rechtssichersten Instrumente bleiben, um die notwendige Flexibilität beim Einsatz des DSB zu bewahren.