Tenor 1. Die Beklagte wird verurteilt, dem Kläger ein qualifiziertes Zeugnis zu erteilen. 2. Im Übrigen wird die Klage abgewiesen. 3. Die Kosten des Rechtsstreits werden zu 25 % der Beklagten und zu 7

. Hiernach sei die Bestellung eines Datenschutzbeauftragten verpflichtend, wenn die Kerntätigkeit des Verantwortlichen in der Durchführung von Verarbeitungsvorgängen bestehe, welche aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke eine umfangreiche, regelmäßige und systematische Überwachung von betroffenen Personen erforderlich mache oder wenn die Kerntätigkeit in umfangreicher Verarbeitung von Daten nach Art 9, 10 bestehe. Insofern stelle die DSGVO darauf ab, wie kritisch die Datenverarbeitung sei und welche Auswirkungen sie haben könne. Wenn eine gewisse Kritikalität erreicht sei, müsse eine Bestellung erfolgen. Insofern gebe es keine starre Grenze, ab derer eine Bestellung verbindlich sei. Vielmehr sei dann, wenn die Unterstützung des Verantwortlichen bei Umsetzung und Einhaltung

durch einen Datenschutzbeauftragten geboten sei, eine Bestellpflicht gegeben. Dies sei wiederum in der Regel der Fall, wenn die Kerntätigkeit im Bereich Datenverarbeitung liege und Daten kritisch seien. Mit der Kerntätigkeit sei die Haupttätigkeit des Unternehmens gemeint. Die Datenverarbeitung sei eine Haupttätigkeit, wenn sie eine wesentliche Aufgabe zur Erreichung Unternehmensziele darstelle, wenn also der primäre Geschäftszweck ohne Verarbeitung personenbezogener Daten nicht erreicht werden könne. Vorliegend sei die Datenverarbeitung Kerntätigkeit. Denn in der Unternehmensgruppe der Fa. D, bestehend aus der beklagten Holding sowie den Firmen A GmbH & Co. KG und die B Rhein-Main GmbH & Co. KG, die (unstreitig) vom selben Geschäftsführer geleitet würden, der (unstreitig) auch Gesellschafter der Firmen sei, würden mehr als 100 Arbeitnehmer beschäftigt. Ausweislich des Handelsregisterauszugs sei Geschäftsgegenstand der Beklagten die Beteiligung an und Verwaltung von anderen Gesellschaften. Daher sei der Hauptzweck und die Hauptaufgabe der Beklagten, sowohl für eigene Mitarbeiter, als auch für Mitarbeiter der Tochtergesellschaften, die Personalverwaltung zu übernehmen. Aufgrund des Umfangs der in diesem Zusammenhang zu erbringenden Tätigkeiten werde neben dem Kläger ein Personalleiter beschäftigt und eine Vielzahl weiterer Arbeitnehmer in der Personalabteilung, die personenbezogene Daten bearbeiten und hierbei auch sensible Daten wie Religionszugehörigkeit und Krankheitsdaten würden. Soweit die Beklagte vortrage, dass die Holding neben Personalverwaltung auch kaufmännische und vertriebliche Aufgaben wahrnehme, sei dies mit Blick auf eine Bestellungspflicht unerheblich. Denn auch diese Aufgaben im Vertrieb und im kaufmännischen Bereich seien im Kernbereich Datenermittlung und Datenspeicherung. So seien sämtliche Mitarbeiter des Vertriebes der Beklagten mit elektronischen Speichermedien ausgestattet. Sie seien verpflichtet Name, Anschriften, Telefonnummern der Kunden und der zuständigen Sachbearbeiter der potenziellen Kunden zu erfassen, zu speichern und zu verarbeiten. Daneben würden von den Vertriebsmitarbeitern regelmäßig auch nicht anonymisierte Daten zu Bonität, Umsätzen und persönlichen Verknüpfungen gespeichert. Gleiches gilt auch für Geburtsdaten einzelner Kunden bzw. deren geschäftsführenden Vertretern. Die Kerntätigkeit der Beklagten beziehe sich daher auf die Durchführung von Datenverarbeitungsvorgängen und die Daten seien mit erheblicher Kritikalität versehen. Damit sei verpflichtend ein Datenschutzbeauftragrer zu bestellen gewesen und der Kläger unterfalle dem Kündigungsschutz. Das führe auch nicht zu einer Jobgarantie für ungeeignete Mitarbeiter. Denn der Arbeitgeber habe es in der Hand, sowohl einen externen Datenschutzbeauftragten zu bestellen, als auch bei der Wahl eines internen Datenschutzbeauftragten möglicherweise auf langjährige, erprobte und aus Sicht des Arbeitgebers sichere Mitarbeiter, abzustellen. Sofern der Arbeitgeber - wie vorliegend - jedoch einen Mitarbeiter, der sich noch in der Probezeit befinde, zum Datenschutzbeauftragten bestelle, begebe er sich selbst in das dahingehende Risiko. Darüber hinaus sei eine Jobgarantie auch deswegen nicht gegeben, da lediglich der Ausspruch einer ordentlichen, nicht jedoch der eine außerordentlichen Kündigung ausgeschlossen sei. Der Kündigungsvorwurf unzutreffend. Abmahnungen gebe es - unstreitig - nicht. Der Kläger beantragt:

1. Es wird festgestellt, dass das Arbeitsverhältnis der Parteien durch die Kündigung der Beklagten vom 01.09.2021 nicht aufgelöst worden ist.
2. Die Beklagte wird verurteilt, dem Kläger ein qualifiziertes Zwischenzeugnis zu erteilen. Hilfsweise, für den Fall, dass der Feststellungsantrag zu
3. abgewiesen wird: Die Beklagte wird verurteilt, dem Kläger ein qualifiziertes Zeugnis zu erteilen. Die Beklagte beantragt, die Klage abzuweisen. Die Beklagte ist der Ansicht, die Kündigung habe das Arbeitsverhältnis beendet. Der Kläger könne sich nicht auf den Sonderkündigungsschutz als Datenschutzbeauftragter berufen. Denn die Beklagte sei nicht verpflichtet gewesen, einen Datenschutzbeauftragten zu bestellen. Eine Bestellungspflicht ergebe sich nicht aus einer geschäftsmäßigen Datenübermittlung i.S.d. § 38 I 2 BDSG. Einerseits habe der Kläger die Abrechnungen noch nicht verantwortet, sondern der Personalleiter. Andererseits sei von dieser Vorschrift eine Übermittlung an Auskunfteien gemeint, nicht erfasst sei die Datenübermittlung innerhalb einer Unternehmensgruppe. Auch aus Art. 37 DSGVO ergebe sich keine Bestellungspflicht. Die Kerntätigkeit der Beklagten liege nicht in der Durchführung von Verarbeitungsvorgängen, die aufgrund Art, Umfang oder Zweck eine umfangreiche, regelmäßige und systematische Überwachung von Personen erforderlich mache. Die Datenverarbeitung zur Erstellung der Lohnabrechnung - sei es als Verantwortlicher oder Auftragsverarbeiter - erfolge nur zur ordnungsgemäßen Abwicklung der Arbeitsverhältnisse. Daher sei sie eine reine Verwaltungsaufgabe und keine Kerntätigkeit. Verwaltungsaufgaben, wie unternehmensinterne Personalverwaltung einschließlich Entlohnung, Führen eines Zeiterfassungssystems, Betrieb eines hausinternen IT-Systems etc. seien insoweit unbeachtlich. Die Bearbeitung der Löhne und Gehälter mache nur 2%-5% der Tätigkeit der Beklagten aus. Dies entspreche 1-1,5 Tagen im Monat. Die Durchführung der Lohnabrechnungen und Personalverwaltung als solches sei auch dann, wenn in allen Unternehmen mehr als 100 Mitarbeiter beschäftigt sein sollten, nicht die Haupttätigkeit der Beklagten. Deren Haupttätigkeit sei es, eine Risikosplittung zwischen der Beklagten als Eigentümerin der Vermögensgegenstände und den operativen Gesellschaften, umzusetzen. Auch wenn eine zentrale Personalverwaltung geführt werde, sei dies folglich nicht der Hauptzweck der Beklagten. Aus dem Handelsregister ergebe sich nichts anderes. Danach könne sich die Beklagte an anderen Unternehmen u. a. beteiligen und Beteiligungen verwalten. Daraus sei aber nicht zu schließen, dass Hauptzweck der Beklagten die Personalverwaltung von erworbenen Unternehmen oder deren Beteiligung sei. Zudem setze Art. 37 Abs. 1 b) DSGVO voraus, dass die die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich mache. Mit dem Begriff "Überwachung" sei mehr als eine schlichte Datenerhebung gemeint, denn der Begriff "Überwachung" setze eine Beobachtung des Verhaltens voraus, um daraus Schlüsse zu ziehen. Von einer Überwachung in diesem Sinne könne bei Ausübung der Personalverwaltung ebenfalls nicht die Rede sein. Der Kläger könne sich auch nicht darauf stützen, dass angeblich etliche Tausende Kundenstammdaten einschließlich etwaiger Bonitätsbewertungen geführt würden. Denn die Kunden der Beklagten seien ausschließlich juristische Personen, die jedoch dem Schutz der DSGVO nicht unterfielen. Mit Privatkunden würden keine Geschäfte geschlossen. Abgesehen davon würden Vertriebsdaten nicht bei der Beklagten gespeichert, da der Vertrieb zum Geschäftsbereich der beiden anderen operativen Unternehmen der Gruppe gehört. Soweit der Kündigungsschutz des BDSG über denjenigen der

hinausgehe, sei dies europarechtlich problematisch. Ob dies gegen europäisches Recht verstoße, sei Gegenstand von Vorlagen des BAG an den EuGH. Materiell laufe die Regelung im BDSG auf eine Jobgarantie für ungeeignete Mitarbeiter hinaus. Abgesehen davon habe der Beklagten sogar ein Grund zur außerordentlichen Kündigung zur Seite gestanden. Der Beklagten sei vielfach aufgefallen, dass der in Besprechungen der Kläger oft geistig abwesend gewesen sei bis hin zum Einnicken. Am 27.08.2021 gegen 15:00 Uhr habe der Geschäftsführer den Kläger schlafend an seinem Arbeitsplatz vorgefunden. Dies habe auch der Mitarbeiter F. gesehen. Dieser habe auch dann auch von einer mit 50 Minuten außergewöhnlich langen Toilettenpause des Klägers am Tag zuvor berichtet. Auch bei Besprechungen sei der Kläger eingeschlafen, so etwa am 05.08.2021. Wegen der weiteren Einzelheiten des Sach- und Streitstands wird auf den Inhalt der Verfahrensakte Bezug genommen. Gründe I. Die zulässige Klage ist hinsichtlich der Hauptanträge unbegründet und bezüglich des Hilfsantrags begründet. 1. Die innerhalb der materiellen Ausschlussfrist der §§ 4 , 7 KSchG erhobene Kündigungsschutzklage ist unbegründet.

1. a)Das Arbeitsverhältnis der Parteien ist durch die beklagtenseitige Kündigung von 01.09.2021 mit Ablauf des 30.09.2021 aufgelöst worden.
2. b)Die Kündigung bedurfte zu ihrer Rechtswirksamkeit nicht der sozialen Rechtfertigung gem. § 1 KSchG, weil die für eine Anwendbarkeit des KSchG erforderliche Wartezeit von 6 Monaten bezogen auf das am 12.07.2021 begonnene Arbeitsverhältnis (unstreitig) nicht erfüllt ist.
3. c)Die Kündigung erweist sich auch nicht aus anderen Gründen als rechtsunwirksam, da der insoweit darlegungs- und beweisbelastete Kläger keinen Unwirksamkeitsgrund dargetan hat. Die Kündigung ist insb. nicht nichtig gem. § 134 BGB wegen eines Verstoßes gegen §§ 38 II, 6 Abs. IV 2 BDSG.
4. aa)Gem. § 6 IV 2 BDSG ist die Kündigung des Arbeitsverhältnisses des Datenschutzbeauftragten unzulässig, es sei denn, dass Tatsachen vorliegen, die den Arbeitgeber zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigen. Allerdings setzt dieser Kündigungsschutz nach § 38 II BDSG voraus, dass die Benennung eines Datenschutzbeauftragten verpflichtend war.
5. bb)Bei dem sich bietenden Sachverhalt fehlt es an einer verpflichtenden Benennung, und zwar sowohl nach den Bestimmungen der

, als auch nach den Bestimmungen des BDSG, so dass es auf die Frage, ob die Regelungen des BDSG europarechtswidrig sein könnten, in dem hier zu entscheidenden Fall nicht ankommt. Eine Benennungspflicht folgt vorliegend nicht aus § 38 I BDSG. cc) § 38 I BDSG sieht eine verpflichtende Benennung eines Datenschutzbeauftragten neben den in Art. 37 I b), c) der

geregelten Fällen auch vor, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, wenn der Verantwortliche oder Auftragsverarbeiter Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Artikel 35

unterliegen oder wenn sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten. Dass hiernach die Voraussetzungen für eine Benennungspflicht vorliegen, hat Kläger nicht hinreichend dargetan. ee) Eine Benennung ist nach dem sich bietenden Sachverhalt nicht aufgrund der Bestimmungen in § 38 I 2 BDSG zwingend erforderlich.

unterliegen. Danach ist in Fällen, in denen eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, durch den Verantwortlichen vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen. Dass bei der Beklagten derartige Datenverarbeitungen stattfinden, ergibt sich aus dem klägerischen Vorbringen nicht. Es ist insofern nicht erkennbar, dass Datenverarbeitungen mit einem hohen Risiko i.S.d. Art. 35

durchgeführt werden. Daraus, dass nach der Vorschrift ein hohes Risiko vorliegen muss, folgt, dass die mit der Verarbeitung verbundenen Risiken über die allgemeinen Gefahren, die mit Datenverarbeitungsvorgängen einhergehen, hinausgehen müssen (Nolte/Werkmeister, in: Gola,

, 2. Aufl. 2018,

Art. 35Rn.

13). Ein solches hohes Risiko kann sich aufgrund der Art, des Umfangs, der Umstände und aufgrund auch der Zwecke der Verarbeitung ergeben, weil auch die Ursache des Risikos nach dem 90. Erwägungsgrund zu berücksichtigen ist. Nach alledem ergibt es sich aus einer wertenden Betrachtung im Einzelfall, ob ein hohes Risiko vorliegt (Nolte/Werkmeister, in: Gola,

, 2. Aufl. 2018,

Art. 35Rn.

13). Als typische Risiken, die mit einer Verarbeitung personenbezogener Daten einhergehen, heben Erwägungsgründe 75 und 85 S. 1 exemplarisch einzelne Fallgestaltungen hervor: Die Diskriminierung von Personen, Identitätsdiebstahl oder -betrug, finanzielle Verluste, die unbefugte Aufhebung der Pseudonymisierung, Rufschädigung, Profilbildung mit Standortdaten sowie den Verlust der Vertraulichkeit von Daten, die dem Berufsgeheimnis unterliegen (Paal/Pauly/Martini, 3. Aufl. 2021,

Art. 35Rn.

16) In Art. 35 III

hat der europäische Gesetzgeber Regelbeispiele für ein hohes Risiko normiert, die einen Anhaltspunkt bei der Beurteilung, ob ein hohes Risiko gegeben ist, bilden (Nolte/Werkmeister, in: Gola,

, 2. Aufl. 2018,

Art. 35Rn.

14). Zudem hat gem. Art. 15 IV

die Aufsichtsbehörde eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz-Folgenabschätzung durchzuführen ist zu erstellen den zu veröffentlichen, die ebenfalls als Richtschnur herangezogen werden kann. Die in Art. 35 III

genannten Regelbeispiele setzen voraus, dass eine systematische und/oder umfangreiche bzw. umfassende Verarbeitung von Daten stattfindet. Daher sollen nur besonders eingriffsintensive Verarbeitungen eine Pflicht zur Durchführung einer Datenschutzfolgenabschätzung begründen (Nolte/Werkmeister, in: Gola,

, 2. Aufl. 2018,

Art. 35Rn.

14). Für ein solches Verständnis spricht auch der 91. Erwägungsgrund der Richtlinie, nach dem die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung insbesondere für umfangreiche Verarbeitungsvorgänge gilt, die dazu dienen, große Mengen personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten, eine große Zahl von Personen betreffen könnten und - bspw. aufgrund ihrer Sensibilität - wahrscheinlich ein hohes Risiko mit sich bringen (so auch Nolte/Werkmeister, in: Gola,

, 2. Aufl. 2018,

Art. 35Rn.

14). Demgegenüber löst die bloße Verarbeitung besonders sensibler Daten (wie die Verarbeitung besonderer Kategorien von personenbezogenen Daten gem. Art. 9 I oder die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10) bzw. schützenswerter Daten (wie etwa Bankdaten, Daten, die unter ein Amtsgeheimnis fallen, oder Daten, denen vertraglich ein besonderer Schutz eingeräumt ist) nur im Ausnahmefall die Pflicht zur Durchführung einer Datenschutzfolgenabschätzung aus. Das ergibt sich aus dem Regelbeispiel des Art. 35 III b)

, wonach eine Datenschutz-Folgenabschätzung nur vorzunehmen ist, wenn die Verarbeitung der besonders sensiblen Daten umfangreich ist. Art, Umfang, Umstände oder die Zwecke der Verarbeitung müssen also eine zusätzliche Risikoerhöhung begründen. Dies kann etwa der Fall sein, wenn die Gefahr des Missbrauchs besonders hoch ist (zutr. Nolte/Werkmeister, in: Gola,

, 2. Aufl. 2018,

Art. 35Rn.

16). Bei Anwendung dieser Maßstäbe ist bei dem sich bietenden Sachverhalt bei der Datenverarbeitung kein hohes Risiko i.S.d. Art. 35

ersichtlich. Denn es ist weder erkennbar, dass ein in Art. 35 III

genanntes Regelbeispiel gegeben ist, noch liegt ein diesen Beispielen vergleichbarer Fall vor. Ersichtlich hat die Datenverarbeitung zum Zwecke der Personalverwaltung keine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen i.S.d. Art. 35 III a)

zur Folge und auch keine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche gem. Art. 35 III c)

. Auch ist nach dem unterbreiteten Sachverhalt nicht festzustellen, dass eine umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten i.S.d. Art. 9 I

erfolgt. Zwar werden von der Beklagten zum Zwecke der Personalverwaltung auch besondere besonderer Kategorien von personenbezogenen Daten i.S.d. Art. 9 I

verarbeitet. Hierbei handelt es sich u.a. um Daten zur Religionszugehörigkeit oder um Gesundheitsdaten mit Blick auf etwaige Schwerbehinderungen oder Arbeitsunfähigkeiten. Allerdings ist die Verarbeitung derartiger Daten allein nach Vorstehendem nicht ausreichend für eine Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung, sondern es muss hinsichtlich Art, Umfang, Umstände oder Zwecke der Verarbeitung ein erhöhtes Risiko bestehen. Ein solches hohes Risiko ist jedoch nicht erkennbar. Denn die Daten werden nur zum Zwecke der Durchführung der Arbeitsverhältnisse erhoben und verarbeitet. Diese Zweckbindung bestimmt auch den Umfang der Verarbeitung. Es findet insofern keine umfassende Verarbeitung von sensiblen Daten der Beschäftigten statt, sondern nur, soweit dies zur Erreichung des Vertragszwecks erforderlich ist. Mangels anderweitiger Anhaltspunkte hatte die Kammer davon auszugehen, dass sich mit Blick auf Arbeitsunfähigkeiten die verarbeiteten Gesundheitsdaten darauf beschränken, in welchem Zeitraum der Arbeitnehmer arbeitsunfähig erkrankt ist, damit die Entgeltfortzahlung richtig ermittelt werden kann. Denn Diagnosen sind auf den für den Arbeitgeber bestimmten Ausfertigungen der Arbeitsunfähigkeitsbescheinigungen nicht enthalten. Gleichfalls ist mangels anderweitiger Anhaltspunkte davon auszugehen, dass hinsichtlich etwaiger Schwerbehinderungen keine weitergehenden Diagnosen verarbeitet werden. Auch ist die Menge an Datensätzen nicht derartig umfangreich, dass aufgrund dessen eine Folgenabschätzung geboten wäre. In der Unternehmensgruppe werden nach dem Vorbringen des Klägers mehr als 100 Mitarbeiter beschäftigt. Insofern handelt es sich hier nach der Beschäftigtenzahl eher um eine mittelständische Unternehmung, wie sich auch aus der Staffelung des § 9 BetrVG ergibt, und nicht um einen großen Konzern. Insofern ist hier nicht erkennbar, dass eine derartig umfangreiche Menge an Datensätzen mit Beschäftigtendaten anfällt, dass sich hieraus ein so hohes Risiko ergibt, das eine Folgenabschätzung geboten erscheinen lässt. Ferner ist mangels Vorliegens anderweitiger Anhaltspunkte davon auszugehen, dass diese Daten nur den für die Personalverwaltung zuständigen Mitarbeitern und damit einem überschaubaren Kreis von Berechtigten zur Verfügung stehen. Daraus ergibt sich, dass die Missbrauchsgefahr jedenfalls nicht besonders hoch ist. Die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung ergibt sich auch nicht aus einer Erhebung von Kundendaten, wie Bonitätsdaten. Diese Daten sind vom Anwendungsbereich der

nicht erfasst. Denn die Beklagte hat unwidersprochen vorgetragen, keine natürlichen Personen als Kunden zu bedienen. Die

gilt hingegen nur zum Schutze natürlicher Personen, Art. 1

. Eine Datenschutz-Folgenabschätzung ist vorliegend auch nicht mit Blick darauf geboten, dass einzelne Ansprechpartner in den Datensätzen der Kunden mit Name und Geburtsdatum vermerkt werden, da bei dem sich bietenden Sachverhalt weder eine systematische, noch eine umfangreiche Erhebung dieser Daten erkennbar ist. Auch liegt kein Fall vor, für den die Aufsichtsbehörde eine Datenschutz-Folgenabschätzung gem. Art. 15 IV

vorschreibt oder ein vergleichbarer Fall. Diese sog. Positivliste (abrufbar unter https://www.datenschutzkonferenzonline.de/media/ah/20181017_ah_DSK_DSFA_Muss-Liste_Version_1.1_Deutsch.pdf), die nach Art. 15 IV

zu erstellen ist, enthält Verarbeitungstätigkeiten, die mit der hier gegebenen Datenverarbeitung zum Zwecke der Personalverwaltung nicht vergleichbar sind. Aus dieser Liste ergibt sich bei der Verarbeitung von Daten i.S.d. Art. 9 , 10

u.a. die Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung, wenn diese anonymisiert werden zum Zwecke der Übermittlung an Dritte (Nr. 15) oder sofern die Daten durch die Anbieter neuer Technologien dazu verwendet werden, die Leistungsfähigkeit der Personen zu bestimmen(Nr. 17). Dass dies der Fall wäre, ist vorliegend nicht ersichtlich. Dafür, dass vorliegend Datenverarbeitungen im Sinne der in den Nrn. 3, 4, 8 und 12 beschriebenen Verarbeitungstätigkeiten vorgenommen werden, die eine Datenschutz-Folgenabschätzung erfordern, finden sich keinerlei tatsächliche Anhaltspunkte. Gleiches gilt für die übrigen in der Liste aufgeführten Verarbeitungen.

zu verstehen ist (Paal/Pauly/Pauly,

, BDSG,

1. Aufl. 2021, BDSG § 38 Rn. 14; Kühling/Buchner/Kühling/Sackmann,
2. Aufl. 2020, BDSG § 38 Rn. 14; Moos, in: BeckOK Datenschutzrecht,
3. Ed. 01.11.2019, BDSG, § 38 Rn. 16a). Nach dieser Begriffsbestimmung ist "Dritter" u.a. eine natürliche oder juristische Person außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten. Insofern ist ein Auftragsverarbeiter i.S.d. Art. 4 Nr .8

, also eine Person, die die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; nicht von der geschäftsmäßigen Verarbeitung personenbezogener Daten zum Zwecke der Übermittlung i.S.d. § 38 I 2 BDSG erfasst (Moos, in: BeckOK Datenschutzrecht, 37. Ed. 01.11.2019, BDSG, § 38 Rn. 16a.). Vorliegend ist die Beklagte jedoch Auftragsverarbeiter für die Tochtergesellschaften, wenn sie für diese die Abrechnungen erstellt und damit gerade kein "Dritter", an den die Übermittlung erfolgt. ff) Auch aus § 38 I 1 BDSG folgt in dem hier zu entscheidenden Fall bei dem sich bietenden Sachverhalt keine Rechtspflicht der Beklagten zur Benennung eines Datenschutzbeauftragten.

ergibt sich ebenfalls keine verpflichtende Benennung. Hiernach ist die Benennung eines Datenschutzbeauftragten verpflichtend, wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen. Diese Voraussetzungen liegen bei dem sich bietenden Sachverhalt nicht vor: (a) Es ist hierbei nicht ersichtlich, dass die Datenverarbeitung zu der Kerntätigkeit der Beklagten gehört. Nach Erwägungsgrund 97 bezieht sich eine Verarbeitung auf die Kerntätigkeit eines Verantwortlichen, wenn diese seine Haupttätigkeiten und nicht eine Nebentätigkeit betreffen. Insofern ist bei der Bestimmung der Kerntätigkeit auf den Geschäftsgegenstand des Unternehmens abzustellen [Moos, in: BeckOK Datenschutzrecht, 37. Ed. 01.11.2019

Art. 37Rn. 18 unter Bezugnahme auf Kühling/Buchner/Bergt Rn. 19; Forgó/Helfrich/Schneider Betr. Datenschutz-Hd

B/Haag Kap. 2 Rn. 11; Ehmann/Selmayr/Heberlein Rn. 25; Klug ZD 2016, 315

, Art. 37 Rn. 5). Die die Bestellpflicht auslösende Tätigkeit muss demnach den oder einen Hauptzweck der für die Datenverarbeitung verantwortlichen Stelle bilden (Franzen, in: ders./Gallner/Oetker, Kommentar zum europäischen Arbeitsrecht, 4. Auflage 2022,

, Art. 37 Rn. 5 unter Bezugnahme auf Jaspers/Reif RDV 2016, 61 [62]). Werden personenbezogene Daten nur als Nebentätigkeit verarbeitet, soll nach dem

1. Erwägungsgrund keine Kerntätigkeit vorliegen (Franzen, in: ders./Gallner/Oetker, Kommentar zum europäischen Arbeitsrecht,
2. Auflage 2022,

, Art. 37 Rn. 5 m.w.N.). Nicht zu den Kerntätigkeiten gehören rein routinemäßige Verwaltungsaufgaben [Franzen, in: ders./Gallner/Oetker, Kommentar zum europäischen Arbeitsrecht, 4. Auflage 2022,

, Art. 37 Rn. 5 unter Bezugnahme auf Jaspers/Reif RDV 2016, 61

Art. 37Rn.

18 ; Franzen, in: ders./Gallner/Oetker, Kommentar zum europäischen Arbeitsrecht, 4. Auflage 2022,

, Art. 37 Rn. 5 unter Bezugnahme auf Ehmann/Selmayr/Heberlein Rn. 26). Bei Anwendung dieser Grundsätze ist bei dem sich bietenden Sachverhalt nicht erkennbar, dass die Datenverarbeitung zu Kerntätigkeiten der Beklagten gehört. Das gilt auch mit Blick auf die Personalverwaltung. Nach Obigem ist die Personalverwaltung der Beklagten für eigene Beschäftigte von vornherein keine Haupttätigkeit, sondern eine unterstützende, routinemäßige Verwaltungsaufgabe. Auch mit Blick darauf, dass die Beklagte die Personalverwaltung für Tochtergesellschaften durchführt, ist in der hierfür erforderlichen Datenverarbeitung keine Kerntätigkeit zu sehen. Denn der Kläger hat insoweit nicht hinreichend dargetan, dass dies einen Hauptzweck der Beklagten darstellt. Anderes ergibt sich nicht aus den handelsregisterlichen Bekanntmachungen. Zwar ist dort geregelt, dass sich die Beklagte Unternehmungen erwerben und sich an solchen beteiligten kann und dass sie erworbene Unternehmen oder Beteiligung auch verwalten kann. Aber daneben ist als Geschäftsgegenstand der Beklagten der C- und Brennerservice, der Handel mit C und Zubehör sowie Brennern und Ersatzteilen benannt. Hieraus wird folglich nicht ersichtlich, dass -wie bei Personaldienstleistern - die Personalverwaltung die Haupttätigkeit bzw. der Hauptzweck der Beklagten ist. Auch aus dem Vorbringen der Parteien ergibt sich nicht, dass die Personalverwaltung eine Haupttätigkeit der Beklagten ist. So hat die Beklagte unwidersprochen vorgetragen, sie sei aus Gründen der Risikotrennung Eigentümerin der Vermögensgegenstände, mit denen die operativen Tochtergesellschaften arbeiten. Daneben hat sie dargelegt, dass nicht nur personalverwaltende Tätigkeiten von der Beklagten wahrgenommen werden, sondern alle in der Gruppe anfallenden vertrieblichen und kaufmännischen Angelegenheiten. Auch dieses Vorbringen ist unstreitig. Bereits vor diesem Hintergrund ist festzuhalten, dass die Aufgaben der Beklagten umfassender und mehrschichtiger sind als reine Tätigkeiten im Zusammenhang mit der Personalverwaltung, so dass bereits mit Blick hierauf nicht ersichtlich ist, dass die Personalverwaltung eine Kernaufgabe der Beklagten wäre, also eine Aufgabe, die entscheidend für die Umsetzung der Unternehmensstrategie ist. Darüber hinaus hat die Beklagte vorgetragen, dass die Bearbeitung von Lohnen und Gehältern nur 2%-5% der Gesamttätigkeit der Beklagten ausmachen und dass die Erstellung der Abrechnungen 1-1,5 Tage in Anspruch nimmt. Auch dieser Umfang verdeutlicht, dass die Personalverwaltung keinen Hauptzweck der Beklagten darstellt. Soweit der Kläger diese Angaben lediglich einfach bestritten hat, kann er hiermit nicht gehört werden. Denn es hätte dem Kläger, der sich auf den Sonderkündigungsschutz beruft, oblegen, darzutun, dass es sich bei der Personalverwaltung um Kerntätigkeiten der Beklagten handelt. Dieser Vortragslast wird jedoch das Bestreiten des beklagtenseitigen Vortrags nicht gerecht. Auch der Umstand, dass die im Vertrieb beschäftigten Mitarbeiter mit elektronischen Speichermedien arbeiten und dort Kundendaten hinterlegen, lässt die Verarbeitung von Daten nicht zur Kerntätigkeit der Beklagten werden. Dies erhellt sich bereits vor dem Hintergrund, dass die Kunden der Unternehmen keine Privatkunden sind, sondern jursistische Personen, deren Daten nicht dem Schutz der

unterfallen. Daraus auch persönliche Daten von einzelnen Ansprechpartnern von Kunden erfasst werden, folgt ebenfalls nicht, dass dies eine Haupttätigkeit der Beklagten ist, die entscheidend für die Umsetzung der Unternehmensstrategie ist. (

1. b)Abgesehen davon macht die Datenverarbeitung auch keine umfangreiche und regelmäßige systematische Überwachung von betroffenen Personen erforderlich. Es ist bereits keine Überwachung gegeben. Der Begriff "Überwachung" ist im Sinne des in Art. 3 II
2. a)benannten Begriffs "Beobachten" zu verstehen (Heberlein, in: Ehmann/Selmayr, Datenschutz-Grundverordnung, 2. Auflage 2018, Art. 37 Rn. 23; Moos, in: BeckOK Datenschutzrecht, 37. Ed. 01.11.2019

Art. 37Rn.28).

Hierunter sollen nach dem

1. Erwägungsgrund insbesondere Handlungen fallen, die die Internetaktivitäten der betroffenen Person nachvollziehen lässt einschließlich der Profilbildung als Grundlage für Entscheidungen und die Analyse oder Vorhersage von Vorlieben oder Verhaltensweisen. Solche Tätigkeiten werden typischerweise bei Auskunfteien, Detekteien und Bewachungsunternehmen erfolgen (Franzen, in: ders./Gallner/Oetker, Kommentar zum europäischen Arbeitsrecht,
2. Auflage 2022,

, Art. 37 Rn. 6) Insofern ist Überwachen mehr als das bloße Erheben und Verwenden von erhobenen Daten. Dafür, dass eine solche Überwachung erforderlich wäre, findet sich kein tatsächlicher Anhaltspunkt.

keine Pflicht zur Bestellung eines Datenschutzbeauftragten. Dies wäre nur der Fall, wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht. Nach Obigem ist die Verarbeitung von Daten im Sinne des Art. 9 nicht Kerntätigkeit der Beklagten. Denn diese Daten werden nur zur Personalverwaltung erhoben, soweit dies für die Durchführung der Arbeitsverhältnisse erforderlich ist. Damit ist erst Recht die Verarbeitung von Daten i.S.d. Art. 9 nicht Kerntätigkeit. Bezogen auf die eigenen Mitarbeiter der Beklagten dient die Verarbeitung demnach nur Nebenzwecken. Mit Blick auf die Personalverwaltung von in Tochterunternehmen beschäftigten Personen ist die Datenverarbeitung der sensiblen Daten nicht Hauptzweck der Beklagten. Insofern gelten die obigen Ausführungen[siehe unter I.1. c) ff)