Beauftragte bestellen: Auslöser, Landkarte und Prüfungsturnus

§ 130 Abs. 1 OWiG macht die Geschäftsleitung persönlich verantwortlich: Wer als Inhaber eines Betriebes oder Unternehmens die erforderlichen Aufsichtsmaßnahmen unterlässt und dadurch eine Zuwiderhandlung möglich wird, die gehörige Aufsicht verhindert oder wesentlich erschwert hätte, handelt ordnungswidrig. Das Gesetz nennt die Pflichten ausdrücklich, die zu diesen Maßnahmen gehören: die Bestellung, die sorgfältige Auswahl und die Überwachung von Aufsichtspersonen. Beauftragte zu bestellen ist damit keine organisatorische Kür, sondern der erste Baustein einer gesetzlichen Aufsichtspflicht.

Der Bußgeldrahmen macht den Ernstfall messbar. Nach § 130 Abs. 3 Satz 1 OWiG beträgt die Geldbuße bis zu einer Million Euro, wenn die verletzte Pflicht mit Strafe bedroht ist; sonst bestimmt sich das Höchstmaß nach der Geldbuße, die für die eigentliche Pflichtverletzung angedroht ist. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden. Was nicht namentlich bestellt, dokumentiert und belegbar überwacht wurde, gilt im Prüfverfahren als unterlassen.

Die Aufsichtspflicht zerfällt in drei prüfbare Bausteine:

Bestellpflicht ist kein Gefühl. Sie ist das Ergebnis prüfbarer Auslöser. Wer jeden Einzelfall einzeln diskutiert, verliert Zeit und Nachweise. Wer die Auslöserklassen kennt, arbeitet die Liste einmal ab und weiß, welche Rollen Pflicht sind. Fünf Klassen bestimmen jede Bestellung: Betriebsgröße, Anlagenart, Stoffe, Branche und Rechtsform. Kein Auslöser, keine Bestellpflicht. Aber jeder Auslöser muss belegt sein, denn die Aufsichtsbehörde fragt nicht nach Ihrer Einschätzung, sondern nach dem Nachweis.

Drei Punkte entscheiden über die Praxis. Erstens: Auslöser kumulieren. Ein Betrieb mit 120 Mitarbeitenden, Gesundheitsdaten und Gefahrstofflager sammelt drei Klassen gleichzeitig, und jede zieht eigene Rollen nach sich. Zweitens: Die Schwellen sind statisch, Ihr Unternehmen nicht. Neue Anlage, neuer Standort, neue Branche durch Zukauf, und die Landkarte von gestern ist unvollständig. Drittens: Die Zählung folgt dem Gesetz, nicht der Organisationsform. Eine GmbH mit einer Person Geschäftsführung zählt dieselben Köpfe wie ein Konzern, und der Konzern zählt konzernweit.

Unser Pflichten-Check gleicht Ihr Unternehmensprofil gegen alle 77 Rollen ab und markiert für jede Rolle, ob sie verpflichtend oder empfohlen ist, samt gesetzlichem Auslöser. Das Ergebnis ist die Grundlage für die Beauftragtenlandkarte, die der nächste Abschnitt aufbaut. Wer die Auslöser tabelliert hat, kennt seine Pflichten. Wer sie nicht tabelliert, kennt seine Lücken erst, wenn es zu spät ist.

Die Kopfzahl ist der häufigste Auslöser für eine Bestellpflicht. Sie wirkt nicht pauschal, sondern rollenspezifisch: Jede Norm setzt eine eigene Schwelle und zählt die Beschäftigten anders. Wer hier schätzt statt prüft, bestellt zu spät oder zu teuer. Drei Schwellen treffen fast jedes Unternehmen im Mittelstand.

Beim Datenschutzbeauftragten zählen Leiharbeitnehmer, Auszubildende und freie Mitarbeiter mit, wenn sie ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Entscheidend ist der Durchschnitt des Geschäftsjahres, nicht der Tagesstand. Ein Saisonspitz im Dezember löst keine Pflicht aus, die im Januar wieder entfällt. Umgekehrt gilt: Wer das Wachstum des Jahres nicht bilanziert, überschreitet die Schwelle, ohne es zu merken. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden.

Diese Schwellen sind prüfbar, und die Prüfung gehört in einen festen Prozess. Der kostenlose Beauftragten-Pflichtencheck gleicht Ihr Unternehmensprofil gegen alle 77 Rollen ab und markiert, was verpflichtend und was empfohlen ist, samt gesetzlichem Auslöser. Das Ergebnis ist der Rohbau Ihrer Beauftragtenlandkarte. Die Details zur Bestellung des Datenschutzbeauftragten ab 20 Mitarbeitern haben wir separat aufbereitet DSB ab 20 Mitarbeitern.

Neben der Betriebsgröße lösen vor allem technische Gegebenheiten Bestellpflichten aus: die Art der Anlagen, das Vorkommen gefährlicher Stoffe und die Beteiligung am Transport gefährlicher Güter. Der erste Block ist der Arbeitsschutz. Beschäftigen Sie mehr als 20 Personen, bestellen Sie einen Betriebsarzt nach § 3 ASiG und eine Fachkraft für Arbeitssicherheit nach § 5 ASiG. Beide Bestellungen sind schriftlich zu dokumentieren. Die Urkunde muss Betrieb, Zuständigkeit und die jährliche Einsatzzeit ausweisen. Eine E-Mail an den Betriebsrat reicht nicht.

Der Gefahrgutbeauftragte wird oft unterschätzt, weil die Schwelle niedrig liegt: Sobald das Unternehmen über Kleinmengen hinaus an der Beförderung gefährlicher Güter beteiligt ist, verlangt § 3 GbV die Bestellung in Textform. Wer Gefahrstoffe lagert oder verarbeitet, prüft zusätzlich die Rolle des Gefahrstoffbeauftragten nach der GefStoffV.

Bei den Umweltrollen entscheidet nicht die Kopfzahl, sondern die Anlage: Art, Größe und Umweltrelevanz bestimmen, ob Abfall-, Immissions- oder Störfallbeauftragte zu bestellen sind. Die Behörde kann die Bestellung im Einzelfall auch anordnen. Wann welcher Umweltschutzbeauftragte verbindlich wird, hängt von Schwellenwerten und Anlagenkriterien ab, die Sie am besten tabellarisch erfassen.

Jeder dieser Auslöser erzeugt ein Dokument: die unterschriebene Bestellurkunde. Sie ist der Nachweis, den die Aufsichtsbehörde verlangt, wenn es nach § 130 OWiG um Ihre Aufsichtspflicht geht.

Betriebsgröße und Anlagenart sind die offensichtlichen Auslöser. Sie sind nicht die einzigen. Branche und Rechtsform lösen Bestellpflichten aus, die keine Kopfzahl kennt. Wer nur auf die Mitarbeiterzahl schaut, übersieht genau diese Pflichten und trägt das Risiko allein nach § 130 OWiG.

Das Lieferkettensorgfaltspflichtengesetz ist das deutlichste Beispiel: Seit dem 1. Januar 2024 gilt es für Unternehmen mit in der Regel mindestens 1.000 Arbeitnehmern im Inland, zuvor lag die Schwelle bei 3.000. Entscheidend ist die Zählung im Konzern: Konzernangehörige Gesellschaften werden bei der Obergesellschaft mitgezählt. Eine Tochter mit 80 Beschäftigten kann damit in den Anwendungsbereich rutschen, ohne selbst die Schwelle zu erreichen. Risikoanalyse, Präventionsmaßnahmen und Berichterstattung landen trotzdem als operative Arbeit im einzelnen Unternehmen. Die Einzelheiten zur LkSG-Pflicht haben wir separat aufgeschlüsselt.

Die Rechtsform schützt nicht. Sie verschiebt nur die Frage, wer zählt: die Gesellschaft, der Konzern, die genehmigte Anlage. Deshalb gehört jeder dieser Auslöser in die Beauftragtenlandkarte, mit Quelle, Stichtag und Verantwortlichem. Ein Pflichten-Check, der Ihr Unternehmensprofil gegen alle 77 Rollen abgleicht und jeden gesetzlichen Auslöser nennt, zeigt in einem Durchlauf, welche Auslöser bei Ihnen greifen und welche Rollen fehlen.

Die Landkarte ist das Dokument, das Ihre Ermittlung trägt. Keine Excel-Insel im Postfach des Geschäftsführers, sondern ein zentrales Verzeichnis mit einer Zeile je Rolle. Es beantwortet drei Fragen auf einen Blick: Was löst die Bestellung aus? Ist die Rolle bestellt? Liegt die unterschriebene Urkunde belegbar ab? Genau diese Nachweiskette verlangt die Aufsichtsführung nach § 130 OWiG.

Zwei Pflichten kommen hinzu. Erstens die eindeutige Zuordnung im Organigramm: Jeder Beauftragte braucht eine Funktionsbeschreibung, die Aufgaben, Befugnisse und Berichtslinie festlegt. Zweitens die Frage der Bündelung. Mehrere Funktionen auf einer Person sind zulässig, solange die praktische Aufgabenerfüllung gesichert bleibt. Ein Gefahrstoffbeauftragter, der nebenbei zwölf weitere Mandate führt, ist keine Bündelung, sondern eine Lücke mit Unterschrift.

Lücken werden so sichtbar, bevor die Behörde sie sichtbar macht. Der Beauftragten-Pflichtencheck gleicht Ihr Unternehmensprofil gegen alle 77 Rollen ab und markiert, was verpflichtend und was empfohlen ist, samt gesetzlichem Auslöser. Die Ergebnisse tragen Sie direkt in die Landkarte ein. Offene Zeilen bekommen einen Verantwortlichen und ein Fristdatum. Alles andere ist Compliance-Theater.

Die Beauftragtenlandkarte wirkt erst, wenn jede Rolle einen Status trägt. Drei genügen: verpflichtend, empfohlen, nicht einschlägig. Jeder Status bekommt seinen gesetzlichen Auslöser dazu. Nicht die Rolle selbst ist der Befund, sondern die Lücke zwischen Soll und Ist.

Für jede verpflichtende Lücke folgt dieselbe Entscheidung: intern oder extern. Beide Wege sind zulässig, keiner ist automatisch besser. Entscheidend ist der Nachweis: schriftliche Bestellurkunde, Anzeige gegenüber der zuständigen Behörde, Fachkundenachweis, Ablage im Workspace. Eine Bestellung, die der Prüfer nicht findet, ist keine Bestellung.

Die Ermittlung lässt sich mechanisieren. Der Pflichten-Check im CIVAC Workspace gleicht das Unternehmensprofil gegen alle 77 Rollen ab und markiert, was verpflichtend und was empfohlen ist, samt gesetzlichem Auslöser. Für Lücken, die kein interner Kandidat schließen kann, stellt CIVAC Externe Beauftragte namentlich bestellte Beauftragte, die Urkunde liegt laut SLA innerhalb von 48 Stunden vor.

Damit schließt sich der Kreis. Auslöser tabellieren, Landkarte aufbauen, im festen Turnus prüfen, Lücken schließen: Vier Schritte, alle belegbar. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden. Unterschrieben, abgelegt, jederzeit auditfest.

Ab 20 Personen, die im Betrieb ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (Art. 37 DSGVO, § 38 BDSG). Leiharbeitnehmer, Auszubildende und freie Mitarbeiter zählen mit. Auch bei weniger Personen wird ein DSB fällig, wenn die Kerntätigkeit in umfangreicher, regelmäßiger Datenverarbeitung besteht oder Gesundheitsdaten verarbeitet werden.

Die Geschäftsleitung persönlich. § 130 OWiG macht das Unterlassen erforderlicher Aufsichtsmaßnahmen zur Ordnungswidrigkeit, und die Bestellung von Aufsichtspersonen zählt ausdrücklich dazu. Bei straftatbewehrten Pflichten droht eine Geldbuße bis zu 1 Million Euro, im Datenschutz bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Ja, ab in der Regel 50 Beschäftigten schreibt § 12 HinSchG den Betrieb einer internen Meldestelle vor. Wertpapierdienstleistungsunternehmen, Institute und vergleichbare Finanzunternehmen sind unabhängig von der Beschäftigtenzahl verpflichtet. Die Meldestelle braucht die Befugnisse, Meldungen zu prüfen und Folgemaßnahmen zu ergreifen.

Sobald das Unternehmen über die Kleinmengen-Grenze hinaus an der Beförderung gefährlicher Güter beteiligt ist, also befördert, versendet, verpackt oder übergibt. Nach § 3 GbV ist dann mindestens ein Gefahrgutbeauftragter in Textform zu bestellen, der einen gültigen Schulungsnachweis besitzt und allen Mitarbeitern namentlich bekannt gegeben wird.

Zweistufig: eine Vollprüfung einmal jährlich plus eine Ereignisprüfung bei jedem Change, also neuer Standort, neue Anlage, neuer Stoff, geänderte Mitarbeiterzahl oder neue Rechtsform. Schwellen wie die LkSG-Grenze von 1.000 Arbeitnehmern oder die DSB-Grenze von 20 Personen können durch Wachstum jederzeit überschritten werden.

Nein. Betriebsarzt und Fachkraft für Arbeitssicherheit sind nach dem ASiG schriftlich zu bestellen, und aus der Bestellungsurkunde müssen Betrieb, Zuständigkeit und jährliche Einsatzzeit hervorgehen. Beim Gefahrgutbeauftragten genügt Textform nach § 3 GbV. Zusätzlich sind Bestellung und Abberufung der zuständigen Behörde anzuzeigen.

Das LkSG gilt für Unternehmen mit Sitz oder Zweigniederlassung im Inland ab in der Regel 1.000 Arbeitnehmern, seit dem 1. Januar 2024. Konzernangehörige Gesellschaften werden bei der Obergesellschaft mitgezählt, Leiharbeitnehmer ab einer Einsatzdauer von über sechs Monaten. Die Rechtsform ist unerheblich.