Volltextveröffentlichungen (2)

• Europäischer Gerichtshof

  KISA

  Vorlage zur Vorabentscheidung - Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten - Verordnung (EU) 2016/679 - Art. 38 Abs. 3 - Datenschutzbeauftragter - Verbot der Abberufung wegen der Erfüllung seiner Aufgaben - Erfordernis der funktionellen ...

• rechtsportal.de(Abodienst, kostenloses Probeabo)

  AEUV Art. 267 ; VO (EU) 2016/679 Art. 38 Abs. 3
  Vorlage zur Vorabentscheidung - Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten - Verordnung (EU) 2016/679 - Art. 38 Abs. 3 - Datenschutzbeauftragter - Verbot der Abberufung wegen der Erfüllung seiner Aufgaben - Erfordernis der funktionellen ...

Kurzfassungen/Presse

• lto.de (Kurzinformation)

  Verhältnis von BDSG und DSGVO: Abberufung von Datenschutzbeauftragten aus wichtigem Grund möglich

Besprechungen u.ä.

• datenschutzrecht-praxis.de (Entscheidungsbesprechung)

  Besonderer Abberufungsschutz für Datenschutzbeauftragte

Sonstiges (3)

• Europäischer Gerichtshof (Vorlagefragen)

  KISA

• Europäischer Gerichtshof (Verfahrensdokumentation)

  KISA

• EU-Kommission (Verfahrensmitteilung)

  Vorabentscheidungsersuchen

Papierfundstellen

• NJW 2023, 1048
• ZIP 2023, 713
• NZA 2023, 223

Wird zitiert von ... (2)Neu Zitiert selbst (1)

• EuGH, 22.06.2022 - C-534/20

  Leistritz - Vorlage zur Vorabentscheidung - Schutz natürlicher Personen bei der …

  Auszug aus EuGH, 09.02.2023 - C-560/21

  Nach ständiger Rechtsprechung sind bei der Auslegung von Unionsvorschriften nicht nur ihr Wortlaut entsprechend ihrem Sinn nach dem gewöhnlichen Sprachgebrauch, sondern auch ihr Zusammenhang und die Ziele zu berücksichtigen, die mit der Regelung, zu der sie gehören, verfolgt werden (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 18 und die dort angeführte Rechtsprechung).

  Insoweit hat der Gerichtshof in seinem Urteil vom 22. Juni 2022, Leistritz (C-534/20, EU:C:2022:495, Rn. 21), nachdem er zunächst festgestellt hat, dass in der DSGVO die Begriffe "abberufen", "benachteiligt" und "wegen der Erfüllung seiner Aufgaben" aus Art. 38 Abs. 3 Satz 2 nicht definiert werden, ausgeführt, dass erstens nach dem gewöhnlichen Sprachgebrauch das Verbot für den Verantwortlichen oder den Auftragsverarbeiter, einen Datenschutzbeauftragten abzuberufen oder zu benachteiligen, bedeutet, dass der Datenschutzbeauftragte vor jeder Entscheidung zu schützen ist, mit der sein Amt beendet würde, durch die ihm ein Nachteil entstünde oder die eine Sanktion darstellte.

  Zweitens gilt, wie der Gerichtshof ebenfalls festgestellt hat, Art. 38 Abs. 3 Satz 2 DSGVO gemäß Art. 37 Abs. 6 DSGVO gleichermaßen für Datenschutzbeauftragte, die Beschäftigte des Verantwortlichen oder des Auftragsverarbeiters sind, und für diejenigen, die ihre Aufgaben auf der Grundlage eines mit dem Verantwortlichen oder dem Auftragsverarbeiter geschlossenen Dienstvertrags erfüllen, so dass Art. 38 Abs. 3 Satz 2 DSGVO im Verhältnis zwischen einem Datenschutzbeauftragten und einem Verantwortlichen oder einem Auftragsverarbeiter unabhängig von der Art des sie verbindenden Beschäftigungsverhältnisses gilt (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 23 und 24).

  Drittens wird mit der letztgenannten Bestimmung eine Grenze gezogen, mit der die Abberufung eines Datenschutzbeauftragten aus Gründen, die sich auf die Erfüllung seiner Aufgaben beziehen, verboten wird; zu diesen Aufgaben gehört gemäß Art. 39 Abs. 1 Buchst. b DSGVO insbesondere die Überwachung der Einhaltung der Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten (vgl. in diesem Sinne Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 25).

  Diese Unabhängigkeit muss es ihnen notwendigerweise ermöglichen, diese Aufgaben im Einklang mit dem Ziel der DSGVO auszuüben, die, wie sich aus ihrem zehnten Erwägungsgrund ergibt, namentlich darauf abzielt, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck für eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung personenbezogener Daten zu sorgen (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 26 und die dort angeführte Rechtsprechung).

  Zweitens ergibt sich das in Art. 38 Abs. 3 Satz 2 DSGVO genannte Ziel, die unabhängige Stellung des Datenschutzbeauftragten zu gewährleisten, auch aus Art. 38 Abs. 3 Satz 1 und Satz 3 DSGVO, wonach der Datenschutzbeauftragte keine Anweisungen bezüglich der Ausübung seiner Aufgaben erhält und unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters berichtet, sowie aus Art. 38 Abs. 5, wonach der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden ist (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 27).

  Mit Art. 38 Abs. 3 Satz 2 DSGVO, der den Datenschutzbeauftragten vor jeder Entscheidung im Zusammenhang mit der Erfüllung seiner Aufgaben schützt, mit der sein Amt beendet würde, durch die ihm ein Nachteil entstünde oder die eine Sanktion darstellte, soll demnach im Wesentlichen die funktionelle Unabhängigkeit des Datenschutzbeauftragten gewahrt und damit die Wirksamkeit der Bestimmungen der DSGVO gewährleistet werden (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 28).

  Als Drittes wird, wie der Gerichtshof ebenfalls entschieden hat, diese Auslegung durch den Regelungszusammenhang der Bestimmung und insbesondere durch die Rechtsgrundlage bestätigt, auf der der Unionsgesetzgeber die DSGVO erlassen hat (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 29).

  Nach Art. 16 Abs. 2 AEUV erlassen das Europäische Parlament und der Rat der Europäischen Union gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften zum einen über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und zum anderen über den freien Datenverkehr (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 30).

  Insoweit geht es bei der Festlegung von Vorschriften zum Schutz eines bei einem Verantwortlichen oder einem Auftragsverarbeiter beschäftigten Datenschutzbeauftragten vor Abberufung nur insoweit um den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, als diese Vorschriften darauf abzielen, die funktionelle Unabhängigkeit des Datenschutzbeauftragten gemäß Art. 38 Abs. 3 Satz 2 DSGVO zu wahren (vgl. in diesem Sinne Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 31).

  Daraus folgt, dass es jedem Mitgliedstaat freisteht, in Ausübung seiner vorbehaltenen Zuständigkeit besondere, strengere Vorschriften für die Abberufung eines Datenschutzbeauftragten vorzusehen, sofern diese mit dem Unionsrecht und insbesondere mit den Bestimmungen der DSGVO, vor allem Art. 38 Abs. 3 Satz 2 DSGVO, vereinbar sind (vgl. in diesem Sinne Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 34).

  Dies wäre aber der Fall, wenn dieser Schutz jede durch einen Verantwortlichen oder einen Auftragsverarbeiter ausgesprochene Abberufung eines Datenschutzbeauftragten verböte, der nicht mehr die für die Erfüllung seiner Aufgaben gemäß Art. 37 Abs. 5 DSGVO erforderliche berufliche Qualifikation besitzt oder seine Aufgaben nicht im Einklang mit der DSGVO erfüllt (vgl. in diesem Sinne Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 35).

• BAG, 06.06.2023 - 9 AZR 621/19

  Datenschutzbeauftragter - Abberufung - Interessenkonflikt

  Mit Urteil vom 9. Februar 2023 hat der Gerichtshof der Europäischen Union über das Vorabentscheidungsersuchen entschieden (EuGH 9. Februar 2023 - C-560/21 - [KISA]) .

  (1) Der Gerichtshof der Europäischen Union hat mit Urteil vom 9. Februar 2023 (- C-560/21 - [KISA]) aufgrund des Vorlagebeschlusses des Senats vom 27. April 2021 (- 9 AZR 621/19 (A) -) entschieden, Art. 38 Abs. 3 Satz 2 DSGVO sei dahin auszulegen, dass er einer nationalen Regelung nicht entgegensteht, nach der ein bei einem Verantwortlichen oder einem Auftragsverarbeiter beschäftigter Datenschutzbeauftragter nur aus wichtigem Grund abberufen werden kann, auch wenn die Abberufung nicht mit der Erfüllung seiner Aufgaben zusammenhängt, sofern diese Regelung die Verwirklichung der Ziele dieser Verordnung nicht beeinträchtigt.

  (a) Ziel des Art. 38 Abs. 3 Satz 2 DSGVO ist nach dem Erwägungsgrund 97 zur DSGVO, dass die Datenschutzbeauftragten unabhängig davon, ob es sich bei ihnen um Beschäftigte des Verantwortlichen handelt oder nicht, ihre Pflichten und Aufgaben in vollständiger Unabhängigkeit "ausüben können sollten" (EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 20; 22. Juni 2022 - C-534/20 - [Leistritz] Rn. 26 f.) .

  Es soll im Wesentlichen die funktionelle Unabhängigkeit des Datenschutzbeauftragten gewahrt und damit die Wirksamkeit der Bestimmungen der DSGVO gewährleistet werden (vgl. EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 22; 22. Juni 2022 - C-534/20 - [Leistritz] Rn. 28) .

  Dabei steht es jedem Mitgliedstaat frei, in Ausübung seiner vorbehaltenen Zuständigkeit besondere, strengere Vorschriften für die Abberufung eines Datenschutzbeauftragten vorzusehen, sofern diese mit dem Unionsrecht und insbesondere mit den Bestimmungen der DSGVO, vor allem Art. 38 Abs. 3 Satz 2 DSGVO, vereinbar sind (vgl. EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 25) .

  Diese führen dann zu einer unzulässigen Beeinträchtigung der mit der DSGVO verfolgten Ziele, wenn ein strengerer nationaler Schutz jede durch einen Verantwortlichen oder einen Auftragsverarbeiter ausgesprochene Abberufung eines Datenschutzbeauftragten verböte, der nicht mehr die für die Erfüllung seiner Aufgaben erforderlichen beruflichen Eigenschaften besitzt oder seine Aufgaben nicht im Einklang mit der DSGVO erfüllt (vgl. EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 27; 22. Juni 2022 - C-534/20 - [Leistritz] Rn. 35) .

  Insbesondere ist auch nach nationalem Recht nicht "jede" Abberufung des Arbeitsverhältnisses eines Datenschutzbeauftragten, der nicht mehr die für die Erfüllung seiner Aufgaben erforderlichen beruflichen Eigenschaften besitzt oder seine Aufgaben nicht im Einklang mit der DSGVO erfüllt (so ausdrücklich EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 27; 22. Juni 2022 - C-534/20 - [Leistritz] Rn. 35) , verboten.

• BAG, 06.06.2023 - 9 AZR 383/19

  Betriebsratsvorsitzender als Datenschutzbeauftragter

  bb) Nach der Rechtsprechung des Gerichtshofs der Europäischen Union zur DSGVO muss gewährleistet sein, dass ein Datenschutzbeauftragter unabhängig davon, ob es sich bei ihm um einen Beschäftigten des Verantwortlichen handelt oder nicht, seine Pflichten und Aufgaben in vollständiger Unabhängigkeit ausüben kann (vgl. EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 20; 22. Juni 2022 - C-534/20 - [Leistritz] Rn. 26 f.) .

  Nur wenn diese funktionelle Unabhängigkeit des Datenschutzbeauftragten gewahrt bleibt, kann die Wirksamkeit der datenschutzrechtlichen Bestimmungen gewährleistet werden (vgl. EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 22; 22. Juni 2022 - C-534/20 - [Leistritz] Rn. 28) .