Kündigung des Datenschutzbeauftragten

Die Kündigung eines Datenschutzbeauftragten ist der Punkt, an dem sich zeigt, ob die Unabhängigkeit der Rolle mehr ist als eine Formel. Der Gesetzgeber hat sie bewusst erschwert – und zwar so weitgehend, dass viele Unternehmen erst beim Versuch merken, worauf sie sich mit einer internen Benennung eingelassen haben.

Zwei Vorgänge, die verwechselt werden

Sauber zu trennen sind Abberufung und Kündigung. Die Abberufung beendet die Funktion als Datenschutzbeauftragter. Die Kündigung beendet das Arbeits- oder Dienstverhältnis. Beim internen Beauftragten sind das zwei Schritte mit unterschiedlichen Voraussetzungen; beim externen fällt beides zusammen, weil es kein Arbeitsverhältnis gibt.

Der interne Datenschutzbeauftragte

Hier gilt ein doppelter Schutz.

Die Abberufung ist nur unter den Voraussetzungen des § 626 BGB möglich – also nur aus wichtigem Grund, bei dem die Fortsetzung unzumutbar wäre. Das folgt aus § 38 Abs. 2 BDSG in Verbindung mit § 6 Abs. 4 BDSG. Unzufriedenheit mit der Arbeitsweise, ein zerrüttetes Verhältnis zur Geschäftsführung oder die Absicht, die Aufgabe künftig extern zu vergeben, reichen dafür nicht.

Die Kündigung des Arbeitsverhältnisses ist während der Bestellung ausgeschlossen, soweit nicht ein Grund zur außerordentlichen Kündigung vorliegt. Nach dem Ende der Benennung wirkt der Schutz ein Jahr nach.

Wichtig ist der Anwendungsbereich: Dieser Sonderkündigungsschutz greift, wenn eine Benennungspflicht besteht. Wer freiwillig benennt, ohne dazu verpflichtet zu sein, ist nicht in gleicher Weise gebunden – die Rechtsprechung dazu ist allerdings uneinheitlich, und die Frage, ob eine Pflicht bestand, lässt sich im Streitfall selten eindeutig beantworten. Wer freiwillig benennt, sollte das ausdrücklich festhalten.

Hinzu tritt Art. 38 Abs. 3 DSGVO: Der Beauftragte darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Wer abberuft, kurz nachdem der Beauftragte eine unbequeme Feststellung getroffen hat, trägt die Beweislast für einen anderen Grund.

Wann eine Abberufung trägt

In der Praxis kommen im Wesentlichen drei Konstellationen in Betracht:

Fehlende Fachkunde. Art. 37 Abs. 5 DSGVO verlangt Fachkunde, die zum Umfang der Verarbeitungen passt. Wächst das Unternehmen erheblich oder kommen neue Verarbeitungen hinzu, kann sie objektiv nicht mehr genügen. Das ist kein Vorwurf und deshalb der sauberste Weg.

Interessenkonflikt. Übernimmt die Person eine Aufgabe, die mit der Kontrollfunktion unvereinbar ist – IT-Leitung, Personalleitung, Geschäftsführung –, entsteht ein Konflikt, der die Rolle unzulässig macht.

Pflichtverletzung. Anhaltende Untätigkeit, Verletzung der Verschwiegenheit, offensichtlich falsche Beratung.

Nicht tragfähig ist dagegen das Argument, man wolle Kosten sparen oder die Aufgabe künftig anders organisieren. Der Wunsch, zu einem externen Dienstleister zu wechseln, ist kein wichtiger Grund im Sinne des § 626 BGB.

Der externe Datenschutzbeauftragte

Hier ist die Lage schlicht. Es handelt sich um einen Dienstvertrag; maßgeblich sind Laufzeit und Kündigungsfrist. Der Sonderkündigungsschutz greift nicht, weil er an das Arbeitsverhältnis anknüpft.

Das ist einer der Gründe, aus denen sich Unternehmen für die externe Besetzung entscheiden: Die Rolle bleibt unabhängig, ohne dass die Bindung dauerhaft ist. Die Abwägung im Einzelnen steht unter Wissen zum Datenschutzbeauftragten.

Zu beachten bleibt auch hier das Benachteiligungsverbot. Wer einen externen Beauftragten unmittelbar nach einer kritischen Feststellung kündigt, hat ein Begründungsproblem – nicht arbeitsrechtlich, aber gegenüber der Aufsicht.

Was in jedem Fall zu tun ist

Unabhängig davon, wie das Verhältnis endet: Die Rolle darf nicht unbesetzt bleiben, die Nachfolge ist der Aufsichtsbehörde zu melden, und die Unterlagen sind vollständig zu übergeben. Was dazugehört, steht unter Datenschutzbeauftragten wechseln; für eine Übergangszeit gibt es den Interim-Datenschutzbeauftragten.

Und ein Hinweis, der oft hilft: Wenn die Zusammenarbeit hakt, liegt es häufiger an der Ausstattung der Rolle als an der Person. Art. 38 Abs. 2 DSGVO verpflichtet das Unternehmen, die erforderlichen Ressourcen bereitzustellen und den Zugang zu Daten und Prozessen zu ermöglichen. Wer das nicht tut, bekommt keine bessere Arbeit, wenn er die Person austauscht. Für intern besetzte Rollen kann ein Coaching der wirtschaftlichere Weg sein.

Kontakt

Sie erwägen, sich von Ihrem Datenschutzbeauftragten zu trennen? Wir sagen Ihnen, ob das trägt und welcher Weg der saubere ist.