BAG: Betriebsratsvorsitzender kann nicht zugleich Datenschutzbeauftragter sein

Im Anschluss an eine Vorabentscheidung des EuGH hat das BAG in seinem Urteil vom 6.6.2023 (9 AZR 621/19) entschieden, dass die nach der DSGVO erforderliche Zuverlässigkeit des Datenschutzbeauftragten nicht vorliegt, wenn er gleichzeitig als Betriebsratsvorsitzender über die Methoden und den Umfang der Datenverarbeitung entscheidet.

Interessenkollision

Das BAG nimmt nun abweichend von seiner bisherigen Rechtsprechung eine unauflösbare Interessenkollision an, da der Datenschutzbeauftragte sich in seiner Eigenschaft als Betriebsratsvorsitzender selbst kontrolliere und damit unzuverlässig sei. Das BAG stellt wesentlich darauf ab, dass der Betriebsrat nach den Vorgaben des Betriebsverfassungsgesetzes autonom darüber entscheide, welche Daten er erhält und wie er diese bearbeitet. Diese Entscheidung könne der Datenschutzbeauftragte anschließend nicht konfliktfrei überprüfen, wenn er zugleich Betriebsratsvorsitzender sei und damit das Gesamtgremium Betriebsrat auch in Datenschutzfragen repräsentiere. Damit ist nach Einschätzung des BAG in dieser Konstellation die gebotene funktionelle Unabhängigkeit des Datenschutzbeauftragten nicht gewährleistet.

Offene Fragen

Nicht entschieden hat das BAG die Fälle, in denen der Datenschutzbeauftragter nur stellvertretender Vorsitzender oder Mitglied des Betriebsrats bzw. Vorsitzender, stellvertretender Vorsitzender oder Mitglied des Sprecherausschusses ist. Dass aber allein die fehlende Eigenschaft als Vorsitzender des Betriebsrats zu einem anderen Ergebnis führt, erscheint ebenso fraglich wie wenn es sich um Mitglieder des Sprecherausschusses handelt.

Praxisfolgen

Nach der Entscheidung des BAG stehen eine Reihe von in der Praxis üblichen Personalunionen auf dem Prüfstand, die nicht zuletzt aufgrund der Vielzahl der obligatorischen Funktionen Bedeutung haben. Sorgfältig zu überprüfen sind etwa Konstellationen, in denen der Datenschutzbeauftragte zugleich die Funktion des Geldwäschebeauftragten oder die Funktionen des verantwortlichen Inhabers von aufsichtsrechtlichen Schlüsselfunktionen im Finanzsektor übernimmt. Die gleichzeitige Tätigkeit als Datenschutzbeauftragter und als IT-Sicherheitsbeauftragter bzw. als Verantwortlicher für die interne Meldestelle nach dem HinSchG war hingegen schon vor der BAG-Entscheidung sehr kritisch und dürfte nur in Ausnahmefällen zulässig sein.

Prüfungsmaßstab

EuGH und BAG gehen übereinstimmend davon aus, dass bei der Bewertung möglicher Interessenkollisionen des Datenschutzbeauftragten keine pauschale Betrachtung erfolgen darf, sondern vielmehr jeweils eine einzelfallorientierte Bewertung stattfinden muss. Dabei sind unter anderem die interne Unternehmensorganisation und die einschlägigen rechtlichen Vorgaben zu berücksichtigen.