Der besondere datenschutzrechtliche Kündigungsschutz gilt auch für den stellvertretenden Datenschutzbeauftragten
Inhaltsverzeichnis
Für einen Datenschutzbeauftragten gilt ein besonderer Kündigungsschutz und das aus gutem Grund, denn innerbetrieblich kann es durchaus mal zu Meinungsunterschieden zwischen dem bestellten Datenschutzbeauftragten und Verantwortungsträgern im Unternehmen, insbesondere der Geschäftsführung kommen. Der besondere Kündigungsschutz des Datenschutzbeauftragten ist damit ein Element, das Repressalien des Arbeitgebers verhindern, die Unabhängigkeit des Datenschutzbeauftragten gewährleisten und die Einhaltung von Betroffenenrechten sicherstellen soll.Doch gilt dieser besondere Kündigungsschutz auch für stellvertretende Datenschutzbeauftragte? Ja, sagt das Landesarbeitsgericht Hamburg in seinem Berufungsurteil vom 21.07.2016: Auch der stellvertretende Datenschutzbeauftragte wird vom Sonderkündigungsschutz gemäß § 4f III 5 u. 6 BDSG erfasst.
Kündigungsschutz des Beauftragten für den Datenschutz
Die zentrale Norm zur Beurteilung des datenrechtlichen Kündigungsschutzes für Datescnhutzbeauftragte ist § 4 f I BDSG. Er regelt den besonderen Kündigungsschutz des gesetzlich bestellten Beauftragten für den Datenschutz. Nach der Abberufung als betrieblicher Datenschutzbeauftragter wirkt dieser besondere Kündigungsschutz gemäß § 4f Abs. 3 S. 6 BDSG innerhalb eines Jahres nach Beenden der Bestellung nach:
"Nach der Abberufung als Beauftragter für den Datenschutz ist die Kündigung innerhalb eines Jahres nach der Beendigung der Bestellung unzulässig, es sei denn, dass die verantwortliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist."
Interne betriebliche Datenschutzbeauftragte befinden sich während ihrer Amtszeit stets in einem Spannungsfeld zwischen der Sorge um die Einhaltung und die Verbesserung des Datenschutzes und den Interessen des Arbeitgebers. Der nachwirkende Sonderkündigungsschutz soll eine unbelastete Aufgabenwahrnehmung gewährleisten.
Der Stellvertreter ist „kein Datenschutzbeauftragter 2. Klasse“
Das LAG Hamburg urteilte in seiner Entscheidung (LAG Hamburg, Urt. v. 21.07.2016 - Az.: 8 Sa 32/16), dass auch der stellvertretende Beauftragte für den Datenschutz gemäß § 4f Abs. 3 S. 5 BDSG erfasst wird, sofern zwei Voraussetzungen erfüllt sind:
- Erste Voraussetzung ist, dass der Datenschutzbeauftragte bestellt wurde. Diese Pflicht folgt grundsätzlich aus § 4f Abs. 1 BDSG für öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten. Die Pflicht des Arbeitgebers zur Bestellung eines stellvertretenden Datenschutzbeauftragten besteht, wenn Aufgaben im Bereich des Unternehmensdatenschutzes anstehen und der (Haupt-)Datenschutzbeauftragte diese aufgrund einer längerfristigen Verhinderung nicht wahrnehmen kann. Das kann auch der Fall sein bei Konzerndatenschutzbeauftragten, die gleichzeitig für mehrere Unternehmen verantwortlich sind. Auch bei längerer Abwesenheit kann der Datenschutzbeauftragte den Schutz der Rechte und Freiheiten der betroffenen Personen nicht mehr sicherstellen, so zum Beispiel während der Elternzeit. Ein Stellvertreter soll die Funktion dann übernehmen.
- Zweite Voraussetzung, damit der besondere Kündigungsschutz auch beim stellvertretendem Datenschutzbeauftragten greift, ist, dass während der Verhinderung des Datenschutzbeauftragten, der Stellvertreter dessen Tätigkeit auch tatsächlich übernommen.
Sind beide Voraussetzungen erfüllt, wird der stellvertretende Datenschutzbeauftragte vom Sonderkündigungsschutz gemäß § 4f Abs. 3 S. 5 und 6 BDSG erfasst. Dies ergibt eine am Schutzzweck der Norm orientierte Auslegung der datenschutzrechtlichen Vorschriften und bezweckt nicht zuletzt, die Unabhängigkeit des stellvertretenden Datenschutzbeauftragten zu wahren.
Praxistipp für Unternehmen
Ausweg externer Datenschutzbeauftragter
Das Landesarbeitsgericht macht in seiner Entscheidung klar, dass zeitnah eine Vertretung zu organisieren ist, um einen „kontrollfreie Situation“ zu vermeiden:
“ […] (es) besteht gleichwohl ein Bedürfnis, eine kontrollfreie Situation zu vermeiden, wenn der Beauftragte für den Datenschutz an einer Amtsausübung gehindert ist.“
Um nicht eine ohne Not weitere Arbeitsverhältnisse mit Sonderkündigungsschutzrechten zu generieren, empfehlen wir die Bestellung eines externen Datenschutzbeauftragten, der die angemessene Vertretung gewährleisten kann. Die Regelungen des § 4 f Abs. 3 S. 5 u. 6 BDSG gelten nicht für den externen Datenschutzbeauftragten.
Gleiches gilt für die Bestellung eines (Haupt-) Datenschutzbeauftragten
Müssen Unternehmen einen Datenschutzbeauftragten nach aus § 4f Abs. 1 S. 1 BDSG bestellen, haben sie stets die Wahl.
Entweder bestimmen sie einen internen Mitarbeiter, den sie zum Datenschutzbeauftragten ausbilden und anschließend regelmäßig schulen, oder sie entscheiden sich für einen für externen Datenschutzspezialisten und machen sich dessen Know-how und Erfahrung zu Nutze.
Exkurs: Interner versus Externer Datenschutzbeauftragter
Die Vorteile eines internen betrieblichen Datenschutzbeauftragten bestehen vor allem darin, dass
- der oder die Datenschutzbeauftragte in der Organisation verwurzelt sind und die Beschäftigten sowie die Prozesse des Unternehmens gut kennen
Die Vorteile des externen Datenschutzbeauftragten liegen in
- der sofortigen Einsetzbarkeit (besonders für Stellvertretung relevant)
- den umfassenden und vertieften Kenntnissen des Datenschutzrechts sowie dem passenden „Methodenkoffer“ nebst Standarddokumenten
- dem Dienstleistungscharakter, der sich in Verfügbarkeit und Servicequalität niederschlägt
Die kommende europaweite Datenschutzgrundverordnung legt die Messlatte für die Leistungsfähigkeit und Kompetenz des internen betrieblichen Datenschutzbeauftragten höher, als es das Bundesdatenschutzgesetz bisher vorgesehen hatte. Art. 37 Abs. 5 DSGVO spricht davon, dass es sich bei dem internen Datenschutzbeauftragten um einen „Experten im Datenschutzrecht“ handeln müsse.
„The data protection officer shall be designated on the basis of professional qualities and, in particular, expert knowledge of data protection law and practices and the ability to fulfil the tasks referred to in Article 39.”
Diese Voraussetzungen der EU-Datenschutzgrundverordnung zu erfüllen wird in Zukunft nur noch durch intensive, regelmäßige und teure Schulungen zu erreichen sein. Nicht jeder hat das Zeug zum Experten für Recht und Technik.
Zu den rechtlichen Aspekten treten zudem die notwendigen technischen Anforderungen, über den der Datenschutzbeauftragte verfügen muss. In diesem Zusammenhang sind beispielsweise Kenntnisse im Umgang mit den Standards ISO27001, BS10012, PCI DSS, SANS20 nicht nur hilfreich, sondern auch erforderlich.
Bewährt haben sich daher bereits hybride Modelle, bei denen ein qualifizierter externer Datenschutzbeauftragter als „Single Point of Contact“ bestellt wird, dem im Unternehmen ein oder mehrere Ansprechpartner in den jeweiligen Fachabteilungen zur Seite stehen und die einen reibungslosen Kommunikationsablauf sowie eine Umsetzung von Empfehlungen an der richtigen Stelle gewährleisten können. Auf diese Weise kann man die Nähe zum und Verwurzelung im Unternehmen mit externem Expertenwissen verknüpfen, ohne sich langfristig an eine oder wenige Personen binden zu müssen.
