DSGVO Art. 38/39 – Stellung, Abberufung und Kündigungsschutz des Datenschutzbeauftragten (EuGH C-534/20 Leistritz, BAG 2 AZR 225/20) In Kraft
Kernfakten
| Punkt | Wert |
|---|---|
| Rechtsgrundlage EU | Art. 38, 39 Verordnung (EU) 2016/679 (unmittelbar anwendbar, keine Umsetzung nötig) |
| Rechtsgrundlage DE | § 38 Abs. 2 BDSG i. V. m. § 6 Abs. 4 BDSG |
| Weisungsfreiheit | Art. 38 Abs. 3 Satz 1 DSGVO |
| Abberufungs-/Benachteiligungsverbot | Art. 38 Abs. 3 Satz 2 DSGVO – „wegen der Erfüllung seiner Aufgaben" |
| Berichtslinie | Art. 38 Abs. 3 Satz 3 DSGVO – direkt an die höchste Managementebene |
| Interessenkonflikt | Art. 38 Abs. 6 DSGVO – Verantwortlicher muss Konflikt bei Zusatzaufgaben ausschließen |
| Mindestaufgaben | Art. 39 Abs. 1 lit. a–e DSGVO (Unterrichtung/Beratung, Überwachung, DSFA-Beratung, Zusammenarbeit und Anlaufstelle für die Aufsichtsbehörde) |
| EuGH-Urteil | C-534/20 (Leistritz AG), 22.06.2022 – nationaler Kündigungsschutz nur aus wichtigem Grund zulässig |
| BAG-Urteil | 2 AZR 225/20 vom 25.08.2022 – Kündigung vom 13.07.2018 nichtig (§ 38 Abs. 1 S. 1, Abs. 2 i. V. m. § 6 Abs. 4 S. 2 BDSG, § 134 BGB) |
| Abberufung nach BDSG | § 6 Abs. 4 Satz 1 BDSG – nur in entsprechender Anwendung von § 626 BGB |
| Kündigung nach BDSG | § 6 Abs. 4 Satz 2 BDSG – nur bei Tatsachen für eine außerordentliche Kündigung aus wichtigem Grund |
| Nachwirkender Schutz | § 6 Abs. 4 Satz 3 BDSG – Kündigung innerhalb eines Jahres nach Ende der Tätigkeit unzulässig, außer bei wichtigem Grund ohne Einhaltung einer Kündigungsfrist |
| Bußgeldrahmen | Art. 83 Abs. 4 lit. a DSGVO – bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Verstöße gegen Pflichten aus Art. 37–39) |
Geltungsbereich
Art. 38 und 39 DSGVO gelten für Verantwortliche und Auftragsverarbeiter, die einen DSB benannt haben – pflichtig nach Art. 37 DSGVO bzw. § 38 Abs. 1 BDSG oder freiwillig. Der Sonderkündigungsschutz nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG gilt für nichtöffentliche Stellen, soweit ein DSB benannt werden *musste*; das BAG hat zu der Frage, ob er auch bei freiwilliger Benennung gilt, in der Entscheidung 2 AZR 225/20 nicht abschließend entschieden. Für externe DSB (Dienstleistungsvertrag, Art. 37 Abs. 6 DSGVO) gilt kein arbeitsrechtlicher Kündigungsschutz; hier greifen Vertragsrecht und das Benachteiligungsverbot des Art. 38 Abs. 3 Satz 2 DSGVO.
Stellung des DSB (Art. 38 DSGVO)
Der DSB ist frühzeitig und ordnungsgemäß in alle datenschutzrelevanten Fragen einzubinden (Abs. 1). Der Verantwortliche stellt Ressourcen, Zugang zu Daten und Verarbeitungsvorgängen sowie Mittel zur Erhaltung des Fachwissens bereit (Abs. 2). Der DSB erhält keine Weisungen zur Ausübung seiner Aufgaben und darf nicht abberufen oder benachteiligt werden, weil er sie erfüllt; er berichtet unmittelbar an die höchste Managementebene (Abs. 3). Betroffene können ihn zu allen Fragen der Verarbeitung und ihrer Rechte zu Rate ziehen (Abs. 4). Er unterliegt der Geheimhaltung (Abs. 5). Zusatzaufgaben sind zulässig, dürfen aber keinen Interessenkonflikt begründen (Abs. 6) – dazu der Fall [EuGH C-453/21 X-Fab](/fakten/eugh-c-453-21-x-fab-datenschutzbeauftragter-interessenkonflikt).
Aufgaben des DSB (Art. 39 DSGVO)
Mindestaufgaben (Abs. 1): Unterrichtung und Beratung von Verantwortlichem und Beschäftigten; Überwachung der Einhaltung von DSGVO und Datenschutzvorschriften (inkl. Zuständigkeiten, Sensibilisierung, Schulung, Überprüfungen); Beratung im Zusammenhang mit der DSFA (Art. 35); Zusammenarbeit mit der Aufsichtsbehörde; Anlaufstelle für die Aufsichtsbehörde (u. a. bei Art. 36). Bei der Aufgabenerfüllung trägt der DSB dem mit den Verarbeitungen verbundenen Risiko gebührend Rechnung (Abs. 2). Der DSB überwacht – er ist nicht selbst Verantwortlicher für die Einhaltung der DSGVO; das bleibt beim Verantwortlichen (Art. 24 DSGVO).
EuGH C-534/20 – Leistritz (22.06.2022)
Das BAG hatte mit Beschluss vom 30.07.2020 (2 AZR 225/20 (A)) die Frage vorgelegt, ob Art. 38 Abs. 3 Satz 2 DSGVO einer nationalen Regelung wie § 38 Abs. 1, 2 i. V. m. § 6 Abs. 4 Satz 2 BDSG entgegensteht. Der EuGH antwortete nach der Wiedergabe im BAG-Urteil: Die Vorschrift bezieht sich auf Kündigungen wegen der Aufgabenerfüllung; die Mitgliedstaaten dürfen strengeren Kündigungsschutz (nur aus wichtigem Grund) vorsehen, solange dies die Verwirklichung der Ziele der DSGVO nicht beeinträchtigt. Die Vorlageentscheidung selbst lag also im Rahmen der Zuständigkeit der Mitgliedstaaten für das Arbeitsrecht.
BAG 2 AZR 225/20 (25.08.2022)
Das BAG wies die Revision der Arbeitgeberin gegen das LAG Nürnberg (19.02.2020, 2 Sa 274/19) zurück. Kernaussagen: (1) Der deutsche Sonderkündigungsschutz beeinträchtigt die DSGVO-Ziele nicht; das Erfordernis des wichtigen Grundes erschwert die Kündigung, macht sie aber nicht unmöglich. (2) Er ist mit Art. 12, 14 und 3 GG vereinbar. (3) Der interne DSB kann nur außerordentlich gekündigt werden – wie Betriebsräte (§ 15 KSchG) oder Immissionsschutzbeauftragte. (4) Eine betriebsbedingte außerordentliche Kündigung kommt bei ausgeschlossener ordentlicher Kündigung in Betracht (Rn. 33). (5) Eine nur ordentlich erklärte Kündigung wird nicht dadurch außerordentlich, dass objektiv ein wichtiger Grund vorlag (Rn. 41–43); die Kündigung vom 13.07.2018 war daher nichtig.
Häufige Fehler
- Ordentliche Kündigung des internen DSB aussprechen, obwohl Benennungspflicht bestand – nichtig nach § 134 BGB; Annahmeverzugslohn droht.
- Widerruf der Benennung ohne wichtigen Grund – Abberufung ist nur analog § 626 BGB zulässig (§ 6 Abs. 4 Satz 1 BDSG).
- Interessenkonflikt durch Zusatzaufgaben (z. B. IT-Leitung, Geschäftsführung, HR-Leitung, Betriebsratsvorsitz) – Verstoß gegen Art. 38 Abs. 6 DSGVO, Bußgeld nach Art. 83 Abs. 4 lit. a DSGVO möglich.
- Weisungen zur Aufgabenerfüllung oder Ausschluss von der Berichtslinie zur Geschäftsleitung.
- Fehlende Ressourcen (Zeit, Budget, Schulung) – Verstoß gegen Art. 38 Abs. 2 DSGVO.
- Beweislast: Der Arbeitgeber muss die Tatsachen für den wichtigen Grund darlegen und beweisen; Compliance-Nachweis: schriftliche Benennung, Stellenbeschreibung, Dokumentation der Berichte an die Geschäftsleitung.
Änderungsverlauf
- 2026-11-08: Faktencheck. Korrigiert gegen gesetze-im-internet.de/bdsg_2018/__6.html: nachwirkender Kündigungsschutz nach § 6 Abs. 4 Satz 3 BDSG beträgt ein Jahr. Leistritz (EuGH C-534/20, 22.06.2022, ECLI:EU:C:2022:495) und BAG 2 AZR 225/20 (25.08.2022) bestätigt; § 38 Abs. 2 BDSG beschränkt den Sonderkündigungsschutz auf Fälle der Benennungspflicht. | change_type=factcheck field="factcheck_status" old="review_proposed" new="ok" reviewed_by="Claude (Freigabe-Aufholer 2026-11-08)"
- 2026-11-07: Erstfassung. Offen (factcheck_status=review_needed): EuGH-Volltext von C-534/20 (Tenor, Randnummern, ECLI) konnte nicht direkt gelesen werden – Wiedergabe über das BAG-Urteil; Dauer des nachwirkenden Kündigungsschutzes nach § 6 Abs. 4 Satz 3 BDSG und Anwendung bei freiwilliger Benennung vor Freigabe gegen den Gesetzestext prüfen.
Stand: 07.11.2026
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 38, 39 – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- EuGH, Urteil vom 22.06.2022, C-534/20 (Leistritz) – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62020CJ0534
- BAG, Urteil vom 25.08.2022 – 2 AZR 225/20: https://www.bundesarbeitsgericht.de/entscheidung/2-azr-225-20/
- § 6 BDSG – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bdsg_2018/__6.html
- § 38 BDSG – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bdsg_2018/__38.html
- EDSA/EDPB – Leitlinien zu Datenschutzbeauftragten (WP 243 rev.01): https://www.edpb.europa.eu/endorsed-wp29-guidelines_de