Interessenkonflikt bei Beauftragten: Doppelrollen prüfen

Eine Bestellung, die auf dem Papier korrekt aussieht, kann in der Praxis unwirksam sein. Art. 38 Abs. 6 Satz 2 DSGVO verlangt, dass weitere Aufgaben und Pflichten des Beauftragten nicht zu einem Interessenkonflikt führen. Wer als interner Beauftragter bestellt wird und zugleich Zwecke und Mittel der Verarbeitung festlegt, überwacht sich selbst. Die Aufsichtsbehörde wertet das nicht als Formalie, sondern als Verstoß gegen die DSGVO. Das Ergebnis: Die Bestellung entwertet sich, ohne dass ein Formfehler vorliegt.

Drei Konsequenzen folgen daraus für die Geschäftsführung. Sie betreffen nicht nur den Datenschutzbeauftragten, sondern jede bestellte Rolle im Unternehmen.

Der Berliner Bußgeldfall zeigt, dass Aufsichtsbehörden diese Logik auch durchsetzen. Bevor es dazu kommt, brauchen Sie einen prüfbaren Maßstab. Diesen liefert der EuGH.

Der EuGH hat mit Urteil vom 9. Februar 2023, C-453/21 (X-FAB Dresden), das Kriterium präzisiert. Ein Interessenkonflikt nach Art. 38 Abs. 6 Satz 2 DSGVO liegt vor, wenn der Beauftragte zugleich eine Position bekleidet, die die Festlegung von Zwecken und Mitteln der Verarbeitung personenbezogener Daten zum Gegenstand hat, wobei alle Umstände des Einzelfalls zu würdigen sind. Der Grund liegt auf der Hand: Dem Beauftragten obliegt gerade die unabhängige Überwachung dieser Zwecke und Mittel. Wer sie selbst bestimmt, kann ihre Einhaltung nicht überwachen.

Das BAG hat dieses Kriterium übernommen und den Widerruf der Bestellung eines Betriebsratsvorsitzenden zum Datenschutzbeauftragten aus wichtigem Grund für gerechtfertigt gehalten (Urteil vom 6. Juni 2023, 9 AZR 383/19). Für Ihre Personalplanung folgt daraus: Prüfen Sie jede Doppelrolle gegen das Zwecke-und-Mittel-Kriterium, dokumentieren Sie das Ergebnis. Pauschale Erlaubnisse und pauschale Verbote helfen beide nicht weiter.

Die Einzelfallprüfung hat gleichwohl eine klare Praxis hervorgebracht. Aufsichtsbehörden und Gerichte lehnen bestimmte Konstellationen regelmäßig ab. Die Begründung ist immer dieselbe: Die Person legt in ihrer zweiten Funktion fest, was sie in der Beauftragtenrolle kontrollieren soll.

Ein Beispiel aus der Praxis: Ein interner Datenschutzbeauftragter war gleichzeitig Geschäftsführer zweier konzerneigener Dienstleistungsgesellschaften, die im Auftrag genau jenes Unternehmens personenbezogene Daten verarbeiteten, er hätte also seine eigene Geschäftsführung überwachen müssen. Die Doppelrolle wurde unterschätzt, der Konflikt war offenkundig. Genau diese Konstellationen lassen sich vor der Bestellung aussortieren.

Das Prinzip endet nicht beim Datenschutzbeauftragten. Zwei weitere Pflichtrollen zeigen, dass die Konfliktprüfung über alle bestellpflichtigen Rollen hinweg geführt werden muss.

Die Logik ist bei allen Rollen identisch: Die Rolle muss kontrollieren können, was eine andere Funktion entscheidet. Sobald beide Funktionen in einer Person zusammenfallen, fehlt die Kontrolle. Der Pflichtencheck zeigt Ihnen, welche Rollen in Ihrem Unternehmen überhaupt bestellpflichtig sind Beauftragten-Pflichtencheck.

Am 20. September 2022 hat die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) ein Bußgeld in Höhe von 525.000 Euro gegen die Tochtergesellschaft eines Berliner Handelskonzerns verhängt, Grund war ein Interessenkonflikt des betrieblichen Datenschutzbeauftragten. Das Bußgeld ist noch nicht rechtskräftig.

Der Fall zeigt die Bewertungslinie der Behörden: Selbstkontrolle eigener Entscheidungen wird nicht toleriert, ein Verstoß wird nach Verwarnung nicht geduldet, und die Bemessung fällt bei großen Strukturen und hartnäckiger Nichtabstellung deutlich aus. Die BlnBDI empfiehlt Unternehmen ausdrücklich, Doppelrollen in Konzernstrukturen auf Interessenkonflikte zu prüfen, insbesondere bei Auftragsverarbeitungen zwischen Konzerngesellschaften.

Interessenkonflikte sind beherrschbar, wenn Sie sie vor der Bestellung prüfen und im Betrieb sauber organisieren. Drei Mechanismen reichen dafür aus. Sie kosten keine Zusatzheadcount, aber sie müssen dokumentiert sein.

Diese Vorkehrungen machen Doppelrollen beherrschbar, wo sie unvermeidbar sind. Wo sie unauflösbar sind, helfen sie nicht. Dann braucht es eine andere Bestellentscheidung.

Bei einer Prüfung zählt nur der Beleg. Unterschriebene Bestellurkunde, dokumentierte Aufgabenabgrenzung und die Konfliktprüfung gehören je Rolle in ein zentrales, auditfestes System. Verstreute Ablagen und Excel-Listen überzeugen keinen Prüfer, sie verlängern nur das Verfahren. Der CIVAC Workspace bündelt Aufgaben, Schulungen, Audits und Dokumentation für alle Beauftragten-Rollen, damit die Nachweise bereitliegen, wenn der Prüfer anruft.

Wir übernehmen Compliance. Sie führen Ihr Unternehmen. Ob Sie den Workspace für Ihre eigenen Beauftragten lizenzieren oder unsere externen Beauftragten bestellen: In beiden Fällen ist der Konfliktstatus jeder Rolle geprüft, dokumentiert und belegbar. Das ist der Unterschied zwischen einer Bestellung auf dem Papier und einer Bestellung, die einer Prüfung standhält.

Nein. Nach Art. 38 Abs. 6 DSGVO darf der Beauftragte keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen. Ein solcher besteht vor allem bei allen Personen mit Leitungsfunktion, deshalb scheiden Vorstände, Geschäftsführer und Abteilungsleiter, insbesondere der Personal- und IT-Abteilung, als Datenschutzbeauftragte regelmäßig aus.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängte am 20. September 2022 ein Bußgeld in Höhe von 525.000 Euro gegen die Tochtergesellschaft eines Berliner Handelskonzerns, weil der interne Datenschutzbeauftragte als Geschäftsführer zweier Dienstleistungsgesellschaften deren Auftragsverarbeitung selbst überwachen sollte. Der Verstoß bestand trotz einer Verwarnung aus dem Jahr 2021 fort.

In aller Regel nein. Aufsichtsbehörden sehen in der Kombination von IT-Sicherheitsverantwortlichem und Datenschutzbeauftragtem einen Interessenkonflikt, weil die IT-Sicherheit selbst personenbezogene Daten verarbeitet und im Sinne des Datenschutzes überwacht werden muss. Die Datenschutzaufsicht Hessen nimmt auch bei Compliance-Beauftragten regelmäßig einen Interessenkonflikt an.

Typischerweise nicht. Das Bundesarbeitsgericht entschied am 6. Juni 2023 (9 AZR 383/19), dass der Betriebsrat per Gremiumsbeschluss Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt und die hervorgehobene Funktion des Vorsitzenden die erforderliche Zuverlässigkeit aufhebt. Der Arbeitgeber darf die Bestellung deshalb in aller Regel widerrufen.

Nach dem EuGH-Urteil vom 9. Februar 2023 (C-453/21, X-FAB Dresden) besteht ein Interessenkonflikt nach Art. 38 Abs. 6 DSGVO, wenn dem Beauftragten Aufgaben übertragen werden, mit denen er Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Er dürfte sonst die Ergebnisse seiner eigenen Tätigkeit überwachen. Die Beurteilung erfolgt immer im Einzelfall.

Ja. Die interne Meldestelle nach § 15 HinSchG muss weisungsfrei und frei von Interessenkonflikten sein, problematisch sind Doppelfunktionen in Personal-, Rechts- oder Leitungsbereichen. Die Fachkraft für Arbeitssicherheit ist nach dem Arbeitssicherheitsgesetz eine Stabsstelle mit direktem Zugang zur Geschäftsleitung und darf keinem Abteilungsleiter unterstellt sein.

Drei Mechanismen: Erstens die dokumentierte Konfliktprüfung vor jeder Bestellung mit klarer Aufgabenabgrenzung. Zweitens eine Eskalations- und Vertretungsregel, nach der sich die betroffene Person der Bearbeitung entzieht und den Fall an eine unbefangene Vertretung oder externe Stelle abgibt. Drittens die externe Bestellung nach Art. 37 Abs. 6 DSGVO, wo intern keine konfliktfreie Person existiert.