Datenschutzbeauftragter im Arbeitsrecht

Das Wichtigste in Kürze

• Sonderkündigungsschutz: Während der Bestellung und ein Jahr nach Abberufung ist eine ordentliche Kündigung ausgeschlossen. Nur eine außerordentliche Kündigung aus wichtigem Grund ist möglich (§ 6 Abs. 4 BDSG). Der wichtige Grund darf nicht in der Tätigkeit als Datenschutzbeauftragter liegen.

• Bestellungspflicht: Ein Datenschutzbeauftragter muss bestellt werden, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG) oder wenn die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht.

• Benachteiligungsverbot: Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden (Art. 38 Abs. 3 DSGVO). Eine Abmahnung oder Kündigung wegen ordnungsgemäßer Aufgabenwahrnehmung ist unwirksam.

• Abberufung: Die Abberufung als Datenschutzbeauftragter ist nur aus wichtigem Grund möglich. Allein der Wunsch des Arbeitgebers, einen anderen Datenschutzbeauftragten zu bestellen, genügt nicht. Die Abberufung beendet den Sonderkündigungsschutz nicht sofort – er läuft noch ein Jahr nach.

• Intern oder extern: Der Datenschutzbeauftragte kann ein Beschäftigter des Unternehmens (interner DSB) oder ein externer Dienstleister sein. Der Sonderkündigungsschutz gilt nur für den internen Datenschutzbeauftragten.

Bestellung des Datenschutzbeauftragten

Bestellungspflicht

Die Bestellung eines Datenschutzbeauftragten ist nach § 38 Abs. 1 BDSG verpflichtend, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Es kommt auf die tatsächliche Beschäftigung an, nicht auf die Anzahl der Arbeitnehmer insgesamt – auch Teilzeitkräfte, Werkstudenten und Leiharbeitnehmer zählen mit. Unabhängig von der Personenzahl ist die Bestellung nach § 38 Abs. 1 Satz 2 BDSG auch dann erforderlich, wenn Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung verarbeitet werden.

Anforderungen an die Person

Der Datenschutzbeauftragte muss über die erforderliche Fachkunde und Zuverlässigkeit verfügen (Art. 37 Abs. 5 DSGVO). Die Fachkunde umfasst rechtliche und technische Kenntnisse im Datenschutzrecht – der Umfang richtet sich nach der Komplexität der Datenverarbeitungen im Unternehmen. Interessenkonflikte müssen vermieden werden – die Funktion ist unvereinbar mit Positionen, die über Zwecke und Mittel der Datenverarbeitung entscheiden, etwa der Geschäftsführer, der IT-Leiter oder der Personalleiter. Die Bestellung einer Person mit Interessenkonflikt kann unwirksam sein oder ein Bußgeld nach sich ziehen.

Die Bestellung muss schriftlich erfolgen und dem Datenschutzbeauftragten mitgeteilt werden. Der Arbeitgeber muss die Kontaktdaten des Datenschutzbeauftragten veröffentlichen und der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO). Die freiwillige Bestellung eines Datenschutzbeauftragten – auch wenn keine gesetzliche Pflicht besteht – löst den vollen Sonderkündigungsschutz aus.

Aufgaben und Stellung im Unternehmen

Aufgaben

Die Aufgaben des Datenschutzbeauftragten sind in Art. 39 DSGVO geregelt. Er überwacht die Einhaltung der DSGVO und des BDSG im Unternehmen, berät den Verantwortlichen und die Beschäftigten zu datenschutzrechtlichen Fragen, arbeitet mit der Aufsichtsbehörde zusammen und ist Anlaufstelle für betroffene Personen. Bei der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist der Datenschutzbeauftragte zu beteiligen. Er hat keine Entscheidungsbefugnis – seine Aufgabe ist die Beratung und Überwachung, nicht die Umsetzung. Die Verantwortung für die Einhaltung des Datenschutzes verbleibt beim Arbeitgeber als Verantwortlichem im Sinne der DSGVO.

Weisungsfreiheit und Berichtslinie

Der Datenschutzbeauftragte ist bei der Ausübung seiner Aufgaben weisungsfrei (Art. 38 Abs. 3 Satz 1 DSGVO). Der Arbeitgeber darf ihm keine Weisungen erteilen, wie er seine Datenschutzaufgaben wahrzunehmen hat – weder inhaltlich noch in Bezug auf Ergebnisse oder Empfehlungen. Er berichtet unmittelbar der höchsten Managementebene. Diese Weisungsfreiheit bezieht sich allerdings nur auf die Tätigkeit als Datenschutzbeauftragter – in seiner sonstigen arbeitsvertraglichen Tätigkeit unterliegt der interne Datenschutzbeauftragte dem regulären Direktionsrecht des Arbeitgebers.

Ressourcen und Fortbildung

Der Arbeitgeber muss dem Datenschutzbeauftragten die für die Erfüllung seiner Aufgaben erforderlichen Ressourcen zur Verfügung stellen (Art. 38 Abs. 2 DSGVO). Dazu gehören ausreichende Arbeitszeit für die Datenschutzaufgaben, Zugang zu allen relevanten Verarbeitungsvorgängen und die Möglichkeit zur Fortbildung. Verweigert der Arbeitgeber notwendige Ressourcen, kann dies ein Verstoß gegen die DSGVO sein – mit Bußgeldrisiko bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.

Haftung

Der Datenschutzbeauftragte haftet nicht persönlich für Datenschutzverstöße des Unternehmens. Er ist Berater und Überwacher, nicht Verantwortlicher. Eine persönliche Haftung kommt nur in Betracht, wenn der Datenschutzbeauftragte seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat. Im Innenverhältnis gelten die allgemeinen Grundsätze der Arbeitnehmerhaftung – eine Haftung beschränkt sich bei leichter Fahrlässigkeit auf null und bei mittlerer Fahrlässigkeit auf einen anteiligen Betrag.

Sonderkündigungsschutz

Umfang des Schutzes

Der Sonderkündigungsschutz nach § 6 Abs. 4 BDSG schließt die ordentliche Kündigung während der Bestellung und für ein Jahr nach der Abberufung aus. Nur eine außerordentliche Kündigung aus wichtigem Grund ist möglich. Der wichtige Grund darf nicht in der Tätigkeit als Datenschutzbeauftragter liegen – Beschwerden über zu strenge Datenschutzanforderungen oder unbequeme Empfehlungen sind kein Kündigungsgrund. Der Schutz gilt unabhängig davon, ob die Bestellung verpflichtend oder freiwillig erfolgt ist.

Nachwirkender Schutz

Nach der Abberufung oder dem Widerruf der Bestellung läuft der Sonderkündigungsschutz noch ein Jahr nach. Innerhalb dieses Jahres kann der ehemalige Datenschutzbeauftragte ebenfalls nur außerordentlich aus wichtigem Grund gekündigt werden. Dies schützt vor einer gezielten Abberufung mit anschließender ordentlicher Kündigung.

Verhältnis zum allgemeinen Kündigungsschutz

Der Sonderkündigungsschutz nach dem BDSG besteht neben dem allgemeinen Kündigungsschutz nach dem KSchG und gegebenenfalls weiteren Sonderkündigungsschutzrechten (z. B. als Betriebsratsmitglied oder Schwerbehinderter). Der Arbeitgeber muss alle anwendbaren Kündigungsschutzvorschriften beachten.

Außerordentliche Kündigung

Die außerordentliche Kündigung des Datenschutzbeauftragten setzt einen wichtigen Grund nach § 626 BGB voraus – Tatsachen, die es dem Arbeitgeber unzumutbar machen, das Arbeitsverhältnis bis zum Ablauf einer ordentlichen Kündigungsfrist fortzusetzen. Der wichtige Grund darf nicht in der Tätigkeit als Datenschutzbeauftragter liegen. Typische wichtige Gründe sind schwere Pflichtverletzungen aus dem Arbeitsverhältnis – etwa Diebstahl, Arbeitszeitbetrug oder beharrliche Arbeitsverweigerung. Die Kündigung muss innerhalb von zwei Wochen nach Kenntnis des wichtigen Grundes erklärt werden (§ 626 Abs. 2 BGB). Hat das Unternehmen einen Betriebsrat, ist dieser nach § 102 BetrVG vor der Kündigung anzuhören.

Änderungskündigung und Versetzung

Auch eine Änderungskündigung, die auf die Entziehung der Datenschutzfunktion abzielt, ist während des Sonderkündigungsschutzes nur als außerordentliche Kündigung möglich. Der Arbeitgeber kann den Datenschutzbeauftragten nicht durch eine Versetzung oder eine Änderung des Aufgabenbereichs faktisch an der Ausübung seiner Datenschutzaufgaben hindern. Eine solche faktische Abberufung wäre ebenso unwirksam wie eine ausdrückliche Abberufung ohne wichtigen Grund.

Abberufung

Die Abberufung des internen Datenschutzbeauftragten ist nur aus wichtigem Grund möglich. Ein wichtiger Grund liegt vor, wenn der Datenschutzbeauftragte seine Aufgaben grob pflichtwidrig vernachlässigt, die erforderliche Fachkunde verliert oder ein schwerwiegender Interessenkonflikt eintritt. Der bloße Wunsch des Arbeitgebers, einen anderen Datenschutzbeauftragten zu bestellen, genügt nicht. Auch wirtschaftliche Gründe oder ein Personalabbau rechtfertigen keine Abberufung. Die Abberufung muss dem Datenschutzbeauftragten gegenüber erklärt werden und bedarf keiner besonderen Form – aus Beweisgründen empfiehlt sich jedoch die Schriftform.

Wird die Bestellungspflicht nachträglich entfallen – etwa weil die Personenzahl unter 20 sinkt –, kann der Arbeitgeber die Bestellung widerrufen. Der nachwirkende Kündigungsschutz von einem Jahr gilt auch in diesem Fall.

Im Rahmen einer Betriebsänderung oder eines Betriebsübergangs geht die Funktion des Datenschutzbeauftragten auf den Erwerber über – einschließlich des Sonderkündigungsschutzes. Der Erwerber kann den Datenschutzbeauftragten nicht allein deshalb abberufen, weil er bereits einen eigenen Datenschutzbeauftragten hat. Auch bei einer betriebsbedingten Kündigung im Rahmen einer Restrukturierung bleibt der Sonderkündigungsschutz bestehen – wirtschaftliche Gründe allein rechtfertigen weder die Abberufung noch die Kündigung.

Praxishinweis

Arbeitnehmer, die zum Datenschutzbeauftragten bestellt worden sind und eine Kündigung oder eine Abberufung erhalten, sollten beides unverzüglich anwaltlich prüfen lassen. Die Kündigungsschutzklage muss innerhalb von drei Wochen beim Arbeitsgericht erhoben werden. Die Wirksamkeit der Abberufung kann ebenfalls gerichtlich überprüft werden – bei unwirksamer Abberufung besteht der Sonderkündigungsschutz fort.

Arbeitgeber sollten vor der Bestellung eines internen Datenschutzbeauftragten die arbeitsrechtlichen Konsequenzen bedenken – insbesondere den Sonderkündigungsschutz. Eine Alternative ist die Bestellung eines externen Datenschutzbeauftragten, bei dem kein arbeitsrechtlicher Sonderkündigungsschutz entsteht. Bei Kündigungsabsichten sollte stets geprüft werden, ob ein wichtiger Grund vorliegt, der auch die Abberufung rechtfertigt.

Besondere Vorsicht ist geboten, wenn ein Arbeitnehmer freiwillig zum Datenschutzbeauftragten bestellt wurde – also ohne gesetzliche Pflicht. Auch in diesem Fall entsteht der volle Sonderkündigungsschutz. Der Arbeitgeber kann den freiwillig bestellten Datenschutzbeauftragten nicht einfacher abberufen als den pflichtgemäß bestellten. Wer einen internen Datenschutzbeauftragten bestellt, bindet sich arbeitsrechtlich langfristig – eine Entscheidung, die wohlüberlegt sein sollte.

Verwandte Themen im Arbeitsrecht-Lexikon

Der Sonderkündigungsschutz des Datenschutzbeauftragten ähnelt dem des Betriebsrats. Die Kündigungsschutzklage am Arbeitsgericht ist das Mittel gegen eine unwirksame Kündigung. In der Güteverhandlung wird häufig über eine Abfindung verhandelt. Eine fristlose Kündigung des Datenschutzbeauftragten muss innerhalb von zwei Wochen nach Kenntnis des wichtigen Grundes erfolgen. Bei der Versetzung des Datenschutzbeauftragten ist darauf zu achten, dass er seine Aufgaben weiterhin wirksam wahrnehmen kann. Eine Änderungskündigung zur Entziehung der Datenschutzfunktion unterliegt denselben strengen Anforderungen. Der Arbeitsvertrag sollte die Aufgaben des Datenschutzbeauftragten klar regeln.

Fragen zum Datenschutzbeauftragten?

Wenn Sie als Datenschutzbeauftragter eine Kündigung oder Abberufung erhalten haben oder als Arbeitgeber eine Kündigung prüfen, beraten wir Sie kompetent. Mit über 25 Jahren Erfahrung im Arbeitsrecht kennen wir die besonderen Anforderungen des Sonderkündigungsschutzes.

☎ 089 / 380 199 0 | ✉ thorn@thorn-law.de

Dr. Michael Thorn, Rechtsanwalt | Stand: Februar 2026