Über die Unzulässigkeit der Abberufung eines betrieblichen Datenschutzbeauftragten durch die Datenschutzbehörde VG Köln, Beschluss vom 10.11.2021 – 13 L 1707/21

Über die Unzulässigkeit der Abberufung eines betrieblichen Datenschutzbeauftragten durch die Datenschutzbehörde
VG Köln, Beschluss vom 10.11.2021 – 13 L 1707/21

Das Verwaltungsgericht Köln hat im Rahmen eines einstweiligen Verfügungsverfahrens festgestellt, dass eine Datenschutzbehörde keine Kompetenz hat, gegenüber dem betroffenen Unternehmen anzuordnen, dieses habe einen betrieblichen Datenschutzbeauftragten zu berufen bzw. abzuberufen.

Innerhalb eines solchen Eilverfahrens erfolgt lediglich eine summarische, also nur überschlägige, Prüfung der Voraussetzungen derjenigen Rechtsgrundlage, die von der Datenschutzbehörde für ihr Handeln herangezogen wurde. Hier stützt sich die Behörde auf „Befugnisse“ im Sinne des Art. 58 DSGVO. Danach darf die Datenschutzbehörde den Verantwortlichen oder den Auftragsverarbeiter anweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der Datenschutzgrundverordnung (DSGVO) zu bringen. Natürlich ist erst einmal festzustellen, was alles unter den Begriff der „Verarbeitungsvorgänge“ fällt, bevor die Behörde so eine Anweisung erteilen darf. Die „Verarbeitung“ im generellen Sinne meint jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Diese Vorgänge oder Vorgangsreihen können sehr viel beinhalten. Exemplarisch können das Ordnen, die Organisation, das Abfragen, die Anpassung oder Veränderung sowie der Abgleich oder die Verknüpfung der personenbezogenen Daten darunterfallen. In diesem Fall wurde die Ansicht vertreten, es seien die Organisation und das Ordnen als Unterfall der Organisation in Einklang mit der DSGVO zu bringen. Die Organisation sowie das Ordnen der personenbezogenen Daten seien Vorgänge, durch die Möglichkeiten zur Auffindung und Auswertung dieser Daten vereinfacht oder verbessert werden. Dies kann zum Beispiel in der Weise geschehen, dass die Daten in einer in bestimmter Weise aufgebauten Datei gespeichert werden. Um die Daten entsprechend zu ordnen, bedarf eines speziellen Kriteriums, nach dem jeweils die Daten geordnet werden, wie zum Beispiel die alphabetische oder numerische Reihenfolge.

Das Verwaltungsgericht Köln stellte jedoch fest, dass es nicht ersichtlich sei, warum die Abberufung oder die Berufung eines betrieblichen Datenschutzbeauftragten unter diese zwei näher erläuterten Vorgänge des Art. 58 DSGVO fallen sollen. Wenn die tatbestandlichen Voraussetzungen einer rechtlichen Grundlage nicht erfüllt sind, so kann sich die Datenschutzbehörde in ihrem Handeln auch nicht auf diese Rechtsgrundlage stützen. Die Behörde hat so folglich keine Handlungskompetenz für das von ihr vorgenommene Handeln gehabt.