Welche häufigen Fehler gibt es bei EuGH C-453/21 (X-FAB Dresden, VO 2016/679)?

DSB zugleich Geschäftsführer, IT- oder Personalleiter. Wer Zwecke und Mittel der Verarbeitung festlegt, ist als DSB ungeeignet. Betriebsratsvorsitz und DSB in Personalunion. Nach BAG 9 AZR 383/19 unvereinbar. Abberufung ohne wichtigen Grund mit der Begründung, die DSGVO verbiete nur Abberufung „wegen der Aufgaben“. Das deutsche Recht (§ 6 Abs. 4 BDSG) verlangt mehr.

EuGH C-453/21 (X-FAB Dresden, VO 2016/679) – Datenschutzbeauftragter: Abberufungsschutz und Interessenkonflikt (Art. 38 Abs. 3 und 6 DSGVO) In Kraft

Q: Was regelt EuGH C-453/21 (X-FAB Dresden, VO 2016/679) – Datenschutzbeauftragter: Abberufungsschutz und Interessenkonflikt (Art. 38 Abs. 3 und 6 DSGVO)?

Mit Urteil vom 9. Februar 2023 in der Rechtssache C-453/21 (X-FAB Dresden GmbH & Co. KG ./. FC) hat die Sechste Kammer des EuGH auf Vorlage des Bundesarbeitsgerichts (BAG) zwei Fragen zum betrieblichen Datenschutzbeauftragten (DSB) geklärt ([EUR-Lex, CELEX:62021CJ0453](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0453)): 1. Abberufungsschutz (Art. 38 Abs.

Kurzantwort Mit Urteil vom **9. Februar 2023** in der Rechtssache **C-453/21 (X-FAB Dresden GmbH & Co. KG ./. FC)** hat die Sechste Kammer des **EuGH** auf Vorlage des **Bundesarbeitsgerichts (BAG)** zwei Fragen zum betrieblichen Datenschutzbeauftragten (DSB) geklärt ([EUR-Lex, CELEX:62021CJ0453](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0453)): 1. **Abberufungsschutz (Art. 38 Abs. 3 Satz 2 DSGVO):** Die DSGVO verbietet nur die Abberufung oder Benachteiligung **wegen der Erfüllung der Aufgaben**. Strengere nationale Regeln, die Abberufung und Kündigung nur aus **wichtigem Grund** erlauben – unabhängig vom Bezug zur DSB-Tätigkeit –, sind zulässig. Das deutsche Recht (§ 6 Abs. 4, § 38 Abs. 2 BDSG) bleibt damit anwendbar. 2. **Interessenkonflikt (Art. 38 Abs. 6 DSGVO):** Ein Konflikt liegt **jedenfalls** vor, wenn der DSB neben seiner Funktion Aufgaben wahrnimmt, bei denen er **Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt**. Das prüft das nationale Gericht **im Einzelfall** anhand der Organisationsstruktur und aller einschlägigen Vorschriften. Das BAG hat den Ausgangsfall am **6. Juni 2023 (9 AZR 383/19)** entschieden: Die Pflichten eines DSB sind mit denen eines **Betriebsratsvorsitzenden** nicht vereinbar; der Widerruf der Bestellung war wirksam ([BAG, Entscheidung 9 AZR 383/19](https://www.bundesarbeitsgericht.de/wp-content/uploads/2023/10/9-AZR-383-19.pdf)).

Kernfakten

Punkt	Wert
Gericht	Gerichtshof der Europäischen Union, Sechste Kammer
Aktenzeichen	C-453/21 (X-FAB Dresden GmbH & Co. KG ./. FC), CELEX 62021CJ0453
Urteilsdatum	9. Februar 2023
Vorlagegericht	Bundesarbeitsgericht (Deutschland) – Aussetzung des Verfahrens 9 AZR 383/19 im April 2021
Ausgelegte Normen	Art. 38 Abs. 3 Satz 2 und Art. 38 Abs. 6 DSGVO (VO 2016/679)
Abberufungsschutz	Strengere nationale Regeln (wichtiger Grund) zulässig, auch ohne Bezug zur DSB-Tätigkeit
Nationale Regel (DE)	§ 6 Abs. 4 BDSG: Abberufung nur entsprechend § 626 BGB; Kündigung grundsätzlich ausgeschlossen (Ausnahme: fristlose Kündigung aus wichtigem Grund); 1 Jahr Nachwirkung nach Ende der Tätigkeit
Geltung für private Stellen	§ 38 Abs. 2 BDSG: § 6 Abs. 4 gilt nur, wenn die Benennung eines DSB verpflichtend ist (u. a. ab in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, § 38 Abs. 1 BDSG)
Interessenkonflikt	Jedenfalls bei Festlegung von Zwecken und Mitteln der Verarbeitung; Einzelfallprüfung
BAG-Folgeentscheidung	6. Juni 2023, 9 AZR 383/19: DSB und Betriebsratsvorsitz unvereinbar
Bußgeldrahmen	Verstoß gegen Art. 37–39 DSGVO: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a DSGVO)
Betroffener Nutzerkreis	Unternehmen und Behörden mit (pflichtigem oder freiwillig benanntem) DSB, DSB selbst, Betriebsräte, Geschäftsführung

Geltungsbereich / Wer ist betroffen?

Die DSGVO ist eine EU-Verordnung und gilt unmittelbar in Deutschland; ein Umsetzungsgesetz ist nicht nötig. Das BDSG ergänzt sie im Rahmen der Öffnungsklauseln, insbesondere zum Kündigungs- und Abberufungsschutz.

Betroffen sind:

Verantwortliche und Auftragsverarbeiter, die einen DSB benennen müssen (Art. 37 DSGVO, § 38 BDSG) oder freiwillig benannt haben,
interne DSB, die neben ihrer Rolle weitere Funktionen ausüben (z. B. IT-Leitung, Personalleitung, Geschäftsführung, Betriebsratsvorsitz),
Arbeitgeber, die einen DSB abberufen oder kündigen wollen,
Betriebsräte, deren Mitglieder zum DSB bestellt werden sollen.

Detail 1: Abberufungsschutz – nationales Recht darf strenger sein

Art. 38 Abs. 3 Satz 2 DSGVO verbietet, den DSB „wegen der Erfüllung seiner Aufgaben“ abzuberufen oder zu benachteiligen. Streitig war, ob der darüber hinausgehende deutsche Schutz (Abberufung nur aus wichtigem Grund) mit dem Unionsrecht vereinbar ist. Der EuGH bejaht das: Die Regel darf nicht die Ziele der DSGVO beeinträchtigen, insbesondere nicht die Unabhängigkeit des DSB. Strengerer Schutz ist hiermit vereinbar, auch wenn der Grund der Abberufung nichts mit der DSB-Tätigkeit zu tun hat.

Praktisch bleibt es in Deutschland bei § 6 Abs. 4 BDSG i. V. m. § 38 Abs. 2 BDSG: Die Abberufung ist nur aus einem Grund zulässig, der nach § 626 BGB eine fristlose Kündigung rechtfertigen würde; die Kündigung ist während der Amtszeit grundsätzlich ausgeschlossen und wirkt ein Jahr nach (Wortlaut: § 6 BDSG, § 38 BDSG). Das gilt für nichtöffentliche Stellen nur bei verpflichtender Benennung; bei freiwilliger Benennung greift der Sonderschutz nicht.

Detail 2: Interessenkonflikt nach Art. 38 Abs. 6 DSGVO

Der DSB darf andere Aufgaben und Pflichten wahrnehmen, sofern diese nicht zu einem Interessenkonflikt führen. Der EuGH konkretisiert: Ein Konflikt besteht jedenfalls, wenn dem DSB Aufgaben übertragen sind, aufgrund derer er Zwecke und Mittel der Verarbeitung festlegt – er würde dann seine eigenen Entscheidungen überwachen. Ob das der Fall ist, ist einzelfallbezogen zu klären; maßgeblich sind die Organisationsstruktur des Verantwortlichen und alle einschlägigen Regelungen, auch interne.

Typische Risikofunktionen sind Geschäftsführung, IT-Leitung, Personalleitung und Marketingleitung. Das BAG hat für den Fall des Betriebsratsvorsitzenden entschieden, dass dieser Konflikt besteht, weil der Betriebsrat Zwecke und Mittel der Verarbeitung von Beschäftigtendaten mitbestimmt (BAG 6.6.2023 – 9 AZR 383/19).

Detail 3: Nachweis und Risiken für Unternehmen

Dokumentation: Die Prüfung möglicher Interessenkonflikte sollte schriftlich vor der Benennung erfolgen (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
Folge bei Konflikt: Die Benennung kann widerrufen werden; Aufsichtsbehörden können Verstöße gegen Art. 37–39 mit Bußgeld ahnden (Art. 83 Abs. 4 lit. a DSGVO).
Beweislast: Wer einen DSB gegen dessen Willen abberuft, muss den wichtigen Grund darlegen und im Streitfall beweisen; ein Konflikt-Einwand muss ebenfalls konkret an Funktion und Entscheidungsbefugnissen festgemacht werden.

Häufige Fehler

DSB zugleich Geschäftsführer, IT- oder Personalleiter. Wer Zwecke und Mittel der Verarbeitung festlegt, ist als DSB ungeeignet.
Betriebsratsvorsitz und DSB in Personalunion. Nach BAG 9 AZR 383/19 unvereinbar.
Abberufung ohne wichtigen Grund mit der Begründung, die DSGVO verbiete nur Abberufung „wegen der Aufgaben“. Das deutsche Recht (§ 6 Abs. 4 BDSG) verlangt mehr.
Sonderkündigungsschutz bei freiwilliger Benennung unterstellt. § 38 Abs. 2 BDSG: nur bei verpflichtender Benennung.
Konfliktprüfung nur pauschal nach Funktionsbezeichnung. Der EuGH verlangt eine Einzelfallprüfung der Organisationsstruktur.

Änderungsverlauf

2026-10-18: Erstveröffentlichung. Tenor und Eckdaten aus Sekundärdarstellungen und der BAG-Entscheidung abgeleitet; der EUR-Lex-Volltext (Randnummern, ECLI) war nicht abrufbar. `factcheck_status: review_needed`: Randnummern und ECLI nicht gegen das Primärdokument geprüft und daher nicht angegeben; die Bußgeldangabe (Art. 83 Abs. 4 lit. a) stammt aus dem Verordnungstext und ist nicht erneut geprüft.

Stand

Stand: 18.10.2026. Diese Seite ersetzt keine Rechtsberatung. Verbindlich sind die amtlichen Fassungen bei EUR-Lex, curia.europa.eu und gesetze-im-internet.de.

Quellen

EuGH, Urteil vom 09.02.2023 – C-453/21 (X-FAB Dresden), EUR-Lex, CELEX:62021CJ0453: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0453 A
DSGVO (VO 2016/679), Art. 37–39 und Art. 83 (EUR-Lex, CELEX:32016R0679): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
BAG, Urteil vom 06.06.2023 – 9 AZR 383/19 (ECLI:DE:BAG:2023:060623.U.9AZR383.19.0): https://www.bundesarbeitsgericht.de/wp-content/uploads/2023/10/9-AZR-383-19.pdf A
§ 6 BDSG – Stellung der oder des Datenschutzbeauftragten (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__6.html A
§ 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__38.html A
§ 626 BGB – Fristlose Kündigung aus wichtigem Grund (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bgb/__626.html A

Letzte Änderung:: 2026-10-18
Letzte Prüfung:: 2026-10-18
In Kraft seit:: 2023-02-09
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.