Datenschutzbeauftragter wechseln: So gelingt der Wechsel ohne Lücke

Wann Unternehmen den Datenschutzbeauftragten wechseln

Die Pflicht zur Benennung endet nicht, wenn Ihr Datenschutzbeauftragter (DSB) geht. Typische Anlässe für einen Wechsel sind:

• Unzufriedenheit: Der DSB ist schwer erreichbar, antwortet spät oder liefert keine brauchbare Dokumentation.
• Der DSB fällt aus: lange Krankheit, Elternzeit oder der Anbieter stellt seine Tätigkeit ein.
• Der interne DSB kündigt oder geht: etwa durch Jobwechsel, Ruhestand oder einen Wechsel in eine andere Abteilung.
• Interessenkonflikt: Der DSB soll zusätzlich eine Leitungsrolle übernehmen, etwa in IT oder Personal. Nach Art. 38 Abs. 6 DSGVO dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen.
• Neue Anforderungen: Das Unternehmen wächst und das Fachwissen nach Art. 37 Abs. 5 DSGVO reicht nicht mehr aus.

Welche Aufgaben ein DSB erfüllen muss, lesen Sie im Artikel Rolle und Aufgaben des Datenschutzbeauftragten. Ob Sie überhaupt einen DSB brauchen, klärt die Seite Datenschutzbeauftragter Pflicht.

Externen Datenschutzbeauftragten kündigen: Es zählt der Vertrag

Ein externer DSB erfüllt seine Aufgaben auf Grundlage eines Dienstleistungsvertrags (Art. 37 Abs. 6 DSGVO). Wie und wann Sie ihn beenden, regelt deshalb vor allem dieser Vertrag. Prüfen Sie:

• Laufzeit und Kündigungsfrist
• die vereinbarte Form der Kündigung
• Regeln zur Herausgabe von Unterlagen und Zugängen
• laufende Aufträge wie Audits oder Schulungen

Eine Grenze setzt das Gesetz auch hier. Nach Art. 38 Abs. 3 Satz 2 DSGVO darf der DSB nicht wegen der Erfüllung seiner Aufgaben abberufen werden. Unbequeme, aber berechtigte Hinweise sind also kein Grund für eine Trennung. Legen Sie das Vertragsende so, dass der neue DSB direkt im Anschluss benannt ist.

Abberufung des internen Datenschutzbeauftragten: nur aus wichtigem Grund

Beim internen DSB trennt das Gesetz zwei Dinge: das Amt und das Arbeitsverhältnis. Ist die Benennung verpflichtend, gilt für Unternehmen § 6 Abs. 4 BDSG. Das ordnet § 38 Abs. 2 BDSG an.

• Abberufung: nur in entsprechender Anwendung von § 626 BGB zulässig, also aus wichtigem Grund.
• Kündigung des Arbeitsverhältnisses: unzulässig, außer es liegen Tatsachen für eine Kündigung aus wichtigem Grund ohne Kündigungsfrist vor.
• Nachwirkung: Bis ein Jahr nach dem Ende der Tätigkeit als DSB gilt dieselbe Grenze für die Kündigung.

Das Bundesarbeitsgericht hat zur gleichlautenden früheren Regel entschieden: Die Entscheidung, den internen DSB durch einen externen zu ersetzen, ist in der Regel kein wichtiger Grund (BAG, Urteil vom 23.03.2011, 10 AZR 562/09). Die Abberufung beendet zudem nur das Amt, nicht das Arbeitsverhältnis.

Dass das Arbeitsverhältnis nur aus wichtigem Grund gekündigt werden kann, ist mit der DSGVO vereinbar. Das hat der Europäische Gerichtshof entschieden (EuGH, Urteil vom 22.06.2022, C-534/20), das BAG ist ihm gefolgt (BAG, Urteil vom 25.08.2022, 2 AZR 225/20).

Ein wichtiger Grund für die Abberufung kann ein Interessenkonflikt sein. Nach dem BAG ist der Vorsitz im Betriebsrat mit dem Amt des DSB nicht vereinbar. Der Konflikt rechtfertigt in aller Regel den Widerruf der Benennung (BAG, Urteil vom 06.06.2023, 9 AZR 383/19).

Entfällt die Pflicht zur Benennung, etwa weil weniger als 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind, gilt § 6 Abs. 4 BDSG nach § 38 Abs. 2 BDSG nicht mehr. Ob dann der nachwirkende Kündigungsschutz greift, ist im Einzelfall arbeitsrechtlich zu prüfen. Zur geplanten Streichung der 20-Personen-Grenze lesen Sie mehr unter Datenschutzbeauftragter Pflicht.

Ist die Benennung freiwillig, gilt § 6 Abs. 4 BDSG nicht. Art. 38 Abs. 3 DSGVO gilt aber immer. Für öffentliche Stellen des Bundes gilt § 6 BDSG direkt, für öffentliche Stellen der Länder vorrangig das jeweilige Landesdatenschutzgesetz. Einfacher ist der Wechsel, wenn der interne DSB selbst geht oder das Amt im Einvernehmen abgibt. Im Streitfall geht es um Arbeitsrecht. Das prüft eine Kanzlei.

Neuen DSB benennen und der Aufsichtsbehörde melden

Nach Art. 37 Abs. 7 DSGVO veröffentlichen Sie die Kontaktdaten des DSB und teilen sie der Aufsichtsbehörde mit. Mit dem Wechsel ändern sich diese Daten. Melden Sie deshalb den neuen DSB.

Im Portal des BayLDA können Sie Ihre Meldedaten jederzeit ändern. Sie erhalten eine elektronische Bestätigung für Ihre Dokumentation. Die Meldung ist Sache des Verantwortlichen, kann laut BayLDA aber delegiert werden. Im Konzern meldet jeder Verantwortliche selbst.

Aktualisieren Sie danach alle Stellen, an denen der DSB genannt ist:

• Datenschutzerklärung und Datenschutzhinweise nach Art. 13 und 14 DSGVO. Mehr im Artikel Was in einer Datenschutzerklärung stehen muss.
• Verzeichnis von Verarbeitungstätigkeiten: Es nennt nach Art. 30 Abs. 1 DSGVO Name und Kontaktdaten des DSB.
• Aushänge, Intranet, Informationsblätter für Beschäftigte und Formulare
• Vorlagen für Datenpannen: Die Meldung nach Art. 33 Abs. 3 DSGVO nennt Name und Kontaktdaten des DSB.

Tipp: Eine feste Adresse wie datenschutz@ihre-firma.de bleibt beim Wechsel gleich. Sie ändern nur die Weiterleitung. Der Behörde melden Sie den Wechsel trotzdem.

Übergabe der Dokumentation an den neuen DSB

Die meisten Nachweise führt der Verantwortliche selbst. Liegen sie beim bisherigen DSB oder in dessen Software, fordern Sie sie rechtzeitig an. Diese Unterlagen gehören zur Übergabe:

Dazu kommen offene Vorgänge: laufende Auskunftsersuchen, Schreiben der Aufsichtsbehörde, Prüfberichte und Maßnahmenlisten. Klären Sie auch die Zugänge, etwa zum Meldeportal oder zu einer Datenschutz-Software.

Datenschutzbeauftragter wechseln in 7 Schritten

• 1. Ausgangslage klären: interner oder externer DSB, Pflicht zur Benennung, Vertrag und Fristen.
• 2. Nachfolge auswählen: Fachwissen, Erreichbarkeit und kein Interessenkonflikt.
• 3. Stichtag festlegen: Der neue DSB beginnt, wenn der bisherige endet. So entsteht keine Lücke.
• 4. Bisherige Tätigkeit beenden: Vertrag fristgerecht kündigen oder die Abberufung prüfen und begründen.
• 5. Neu benennen: Benennung mit Datum schriftlich festhalten.
• 6. Melden und veröffentlichen: Aufsichtsbehörde, Datenschutzerklärung, VVT und Aushänge aktualisieren.
• 7. Übergeben: Unterlagen, Zugänge und offene Vorgänge an den neuen DSB geben und die Übergabe dokumentieren.

So übernimmt Datenkodex Ihren Datenschutz ohne Lücke

Wenn Sie zu Datenkodex wechseln, gehen wir in dieser Reihenfolge vor:

1. Kostenloses Erstgespräch: Wir klären Anlass, Fristen und Umfang.
2. Stichtag: Wir stimmen den Beginn unserer Benennung auf das Ende der bisherigen Benennung ab.
3. Bestandsaufnahme der Dokumentation: Wir sichten VVT, TOM, AVV, DSFA, Schulungsnachweise und Vorfälle. Sie sehen danach, was fehlt oder veraltet ist.
4. Meldung und Aktualisierung: Wir unterstützen Sie bei der Mitteilung an die Aufsichtsbehörde und liefern die neuen Kontaktdaten für Datenschutzerklärung und Aushänge.
5. Laufende Betreuung: Offene Punkte arbeiten wir nach Dringlichkeit ab.