Kaum ein Unternehmen wechselt seinen Datenschutzbeauftragten wegen eines einzelnen Vorfalls. Meist ist es ein Gefühl, das sich über Monate aufbaut: Fragen bleiben liegen, das Verarbeitungsverzeichnis ist seit der Erstellung nicht mehr angefasst worden, und vom Datenschutzbeauftragten hört man eigentlich nur einmal im Jahr, wenn der Bericht kommt. Oder der interne Kollege, der die Rolle vor Jahren nebenbei übernommen hat, leitet inzwischen die IT und steckt damit in einem Interessenkonflikt.
Der Wechsel selbst ist dann weniger kompliziert, als viele erwarten. Es kommt vor allem auf zwei Dinge an: den richtigen Weg je nach Art der Benennung und eine saubere Übergabe.
Extern oder intern: zwei verschiedene Wege
Beim externen Datenschutzbeauftragten regelt der Dienstleistungsvertrag den Ausstieg. Sie beenden ihn nach den dort vereinbarten Regeln und lassen die Benennung genau an dem Tag enden, an dem der neue Datenschutzbeauftragte übernimmt. Ob der besondere Abberufungsschutz des § 6 Abs. 4 BDSG auch für Externe gilt, ist umstritten. Wer Vertragsende und neue Benennung auf denselben Stichtag legt, muss diesen Streit gar nicht erst führen.
Beim internen Datenschutzbeauftragten ist es schwieriger. Ist die Benennung Pflicht, darf er nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG nur aus wichtigem Grund abberufen werden. Zusätzlich ist eine ordentliche Kündigung des Arbeitsverhältnisses während der Tätigkeit und ein Jahr danach ausgeschlossen. Der Wunsch, die Aufgabe künftig extern zu vergeben, reicht als Grund in aller Regel nicht.
Anders sieht es beim Interessenkonflikt aus. Der EuGH hat 2023 im Verfahren C-453/21 (X-FAB Dresden) klargestellt, dass ein Datenschutzbeauftragter keine Funktion haben darf, in der er selbst über Zwecke und Mittel einer Verarbeitung entscheidet. Geschäftsführung, IT-Leitung und Personalleitung sind deshalb typische Konfliktrollen. In solchen Fällen kann die Abberufung gerechtfertigt sein.
Keine Lücke entstehen lassen
Der häufigste Fehler beim Wechsel ist eine Zeit ohne Datenschutzbeauftragten, etwa weil der alte Vertrag zum Monatsende ausläuft und der neue Anbieter erst Wochen später startet. Besteht eine Benennungspflicht, ist jeder Tag ohne Datenschutzbeauftragten ein Verstoß, der nach Art. 83 Abs. 4 DSGVO mit einem Bußgeld belegt werden kann. Der Stichtag sollte deshalb feststehen, bevor Sie kündigen.
Die Übergabe entscheidet über die Qualität des Neustarts
Die Datenschutzdokumentation gehört dem Unternehmen, nicht dem bisherigen Datenschutzbeauftragten. Lassen Sie sich mindestens Folgendes übergeben, möglichst in bearbeitbarer Form und nicht nur als PDF:
- das Verzeichnis der Verarbeitungstätigkeiten,
- die technischen und organisatorischen Maßnahmen,
- Verträge zur Auftragsverarbeitung mit einer Übersicht der Dienstleister,
- Datenschutz-Folgenabschätzungen,
- die Dokumentation von Datenpannen und Betroffenenanfragen,
- Schulungsnachweise.
Liegt die Dokumentation in einem Portal des bisherigen Anbieters, klären Sie den Export rechtzeitig. Dieser Punkt wird erfahrungsgemäß am häufigsten übersehen.
Nach dem Wechsel: Kontaktdaten aktualisieren
Art. 37 Abs. 7 DSGVO verlangt zweierlei: Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt werden. Nach einem Wechsel betrifft das die Datenschutzerklärung der Website, Datenschutzhinweise in Formularen und Verträgen, Aushänge und das Intranet. Die meisten Landesdatenschutzbehörden bieten für die Meldung ein Online-Formular an.
Ausführlicher Leitfaden
Den kompletten Ablauf in sechs Schritten, die Rechtslage zur Abberufung interner Datenschutzbeauftragter und eine vollständige Übergabe-Checkliste finden Sie im Beitrag Datenschutzbeauftragten wechseln: Ablauf, Abberufung und Übergabe. Wenn Sie den Wechsel zu einem externen Datenschutzbeauftragten planen, können Sie ihn dort auch direkt bestellen. Wir übernehmen die Übergabe vom bisherigen Datenschutzbeauftragten und prüfen die übernommenen Unterlagen auf Lücken.