--- title: "EuGH C-453/21 (X-FAB Dresden, VO 2016/679) – Datenschutzbeauftragter: Abberufungsschutz und Interessenkonflikt (Art. 38 Abs. 3 und 6 DSGVO)" slug: "eugh-c-453-21-x-fab-datenschutzbeauftragter-interessenkonflikt" domaine: "datenschutz" valid_from: "2023-02-09" valid_to: null last_reviewed: "2026-10-18" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eugh-c-453-21-x-fab-datenschutzbeauftragter-interessenkonflikt.md wikidata_subjects: [] factcheck_status: "ok" --- # EuGH C-453/21 (X-FAB Dresden, VO 2016/679) – Datenschutzbeauftragter: Abberufungsschutz und Interessenkonflikt (Art. 38 Abs. 3 und 6 DSGVO) ## Kurzantwort Mit Urteil vom **9. Februar 2023** in der Rechtssache **C-453/21 (X-FAB Dresden GmbH & Co. KG ./. FC)** hat die Sechste Kammer des **EuGH** auf Vorlage des **Bundesarbeitsgerichts (BAG)** zwei Fragen zum betrieblichen Datenschutzbeauftragten (DSB) geklärt ([EUR-Lex, CELEX:62021CJ0453](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0453)): 1. **Abberufungsschutz (Art. 38 Abs. 3 Satz 2 DSGVO):** Die DSGVO verbietet nur die Abberufung oder Benachteiligung **wegen der Erfüllung der Aufgaben**. Strengere nationale Regeln, die Abberufung und Kündigung nur aus **wichtigem Grund** erlauben – unabhängig vom Bezug zur DSB-Tätigkeit –, sind zulässig. Das deutsche Recht (§ 6 Abs. 4, § 38 Abs. 2 BDSG) bleibt damit anwendbar. 2. **Interessenkonflikt (Art. 38 Abs. 6 DSGVO):** Ein Konflikt liegt **jedenfalls** vor, wenn der DSB neben seiner Funktion Aufgaben wahrnimmt, bei denen er **Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt**. Das prüft das nationale Gericht **im Einzelfall** anhand der Organisationsstruktur und aller einschlägigen Vorschriften. Das BAG hat den Ausgangsfall am **6. Juni 2023 (9 AZR 383/19)** entschieden: Die Pflichten eines DSB sind mit denen eines **Betriebsratsvorsitzenden** nicht vereinbar; der Widerruf der Bestellung war wirksam ([BAG, Entscheidung 9 AZR 383/19](https://www.bundesarbeitsgericht.de/wp-content/uploads/2023/10/9-AZR-383-19.pdf)). ## Kernfakten | Punkt | Wert | |---|---| | Gericht | Gerichtshof der Europäischen Union, Sechste Kammer | | Aktenzeichen | C-453/21 (X-FAB Dresden GmbH & Co. KG ./. FC), CELEX 62021CJ0453 | | Urteilsdatum | 9. Februar 2023 | | Vorlagegericht | Bundesarbeitsgericht (Deutschland) – Aussetzung des Verfahrens 9 AZR 383/19 im April 2021 | | Ausgelegte Normen | Art. 38 Abs. 3 Satz 2 und Art. 38 Abs. 6 DSGVO (VO 2016/679) | | Abberufungsschutz | Strengere nationale Regeln (wichtiger Grund) zulässig, auch ohne Bezug zur DSB-Tätigkeit | | Nationale Regel (DE) | § 6 Abs. 4 BDSG: Abberufung nur entsprechend § 626 BGB; Kündigung grundsätzlich ausgeschlossen (Ausnahme: fristlose Kündigung aus wichtigem Grund); 1 Jahr Nachwirkung nach Ende der Tätigkeit | | Geltung für private Stellen | § 38 Abs. 2 BDSG: § 6 Abs. 4 gilt nur, wenn die Benennung eines DSB verpflichtend ist (u. a. ab in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, § 38 Abs. 1 BDSG) | | Interessenkonflikt | Jedenfalls bei Festlegung von Zwecken und Mitteln der Verarbeitung; Einzelfallprüfung | | BAG-Folgeentscheidung | 6. Juni 2023, 9 AZR 383/19: DSB und Betriebsratsvorsitz unvereinbar | | Bußgeldrahmen | Verstoß gegen Art. 37–39 DSGVO: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a DSGVO) | | Betroffener Nutzerkreis | Unternehmen und Behörden mit (pflichtigem oder freiwillig benanntem) DSB, DSB selbst, Betriebsräte, Geschäftsführung | ## Geltungsbereich / Wer ist betroffen? Die **DSGVO** ist eine EU-Verordnung und gilt **unmittelbar** in Deutschland; ein Umsetzungsgesetz ist nicht nötig. Das **BDSG** ergänzt sie im Rahmen der Öffnungsklauseln, insbesondere zum Kündigungs- und Abberufungsschutz. Betroffen sind: - **Verantwortliche und Auftragsverarbeiter**, die einen DSB benennen müssen (Art. 37 DSGVO, § 38 BDSG) oder freiwillig benannt haben, - **interne DSB**, die neben ihrer Rolle weitere Funktionen ausüben (z. B. IT-Leitung, Personalleitung, Geschäftsführung, Betriebsratsvorsitz), - **Arbeitgeber**, die einen DSB abberufen oder kündigen wollen, - **Betriebsräte**, deren Mitglieder zum DSB bestellt werden sollen. ## Detail 1: Abberufungsschutz – nationales Recht darf strenger sein Art. 38 Abs. 3 Satz 2 DSGVO verbietet, den DSB **„wegen der Erfüllung seiner Aufgaben“** abzuberufen oder zu benachteiligen. Streitig war, ob der darüber hinausgehende deutsche Schutz (Abberufung nur aus wichtigem Grund) mit dem Unionsrecht vereinbar ist. Der EuGH bejaht das: Die Regel darf nicht die Ziele der DSGVO beeinträchtigen, insbesondere nicht die Unabhängigkeit des DSB. Strengerer Schutz ist hiermit vereinbar, auch wenn der Grund der Abberufung nichts mit der DSB-Tätigkeit zu tun hat. Praktisch bleibt es in Deutschland bei **§ 6 Abs. 4 BDSG** i. V. m. **§ 38 Abs. 2 BDSG**: Die Abberufung ist nur aus einem Grund zulässig, der nach **§ 626 BGB** eine fristlose Kündigung rechtfertigen würde; die Kündigung ist während der Amtszeit grundsätzlich ausgeschlossen und wirkt **ein Jahr** nach (Wortlaut: [§ 6 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__6.html), [§ 38 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__38.html)). Das gilt für nichtöffentliche Stellen **nur bei verpflichtender Benennung**; bei freiwilliger Benennung greift der Sonderschutz nicht. ## Detail 2: Interessenkonflikt nach Art. 38 Abs. 6 DSGVO Der DSB darf andere Aufgaben und Pflichten wahrnehmen, sofern diese nicht zu einem **Interessenkonflikt** führen. Der EuGH konkretisiert: Ein Konflikt besteht **jedenfalls**, wenn dem DSB Aufgaben übertragen sind, aufgrund derer er **Zwecke und Mittel der Verarbeitung** festlegt – er würde dann seine eigenen Entscheidungen überwachen. Ob das der Fall ist, ist **einzelfallbezogen** zu klären; maßgeblich sind die **Organisationsstruktur** des Verantwortlichen und alle einschlägigen Regelungen, auch interne. Typische Risikofunktionen sind Geschäftsführung, IT-Leitung, Personalleitung und Marketingleitung. Das BAG hat für den Fall des **Betriebsratsvorsitzenden** entschieden, dass dieser Konflikt besteht, weil der Betriebsrat Zwecke und Mittel der Verarbeitung von Beschäftigtendaten mitbestimmt (BAG 6.6.2023 – 9 AZR 383/19). ## Detail 3: Nachweis und Risiken für Unternehmen - **Dokumentation:** Die Prüfung möglicher Interessenkonflikte sollte schriftlich vor der Benennung erfolgen (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). - **Folge bei Konflikt:** Die Benennung kann widerrufen werden; Aufsichtsbehörden können Verstöße gegen Art. 37–39 mit Bußgeld ahnden (Art. 83 Abs. 4 lit. a DSGVO). - **Beweislast:** Wer einen DSB gegen dessen Willen abberuft, muss den **wichtigen Grund** darlegen und im Streitfall beweisen; ein Konflikt-Einwand muss ebenfalls konkret an Funktion und Entscheidungsbefugnissen festgemacht werden. ## Häufige Fehler - **DSB zugleich Geschäftsführer, IT- oder Personalleiter.** Wer Zwecke und Mittel der Verarbeitung festlegt, ist als DSB ungeeignet. - **Betriebsratsvorsitz und DSB in Personalunion.** Nach BAG 9 AZR 383/19 unvereinbar. - **Abberufung ohne wichtigen Grund** mit der Begründung, die DSGVO verbiete nur Abberufung „wegen der Aufgaben“. Das deutsche Recht (§ 6 Abs. 4 BDSG) verlangt mehr. - **Sonderkündigungsschutz bei freiwilliger Benennung unterstellt.** § 38 Abs. 2 BDSG: nur bei verpflichtender Benennung. - **Konfliktprüfung nur pauschal nach Funktionsbezeichnung.** Der EuGH verlangt eine Einzelfallprüfung der Organisationsstruktur. ## Änderungsverlauf - **2026-10-18:** Erstveröffentlichung. Tenor und Eckdaten aus Sekundärdarstellungen und der BAG-Entscheidung abgeleitet; der EUR-Lex-Volltext (Randnummern, ECLI) war nicht abrufbar. `factcheck_status: review_needed`: Randnummern und ECLI nicht gegen das Primärdokument geprüft und daher nicht angegeben; die Bußgeldangabe (Art. 83 Abs. 4 lit. a) stammt aus dem Verordnungstext und ist nicht erneut geprüft. ## Stand Stand: 18.10.2026. Diese Seite ersetzt keine Rechtsberatung. Verbindlich sind die amtlichen Fassungen bei EUR-Lex, curia.europa.eu und gesetze-im-internet.de. ## Quellen - EuGH, Urteil vom 09.02.2023 – C-453/21 (X-FAB Dresden), EUR-Lex, CELEX:62021CJ0453: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0453 - DSGVO (VO 2016/679), Art. 37–39 und Art. 83 (EUR-Lex, CELEX:32016R0679): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - BAG, Urteil vom 06.06.2023 – 9 AZR 383/19 (ECLI:DE:BAG:2023:060623.U.9AZR383.19.0): https://www.bundesarbeitsgericht.de/wp-content/uploads/2023/10/9-AZR-383-19.pdf - § 6 BDSG – Stellung der oder des Datenschutzbeauftragten (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__6.html - § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__38.html - § 626 BGB – Fristlose Kündigung aus wichtigem Grund (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bgb/__626.html ## Stand - Letzte Änderung: 2026-10-18 - Letzte Prüfung: 2026-10-18 - In Kraft seit: 2023-02-09 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0