Datenschutzbeauftragten wechseln: Ablauf, Abberufung und Übergabe

Die meisten Unternehmen wechseln ihren Datenschutzbeauftragten nicht, weil etwas Dramatisches passiert ist. Meist ist es ein schleichendes Gefühl: Der Jahresbericht kommt, aber sonst hört man wenig. Fragen zur neuen Software bleiben tagelang liegen. Das Verzeichnis der Verarbeitungstätigkeiten wurde einmal angelegt und seitdem nicht mehr angefasst. Oder der interne Kollege, der die Aufgabe vor Jahren nebenbei übernommen hat, ist inzwischen IT-Leiter geworden und steckt mitten im Interessenkonflikt. Dieser Beitrag zeigt, wie ein Wechsel rechtlich funktioniert, in welcher Reihenfolge Sie vorgehen und welche Unterlagen Sie unbedingt mitnehmen sollten.

Externer oder interner Datenschutzbeauftragter: zwei verschiedene Wege

Den internen Datenschutzbeauftragten abberufen

Für interne Datenschutzbeauftragte hat der deutsche Gesetzgeber einen starken Schutz eingebaut. Nach § 38 Abs. 2 BDSG gilt § 6 Abs. 4 BDSG auch für Unternehmen, allerdings nur, wenn die Benennung verpflichtend ist. Dann ist die Abberufung nur in entsprechender Anwendung des § 626 BGB zulässig, also aus wichtigem Grund. Das Arbeitsverhältnis ist zusätzlich geschützt: Eine ordentliche Kündigung ist während der Tätigkeit und bis ein Jahr nach deren Ende ausgeschlossen. Unabhängig davon verbietet Art. 38 Abs. 3 DSGVO, den Datenschutzbeauftragten wegen der Erfüllung seiner Aufgaben abzuberufen oder zu benachteiligen.

Ein Wunsch nach „mehr Professionalität“ oder die Entscheidung, die Aufgabe künftig extern zu vergeben, reicht für eine Abberufung deshalb in aller Regel nicht. Anders liegt es beim Interessenkonflikt. Der Europäische Gerichtshof hat 2023 in einem Verfahren der X-FAB Dresden (C-453/21) klargestellt, dass ein Datenschutzbeauftragter keine Aufgaben haben darf, in denen er selbst über Zwecke und Mittel der Verarbeitung entscheidet. Das Bundesarbeitsgericht hat daraufhin mit Urteil vom 6. Juni 2023 (9 AZR 383/19) die Abberufung eines Betriebsratsvorsitzenden als Datenschutzbeauftragter bestätigt, weil sich beide Rollen nicht vereinbaren lassen. Typische Konfliktrollen sind außerdem Geschäftsführung, IT-Leitung und Personalleitung.

Ist die Benennung dagegen freiwillig, etwa weil weniger als 20 Personen ständig mit Daten arbeiten und kein Sonderfall vorliegt, greift der besondere Abberufungsschutz des § 6 Abs. 4 BDSG nicht. Hier bleibt nur das allgemeine Benachteiligungsverbot der DSGVO.

Den externen Datenschutzbeauftragten wechseln

Beim externen Datenschutzbeauftragten steht der Vertrag im Vordergrund. Ob der Abberufungsschutz des § 6 Abs. 4 BDSG auch für Externe gilt, ist in der Literatur umstritten. Praktisch lässt sich der Streit vermeiden: Kündigen Sie den Vertrag nach seinen Regeln und lassen Sie die Benennung zum selben Stichtag enden, an dem der neue Datenschutzbeauftragte startet. Lesen Sie vorher nach, was der bisherige Vertrag zu Kündigungsfrist, Herausgabe von Unterlagen und Zugriff auf ein Datenschutz-Portal sagt. Gerade der letzte Punkt wird oft übersehen.

Der Wechsel in sechs Schritten

1. Stichtag festlegen. Aus Vertragsende (extern) oder Abberufung (intern) ergibt sich der Tag, an dem der neue Datenschutzbeauftragte übernimmt. Eine Lücke ist bei Benennungspflicht ein Verstoß, der nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt ist.
2. Neuen Datenschutzbeauftragten auswählen. Entscheidend sind Fachkunde nach Art. 37 Abs. 5 DSGVO, Erreichbarkeit und Branchenkenntnis. Fragen Sie konkret, wie Anfragen bearbeitet werden und wer Ihr fester Ansprechpartner ist.
3. Benennung dokumentieren. Die DSGVO schreibt keine Form vor, wegen der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO sollte die Benennung aber schriftlich festgehalten werden, mit Datum und Aufgabenumfang.
4. Unterlagen übergeben lassen. Die Dokumentation gehört dem Unternehmen, nicht dem Datenschutzbeauftragten. Welche Unterlagen dazugehören, steht in der Checkliste unten.
5. Kontaktdaten aktualisieren. Art. 37 Abs. 7 DSGVO verlangt, die Kontaktdaten zu veröffentlichen. Das betrifft die Datenschutzerklärung der Website, Informationen nach Art. 13 DSGVO in Formularen und Verträgen, Aushänge und das Intranet.
6. Aufsichtsbehörde informieren. Ebenfalls nach Art. 37 Abs. 7 DSGVO teilen Sie die Kontaktdaten des neuen Datenschutzbeauftragten der zuständigen Landesdatenschutzbehörde mit. Die meisten Behörden bieten dafür ein Online-Formular an.

Checkliste: Diese Unterlagen müssen mit

Fehlt ein Teil davon, ist das kein Grund, den Wechsel zu verschieben. Es ist aber ein Hinweis darauf, wo der neue Datenschutzbeauftragte zuerst ansetzen sollte. Eine kurze Bestandsaufnahme in den ersten Wochen zeigt, welche Dokumente aktuell sind und welche nachgezogen werden müssen.

Woran Sie merken, dass ein Wechsel sinnvoll ist

• Anfragen bleiben ohne Antwort oder werden nur mit Textbausteinen beantwortet.
• Es gibt seit Jahren keine Begehung, keine Schulung und keinen Tätigkeitsbericht.
• Neue Tools wie KI-Anwendungen oder Microsoft 365 werden eingeführt, ohne dass der Datenschutzbeauftragte gefragt wird oder sich meldet.
• Der interne Datenschutzbeauftragte entscheidet selbst über IT, Personal oder Budget und kontrolliert sich damit selbst.
• Bei einer Datenpanne oder einer Anfrage der Aufsichtsbehörde wüsste niemand genau, wer jetzt was tut.

Häufige Fragen zum Wechsel des Datenschutzbeauftragten

Kann ich meinen externen Datenschutzbeauftragten jederzeit wechseln?

Sie können ihn wechseln, sobald der bisherige Vertrag endet. Maßgeblich sind die vereinbarten Kündigungsregeln. Die Benennung des neuen Datenschutzbeauftragten sollte genau zu diesem Stichtag wirksam werden, damit keine Lücke entsteht.

Darf ich einen internen Datenschutzbeauftragten einfach abberufen?

Ist die Benennung Pflicht, nur aus wichtigem Grund nach § 6 Abs. 4 BDSG in Verbindung mit § 626 BGB. Ein solcher Grund kann ein Interessenkonflikt sein, etwa wenn der Datenschutzbeauftragte zugleich Betriebsratsvorsitzender, IT-Leiter oder Personalleiter ist. Der Wunsch, die Aufgabe extern zu vergeben, genügt in der Regel nicht.

Muss ich den Wechsel der Aufsichtsbehörde melden?

Ja. Nach Art. 37 Abs. 7 DSGVO teilen Sie die Kontaktdaten des neuen Datenschutzbeauftragten der zuständigen Aufsichtsbehörde mit und veröffentlichen sie, zum Beispiel in der Datenschutzerklärung.

Wem gehören die Datenschutz-Unterlagen?

Dem Unternehmen. Verzeichnis der Verarbeitungstätigkeiten, TOM, DSFA und Datenpannen-Dokumentation muss der Verantwortliche selbst nachweisen können. Der bisherige Datenschutzbeauftragte sollte sie deshalb vollständig und in bearbeitbarer Form übergeben.

Was kostet ein externer Datenschutzbeauftragter nach dem Wechsel?

Bei DATUREX beginnen die Pakete bei 150 € im Monat zzgl. MwSt., abhängig von Unternehmensgröße und Branche. Details stehen auf der Seite Kosten eines externen Datenschutzbeauftragten.

Sie möchten Ihren Datenschutzbeauftragten wechseln? Wir übernehmen die Benennung als externer Datenschutzbeauftragter, kümmern uns um die Übergabe der Unterlagen und prüfen im ersten Schritt, was davon aktuell ist. Externen Datenschutzbeauftragten bestellen oder kostenlose Erstberatung über Kontakt.

Quellen: § 6 BDSG und § 38 BDSG, gesetze-im-internet.de · EuGH, Urteil vom 9. Februar 2023, C-453/21 (X-FAB Dresden) · BAG, Urteil vom 6. Juni 2023, 9 AZR 383/19