Beauftragte und Geschäftsleitung: Wer haftet wofür?

Die Bestellung eines Beauftragten verlagert Aufgaben. Sie verlagert keine Verantwortung. § 130 Abs. 1 OWiG zählt die Bestellung, die sorgfältige Auswahl und die Überwachung von Aufsichtspersonen ausdrücklich zu den erforderlichen Aufsichtsmaßnahmen des Betriebsinhabers. Wer einen Beauftragten unterschreibt, hat damit eine einzige dieser Maßnahmen erfüllt. Die Pflicht, zu überwachen, ob die Person ihre Aufgaben ordnungsgemäß wahrnimmt, bleibt vollständig bei der Leitung.

Die Konsequenz ist bußgeldbewehrt. Verletzt der Inhaber seine Aufsichtspflicht, obwohl eine strafbewehrte Pflichtverletzung im Betrieb begangen wurde, die gehörige Aufsicht verhindert oder wesentlich erschwert hätte, droht nach § 130 Abs. 3 OWiG eine Geldbuße bis zu einer Million Euro. Zusätzlich greift § 30 OWiG: Gegen die juristische Person selbst wird eine Geldbuße festgesetzt, wenn ein Leitungsorgan die Pflichten verletzt hat. Zwei Verfahren, zwei Adressaten, ein und derselbe Organisationsfehler.

Praktisch heißt das: Die Bestellurkunde ist kein Freibrief, sondern der erste Nachweis in einer Kette. Die Aufsichtsbehörde prüft im Streitfall nicht, ob ein Beauftragter existiert. Sie prüft, ob die Leitung ihn sorgfältig ausgewählt, mit klaren Befugnissen ausgestattet und seine Arbeit kontrolliert hat. Genau diese Kontrolle lässt sich nicht delegieren, weil sie die Leitung selbst zum Gegenstand hat.

Beauftragte sind kein zweiter Geschäftsführer für Compliance. Ihre gesetzliche Funktion ist supportiv, nicht exekutiv. Die Fachkraft für Arbeitssicherheit und der Betriebsarzt haben nach dem Arbeitssicherheitsgesetz die Aufgabe, den Arbeitgeber beim Arbeitsschutz und bei der Unfallverhütung zu unterstützen und ihn zu beraten. Die Verantwortung für die Durchführung von Maßnahmen und für die Gefährdungsbeurteilung bleibt beim Arbeitgeber. Beauftragte liefern mit ihrer Beratung den fachlichen Input, mehr nicht.

Das Datenschutzrecht zeichnet dasselbe Bild. Art. 39 Abs. 1 DSGVO ordnet dem Datenschutzbeauftragten Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten, die Überwachung der Einhaltung der Verordnung, die Beratung zur Datenschutz-Folgenabschätzung, die Zusammenarbeit mit der Aufsichtsbehörde und die Tätigkeit als Anlaufstelle zu. Überwachen heißt hier: prüfen, dokumentieren, hinweisen. Nicht: anordnen, umsetzen, sanktionieren.

Die Umsetzung liegt damit bei der Leitung und den Führungskräften. Wer die Empfehlung der SiFa ignoriert, hat keinen Verstoß des Beauftragten begangen, sondern einen eigenen. Wer die DSFA-Freigabe des DSB als Alibi nutzt, während die Fachabteilung weiterverarbeitet, haftet persönlich. Die Unterscheidung lässt sich in einer Zeile festhalten: Der Beauftragte sagt, was zu tun ist. Die Leitung sorgt dafür, dass es getan wird.

Der Datenschutzbeauftragte arbeitet weisungsfrei. Art. 38 Abs. 3 Satz 1 DSGVO stellt sicher, dass er bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Satz 2 verbietet dem Verantwortlichen, ihn wegen der Erfüllung seiner Aufgaben abzuberufen oder zu benachteiligen. Satz 3 verpflichtet ihn, unmittelbar der höchsten Managementebene zu berichten. Diese drei Sätze sind keine Privilegien. Sie sind die Funktionsbedingung der Rolle.

Ein DSB, der Anweisungen entgegennimmt, ist kein DSB mehr, sondern eine Verwaltungskraft mit Titel. Genau das prüft die Aufsichtsbehörde: Wurde dem Beauftragten vorgeschrieben, welche Befunde er meldet? Wurde er versetzt, übergangen oder im Gehalt gekürzt, nachdem er eine Datenpanne angezeigt hat? Jede dieser Praktiken zerstört die Unabhängigkeit, die Art. 38 Abs. 3 DSGVO garantiert, und damit die Entlastungswirkung der gesamten Bestellung.

Die Kehrseite der Unabhängigkeit ist eine Pflicht des Verantwortlichen. Art. 38 Abs. 2 DSGVO verlangt, dass der Verantwortliche den DSB bei der Erfüllung seiner Aufgaben unterstützt, indem er die erforderlichen Ressourcen, den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung des Fachwissens erforderlichen Ressourcen zur Verfügung stellt. Art. 38 Abs. 6 DSGVO ergänzt: Der DSB kann andere Aufgaben wahrnehmen, sofern sie nicht zu einem Interessenkonflikt führen. Wer den DSB nebenbei als IT-Leiter oder Personalchef einsetzt, hat einen solchen Konflikt in der Regel gebaut.

Die Delegation schützt den Beauftragten nicht. Nach § 9 Abs. 2 OWiG gilt ein Gesetz, das an besondere persönliche Merkmale des Betriebsinhabers anknüpft, auch für denjenigen, der ausdrücklich beauftragt ist, in eigener Verantwortung Aufgaben wahrzunehmen, die dem Inhaber obliegen, und der auf Grund dieses Auftrages handelt. Wer die Pflichtübertragung unterschreibt, übernimmt damit einen eigenen Haftungstatbestand. Die Gesamtverantwortung der Leitung bleibt davon unberührt, aber die Verantwortung des Beauftragten kommt hinzu.

Aus der Rolle entstehen eigene Pflichten. Der Beauftragte muss dokumentieren, fortbilden und Meldewege offenhalten. Der DSB etwa ist nach Art. 39 Abs. 1 lit. e DSGVO Anlaufstelle für die Aufsichtsbehörde, einschließlich der vorherigen Konsultation nach Art. 36 DSGVO. Diese Funktion lässt sich nicht delegieren und nicht stilllegen. Versäumt er die Fortbildung oder hält er die Meldestelle nicht besetzt, ist das sein eigenes Pflichtversäumnis, nicht das der Leitung.

Hinzu tritt die Verschwiegenheit. Art. 38 Abs. 5 DSGVO bindet den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit. Der Beauftragte sitzt damit zwischen zwei Pflichtenkreisen: Er muss der Leitung ungeschminkt berichten und darf gleichzeitig nichts weitergeben, was ihm in seiner Funktion anvertraut wurde. Beides ist dokumentationswürdig, beides ist im Streitfall belegbar zu machen.

Die Form entscheidet über die Entlastungswirkung. Das Bundesverwaltungsgericht hat 2016 eine unbestimmte Übertragung von Arbeitsschutzpflichten per Formblatt für unwirksam erklärt und die Urteile der Vorinstanzen aufgehoben. Die gewählte Form verstieß gegen das Arbeitsschutzgesetz. Ein allgemeines Formblatt, in das jemand seinen Namen einträgt, entfaltet also keine Wirkung. Es ist Papier, kein Rechtsakt.

Die DGUV Vorschrift 1 § 13 setzt demgegenüber klare Anforderungen: Der Unternehmer kann zuverlässige und fachkundige Personen schriftlich beauftragen, ihm obliegende Aufgaben in eigener Verantwortung wahrzunehmen. Die Beauftragung muss den Verantwortungsbereich und die Befugnisse festlegen und ist vom Beauftragten zu unterzeichnen. Der DGUV zufolge müssen die Verantwortlichkeiten verschiedener Personen darüber hinaus klar voneinander abgegrenzt sein, und die Person muss die gesonderte Vereinbarung unterschreiben und selbst eine Ausfertigung erhalten.

In der Praxis heißt das: Die Vereinbarung definiert, welche Befugnisse übertragen werden und für welchen Bereich sie gelten. Sie wird unterschrieben, datiert und dem Beauftragten in eigener Ausfertigung ausgehändigt. Eine Kopie im Aktenschrank der Personalabteilung genügt nicht, wenn der Beauftragte sie nicht vorliegen hat. Wer diese Formalien erfüllt, hat im Streitfall einen belastbaren Nachweis. Wer sie überspringt, hat im besten Fall eine Absicht dokumentiert.

Eskalation ist Struktur, keine Charakterfrage. Der Datenschutzbeauftragte berichtet nach Art. 38 Abs. 3 Satz 3 DSGVO unmittelbar der höchsten Managementebene des Verantwortlichen. Diese Berichtslinie ist gesetzlich vorgesehen, damit ein Befund nicht auf dem Schreibtisch eines Teamleiters versandet, weil er dort unbequem ist. Wer die Berichtslinie über Zwischenebenen führt, verletzt die Norm und verliert die Unabhängigkeit der Rolle.

Die Leitung trägt die Gegenpflicht. Der DGUV zufolge bleiben Unternehmer in der Pflicht, Weisungen zu erteilen, zu überwachen, ob ihre Führungskräfte Aufgaben ordnungsgemäß wahrnehmen, und in letzter Konsequenz Pflichtverletzungen zu sanktionieren. Ignoriert die Leitung eine dokumentierte Empfehlung des Beauftragten, ist das kein Stillhalten. Es ist eine eigene Entscheidung, die die Leitung gegenüber der Aufsichtsbehörde begründen muss.

Deshalb zählt die Eskalation nur, wenn sie belegbar ist. Eine dokumentierte Eskalation mit Datum, Empfänger und Inhalt schützt beide Seiten: den Beauftragten, der seiner Hinweispflicht nachgekommen ist, und die Leitung, die nachweisen kann, wann sie von welchem Befund erfahren hat. Wenn die Aufsichtsbehörde rückwirkend prüft, zählt nicht, was besprochen wurde. Es zählt, was mit Datum und Empfänger vorliegt.

Die Verantwortungsteilung zwischen Beauftragten und Leitung steht und fällt mit der Nachweisführung. § 130 OWiG verlangt vom Inhaber Bestellung, Auswahl und Überwachung. Art. 38, 39 DSGVO verlangen Unabhängigkeit, Berichtslinie und dokumentierte Aufgaben. § 13 DGUV Vorschrift 1 verlangt schriftliche Vereinbarungen mit definiertem Verantwortungsbereich. Keine dieser Anforderungen ist schwer zu erfüllen. Sie werden nur regelmäßig verfehlt, weil die Nachweise in Excel-Listen, E-Mail-Postfächern und physischen Ordnern verstreut liegen.

Ein zentraler Workspace für Beauftragtenmanagement legt Bestellurkunden, Aufgabenkataloge, Schulungsnachweise und Eskalationen an einem Ort ab. Jede Bestellung ist unterschrieben, datiert und dem Beauftragten in eigener Ausfertigung zugeordnet. Jede Eskalation trägt Datum, Empfänger und Inhalt. Ein Pflichten-Check gleicht das Unternehmensprofil gegen alle 77 Beauftragten-Rollen ab und markiert, was verpflichtend und was empfohlen ist, samt gesetzlichem Auslöser. Die AKV-Matrix als Methodenvorbild aus der Pflichtendelegation zeigt, wie sich das Zusammenspiel von Linienverantwortlichen und Beauftragten sauber regeln lässt.

Interne Beauftragte und CIVAC Externe Beauftragte laufen über dieselbe Plattform. Damit bleibt jede Entscheidung belegbar, wenn der Prüfer anruft. Die Gesamtverantwortung der Leitung bleibt davon unberührt, sie wird nur erstmals handhabbar. Wer nachweisen kann, wen er bestellt hat, mit welchen Befugnissen, wann und mit welchem Ergebnis, hat die Aufsichtspflicht erfüllt. Wer es nicht kann, hat eine Ausrede. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden.

Nein. § 130 Abs. 1 OWiG zählt die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen ausdrücklich zu den Aufsichtsmaßnahmen, die der Inhaber selbst treffen muss. Die Bestellung entlastet nur, wenn Auswahl, Beauftragung und Kontrolle dokumentiert sind. Bei strafbewehrten Pflichtverletzungen droht nach § 130 Abs. 3 OWiG eine Geldbuße bis zu einer Million Euro.

Nein. Art. 38 Abs. 3 DSGVO stellt sicher, dass der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen erhält. Er darf wegen seiner Tätigkeit nicht abberufen oder benachteiligt werden und berichtet unmittelbar der höchsten Managementebene. Weisungen zur Umsetzung von Empfehlungen gehen an die Fachabteilungen, nicht an den Beauftragten.

Ja. Nach § 9 OWiG haftet, wer Aufgaben übernommen hat, für Zuwiderhandlungen in seinem Verantwortungsbereich, sofern die Pflichtverletzung mit Strafe oder Geldbuße bedroht ist. Die Haftung bemisst sich am tatsächlich übernommenen Verantwortungsbereich, nicht am Titel auf der Bestellurkunde.

Name der Person, konkrete Aufgaben, übertragene Befugnisse und der Geltungsbereich. Das Bundesverwaltungsgericht erklärte 2016 eine unbestimmte Übertragung per Formblatt für unwirksam. Die Vereinbarung muss unterschrieben werden, dem Beauftragten in eigener Ausfertigung vorliegen und die Verantwortlichkeiten anderer Personen klar abgrenzen.

Der Beauftragte eskaliert über seine Berichtslinie: Nach Art. 38 Abs. 3 DSGVO berichtet der DSB unmittelbar der höchsten Managementebene. Die Leitung muss delegierte Pflichten überwachen und Pflichtverletzungen sanktionieren. Entscheidet sie sich gegen eine Empfehlung, gehört diese Entscheidung mit Datum und Begründung dokumentiert, sonst liegt das Risiko vollständig bei der Leitung.

Die Hauptverantwortung liegt bei der Geschäftsleitung. SiFa und Betriebsarzt beraten nach §§ 3, 6, 8 ASiG, sind aber nicht verantwortlich für die Durchführung von Maßnahmen oder die Erstellung der Gefährdungsbeurteilung. Entlastend wirkt für die Leitung nur eine dokumentierte Pflichtenübertragung an zuverlässige und fachkundige Führungskräfte.

Ja, und sie muss konkret sein. Ein allgemeines Formblatt genügt nicht, wie das Bundesverwaltungsgericht 2016 entschieden hat. Die Vereinbarung muss die übertragenen Befugnisse und den Geltungsbereich definieren, von der Person unterschrieben werden und ihr in eigener Ausfertigung vorliegen. Nur so ist die Entlastung im Schadensfall belegbar.