BAG, Urteil vom 6.6.2023 – 9 AZR 383/19

Gegenstand des Urteils war die Frage, ob die gleichzeitige Tätigkeit als Datenschutzbeauftragter und Betriebsratsvorsitzender zu einer Unzuverlässigkeit des Datenschutzbeauftragten wegen schädlicher Interessenkollision führt. Das BAG hat diese Frage im Anschluss an eine Vorabentscheidung des EuGH und abweichend von seiner früheren Rechtsprechung bejaht. Das BAG verneint die funktionsabhängige Unabhängigkeit, weil der Betriebsratsvorsitzende aufgrund der gesetzlichen Rechte des Betriebsrats einen gestaltenden Einfluss auf die Datenverarbeitung im Unternehmen ausüben kann, so dass ein Interessenkonflikt und eine Selbstkontrolle des Datenschutzbeauftragten gegeben sei.

Bewertung: Diese bemerkenswerte Rechtsprechungsänderung hat Auswirkungen, die über die Konstellation der Personalunion zwischen Datenschutzbeauftragtem und Betriebsratsvorsitzendem hinausreichen können. Denn im Hinblick auf das aus Sicht des BAG kritischen Kriterium der Selbstkontrolle des Datenschutzbeauftragten stehen unabhängig von einer gleichzeitigen Funktion als Betriebsratsvorsitzender eine Reihe in der Unternehmens­praxis gängiger Kombinationsmodelle der Datenschutzbeauftragten auf dem Prüfstand. Im Versicherungssektor resultieren mögliche Probleme aus einer Doppelfunktion des Datenschutzbeauftragten, wenn er zugleich als Geldwäschebeauftragter oder als Inhaber von Schlüsselfunktionen, insbesondere der Revisionsfunktion oder der Compliance-Funktion, agiert.

Praxishinweis:  Das BAG sieht übereinstimmend mit dem EuGH für alle Fälle möglicher Unzuverlässigkeit aufgrund von Interessenkollisionen keine pauschale, sondern eine einzelfallorientierte Bewertung vor, die von der konkreten Ausgestaltung beeinflusst wird. Dabei sind alle relevanten Umstände, insbesondere die Organisationsstruktur des Unternehmens vor dem Hintergrund aller anwendbaren Rechtsvorschriften, einschließlich unternehmensinterner Vorgaben zu berücksichtigen. Daher sollten die Versicherungsunternehmen potenziell relevante Konstellationen identifizieren, in einer dokumentierten Selbsteinschätzung bewerten und eventuell erforderliche organisatorische Maßnahmen ergreifen.