Gründe

1Die Parteien streiten über die Abberufung des Klägers als Beauftragter für den Datenschutz.

2Die Beklagte beschäftigt den Kläger seit dem 1. Januar 2002 als Mitarbeiter im Fachbereich Veranlagung, zuletzt als Anwendungsberater. Sie führt als Dienstleisterin für Kommunen Bundesrecht aus und ist deshalb sowohl nach der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie (RL) 95/46/EG (Datenschutz-Grundverordnung; im Folgenden DSGVO; ABl. L 119 vom 4. Mai 2016 S. 1) als auch nach dem Bundesdatenschutzgesetz (BDSG) zur Benennung eines Datenschutzbeauftragten verpflichtet. Unter dem 27. Februar 2004 bestellte die Beklagte den Kläger zum Datenschutzbeauftragten.

3Mit Schreiben vom 15. August 2018 berief die Beklagte den Kläger mit Wirkung zum 31. August 2018 als Datenschutzbeauftragten mit der Begründung ab, seine Tätigkeit als Datenschutzbeauftragter kollidiere mit seiner beruflichen Tätigkeit. Dass der Kläger Finanzdaten von Bürgern zu verarbeiten habe, begründe ebenso einen Interessenkonflikt mit den ihm als Datenschutzbeauftragter obliegenden Pflichten wie seine Tätigkeit als Anwendungsberater. Der Kläger vertritt den Rechtsstandpunkt, es fehle an einem wichtigen Grund, der seine Abberufung rechtfertigen könne.

4Die Vorinstanzen haben die Klage, mit der der Kläger geltend macht, seine Abberufung als Datenschutzbeauftragter sei unwirksam, abgewiesen. Mit seiner Revision verfolgt er sein Klageziel weiter.

5Das Bundesdatenschutzgesetz in der vom 25. Mai 2018 bis 25. November 2019 geltenden Fassung (BGBl. 2017 I S. 2097) sieht ua. folgende Regelungen vor:

6Das Bürgerliche Gesetzbuch in der Fassung der Bekanntmachung vom 2. Januar 2002 (BGBl. I S. 42, berichtigt S. 2909 und BGBl. 2003 I S. 738) lautet auszugsweise:

7Die DSGVO bestimmt ua. Folgendes:

8Der Erfolg der von der Beklagten eingelegten Revision hängt von der Auslegung des Unionsrechts ab. Nach § 6 Abs. 4 Satz 1 BDSG ist die Abberufung des Datenschutzbeauftragten nur in entsprechender Anwendung des § 626 BGB und damit aus wichtigem Grund zulässig. Die Bestimmungen des BDSG knüpfen die Abberufung des Datenschutzbeauftragten demnach an strengere Voraussetzungen als das Unionsrecht. Art. 38 Abs. 3 Satz 2 DSGVO sieht lediglich vor, dass der Datenschutzbeauftragte von den Verantwortlichen wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden darf.

9Nach nationalem Recht wäre die Revision des Klägers begründet. Mit der vom Landesarbeitsgericht gegebenen Begründung durfte die Abberufung nicht als wirksam angesehen werden. Das Landesarbeitsgericht wäre nach der Zurückverweisung durch den Senat gehalten, die unter dem 15. August 2018 erklärte Abberufung des Klägers daraufhin zu überprüfen, ob für sie ein wichtiger Grund iSd. § 6 Abs. 4 Satz 1 BDSG iVm. § 626 BGB vorgelegen hat.

10Die Anwendbarkeit von § 6 Abs. 4 Satz 1 BDSG iVm. § 626 BGB hängt davon ab, ob nach Unionsrecht, und insbesondere nach Art. 38 Abs. 3 Satz 2 DSGVO eine mitgliedstaatliche Regelung zulässig ist, durch die eine Abberufung des Datenschutzbeauftragten an strengere Voraussetzungen als nach dem Unionsrecht geknüpft ist. Hierüber kann der Senat nicht ohne Anrufung des Gerichtshofs der Europäischen Union nach Art. 267 AEUV befinden. Müsste § 6 Abs. 4 Satz 1 BDSG wegen des Anwendungsvorrangs von Unionsrecht unangewendet bleiben, hätte der Kläger mit seiner Revision keinen Erfolg, da sonstige Gründe, die zur Unwirksamkeit seiner Abberufung führen würden, im Streitfall nicht vorliegen.

11Der Senat kann nicht darüber befinden, ob neben der Regelung in Art. 38 Abs. 3 Satz 2 DSGVO die mitgliedstaatliche Norm des § 6 Abs. 4 Satz 1 BDSG anwendbar ist, die die Möglichkeit der Abberufung eines betrieblichen Datenschutzbeauftragten gegenüber den unionsrechtlichen Regelungen einschränkt.

121. Das nationale Recht sieht im Vergleich zum Unionsrecht einen stärkeren Schutz vor einer Abberufung vor. Nach Art. 38 Abs. 3 Satz 2 DSGVO darf der Datenschutzbeauftragte von dem Verantwortlichen wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Demgegenüber bestimmt § 6 Abs. 4 BDSG, dass ein verpflichtend benannter Datenschutzbeauftragter nur aus wichtigem Grund (vgl. § 626 BGB) abberufen werden kann, auch wenn die Abberufung - wie vorliegend - nicht mit der Erfüllung seiner Aufgaben in einem Zusammenhang stehen.

132. Die DSGVO ist in allen Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat (Art. 99 Abs. 2 DSGVO iVm. Art. 288 Abs. 2 AEUV). Nach der Rechtsprechung des Gerichtshofs der Europäischen Union bewirken gemäß dem Grundsatz des Vorrangs des Unionsrechts die Bestimmungen des AEU-Vertrags und die unmittelbar geltenden Rechtsakte der Organe in ihrem Verhältnis zum innerstaatlichen Recht der Mitgliedstaaten, dass allein durch ihr Inkrafttreten jede entgegenstehende Bestimmung des nationalen Rechts ohne Weiteres unanwendbar wird (EuGH 4. Februar 2016 - C-336/14 - Rn. 52; 14. Juni 2012 - C-606/10 - Rn. 73). Die DSGVO will - wie schon die durch sie aufgehobene Richtlinie 95/46/EG vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281 vom 23. November 1995 S. 31) - durch Harmonisierung der nationalen Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten den freien Verkehr dieser Daten zwischen Mitgliedstaaten sicherstellen (vgl. Erwägungsgründe 9 ff. DSGVO; EuGH 20. Mai 2003 - C-465/00 ua. - Rn. 39). Wegen der von der Richtlinie 95/46/EG bewirkten Vollharmonisierung könnten nach der Rechtsprechung des Gerichtshofs der Europäischen Union auch verschärfende nationale Regelungen unzulässig sein (EuGH 24. November 2011 - C-468/10 und C-469/10 - Rn. 29 ff.).

143. Im nationalen Schrifttum wird unterschiedlich beurteilt, ob die DSGVO es den Mitgliedstaten gestattet, die Abberufung des Datenschutzbeauftragten an zusätzliche Voraussetzungen zu knüpfen.

15a) Zum Teil wird die Auffassung vertreten, bei dem Abberufungsschutz in § 38 Abs. 2 iVm. § 6 Abs. 4 Satz 1 BDSG handele es sich um materiell-arbeitsrechtliche Regelungen, weil bei internen Datenschutzbeauftragten mit der Abberufung regelmäßig eine Änderung des Arbeitsvertrags dergestalt einhergehe, dass die Aufgaben des Datenschutzbeauftragten nicht mehr zur geschuldeten Tätigkeit gehörten (Jaspers/Reif in Schwartemann/Jaspers/Thüsing/Kugelmann DS-GVO/BDSG 2. Aufl. Art. 38 Rn. 19; BeckOK DatenschutzR/Moos Stand: 1. November 2019 DS-GVO Art. 38 Rn. 18; vgl. BAG 23. März 2011 - 10 AZR 562/09 - Rn. 30; Greiner/Senk NZA 2020, 201, 206). Für materiell-arbeitsrechtliche Regelungen bestehe gemäß Art. 153 AEUV keine Gesetzgebungskompetenz der Union, weshalb eine Kollision mit Art. 38 Abs. 3 Satz 2 DSGVO ausscheide. Außerdem könne sich der nationale Gesetzgeber bei einer Lückenfüllung auf die arbeitsrechtliche Öffnungsklausel des Art. 88 DSGVO stützen (vgl. Däubler in Däubler/Wedde/Weichert/Sommer EU-DSGVO und BDSG 2. Aufl. § 6 BDSG Rn. 6; EuArbRK/Franzen 3. Aufl. VO 2016/679/EU Art. 38 Rn. 1; Jaspers/Reif RDV 2016, 61, 63). Nach den Materialien zur Neufassung des BDSG ist auch der deutsche Gesetzgeber davon ausgegangen, bei § 6 Abs. 4 BDSG handele es sich um eine arbeitsrechtliche Regelung, die ergänzend zu den Vorgaben der DSGVO entsprechend der bis zum 24. Mai 2018 geltenden nationalen Rechtslage beibehalten werden könne (vgl. BT-Drs. 18/11325 S. 82).

16b) Demgegenüber stellen andere Stimmen auf die Funktion des Abberufungsschutzes ab, der nicht arbeitsrechtlicher Natur, sondern datenschutzrechtlich motiviert sei (Drewes in Simitis/Hornung/Spiecker Datenschutzrecht Art. 38 DSGVO Rn. 58). Folgte man dieser Auffassung, wäre eine nationale Regelung wie § 6 Abs. 4 BDSG unzulässig, die die Abberufung an gegenüber dem europäischen Datenschutz engere Voraussetzungen knüpft.

17Für den Fall der Bejahung der ersten Vorlagefrage möchte der Senat wissen, ob Art. 38 Abs. 3 Satz 2 DSGVO auf einer ausreichenden Ermächtigungsgrundlage beruht, insbesondere soweit er Datenschutzbeauftragte erfasst, die in einem Arbeitsverhältnis zum Verantwortlichen stehen. Sollte es an einer Ermächtigungsgrundlage fehlen, stände Art. 38 Abs. 3 Satz 2 DSGVO der nationalen Regelung des § 6 Abs. 4 BDSG nicht entgegen und die Revision des Klägers hätte Erfolg.

181. Für die Europäische Union gilt gemäß Art. 5 Abs. 1 und Abs. 2 EUV der Grundsatz der begrenzten Einzelermächtigung. Er wird konkretisiert durch Art. 2 ff. AEUV. Die Union wird danach nur innerhalb der Grenzen der Zuständigkeiten tätig, die die Mitgliedstaaten ihr in den Verträgen zur Verwirklichung der darin niedergelegten Ziele übertragen haben.

19a) Der Erlass der DSGVO wird insbesondere auf Art. 16 AEUV gestützt (vgl. Eingangsformel und Erwägungsgrund 12 DSGVO). Allerdings wird der Wortlaut von Art. 16 Abs. 2 Satz 1 AEUV im nationalen Schrifttum teilweise so verstanden, dass sich die vertraglich eingeräumte Rechtssetzungsbefugnis der Union lediglich auf den Datenschutz bei der Datenverarbeitung der Unionsorgane, die Datenverarbeitung der öffentlichen Stellen bei der Umsetzung des Unionsrechts und auf die grenzüberschreitende Datenverarbeitung beschränkt (vgl. Giesen CR 2012, 550, 554). Die bisherige Rechtsprechung des Gerichtshofs der Europäischen Union zur Richtlinie 95/46/EG und Art. 100a EGV ist nicht von einem so engen Verständnis ausgegangen (vgl. EuGH 20. Mai 2003 - C-465/00 ua. - Rn. 39 ff.).

20b) Andererseits könnte die Ermächtigungsgrundlage zur Rechtsangleichung im Binnenmarkt gemäß Art. 114 Abs. 1 AEUV maßgeblich sein (zu Richtlinie 95/46/EG und Art. 100a EGV EuGH 20. Mai 2003 - C-465/00 ua. - Rn. 39 ff.). Dem könnte aber in Bezug auf Art. 38 Abs. 3 Satz 2 DSGVO und Art. 114 Abs. 2 AEUV entgegenstehen, das Art. 114 Abs. 1 AEUV ua. nicht für Bestimmungen über die Rechte und Interessen der Arbeitnehmer gilt. Dies wäre dann kein Hindernis, wenn die DSGVO keine spezifische Zielrichtung in Bezug auf Arbeitnehmerrechte enthielte, sondern nur die Regelung einer Querschnittsmaterie mit bloßen Reflexen auch auf die Rechtsstellung von Beschäftigten (vgl. EuArbRK/Franzen 3. Aufl. AEUV Art. 16 Rn. 3).

212. Wenngleich der Senat die im nationalen Schrifttum geäußerten und nachfolgend dargestellten Bedenken in Bezug auf die Gültigkeit der DSGVO nicht teilt, bittet er den Gerichtshof der Europäischen Union, zur Klärung der unionsrechtlichen Rechtslage und aus Gründen der Rechtsklarheit auf diese einzugehen.

22a) Teilweise wird vom Schrifttum ein Verstoß gegen das unionsrechtliche Subsidiaritätsprinzip (Art. 5 Abs. 3 Unterabs. 1 EUV) angenommen (ausführliche Darstellung bei Morasch Datenverarbeitung im Beschäftigungskontext S. 38 ff.). In Übereinstimmung mit dieser Sichtweise hat der Deutsche Bundesrat mit Beschluss vom 30. März 2012 (BR-Drs. 52/12 [Beschluss]) eine Subsidiaritätsrüge nach Art. 12 Buchst. b EUV iVm. Art. 6 des Protokolls über die Anwendung der Grundsätze der Subsidiarität und der Verhältnismäßigkeit vom 13. Dezember 2007 (ABl. C 306 vom 17. Dezember 2007 S. 150) gegen den ursprünglichen Vorschlag der DSGVO erhoben.

23b) Schließlich wird die DSGVO vereinzelt im nationalen Schrifttum wegen eines Verstoßes gegen das Verhältnismäßigkeitsprinzip des Art. 5 Abs. 4 Unterabs. 1 EUV für unwirksam gehalten (vgl. Giesen NVwZ 2019, 1711, 1712).

24E. Das Revisionsverfahren ist in entsprechender Anwendung von § 148 Abs. 1 ZPO bis zur Entscheidung des Gerichtshofs der Europäischen Union über das Vorabentscheidungsersuchen auszusetzen.