Marcus Belke
CEO of 2B Advice GmbH, driving innovation in privacy compliance and risk management and leading the development of Ailance, the next-generation compliance platform.
Der interne Datenschutzbeauftragte genießt in Deutschland einen besonders weitreichenden arbeitsrechtlichen Sonderkündigungsschutz. Für Unternehmen ist diese Regelung von erheblicher praktischer Bedeutung. Denn wer einen Mitarbeiter zum Datenschutzbeauftragten bestellt, trifft nicht nur eine organisatorische Compliance-Entscheidung, sondern zugleich eine personalrechtliche Weichenstellung mit langfristigen Folgen. Was das für die datenschutzrechtliche Organisation von Unternehmen bedeutet.
Sonderkündigungsschutz des DSB nach BDSG
Für Unternehmen ist § 38 BDSG der zentrale Anknüpfungspunkt. Danach müssen Unternehmen einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Für interne Datenschutzbeauftragte verweist das Gesetz auf § 6 Abs. 4 BDSG. Diese Vorschrift begründet einen besonderen arbeitsrechtlichen Schutz.
Die Konsequenzen sind weitreichend:
- Eine ordentliche Kündigung des Arbeitsverhältnisses ist grundsätzlich ausgeschlossen.
- Eine Kündigung kommt regelmäßig nur als außerordentliche Kündigung aus wichtigem Grund (§ 626 BGB) in Betracht.
- Auch nach Beendigung der Tätigkeit besteht ein nachwirkender Kündigungsschutz von einem Jahr.
Der Gesetzgeber verfolgt damit ein klares Ziel: Datenschutzbeauftragte sollen ihre Aufgaben unabhängig wahrnehmen können, ohne arbeitsrechtlichen Druck befürchten zu müssen.
Rechtsprechung: Hohe Hürden für DSB-Kündigung
Die arbeitsgerichtliche Rechtsprechung hat diesen Schutz mehrfach bestätigt und konkretisiert.
Besonders prägend ist dabei eine Entscheidung des Bundesarbeitsgerichts (BAG, Urteil vom 27. April 2021 – 2 AZR 225/20). Das Gericht stellte klar, dass eine ordentliche Kündigung gegenüber einem verpflichtend bestellten Datenschutzbeauftragten unzulässig ist und sogar nichtig sein kann.
Bemerkenswert ist zudem, dass dieser Schutz nach Auffassung des BAG auch dann greift, wenn die Kündigung während der Probezeit oder der Wartezeit nach dem Kündigungsschutzgesetz ausgesprochen wird. Das BDSG enthält insoweit keine Einschränkung.
Damit wird deutlich, dass der Sonderkündigungsschutz nicht nur ein theoretisches Instrument ist, sondern auch praktische Auswirkungen auf Personalentscheidungen haben kann.
Europarechtliche Einordnung
Auch auf europäischer Ebene wurde die Frage nach der Reichweite des Kündigungsschutzes geklärt.
Der Europäische Gerichtshof (EuGH) hat entschieden, dass nationale Regelungen, die eine Abberufung oder Kündigung eines Datenschutzbeauftragten nur aus wichtigem Grund zulassen, grundsätzlich mit der DSGVO vereinbar sind.
Voraussetzung ist allerdings, dass solche Regelungen die Ziele der DSGVO, insbesondere die effektive Wahrnehmung der DSB-Aufgaben, nicht unterlaufen.
Für Unternehmen bedeutet dies: Der deutsche Sonderkündigungsschutz bewegt sich innerhalb des europarechtlich zulässigen Rahmens.
Interessenkonflikte als Abberufungsgrund
Ein weiterer zentraler Punkt betrifft mögliche Interessenkonflikte.
Gemäß Art. 38 Abs. 6 DSGVO darf ein Datenschutzbeauftragter keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt mit seiner Kontrollfunktion führen. Ein solcher Konflikt liegt insbesondere vor, wenn die betreffende Person über Zwecke und Mittel der Datenverarbeitung entscheidet.
Diese Grundsätze haben EuGH und BAG in mehreren Entscheidungen konkretisiert.
Besonders deutlich wurde dies im Fall eines Betriebsratsvorsitzenden, der zugleich als Datenschutzbeauftragter bestellt war. Das BAG stellte fest, dass beide Funktionen miteinander unvereinbar sein können. In einer solchen Konstellation kann ein Interessenkonflikt vorliegen, der die Abberufung des Datenschutzbeauftragten rechtfertigt.
Für Unternehmen ergibt sich daraus eine wichtige Konsequenz: Sie sollten mögliche Interessenkonflikte bereits vor der Bestellung prüfen.
Pflicht oder freiwillige Bestellung des DSB?
Eine zentrale Frage, die in der Praxis häufig unterschätzt wird, betrifft die Rechtsgrundlage der Bestellung eines Datenschutzbeauftragten. Denn der arbeitsrechtliche Sonderkündigungsschutz nach § 6 Abs. 4 BDSG setzt grundsätzlich voraus, dass die Bestellung gesetzlich verpflichtend ist.
Unternehmen sind jedoch nicht in jedem Fall verpflichtet, einen Datenschutzbeauftragten zu bestellen. Die maßgeblichen Vorgaben ergeben sich aus Art. 37 DSGVO sowie aus § 38 BDSG, der zusätzliche Benennungspflichten für Deutschland vorsieht.
Gemäß § 38 Abs. 1 BDSG besteht eine Benennungspflicht insbesondere dann, wenn in einem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben kann eine Bestellung auch erforderlich sein, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen Verarbeitung sensibler Daten oder einer systematischen Überwachung von Personen besteht.
Die praktische Schwierigkeit besteht jedoch darin, dass Unternehmen häufig auch dann einen Datenschutzbeauftragten benennen, ohne hierzu gesetzlich verpflichtet zu sein. Dies geschieht etwa aus Gründen der Compliance, der Organisationsklarheit oder auf Empfehlung von Beratern.
Diese freiwillige Bestellung kann organisatorisch sinnvoll sein, hat jedoch arbeitsrechtlich andere Konsequenzen.
Der Sonderkündigungsschutz nach § 6 Abs. 4 BDSG gilt nach dem Gesetzeswortlaut nämlich nur, wenn die Bestellung aufgrund einer gesetzlichen Verpflichtung erfolgt ist. Die Norm wird im Unternehmensbereich über § 38 BDSG anwendbar. Fehlt eine solche Verpflichtung, kann sich die arbeitsrechtliche Situation anders darstellen.
In mehreren Entscheidungen haben Arbeitsgerichte betont, dass der besondere Kündigungsschutz nicht automatisch greift, wenn ein Datenschutzbeauftragter lediglich freiwillig bestellt wurde. So hat beispielsweise das Landesarbeitsgericht Hamm (18 Sa 271/22) entschieden, dass der Sonderkündigungsschutz nach dem BDSG voraussetzt, dass eine gesetzliche Benennungspflicht bestand. Andernfalls kann der Datenschutzbeauftragte arbeitsrechtlich grundsätzlich wie jeder andere Arbeitnehmer behandelt werden.
Für Unternehmen ergibt sich daraus eine wichtige Governance-Frage: War die Bestellung eines Datenschutzbeauftragten tatsächlich verpflichtend oder erfolgte sie freiwillig?
Risiken für Unternehmen
Der Sonderkündigungsschutz kann für Unternehmen mit mehreren Risiken verbunden sein.
Arbeitsrechtliche Risiken
Eine unzulässige Kündigung kann zur Unwirksamkeit oder Nichtigkeit der Kündigung führen. Das Arbeitsverhältnis besteht dann fort. Zusätzlich können Vergütungsansprüche entstehen, etwa in Form von Annahmeverzugslohn.
Organisatorische Risiken
Die starke arbeitsrechtliche Bindung kann dazu führen, dass Unternehmen über längere Zeit an eine organisatorische Struktur gebunden bleiben, die nicht mehr zu ihrer Governance passt.
Reputationsrisiken
Konflikte mit Datenschutzbeauftragten sind häufig reputationssensibel. Datenschutzbeauftragte gelten als unabhängige Kontrollinstanz und stehen oft im Kontakt mit Aufsichtsbehörden.
Arbeitsrechtliche Streitigkeiten können daher auch über das Unternehmen hinaus wahrgenommen werden.
Praktische Folgen und alternative Organisationsmodelle
Der Sonderkündigungsschutz führt dazu, dass die Bestellung eines internen Datenschutzbeauftragten nicht als rein operative Entscheidung betrachtet werden sollte.
Vielmehr handelt es sich um eine strategische Personalentscheidung mit langfristiger Bindungswirkung.
In der Praxis entstehen Konflikte häufig in folgenden Situationen:
- Reorganisationen
- internationale Konzernstrukturen
- Veränderungen der Compliance-Organisation
- wachsende regulatorische Anforderungen
Wenn sich die organisatorischen Rahmenbedingungen verändern, kann es schwierig sein, die Rolle des Datenschutzbeauftragten neu zu strukturieren oder zu beenden.
Das führt in der Praxis nicht selten zu arbeitsrechtlichen Auseinandersetzungen.
Vor diesem Hintergrund prüfen zahlreiche Unternehmen alternative Modelle für ihre Datenschutzorganisation. Zu den häufigsten Optionen gehören:
Externer Datenschutzbeauftragter
Ein externer Dienstleister übernimmt die Rolle des Datenschutzbeauftragten. Dadurch entfällt die arbeitsrechtliche Bindung, während Fachkompetenz und Unabhängigkeit erhalten bleiben.
Konzern-Datenschutzbeauftragter
In Unternehmensgruppen kann ein gemeinsamer Datenschutzbeauftragter bestellt werden, sofern er für alle betroffenen Unternehmen erreichbar ist.
Hybride Modelle
In vielen Organisationen hat sich eine Kombination aus internem Datenschutzteam und externem Datenschutzbeauftragten etabliert.
Solche Modelle können operative Nähe mit organisatorischer Flexibilität verbinden.
Datenschutzorganisation neu denken mit Ailance DSB
Der interne Datenschutzbeauftragte ist ein zentrales Element der Datenschutzorganisation in Unternehmen. Gleichzeitig ist die Rolle arbeitsrechtlich außergewöhnlich stark geschützt.
Wer einen Mitarbeiter zum Datenschutzbeauftragten bestellt, sollte sich dieser Konsequenzen bewusst sein. Die Entscheidung betrifft nicht nur Compliance, sondern auch Personalstrategie und Governance.
Unternehmen sind daher gut beraten, die organisatorischen Rahmenbedingungen sorgfältig zu prüfen, bevor sie eine interne Bestellung vornehmen.
Mit Ailance DSB bietet 2B Advice eine Lösung, die Unternehmen dabei unterstützt, ihre Datenschutzorganisation professionell und zugleich flexibel aufzustellen. Das Modell verbindet:
erfahrene externe Datenschutzbeauftragte
skalierbare Datenschutzprozesse
digitale Compliance-Plattform
sowie direkten Zugang zu juristischer und technischer Expertise
Unternehmen profitieren dadurch von einer klar strukturierten Datenschutzorganisation, ohne die arbeitsrechtlichen Bindungswirkungen einer internen Bestellung.
Gerade für wachsende Unternehmen, internationale Organisationen oder komplexe Compliance-Strukturen kann ein externer Datenschutzbeauftragter eine strategisch sinnvolle Alternative sein.
Marcus Belke ist CEO von 2B Advice sowie Jurist und IT-Experte für Datenschutz und digitale Compliance. Er schreibt regelmäßig über KI-Governance, DSGVO-Compliance und Risikomanagement. Mehr über ihn erfahren Sie auf seiner Autorenprofil-Seite.
German 
English 
Italian 
French