§ 12 Datenschutzrecht / 4. Ernennung des Datenschutzbeauftragten

Rz. 39

Bei einer Ernennung muss zwischen den Positionen eines internen Datenschutzbeauftragten und eines externen Datenschutzbeauftragten unterschieden werden.

Rz. 40

Der externe Datenschutzbeauftragte sollte auf Grundlage eines Dienstleistungsvertrags beauftragt werden. Diese Vereinbarung kann grundsätzlich auch mit einem Unternehmen abgeschlossen werden, das dann für den Verantwortlichen einen Datenschutzbeauftragten stellt. Die für den Verantwortlichen als Datenschutzbeauftragter tätige natürliche Person muss dann noch gesondert ernannt werden.

Rz. 41

Aufsichtsbehörden für den Datenschutz verlangen, dass zunächst eine Mindestbestelldauer von ca. zwei Jahren vorzusehen ist, damit der Datenschutzbeauftragte ausreichend Zeit hat, sich mit den Datenverarbeitungen vertraut zu machen und entsprechende Kontrollen durchzuführen. Durch die Mindestbestelldauer soll vermieden werden, dass die Unabhängigkeit der Aufgabenwahrnehmung leidet.

Rz. 42

Sowohl der externe als auch der interne Datenschutzbeauftragte dürfen generell nicht wegen Erfüllung ihrer Aufgaben abberufen werden.

Rz. 43

Bei der Bestellung des internen Datenschutzbeauftragten ist eine entsprechende Ergänzung des Arbeitsvertrags vorzunehmen. Der interne Datenschutzbeauftragte ist nach dem BDSG noch besonders abgesichert. Eine Abberufung ist nur unter entsprechender Anwendung der Regeln zur fristlosen Kündigung eines Dienstverhältnisses nach § 626 BGB zulässig.^[19] Dies ist etwa bei einem schwerwiegenden Verstoß gegen seine Pflichten, etwa bei einer Verletzung der Vertraulichkeitspflicht, denkbar. Zudem genießt der interne Datenschutzbeauftragte einen besonderen Kündigungsschutz. Nach § 38 Abs. 2 BDSG i.V.m. § 6 Abs. 4 S. 2 BDSG ist die ordentliche Kündigung eines Arbeitnehmers, der als Datenschutzbeauftragter benannt ist, ausgeschlossen. Dies gilt auch noch für einen Zeitraum von einem Jahr nach dem Ende der Tätigkeit als Datenschutzbeauftragter. Daher ist es in der Praxis fast unmöglich, eine Abberufung eines unbefristet bestellten internen Datenschutzbeauftragten vorzunehmen. Vor diesem Hintergrund ist es aus Sicht des Unternehmens empfehlenswert, eine zeitliche Beschränkung der Bestellung eines Datenschutzbeauftragten vorzusehen. Diese Beschränkung darf nicht so gewählt werden, dass die Tätigkeitsdauer unverhältnismäßig kurz ist. Es empfiehlt sich eine Beschränkung der Ernennung als Datenschutzbeauftragter auf vier Jahre.

[19] Das BAG hat dem EuGH die Frage zur Vorabprüfung vorgelegt, ob diese nationale Regelung im Einklang mit der DSGVO steht (vgl. BAG, Vorlagebeschl. v. 30.7.2020 – 22 AZR 225/20).