EuGH: Datenschutzbeauftragter – Abberufung

DSGVO: Art 38

Nach Art 38 Abs 3 Satz 2 DSGVO darf „[d]er Datenschutzbeauftragte … von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden“. Es steht jedem Mitgliedstaat frei, in Ausübung seiner vorbehaltenen Zuständigkeit besondere, strengere Vorschriften für die Abberufung eines Datenschutzbeauftragten vorzusehen, sofern diese mit dem Unionsrecht und insb mit der DSGVO (va Art 38 Abs 3 Satz 2 DSGVO) vereinbar sind. Insb darf ein strengerer Schutz die Verwirklichung der Ziele der DSGVO nicht beeinträchtigen. Dies wäre etwa der Fall, wenn dieser Schutz jede Abberufung eines Datenschutzbeauftragten verböte, der nicht mehr die erforderliche berufliche Qualifikation für die Erfüllung seiner Aufgaben besitzt, seine Aufgaben nicht im Einklang mit der DSGVO erfüllt oder der aufgrund eines Interessenkonflikts seine Aufgaben nicht oder nicht mehr in vollständiger Unabhängigkeit wahrnehmen könnte. Art 38 Abs 3 Satz 2 DSGVO steht einer nationalen Regelung nicht entgegen, nach der der beschäftigte Datenschutzbeauftragter nur aus wichtigem Grund abberufen werden kann, auch wenn die Abberufung nicht mit der Erfüllung seiner Aufgaben zusammenhängt, sofern diese Regelung die Verwirklichung der Ziele der DSGVO nicht beeinträchtigt.

Nach Art 38 Abs 6 DSGVO „[kann] [d]er Datenschutzbeauftragte andere Aufgaben und Pflichten wahrnehmen. Der Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.“ Ein „Interessenkonflikt“ iSd Art 38 Abs 6 DSGVO kann bestehen, wenn einem Datenschutzbeauftragten andere Aufgaben oder Pflichten übertragen werden, die ihn dazu veranlassen würden, die Zwecke und Mittel der Verarbeitung personenbezogener Daten bei dem Verantwortlichen oder seinem Auftragsverarbeiter festzulegen. Nach den Datenschutzvorschriften der Union oder der Mitgliedstaaten muss der Datenschutzbeauftragte die Überwachung dieser Zwecke und Mittel nämlich unabhängig durchführen können. Ob ein Interessenkonflikt iSv Art 38 Abs 6 DSGVO vorliegt (hier: behaupteter Interessenkonflikt, weil der Datenschutzbeauftragte auch Betriebsratsvorsitzender ist), muss das nationale Gericht im Einzelfall auf der Grundlage einer Würdigung aller relevanten Umstände feststellen, insb der Organisationsstruktur des Verantwortlichen oder seines Auftragsverarbeiters, und im Licht aller anwendbaren Rechtsvorschriften, einschließlich etwaiger interner Vorschriften des Verantwortlichen oder des Auftragsverarbeiters.

EuGH 9. 2. 2023, C-453/21, X-FAB Dresden