[pinguin]

... und berichtet/untersteht alleine der jeweils höchsten Managementebene des Verantwortlichen oder Auftragsverarbeiters im Zusammenhang mit seiner Tätigkeit als Datenschutzbeauftragter.

Ausgang für dieses Thema ist die Meldung und Entscheidungs-Erwähnung unter

Darf ein Betriebsrat auch Datenschutzbeauftragter sein? (Interessenkonflikt)
https://gez-boykott.de/Forum/index.php?topic=37457.0
https://gez-boykott.de/Forum/index.php/topic,37457.msg223528.html#msg223528

URTEIL DES GERICHTSHOFS (Sechste Kammer)
9. Februar 2023(*)

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 38 Abs. 3 – Datenschutzbeauftragter – Verbot der Abberufung wegen der Erfüllung seiner Aufgaben – Erfordernis der funktionellen Unabhängigkeit – Nationale Regelung, nach der die Abberufung eines Datenschutzbeauftragten bei Fehlen eines wichtigen Grundes verboten ist – Art. 38 Abs. 6 – Interessenkonflikt – Kriterien“

In der Rechtssache C-453/21
https://curia.europa.eu/juris/document/document.jsf?text=&docid=270323&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=3596713

24      Drittens wird mit der letztgenannten Bestimmung eine Grenze gezogen, mit der die Abberufung eines Datenschutzbeauftragten aus Gründen, die sich auf die Erfüllung seiner Aufgaben beziehen, verboten wird; zu diesen Aufgaben gehört gemäß Art. 39 Abs. 1 Buchst. b DSGVO insbesondere die Überwachung der Einhaltung der Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten (vgl. in diesem Sinne Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 25).

25      Was als Zweites das mit Art. 38 Abs. 3 Satz 2 DSGVO verfolgte Ziel betrifft, ist erstens darauf hinzuweisen, dass nach dem 97. Erwägungsgrund der DSGVO die Datenschutzbeauftragten unabhängig davon, ob es sich bei ihnen um Beschäftigte des Verantwortlichen handelt oder nicht, ihre Pflichten und Aufgaben in vollständiger Unabhängigkeit ausüben können sollten. Diese Unabhängigkeit muss es ihnen notwendigerweise ermöglichen, diese Aufgaben im Einklang mit dem Ziel der DSGVO auszuüben, die, wie sich aus ihrem zehnten Erwägungsgrund ergibt, namentlich darauf abzielt, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck für eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung personenbezogener Daten zu sorgen (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 26 und die dort angeführte Rechtsprechung).

26      Zweitens ergibt sich das in Art. 38 Abs. 3 Satz 2 DSGVO genannte Ziel, die unabhängige Stellung des Datenschutzbeauftragten zu gewährleisten, auch aus Art. 38 Abs. 3 Satz 1 und Satz 3 DSGVO, wonach der Datenschutzbeauftragte keine Anweisungen bezüglich der Ausübung seiner Aufgaben erhält und unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters berichtet, sowie aus Art. 38 Abs. 5, wonach der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden ist (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 27).

27     Mit Art. 38 Abs. 3 Satz 2 DSGVO, der den Datenschutzbeauftragten vor jeder Entscheidung im Zusammenhang mit der Erfüllung seiner Aufgaben schützt, mit der sein Amt beendet würde, durch die ihm ein Nachteil entstünde oder die eine Sanktion darstellte, soll demnach im Wesentlichen die funktionelle Unabhängigkeit des Datenschutzbeauftragten gewahrt und damit die Wirksamkeit der Bestimmungen der DSGVO gewährleistet werden (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 28).

28      Als Drittes wird, wie der Gerichtshof ebenfalls entschieden hat, diese Auslegung durch den Regelungszusammenhang der Bestimmung und insbesondere durch die Rechtsgrundlage bestätigt, auf der der Unionsgesetzgeber die DSGVO erlassen hat (Urteil vom 22. Juni 2022, Leistritz, C-534/20, EU:C:2022:495, Rn. 29).

Es ist also jede Maßnahme untersagt, die den Datenschutzbeauftragten daran hindern würde, seine mit dem Datenschutz verbundenen Aufgaben im Sinne der DSGVO realisieren zu können.

Gleichfalls ist es untersagt, siehe obige Rn. 27 iVm Rn. 24, gegenüber dem Datenschutzbeauftragten Entscheidungen zu treffen, die mit seiner Funktion als Datenschutzbeauftragter unvereinbar sind.

Insofern wäre es fraglich, ob ein Datenschutzbeauftragter außerhalb seiner Funktion als Datenschutzbeauftragter an Stellen im Unternehmen, bei dem Verantwortlichen, bzw., Auftragsverarbeiter eingesetzt werden darf, die es nötig werden lassen, personen-bezogene Daten zu verarbeiten?

Weiterführend sei auf EuGH C-534/20 querverwiesen, da sich der EuGH auf diese Entscheidung in  den oben zitierten Rn. beruft; zitiert daraus wird nicht, da keine anderen Aussagen zu lesen sind.

URTEIL DES GERICHTSHOFS (Erste Kammer)
22. Juni 2022(*)

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 38 Abs. 3 Satz 2 – Datenschutzbeauftragter – Verbot für einen Verantwortlichen oder einen Auftragsverarbeiter, einen Datenschutzbeauftragten wegen der Erfüllung seiner Aufgaben abzuberufen oder zu benachteiligen – Rechtsgrundlage – Art. 16 AEUV – Erfordernis funktioneller Unabhängigkeit – Nationale Regelung, die die Entlassung eines Datenschutzbeauftragten verbietet, wenn kein schwerwiegender Grund vorliegt“

In der Rechtssache C-534/20
https://curia.europa.eu/juris/document/document.jsf?text=&docid=261462&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=3453991

Hierzu dann auch noch der dazugehörige Schlußantrag

SCHLUSSANTRÄGE DES GENERALANWALTS
JEAN RICHARD DE LA TOUR
vom 27. Januar 2022(1)
Rechtssache C-534/20
https://curia.europa.eu/juris/document/document.jsf?text=&docid=252844&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=3453991

32.      Der Schwerpunkt liegt somit darauf, dass der Tätigkeit des Datenschutzbeauftragten strikte Rahmenbedingungen gesetzt sind, die besonders dann gerechtfertigt sind, wenn der Beauftragte von einem Verantwortlichen benannt wird, der sein Arbeitgeber ist. Daher werden mit dem in Art. 38 Abs. 3 Satz 2 der Verordnung 2016/679 enthaltenen Verbot zugunsten des Datenschutzbeauftragten Vorrechte für die Erfüllung seiner Aufgaben gewährleistet, die in bestimmten Fällen möglicherweise nur schwer mit denjenigen Aufgaben in Einklang zu bringen sind, die vom Arbeitgeber im Rahmen des Arbeitsverhältnisses festgelegt worden sind.

33.      Dass diese Bestimmung allein zum Ziel hat, dem Datenschutzbeauftragten zu ermöglichen, seine Aufgaben in vollständiger Unabhängigkeit zu erfüllen, wird durch den Kontext gestützt, in dem die Bestimmung erlassen worden ist.

D. h., daß einem Datenschutzbeauftragten daraus, daß er seine Tätigkeit als Datenschutzbeauftragter im Sinne der DSGVO gewissenhaft ausübt, auch dann keinerlei Nachteil entstehen darf, wenn er darüberhinaus gegenüber seinem Arbeitgeber weisungsunterworfen ist und dem Arbeitgeber dadurch u. U. Nachteile entsehen, wenn das datenschutzspezifische Tun des Datenschutzbeauftragten mit den Zielen des Arbeitgebers nicht vereinbar ist?

Die Mißachtung dieser Konsequenz könnte zum Vertragsverletzungsverfahren gegen den Bund führen, auch mit Folgen für die Länder, wenn es sich um Landesunternehmen, Landesverantwortliche, bzw., Landesauftragsverarbeiter handelt?

36.      Folglich stellt sich erneut die Frage, ob es den Mitgliedstaaten über die speziell von der Verordnung 2016/679 abgedeckten Gesichtspunkte hinaus weiterhin freisteht, gesetzgeberisch tätig zu werden, sofern sie dabei nicht gegen den Inhalt und die Ziele dieser Verordnung verstoßen(25).

44.      Unter diesen Umständen steht es jedem Mitgliedstaat frei, besondere Vorschriften für die arbeitgeberseitige Kündigung eines Datenschutzbeauftragten vorzusehen, sofern diese mit der in der Verordnung 2016/679 vorgesehenen Regelung zum Schutz des Datenschutzbeauftragten vereinbar sind(31).

D. h., daß Mitgliedsland darf den Schutz der DSGVO erweitern/erhöhen, jedoch nicht absenken?

47.      Insoweit weise ich darauf hin, dass nach Ansicht der Artikel-29-Datenschutzgruppe „[a]ls normale Management-Regel und wie dies bei jedem anderen Beschäftigten oder Fremdmitarbeiter nach geltendem nationalem Vertrags-, Arbeits- oder Strafrecht der Fall wäre, … ein [Datenschutzbeauftragter] jederzeit von Rechts wegen aus Gründen abberufen werden [kann], die nicht im Zusammenhang mit der Erfüllung seiner Pflichten als [Datenschutzbeauftragter] stehen (beispielsweise wegen Diebstahls, physischer, psychischer oder sexueller Belästigung oder einem vergleichbare[n] groben Fehlverhalten)“(35).

Weiterer Querverweis:
EuGH C-175/20 - DSGVO - Art 8 Charta, (Datenschutz), ist Super-Grundrecht
https://gez-boykott.de/Forum/index.php?topic=37343.0