Bundesarbeitsgericht: Betriebsratsvorsitzende als Datenschutzbeauftragte unzulässig
Schon vor einigen Wochen hat das Bundesarbeitsgericht (BAG) entschieden, dass ein Betriebsratsvorsitzender kein Datenschutzbeauftragter des Unternehmens sein kann. Zu einem anderen Ergebnis konnte das BAG auch kaum noch kommen, denn es hatte die streitentscheidende Frage dem EuGH vorgelegt und der hat entsprechend geantwortet (EuGH, Urteil vom 09.02.2023, Az.: C‑453/21).
Zunächst gab es nur eine Pressemitteilung zu der Entscheidung des BAG. Nun ist aber seit einigen Tagen der Volltext des Urteils nebst Begründung da. Das Urteil findest du hier:
Das Urteil hat weiterreichende Folgen
Die Urteilsbegründung hat es in sich.
Denn wenn die Kriterien, die das BAG dafür anlegt, wann Personen über Zwecke und Mittel einer Datenverarbeitung in einer Organisation entscheiden (die ich nicht grundlegend für falsch halte) auch in anderen Bereichen angelegt werden, dann fallen weitere Personen ebenfalls als geeignete Datenschutzbeauftragte aus.
So wird z.B. die leitende Person der internen Meldestelle nach dem HinSchG nicht zugleich Datenschutzbeauftragte oder Datenschutzbeauftragter sein können. Andersherum darf also die oder der Datenschutzbeauftragte nicht die interne Meldestelle nach dem HinSchG leiten.
============================
Nachtrag – Da hier von externen DSB nachgefragt wurde: Es ist umstritten, ob die ausgelagerte interne Meldestelle, die z.B. von einem externen DSB angeboten wird, selbst Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO ist oder Auftragsverarbeiter… oder ggf. gemeinsam Verantwortlicher. Für alle Haltungen sprechen gute Argumente. Da die die Rolle als Auftragsverarbeiter mich aufgrund der Unabhängigkeit der internen Meldestelle am wenigsten überzeugt, sprechen also durchaus Gründe dafür, dass dies zulässig sein kann. Rechtlich belastbar ist das aber nicht. Sollte die Rechtsprechung z.B. in Richtung Auftragsverarbeitung tendieren, würde dieses Geschäftsmodell auch auf wackeligen Füßen stehen.
============================
Und wir können das Urteil des BAG auch noch so extrem auslegen, dass künftig nicht einmal mehr interne Datenschutzbeauftragte für diese Funktion in Betracht kommen, sondern nur noch externe Datenschutzbeauftragte. Ja, das wäre absurd. Aber genau genommen könnte man zu diesem Ergebnis kommen.
Besprechung des Urteils im Datenschutz-Update für Datenschutz-Coaching-Mitglieder
Ich habe das Urteil des BAG in dieser Woche im sog. „Datenschutz-Update“ für Datenschutz-Coaching-Mitglieder besprochen. Das „Datenschutz-Update“ findet – neben den Office Hours und dem monatlichen Webinar – 1-2x pro Monat statt. Da berichte ich über Neues aus Aufsichtsbehörden, Rechtsprechung und über „Sonstiges“.
Den betreffenden Teil, in dem ich das Urteil bespreche, kannst du dir hier anschauen: