Karsten Füllhaase

Benennung von Datenschutzbeauftragten – Unabhängigkeit nur mit Bindung für die Ewigkeit möglich?

Stellt eine befristete Benennung im Lichte des Abberufungs- bzw. Benachteiligungsverbotes die Unabhängigkeit einer oder eines Datenschutzbeauftragten in Frage?

Art. 38 Abs. 3 S. 2 DSGVO sieht vor, dass die Datenschutzbeauftragten weder vom Verantwortlichen noch vom Auftragsverarbeiter wegen der Erfüllung der mit der Funktion verbundenen Aufgaben abberufen oder benachteiligt werden dürfen. Das Bundesdatenschutzgesetz (BDSG) konkretisiert diesen Schutz für verpflichtend benannte Datenschutzbeauftragte durch ein Kündigungsverbot in § 6 Abs. 4 BDSG für Datenschutzbeauftragte öffentlicher Stellen und § 39 Abs. 2 BDSG für Datenschutzbeauftragte nicht-öffentlicher Stellen. Beide Rechtsvorschriften dienen der Gewährleistung der Unabhängigkeit der oder des Datenschutzbeauftragten.

Ziel ist es, dass Datenschutzbeauftragte weisungsfrei ihren gesetzlichen Aufgaben nachkommen können sollen, ohne befürchten zu müssen, von Arbeit- oder Auftraggeber diesbezüglich durch die drohende Beendigung ihrer Stellung beeinflusst zu werden. Dies ist im Sinne eines effektiven Datenschutzes von besonderer Bedeutung, da Datenschutzbeauftragte andernfalls die gleichen Zielkonflikte berücksichtigen müssen wie der Verantwortliche oder Auftragsverarbeiter selbst sowie sich ggf. deren Wertungen zu eigen machen müssten. Der Fokus der Datenschutzbeauftragten ist jedoch allein auf die Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten gerichtet und gerade nicht auf etwaige andere strategische Überlegungen. Aus diesem Grund müssen Datenschutzbeauftragte unabhängig von der Haltung und Motivation des Verantwortlichen bezüglich der Verarbeitung der personenbezogenen Daten in Unabhängigkeit und Weisungsfreiheit ihre Einschätzungen unter Berücksichtigung des Risikos für die betroffenen Personen vornehmen können.

Handelt es sich bei dieser Unabhängigkeit jedoch um eine vollständige Unabhängigkeit der Datenschutzbeauftragten?

Das Verwaltungsgericht Stuttgart hat mit Urteil vom 11.11.2021 (Az. 11 K 17/21) festgestellt, dass dies nicht so sei. Eine vollständige Unabhängigkeit bei der Aufgabenwahrnehmung komme ausschließlich den Datenschutzaufsichtsbehörden zu, während Datenschutzbeauftragte inhärent von ihrer Rechtsbeziehung zum Verantwortlichen bzw. Auftragsverarbeiter überlagert und beeinflusst würden. Vor diesem Hintergrund kommt das VG Stuttgart in seiner Entscheidung zu dem Ergebnis, dass eine Befristung der Benennung trotz der §§ 6 Abs. 4, 39 Abs. 2 BDSG für interne Datenschutzbeauftragte gleichwohl nicht von vornherein vollständig abgelehnt werden kann. Selbst wenn diese Entscheidung formaljuristisch zutreffend sein sollte, unterläuft sie – jedenfalls bei kurzfristigen Befristungen – die Zielsetzungen der Schutzregelungen und der Funktion des Datenschutzbeauftragten.

Aber bedeutet dies im Umkehrschluss, dass sich kurzfristige Benennung an kurzfristige Benennung interner Datenschutzbeauftragter reihen oder bei externen Datenschutzbeauftragten beliebig kurze befristete Verträge geschlossen werden können, ohne dass die relative Unabhängigkeit der benannten Datenschutzbeauftragten in Zweifel gezogen werden kann?

Nein, sicherlich nicht – sowohl die Rahmenbedingungen einer internen Benennung als auch die Vertragsbedingungen einer externen Benennung sind aus Sicht des BvD immer an den Maßstäben eines effektiven Datenschutzes auszurichten. Kurzfristige Benennungsverhältnisse stehen einem effektiven Datenschutz jedoch grundsätzlich entgegen. Kurze Laufzeiten der Rechtsverhältnisse zum Verantwortlichen oder Auftragsverarbeiter würden dazu führen, dass, sowohl für interne als auch externe Datenschutzbeauftragte, die Position des benannten Datenschutzbeauftragten, insbesondere kurz vor dem geplanten Ende der jeweiligen Befristung, ggf. erheblich geschwächt werden können.

Kann die Aneinanderreihung befristeter Benennungen von Datenschutzbeauftragten aus der Sicht der DSGVO der Pflichterfüllung genügen?

Jedenfalls nicht, wenn mit der Aneinanderreihung einhergeht, dass aufgrund faktisch fehlender Unabhängigkeit der Datenschutzbeauftragten die durch Artt. 37 bis 39 DSGVO ausgeformte Funktion der Datenschutzbeauftragten nicht ausgefüllt ist. In diesen Konstellationen wird die Frage im Raum stehen, ob der Verantwortliche mit seiner Benennungspraxis überhaupt je seine Benennungspflicht eines Datenschutzbeauftragten erfüllt hat, wenn er faktisch das Ausfüllen der Rolle und die Aufgabenerfüllung des DSB verhindert hat. Auch diese Form der Nichtbenennung muss bußgeldsanktioniert sein.

In Einzelfällen kann jedoch auch eine kurzfristige Benennung einer oder eines Datenschutzbeauftragten durchaus das Mittel der Wahl darstellen. Derartige Ausnahmefälle können sich durch plötzliche temporäre Ausfälle der oder des Datenschutzbeauftragten aus unterschiedlichen Gründen ergeben. Aber auch in derartigen Ausnahmekonstellationen ist im Sinne eines effektiven Datenschutzes zu prüfen, auf welche Weise eine fachlich qualifizierte Interims-Lösung gewährleistet werden kann.

Fazit

Kurze Befristungen der Benennung von Datenschutzbeauftragten sind in den meisten Fällen für einen effektiven Datenschutz schädlich, können aber in wenigen Ausnahmefällen die einzig sinnvolle Option sein.