[Bürger]

Die Übertragbarkeit auf die internen "Rundfunk-Datenschutzbeauftragten" der "Landesrundfunkanstalten" und deren "Umgang mit personenbezogenen Daten" wäre noch zu prüfen...

FAZ, 31.08.2023
Rechtskolumne „Mein Urteil“
Darf ein Betriebsrat auch Datenschutzbeauftragter sein?
Der Umgang mit personenbezogenen Daten in Unternehmen ist heikel, denn Beschäftigte erwarten Sicherheit und Schutz. Jetzt wurde eine Doppelfunktion vor Gericht verhandelt.
Von Anja Mengel
https://www.faz.net/aktuell/karriere-hochschule/mein-urteil/mein-urteil-darf-ein-betriebsrat-auch-datenschutzbeauftragter-sein-19141796.html

Das Bundesarbeitsgericht hat in einem neuen Urteil entschieden, dass die Funktion eines Betriebsratsvorsitzenden mit der eines Datenschutzbeauftragten wegen zwingend bestehender Interessenkonflikte unvereinbar ist (9 AZR 383/19).
[...] kann ein Datenschutzbeauftragter, der zugleich Betriebsratsvorsitzender ist, diese datenschutzbezogenen Entscheidungen und Handlungen des Gremiums nicht unabhängig überwachen.

Bundesarbeitsgericht, 06.06.2023 - Pressemitteilung
27/23 - Betriebsratsvorsitzender als Datenschutzbeauftragter?
https://www.bundesarbeitsgericht.de/presse/betriebsratsvorsitzender-als-datenschutzbeauftragter/

Der Vorsitz im Betriebsrat steht einer Wahrnehmung der Aufgaben des Beauftragten für den Datenschutz typischerweise entgegen und berechtigt den Arbeitgeber in aller Regel, die Bestellung zum Datenschutzbeauftragten nach Maßgabe des BDSG in der bis zum 24. Mai 2018 gültigen Fassung (aF) zu widerrufen.

Der bei der Beklagten angestellte Kläger ist Vorsitzender des Betriebsrats und in dieser Funktion teilweise von der Arbeit freigestellt. Mit Wirkung zum 1. Juni 2015 wurde er von der Beklagten und weiteren in Deutschland ansässigen Tochtergesellschaften zum Datenschutzbeauftragten bestellt. Auf Veranlassung des Thüringer Landesbeauftragten für Datenschutz und Informationsfreiheit widerriefen die Beklagte und die weiteren Konzernunternehmen die Bestellung des Klägers am 1. Dezember 2017 wegen einer Inkompatibilität der Ämter mit sofortiger Wirkung. Nach Inkrafttreten der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie (RL) 95/46/EG (Datenschutz-Grundverordnung; im Folgenden DSGVO) beriefen sie den Kläger vorsorglich mit Schreiben vom 25. Mai 2018 gemäß Art. 38 Abs. 3 Satz 2 DSGVO als Datenschutzbeauftragten ab.

Der Kläger hat geltend gemacht, seine Rechtsstellung als betrieblicher Datenschutzbeauftragter der Beklagten bestehe unverändert fort. Die Beklagte hat die Auffassung vertreten, Interessenkonflikte bei der Wahrnehmung der Aufgaben als Datenschutzbeauftragter und Betriebsratsvorsitzender ließen sich nicht ausschließen. Die Unvereinbarkeit beider Ämter stellten einen wichtigen Grund zur Abberufung des Klägers dar.

Die Vorinstanzen haben der Klage stattgegeben. Die dagegen erhobene Revision der Beklagten hatte vor dem Neunten Senat des Bundesarbeitsgerichts Erfolg. Der Widerruf der Bestellung vom 1. Dezember 2017 war aus wichtigem Grund iSv. § 4f Abs. 3 Satz 4 BDSG aF iVm. § 626 Abs. 1 BGB gerechtfertigt. Ein solcher liegt vor, wenn der zum Beauftragten für den Datenschutz bestellte Arbeitnehmer die für die Aufgabenerfüllung erforderliche Fachkunde oder Zuverlässigkeit iSv. § 4f Abs. 2 Satz 1 BDSG aF nicht (mehr) besitzt. Die Zuverlässigkeit kann in Frage stehen, wenn Interessenkonflikte drohen. Ein abberufungsrelevanter Interessenkonflikt ist anzunehmen, wenn der Datenschutzbeauftragte innerhalb einer Einrichtung eine Position bekleidet, die die Festlegung von Zwecken und Mitteln der Verarbeitung personenbezogener Daten zum Gegenstand hat. Dabei sind alle relevanten Umstände des Einzelfalls zu würdigen. Diese vom Gerichtshof der Europäischen Union (EuGH 9. Februar 2023 – C-453/21 – [X-FAB Dresden]) zu einem Interessenkonflikt iSv. Art. 38 Abs. 6 Satz 2 DSGVO vorgenommene Wertung gilt nicht erst seit Novellierung des Datenschutzrechts aufgrund der DSGVO, sondern entsprach bereits der Rechtslage im Geltungsbereich des BDSG aF.

Die Aufgaben eines Betriebsratsvorsitzenden und eines Datenschutzbeauftragten können danach typischerweise nicht durch dieselbe Person ohne Interessenkonflikt ausgeübt werden. Personenbezogene Daten dürfen dem Betriebsrat nur zu Zwecken zur Verfügung gestellt werden, die das Betriebsverfassungsgesetz ausdrücklich vorsieht. Der Betriebsrat entscheidet durch Gremiumsbeschluss darüber, unter welchen konkreten Umständen er in Ausübung seiner gesetzlichen Aufgaben welche personenbezogenen Daten vom Arbeitgeber fordert und auf welche Weise er diese anschließend verarbeitet. In diesem Rahmen legt er die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest. Inwieweit jedes an der Entscheidung mitwirkende Mitglied des Gremiums als Datenschutzbeauftragter die Einhaltung der gesetzlichen Pflichten des Datenschutzes hinreichend unabhängig überwachen kann, bedurfte keiner abschließenden Entscheidung. Jedenfalls die hervorgehobene Funktion des Betriebsratsvorsitzenden, der den Betriebsrat im Rahmen der gefassten Beschlüsse vertritt, hebt die zur Erfüllung der Aufgaben eines Datenschutzbeauftragten erforderliche Zuverlässigkeit iSv. § 4f Abs. 2 Satz 1 BDSG aF auf.

Bundesarbeitsgericht, Urteil vom 6. Juni 2023 – 9 AZR 383/19 –
Vorinstanz: Sächsisches Landesarbeitsgericht, Urteil vom 19. August 2019 – 9 Sa 268/18 –

Hinweis: Zur Abberufung eines Datenschutzbeauftragten vgl. ferner das Urteil vom 6. Juni 2023 – 9 AZR 621/19 –

BAG, Entscheidung vom 06. Juni 2023 - 9 AZR 383/19
https://dejure.org/2023,12592

Verfahrensgang
ArbG Dresden, 27.06.2018 - 10 Ca 234/18
LAG Sachsen, 19.08.2019 - 9 Sa 268/18
BAG, 27.04.2021 - 9 AZR 383/19
EuGH, 09.02.2023 - C-453/21
BAG, 06.06.2023 - 9 AZR 383/19

Volltext
BAG, Entscheidung vom 06. Juni 2023 - 9 AZR 383/19
Betriebsratsvorsitzender als Datenschutzbeauftragter
https://www.bundesarbeitsgericht.de/entscheidung/9-azr-383-19/

Tenor

1. Auf die Revision der Beklagten wird das Urteil des Sächsischen Landesarbeitsgerichts vom 19. August 2019 – 9 Sa 268/18 – aufgehoben.

2. Auf die Berufung der Beklagten wird das Urteil des Arbeitsgerichts Dresden vom 27. Juni 2018 – 10 Ca 234/18 – abgeändert und die Klage abgewiesen.

3. Der Kläger hat die Kosten des Rechtsstreits zu tragen.

Leitsatz

Die Pflichten eines Datenschutzbeauftragten sind mit denen eines Betriebsratsvorsitzenden nicht zu vereinbaren. Der bei gleichzeitiger Wahrnehmung beider Funktionen bestehende Interessenkonflikt rechtfertigt es, die Bestellung des Betriebsratsvorsitzenden zum Datenschutzbeauftragten zu widerrufen.

Tatbestand
[...]

Entscheidungsgründe
[...]

[pinguin]

Nur als Hinweis:

Offenbar ist das noch nicht abschließend entschieden, sondern bislang eine Vorlageentscheidung an den EuGH?***

BAG, EuGH-Vorlage vom 27.04.2021, 9 AZR 383/19 (A)
Datenschutzbeauftragter - Abberufung - Unionsrecht
https://www.bundesarbeitsgericht.de/entscheidung/9-azr-383-19-a

I. Der Gerichtshof der Europäischen Union wird gemäß Art. 267 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) um die Beantwortung folgender Fragen ersucht:

1. Ist Art. 38 Abs. 3 Satz 2 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung; im Folgenden DSGVO) dahin auszulegen, dass er einer Bestimmung des nationalen Rechts, wie hier § 38 Abs. 1 und Abs. 2 iVm. § 6 Abs. 4 Satz 1 des Bundesdatenschutzgesetzes (BDSG), entgegensteht, die die Abberufung des Datenschutzbeauftragten durch den Verantwortlichen, der sein Arbeitgeber ist, an die dort genannten Voraussetzungen knüpft, unabhängig davon, ob sie im Wege der Erfüllung seiner Aufgaben erfolgt?

Falls die erste Frage bejaht wird:

2. Steht Art. 38 Abs. 3 Satz 2 DSGVO einer solchen Bestimmung des nationalen Rechts auch dann entgegen, wenn die Benennung des Datenschutzbeauftragten nicht nach Art. 37 Abs. 1 DSGVO verpflichtend ist, sondern nur nach dem Recht des Mitgliedstaats?

Falls die erste Frage bejaht wird:

3. Beruht Art. 38 Abs. 3 Satz 2 DSGVO auf einer ausreichenden Ermächtigungsgrundlage, insbesondere soweit er Datenschutzbeauftragte erfasst, die in einem Arbeitsverhältnis zum Verantwortlichen stehen?

Falls die erste Frage verneint wird:

4. Liegt ein Interessenkonflikt iSv. Art. 38 Abs. 6 Satz 2 DSGVO vor, wenn der Datenschutzbeauftragte zugleich das Amt des Vorsitzenden des in der verantwortlichen Stelle gebildeten Betriebsrats innehat? Bedarf es für die Annahme eines solchen Interessenkonflikts einer besonderen Aufgabenzuweisung innerhalb des Betriebsrats?

II. Das Revisionsverfahren wird bis zur Entscheidung des Gerichtshofs der Europäischen Union über das Vorabentscheidungsersuchen ausgesetzt.

22
2. Die DSGVO ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat (Art. 99 Abs. 2 DSGVO iVm. Art. 288 Abs. 2 AEUV). Nach der Rechtsprechung des Gerichtshofs der Europäischen Union bewirken gemäß dem Grundsatz des Vorrangs des Unionsrechts die Bestimmungen des AEU-Vertrags und die unmittelbar geltenden Rechtsakte der Organe in ihrem Verhältnis zum innerstaatlichen Recht der Mitgliedstaaten, dass allein durch ihr Inkrafttreten jede entgegenstehende Bestimmung des nationalen Rechts ohne Weiteres unanwendbar wird (EuGH 4. Februar 2016 – C-336/14 – Rn. 52; 14. Juni 2012, – C-606/10 – Rn. 73). Die DSGVO will – wie schon die durch sie aufgehobene Richtlinie 95/46/EG vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281 vom 23. November 1995 S. 31) – durch Harmonisierung der nationalen Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten den freien Verkehr dieser Daten zwischen Mitgliedstaaten sicherstellen (vgl. Erwägungsgründe 9 ff. DSGVO; EuGH 20. Mai 2003 – C-465/00 ua. – Rn. 39). Wegen der von der Richtlinie 95/46/EG bewirkten Vollharmonisierung könnten nach der Rechtsprechung des Gerichtshofs der Europäischen Union auch verschärfende nationale Regelungen unzulässig sein (EuGH 24. November 2011 – C-468/10 und C-469/10 – Rn. 29 ff.).

Aus der dazugehörigen Pressemitteilung ergibt sich, daß zeitgleich eine weitere Vorlage an den EuGH mit ähnlichen Fragen unterbreitet worden ist.

Bundesarbeitsgericht, 27.04.2021 - Pressemitteilung
9/21 - Abberufung eines Beauftragten für Datenschutz
https://www.bundesarbeitsgericht.de/presse/abberufung-eines-beauftragten-fuer-datenschutz/

Bundesarbeitsgericht, Beschluss vom 27. April 2021 – 9 AZR 383/19 (A) –
Vorinstanz: Sächsisches Landesarbeitsgericht, Urteil vom 19. August 2019 – 9 Sa 268/18 –

Der Senat hat mit weiterem Beschluss vom 27. April 2021 den Gerichtshof in der Sache – 9 AZR 621/19 (A) – mit teilweise gleichgelagerten Fragen um Vorabentscheidung ersucht.

Die Suche am BAG nach diesem Aktenzeichen "9 AZR 383/19" bringt

1 Ergebnis gefunden

Entweder ist das also noch nicht durchentschieden oder die Entscheidung des EuGH noch nicht eingearbeitet?***


***Edit "Bürger": Es besteht - lt. Eingangsartikel - sehr wohl ein "neues Urteil" und nicht mehr nur die Voranfrage an den EuGH. Siehe auch die im Einstiegsbeitrag noch ergänzten Links zur Pressemitteilung des BAG vom 06.06.2023 und zum Eintrag bei "dejure.de" zu "BAG, Entscheidung vom 06. Juni 2023 - 9 AZR 383/19".

[Bürger]

Offenbar ist das noch nicht abschließend entschieden, sondern bislang eine Vorlageentscheidung an den EuGH?

Doch, lt. Einstiegsartikel ist von einem "neuen Urteil" die Rede - und per web-Suche lassen sich weitere Artikel zu einem "Urteil vom 06. Juni 2023" finden. Das Vorabentscheidungsersuchen stammt ja aus 2021 und ist kein "Urteil".

Zur Vermeidung weiterer irriger Annahmen wurde im Einstiegsbeitrag noch die Pressemitteilung des Bundesarbeitsgerichts vom 06.06.2023 gepostet. Zum Zeitpunkt der Erstellung des Threads war dafür gerade keine Gelegenheit. Der Link zum Entscheidungs-Volltext folgt, sofern und sobald dieser verfügbar ist und Gelegenheit dazu besteht.

Bitte in solchen Fällen immer selbst mit recherchieren, statt Thesen aufzustellen, die sich bei ausgiebiger Recherche erübrigen würden...

[pjotre]

Dr. iur. Binder, Büro in Potsdam
---------------------------------------------------
(vielleicht RBB-Eigentum), ist Datenschutzbeauftragter mehrerer Sender.

Er ist zugleich Mitherausgeber des "Binder-Vesting", des Beck'schen "Rundfunkrechtlichen Kommentars", der der Rechtsprechung die maßgeblichen Informationen liefert, wie über Sender-Datenschutz bei Bürgerklagen zu urteilen sei.

Die Vereinbarkeit muss also auch hier in Frage gestellt werden.


Die RBB-Compliance-Beauftragte des RBB,
----------------------------------------
Frau N..-S., ist zugleich Datenschutzbeauftrage für den RBB und ist Angestellte des RBB.
Auch hier stellt sich nun die Frage der Vereinbarkeit.


Klarstellung zu beiden Personen:
------------------------------------------
Hier liegen keinerlei Anhaltspunkte dafür vor, dass diese beiden in ihren aktuellen Funktionen auf der Negativskala einzustufen sind.
Also ist hier kein Raum für Polemik. Sondern nur die Frage des ganz neutralen Befangenheits-"Einwandes", der ja nicht ein Befangenheits-"Vorwurf" ist.

Auch für alle 10 Sender bundesweit dürfte die Vereinbarkeits-Frage zu stellen sein.
------------------------------------------------------------------------------------------
Wohl regelmäßig liegt in den Personen der Datenschutz-Beauftragen eine Doppelfunktion vor, indem sie auch anderweitig im Betrieb eine Sonderstellung haben, für die sie abgestellt / freigestellt sind.

[pinguin]

Von der in eingangs ergänzter Pressemitteilung benannten EuGH-Entscheidung C-453/21...

https://www.bundesarbeitsgericht.de/presse/betriebsratsvorsitzender-als-datenschutzbeauftragter/

Diese vom Gerichtshof der Europäischen Union (EuGH 9. Februar 2023 – C-453/21 – [X-FAB Dresden]) zu einem Interessenkonflikt iSv. Art. 38 Abs. 6 Satz 2 DSGVO vorgenommene Wertung gilt nicht erst seit Novellierung des Datenschutzrechts aufgrund der DSGVO, sondern entsprach bereits der Rechtslage im Geltungsbereich des BDSG aF.

...ist Leitsatz 2 durchaus interessant:

Rechtssache C-453/21
https://curia.europa.eu/juris/document/document.jsf?text=&docid=270323&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=3596713

Aus diesen Gründen hat der Gerichtshof (Sechste Kammer) für Recht erkannt:

2.      Art. 38 Abs. 6 der Verordnung (EU) 2016/679 ist dahin auszulegen, dass ein „Interessenkonflikt“ im Sinne dieser Bestimmung bestehen kann, wenn einem Datenschutzbeauftragten andere Aufgaben oder Pflichten übertragen werden, die ihn dazu veranlassen würden, die Zwecke und Mittel der Verarbeitung personenbezogener Daten bei dem Verantwortlichen oder seinem Auftragsverarbeiter festzulegen. Ob dies der Fall ist, muss das nationale Gericht im Einzelfall auf der Grundlage einer Würdigung aller relevanten Umstände, insbesondere der Organisationsstruktur des Verantwortlichen oder seines Auftragsverarbeiters, und im Licht aller anwendbaren Rechtsvorschriften, einschließlich etwaiger interner Vorschriften des Verantwortlichen oder des Auftragsverarbeiters, feststellen.

[Zeitungsbezahler]

So wie ich das Urteil verstanden habe, besteht das Problem darin, daß der Datenschutzbeauftragte Einsicht in alles was sein Herz begehrt haben darf und das einfordern kann. In seiner Funktion als Betriebsrat könnte er sich auch Informationen ohne Hindernisse holen, die für den Betriebsrat nützlich sind und ihm einen Vorteil gegenüber der Geschäftsleitung bedeuten. Genau deshalb die Abbestellung, als Betriebsrat kann ihn der Arbeitgeber ja nicht rausschmeißen, weil er ja gewählt ist.

Genau auf den Interessenkonflikt kommt es an, einmal aus Sicht des Arbeitgebers und einmal aus Sicht des Datenschutzbetroffenen (Mitarbeiter, Kunde, Lieferant).

Beim Rundfunk sehe ich vorrangig das Problem. daß der Datenschutzbeauftragte kein Mitarbeiter des Inkassodienstes sein darf oder über Befreiungen o.ä. entscheiden dürfte oder allgemein fürs "Beitragswesen" (teil-)zuständig sein dürfte, was den "Kunden" angeht, kein Mitarbeiter einer Personalabteilung sein darf (betrifft "Mitarbeiter") oder in der Programmplanung-Einkauf arbeiten darf ("Lieferantenkonditionen" kennen).

[pinguin]

Nachstehend der Link zum Volltext der Entscheidung.

BAG, Entscheidung vom 06. Juni 2023 - 9 AZR 383/19
Betriebsratsvorsitzender als Datenschutzbeauftragter
https://www.bundesarbeitsgericht.de/entscheidung/9-azr-383-19/

Tenor

1. Auf die Revision der Beklagten wird das Urteil des Sächsischen Landesarbeitsgerichts vom 19. August 2019 – 9 Sa 268/18 – aufgehoben.

2. Auf die Berufung der Beklagten wird das Urteil des Arbeitsgerichts Dresden vom 27. Juni 2018 – 10 Ca 234/18 – abgeändert und die Klage abgewiesen.

3. Der Kläger hat die Kosten des Rechtsstreits zu tragen.

Leitsatz

Die Pflichten eines Datenschutzbeauftragten sind mit denen eines Betriebsratsvorsitzenden nicht zu vereinbaren. Der bei gleichzeitiger Wahrnehmung beider Funktionen bestehende Interessenkonflikt rechtfertigt es, die Bestellung des Betriebsratsvorsitzenden zum Datenschutzbeauftragten zu widerrufen.

Tatbestand
[...]

Entscheidungsgründe
[...]

Edit "Bürger": Danke - im Einstiegsbeitrag ergänzt.