Datenschutzbeauftragten wechseln: Vertrag, Kündigung und Übergabe

Ein Wechsel des Datenschutzbeauftragten hat meist praktische Gründe: Die Erreichbarkeit stimmt nicht, die Betreuung bleibt bei Formularen stehen, oder eine interne Lösung kommt an ihre Grenzen. Rechtlich ist der Wechsel unkompliziert. Wichtig ist, dass keine Lücke entsteht und die Unterlagen vollständig übergehen.

Den bisherigen Vertrag beenden

Externe Datenschutzbeauftragte arbeiten in der Regel auf Grundlage eines Dienstvertrags. Laufzeit und Kündigungsfrist stehen dort, und zum vertraglichen Kündigungstermin ist ein Wechsel ohne Begründung möglich.

Der besondere Kündigungsschutz nach § 6 Abs. 4 BDSG betrifft das Arbeitsverhältnis interner Datenschutzbeauftragter. Ob die Abberufung eines externen Beauftragten vor dem Vertragsende zusätzlich einen wichtigen Grund verlangt, wird unterschiedlich beurteilt. Sicher ist der Wechsel zum Ende der Vertragslaufzeit.

Anders liegt der Fall, wenn eine interne Datenschutzbeauftragte durch eine externe ersetzt werden soll und die Benennung verpflichtend ist. Dann ist die Abberufung nur aus wichtigem Grund zulässig, und die Entscheidung, die Aufgabe künftig extern zu vergeben, genügt dafür nach der Rechtsprechung des Bundesarbeitsgerichts nicht. Ein solcher Wechsel gelingt am einfachsten einvernehmlich.

Ohne Lücke neu benennen und melden

Die neue Benennung sollte an dem Tag wirksam werden, an dem die alte endet. Besteht eine Pflicht zur Benennung, darf die Stelle nicht unbesetzt bleiben.

Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten der oder des Datenschutzbeauftragten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen, in Nordrhein-Westfalen der LDI NRW über deren Online-Formular. Das gilt auch beim Wechsel. Kirchliche Stellen melden an ihre kirchliche Datenschutzaufsicht.

Zur Veröffentlichung gehört mehr als die Meldung: Die Datenschutzerklärung der Website, das Verzeichnis der Verarbeitungstätigkeiten, Aushänge und Informationsschreiben müssen die neuen Kontaktdaten nennen.

Die Unterlagen übergeben

Die Dokumentation gehört der verantwortlichen Stelle, nicht der oder dem Datenschutzbeauftragten. Fordern Sie deshalb alles an, was im Mandat entstanden ist: Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, die Liste der Auftragsverarbeiter mit den Verträgen, Datenschutz-Folgenabschätzungen, dokumentierte Vorfälle und Betroffenenanfragen, Schulungsnachweise und Tätigkeitsberichte.

Liegt die Dokumentation in einer Software des bisherigen Dienstleisters, klären Sie rechtzeitig, in welchem Format sie herausgegeben wird. Ein Export, der sich weiterverwenden lässt, erspart beim Neuanfang viel Arbeit.

Wir übernehmen bei einem Wechsel die Benennung und die Meldung an die Aufsicht und übertragen vorhandene Unterlagen in unser Datenschutz-Management-System. Was sich nicht übernehmen lässt, bauen wir dort neu auf.

Was in den Vertrag mit dem externen Datenschutzbeauftragten gehört

Ein Wechsel ist ein guter Anlass, den neuen Vertrag genau zu lesen. Er sollte mindestens regeln: den Leistungsumfang und was davon pauschal abgegolten ist, die Abrechnung von Mehraufwand, Erreichbarkeit und Reaktionszeiten, die Vertretung bei Urlaub und Krankheit, Laufzeit und Kündigung sowie die Herausgabe der Unterlagen bei Vertragsende.

Hinzu kommt, was das Gesetz vorgibt: Die oder der Beauftragte ist bei der Erfüllung der Aufgaben weisungsfrei (Art. 38 Abs. 3 DSGVO) und zur Verschwiegenheit verpflichtet (Art. 38 Abs. 5 DSGVO, § 6 Abs. 5 BDSG). Die Fachkunde sollte sich belegen lassen, etwa durch eine Zertifizierung. Sinnvoll ist außerdem eine Berufshaftpflichtversicherung des Dienstleisters.

Einen Auftragsverarbeitungsvertrag braucht die Benennung selbst nicht. Die oder der Datenschutzbeauftragte ist kein Auftragsverarbeiter, sondern übt eine eigene, gesetzlich geregelte Funktion aus. Stellt der Dienstleister aber eine Software bereit, in der Ihre Daten gespeichert werden, etwa ein Datenschutz-Management-System, ist dafür ein AVV nötig.

So gehen Sie vor

Prüfen Sie zuerst die Kündigungsfrist des bestehenden Vertrags und legen Sie den Stichtag fest. Schließen Sie den neuen Vertrag so, dass die Benennung am selben Tag wirksam wird. Fordern Sie die Unterlagen rechtzeitig an, teilen Sie der Aufsichtsbehörde die neuen Kontaktdaten mit und aktualisieren Sie Datenschutzerklärung und Aushänge.

Häufige Fragen