Alle Unternehmen, bei denen mehr als neun Personen mit der Verarbeitung personenbezogener Daten betraut sind, müssen gem. § 4f BDSG einen betrieblichen Datenschutzbeauftragten bestellen. Das Gesetz stellt es jedem Unternehmen frei, ob ein eigener Mitarbeiter zum (internen) Datenschutzbeauftragten bestellt wird oder hierfür auf einen externen Datenschutzbeauftragten zurückgegriffen wird. Beide Möglichkeiten stehen grundsätzlich gleichwertig nebeneinander.
Wenn jedoch einmal die Entscheidung getroffen wurde, einen internen Datenschutzbeauftragten zu bestellen, so lässt sich diese Entscheidung später nur noch sehr schwer revidieren. Das Bundesarbeitsgericht (BAG) hat im letzten Jahr entschieden, dass ein interner betrieblicher Datenschutzbeauftragter nicht mit der Begründung abberufen werden darf, die Aufgabe solle zukünftig durch einen externen Dienstleister wahrgenommen werden (BAG, Urt. 23.03.2011 – 10 AZR 562/09). Ein Konzern hatte – unter anderem aus Kostengründen – entschieden, zukünftig für alle Konzerngesellschaften einheitlich einen externen Dienstleister als Konzerndatenschutzbeauftragten zu bestellen. Aus diesem Grund sollte die interne Datenschutzbeauftragte einer Konzerngesellschaft abberufen werden, die sich hiergegen gerichtlich gewehrt hat.
Das BAG hat in letzter Instanz die Abberufung als unwirksam angesehen, weil es an einem wichtigen Grund gefehlt hat, der eine Abberufung hätte rechtfertigen können. Die organisatorische Entscheidung, zukünftig einen externen Dienstleister mit der Aufgabe zu betrauen, sei hierfür nicht ausreichend. In der Konsequenz dürfte dies bedeuten, dass ein einmal bestellter interner Datenschutzbeauftragter kaum noch abberufen werden kann, wenn er seine Aufgabe zumindest brauchbar erfüllt.
Wegen dieses Risikos einer kaum noch revidierbaren Vorfestlegung sollte die Bestellung eines internen Datenschutzbeauftragten sehr gut überlegt sein. In vielen Fällen dürfte es empfehlenswerter sein, einen externen Datenschutzbeauftragten zu bestellen. Auch externe Datenschutzbeauftragte können zwar nicht jederzeit abberufen werden, der zugrundeliegende Geschäftsbesorgungsvertrag sieht aber die Möglichkeit einer ordentlichen Kündigung vor. Als externe Datenschutzbeauftragte kommen insbesondere auch Rechtsanwälte mit entsprechender Spezialisierung in Betracht. Diese haben gegenüber anderen Berufsgruppen den Vorteil, dass sie sich bei Auskunftsersuchen der Aufsichtsbehörde auf ihre gesetzliche Verpflichtung zur Verschwiegenheit berufen dürfen (VG Bremen, Urt. v. 30.03.2010 – 2 K 548/09).