Sommerzeit ist Urlaubszeit, auch für Datenschutzbeauftragte. Doch nicht nur während der Ferien, sondern auch bei Krankheit, Elternzeit oder anderen Abwesenheiten stellt sich die Frage: Wer übernimmt in dieser Zeit die Aufgaben des Datenschutzbeauftragten? Und ist es sinnvoll – oder vielleicht sogar gesetzlich erforderlich – für diesen Zeitraum eine Stellvertretung zu benennen?
Die gesetzliche Ausgangslage
Die Datenschutz-Grundverordnung (DSGVO) regelt in den Art. 37 ff. DSGVO die Benennung, Aufgaben und Stellung des Datenschutzbeauftragten. Eine ausdrückliche Pflicht zur Benennung eines stellvertretenden Datenschutzbeauftragten ist dort jedoch nicht zu finden. Das gilt auch für das Bundesdatenschutzgesetz (BDSG), welches weder für öffentliche Stellen (§§ 5 ff. BDSG) noch für nichtöffentliche Stellen (§ 38 BDSG) eine solche Pflicht vorsieht.
Interessant ist jedoch ein Blick in die Landesdatenschutzgesetze, die in erster Linie für öffentliche Stellen der jeweiligen Bundesländer Anwendung finden. Einige Bundesländer sehen darin konkrete Regelungen zur Benennung eines stellvertretenden Datenschutzbeauftragten vor.
Konkrete Regelungen in Landesdatenschutzgesetzen
Eine Pflicht zur Benennung eines stellvertretenden Datenschutzbeauftragten gibt es in Hessen und Berlin. So sieht das Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG) in § 5 Abs. 1 HDSIG vor, dass öffentliche Stellen einen Datenschutzbeauftragten sowie dessen Vertreter zu benennen haben. Eine ähnliche Regelung enthält das Berliner Datenschutzgesetz (BlnDSG) in § 4 Abs. 3 BlnDSG.
Eine ausdrückliche Pflicht zur Benennung eines stellvertretenden Datenschutzbeauftragten enthält das Datenschutzgesetz (DSG NRW) von Nordrhein-Westfalen zwar nicht. Allerdings spricht dieses in § 31 Abs. 1 DSG NRW zumindest davon, dass eine Stelle bei Bedarf „mehrere behördliche Datenschutzbeauftragte sowie mehrere Vertreterinnen und Vertreter benennen“ kann. Und auch in Thüringen sieht der § 13 Abs. 2 des Thüringer Datenschutzgesetzes (ThürDSG) vor, dass öffentliche Stellen neben dem Datenschutzbeauftragten zusätzlich weitere Vertreter bestellen können.
Die übrigen Landesdatenschutzgesetzte enthalten entweder keine Regelung zur Benennung bzw. Bestellung eines Datenschutzbeauftragten oder machen keine Aussagen zu einer möglichen Stellvertretung. Für die Verantwortlichen stellt sich nun die Frage, ob trotz der möglicherweise fehlenden gesetzlichen Verpflichtung die Benennung eines Stellvertreters sinnvoll ist.
Trotz fehlender gesetzlicher Pflicht – Sollte eine Stellvertretung benannt werden?
Auch wenn es weder in der DSGVO noch im BDSG eine Pflicht oder sonstige Regelung zur Benennung eines stellvertretenden Datenschutzbeauftragten gibt, ist diese grundsätzlich möglich und aus datenschutzrechtlichen Gesichtspunkten auch empfehlenswert. So hält bspw. auch die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) Saarland die Benennung einer Stellvertretung in ihrem jüngst veröffentlichten Tätigkeitsbericht aus den folgenden Gründen für geboten (33. Tätigkeitsbericht – Berichtszeitraum 2024, Ziffer 4.2, S. 59 ff.):
Zunächst einmal befreie die (längere) Abwesenheit des Datenschutzbeauftragten den für die Datenverarbeitung Verantwortlichen (also das Unternehmen, Behörde etc.) nicht von den Pflichten aus der DSGVO. Dies betrifft z. B. die Erfüllung von Betroffenenanfragen, die der Verantwortliche nicht mit dem Argument verweigern könne, dass es durch den Wegfall seines Datenschutzbeauftragten vorübergehend an der nötigen Expertise fehle. Darüber hinaus nehme der Datenschutzbeauftragte in bestimmten Konstellationen eine gewisse Vertrauensstellung zwischen den Verantwortlichen und den betroffenen Personen ein. Gerade in Beschäftigungsverhältnissen wenden sich Mitarbeitende regelmäßig an den Datenschutzbeauftragten, da sie den direkten Kontakt z. B. mit der Personalvertretung oder der Geschäftsführung entweder noch nicht wünschen – oder aus Sorge vor personellen Konsequenzen bewusst vermeiden.
Die Argumentation der LfDI Saarland ist überzeugend. Durch die Benennung einer Stellvertretung können Verantwortliche den beschriebenen Problemen effektiv begegnen und die Erfüllung der datenschutzrechtlichen Pflichten auch während der Abwesenheit des Datenschutzbeauftragten sicherstellen. Für die Verantwortlichen stellt sich jedoch die praxisrelevante Frage, ob sich auch stellvertretende Datenschutzbeauftragte auf die Privilegien der DSGVO und insbesondere des BDSG berufen können.
Abberufungs- und Kündigungsschutz auch für stellvertretende Datenschutzbeauftragte?
Um die organisatorische Unabhängigkeit des Datenschutzbeauftragten zu gewährleisten, sieht die DSGVO vor, dass der Datenschutzbeauftragte wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden darf (vgl. Art. 38 Abs. 3 S. 2 DSGVO). Das deutsche Recht geht darüber hinaus uns verstärkt die Unabhängigkeit des Datenschutzbeauftragten durch die § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG. Diese sehen vor, dass Abberufungen nur unter Anwendung des § 626 BGB möglich und Kündigen nur aus wichtigem Grund zulässig sind. Zudem sind Kündigung des Arbeitsverhältnisses nach dem Ende der Tätigkeit als Datenschutzbeauftragter innerhalb eines Jahres nach der Abberufung unzulässig, es sei denn, die kündigende Stelle ist zu der Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt.
Bei nichöffentlichen Stellen sind die vorgenannten Privilegierungen im BDSG jedoch auf die verpflichtend zu benennende Datenschutzbeauftragten beschränkt. Da die Benennung eines stellvertretenden Datenschutzbeauftragten im nichtöffentlichen Bereich nicht verpflichtend vorgesehen ist, stellt sich die Frage, ob und in welchem Umfang die Privilegien auch auf die (freiwillig) benannte Stellvertretung Anwendung finden.
In einem Arbeitspapier zum Thema „Behördliche und betriebliche Datenschutzbeauftragte“ äußert sich der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) zu diesem Thema (siehe Arbeitspapier, Ziffer IV, 10, S. 17 ff.). Demnach sei die Benennung eines stellvertretenden Datenschutzbeauftragten mit der freiwilligen Benennung eines Datenschutzbeauftragten gleichzustellen, was zur Folge habe, dass zwar die Regelungen der DSGVO, nicht jedoch der besondere Kündigungs- und Abberufungsschutz des BDSG anwendbar sei. Anders sei dies jedoch in Fällen, in denen grundsätzlich eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten bestehe und der Stellvertreter im Vertretungsfall tatsächlich dessen Aufgaben übernimmt. In solchen Fällen sei davon auszugehen, dass auch den stellvertretenden Datenschutzbeauftragten die durch das BDSG gewährten Rechte zustehen. Der HBDI verweist diesbezüglich auf die Rechtsprechung des Bundesarbeitsgerichtes (BAG) vom 27.07.2017 (2 AZR 812/16). In diesem Urteil hatte das Gericht einem befristet eingesetzten stellvertretenden Datenschutzbeauftragten den Kündigungsschutz des BDSG zugesprochen.
Fazit
Für nichtöffentliche Stellen besteht grundsätzlich keine gesetzliche Verpflichtung, einen stellvertretenden Datenschutzbeauftragten zu benennen. Bei längerer Abwesenheit des Datenschutzbeauftragten ist die Benennung einer Vertretung jedoch empfehlenswert, sowohl zur Sicherstellung der Einhaltung aller Pflichten gemäß der DSGVO als auch als vertrauensvolle Ansprechperson für betroffene Personen. Dabei sollte der Verantwortliche allerdings beachten, dass eine benannte Vertretung ebenfalls unter den Abberufungs- und Kündigungsschutz des BDSG fallen kann.