Kann ein Beauftragter mehrere Konzerngesellschaften abdecken?

Der Konzern verspricht Synergie. Das Gesetz bleibt beim Trennungsprinzip. Jede Tochtergesellschaft ist eigener Arbeitgeber und eigener Verantwortlicher im Sinne der DSGVO. Bestellpflichten und Schwellenwerte gelten daher je Gesellschaft, nicht je Konzern. Wer die Pflichten der Töchter auf eine zentrale Stelle der Mutter legen will, muss zuerst prüfen, ob das jeweilige Rechtsgebiet eine Mehrfachbestellung überhaupt zulässt. Bei Datenschutz tut es das. Bei Arbeitssicherheit, Gefahrgut und Strahlenschutz tut es das nur unter engen Voraussetzungen. Die Aufsichtsbehörde liest keine Organigramme, sondern Bestellurkunden, und zwar je Gesellschaft.

Die Geschäftsführung jeder Gesellschaft trägt die Aufsichtspflicht nach § 130 Abs. 1 OWiG. Zu den erforderlichen Aufsichtsmaßnahmen gehören ausdrücklich die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Unterlässt die Gesellschaft diese Maßnahmen und wird eine Zuwiderhandlung begangen, die gehörige Aufsicht verhindert oder wesentlich erschwert hätte, kann die Ordnungswidrigkeit nach § 130 Abs. 3 OWiG mit einer Geldbuße bis zu einer Million Euro geahndet werden, wenn die Pflichtverletzung mit Strafe bedroht ist. Diese Pflicht ist personenbezogen und gesellschaftsbezogen. Sie lässt sich operativ delegieren, rechtlich aber nicht abgeben.

Warum ersetzt eine zentrale Bestellung die Pflicht der Tochter nicht? Weil die meisten Beauftragtennormen an den jeweiligen Arbeitgeber, Verantwortlichen oder Betreiber adressiert sind. Die Tochter ist diejenige Gesellschaft, deren Beschäftigte, Anlagen und Verarbeitungen die Pflicht auslösen. Bestellt nur die Mutter, fehlt der Tochter die eigene Aufsichtsperson, und ihre Geschäftsführung hat eine Aufsichtsmaßnahme nach § 130 Abs. 1 OWiG unterlassen. Im Verhältnis zueinander sind Konzerngesellschaften zudem Dritte, etwa bei der Meldestelle nach dem HinSchG: Jede rechtlich eigenständige juristische Person der Unternehmensgruppe muss ab 50 Beschäftigten eine interne Meldestelle anbieten, und die rechtliche Verantwortung bleibt bei ihr.

Das Datenschutzrecht erlaubt die Konzernlösung ausdrücklich. Art. 37 Abs. 2 DSGVO: Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten ernennen, sofern von jeder Niederlassung aus der Datenschutzbeauftragte leicht erreicht werden kann. Leichte Erreichbarkeit ist kein Formwort, sondern eine messbare Anforderung: kurze Reaktionszeiten, eine funktionierende Kontaktstrecke und Verfügbarkeit in der Sprache der Beschäftigten. Liegen Niederlassungen außerhalb der EU, sollte der DSB innerhalb der EU erreichbar sein, damit die Anforderung der leichten Erreichbarkeit gewahrt bleibt.

Die Erlaubnis des Art. 37 Abs. 2 DSGVO ersetzt die Prüfung nicht, ob jede Gesellschaft überhaupt einen DSB braucht. Maßgeblich ist § 38 Abs. 1 BDSG: Die Benennung ist Pflicht, wenn die Gesellschaft in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, unabhängig von der Anzahl bei einer DSFA-Pflicht oder geschäftsmäßiger Übermittlung personenbezogener Daten. Die Schwelle gilt je Verantwortlicher, also je Gesellschaft. Eine Tochter mit 25 datenverarbeitenden Personen braucht ihre eigene Benennung, auch wenn der Konzern-DSB bereits benannt ist.

Grenzen des gemeinsamen DSB: Nur natürliche Personen mit ausreichendem Fachwissen kommen in Betracht, benannt auf Grundlage der beruflichen Qualifikation und der Fähigkeit zur Erfüllung der Aufgaben nach Art. 39 DSGVO. Der DSB darf wegen seiner Aufgaben nicht abberufen oder benachteiligt werden, Art. 38 Abs. 3 DSGVO. Er weist dem Verantwortlichen und den Auftragsverarbeitern zu, was deren Pflicht ist. Wer ihm Aufgaben des Verantwortlichen aufbürdet, die er nicht tragen darf, erzeugt einen Interessenkonflikt. Reicht die Person oder das Zeitkontingent nicht, um mehrere Gesellschaften zu betreuen, trägt die Bestellung die Anforderungen der DSGVO nicht, und jede betroffene Gesellschaft steht faktisch ohne funktionsfähigen DSB da. Die Aufsichtsbehörde prüft das im Einzelfall, nicht im Organigramm.

SiFa und Betriebsarzt sind strenger als der DSB. § 5 Abs. 1 ASiG verpflichtet den Arbeitgeber, Fachkräfte für Arbeitssicherheit schriftlich zu bestellen und ihnen die Aufgaben nach § 6 zu übertragen, soweit dies erforderlich ist im Hinblick auf Betriebsart, Zahl und Zusammensetzung der Beschäftigten und Betriebsorganisation. Der Arbeitgeber ist die jeweilige Gesellschaft. Eine Bestellung durch die Mutter im Namen aller Töchter gibt es in dieser Norm nicht.

Der legale Weg zu einer Stelle für mehrere Unternehmen heißt überbetrieblicher Dienst. § 19 ASiG: Die Verpflichtung des Arbeitgebers zur Bestellung von Betriebsärzten und Fachkräften für Arbeitssicherheit kann auch dadurch erfüllt werden, dass der Arbeitgeber einen überbetrieblichen Dienst zur Wahrnehmung der Aufgaben nach § 3 oder § 6 verpflichtet. Der Unterschied zur Konzernsynergie ist entscheidend: Jede Gesellschaft verpflichtet den Dienst selbst, mit eigenem Vertrag und eigener schriftlicher Bestellung. Der Dienst ersetzt nicht die Pflicht, sondern erfüllt sie je Arbeitgeber.

§ 9 Abs. 3 ASiG: Die Bestellung und Abberufung von Betriebsärzten und Fachkräften für Arbeitssicherheit erfolgt mit Zustimmung des Betriebsrats. Vor der Verpflichtung eines freiberuflich tätigen Arztes, einer freiberuflich tätigen Fachkraft oder eines überbetrieblichen Dienstes ist der Betriebsrat zu hören. Diese Zustimmung ist je Betrieb und damit je Gesellschaft einzuholen, nicht konzernweit. Wer einer vollziehbaren Anordnung der Aufsichtsbehörde nach § 12 Abs. 1 ASiG zuwiderhandelt, handelt ordnungswidrig: Eine solche Ordnungswidrigkeit kann nach § 20 Abs. 2 ASiG mit einer Geldbuße bis zu fünfundzwanzigtausend Euro geahndet werden, Auskunfts- und Besichtigungsverstöße mit bis zu fünfhundert Euro.

Das HinSchG kennt ein Konzernprivileg, aber es ist umstritten. § 14 Abs. 1 HinSchG erlaubt es, eine interne Meldestelle dadurch einzurichten, dass ein Dritter mit den Aufgaben betraut wird. Nach der Gesetzesbegründung (BT-Drucksache 20/3442) kann dieser Dritte auch eine andere Konzerngesellschaft sein, größenunabhängig. Die Betrauung entbindet den Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen. Die rechtliche Verantwortung bleibt also bei der Tochter, auch wenn die Mutter die Meldungen bearbeitet.

§ 14 Abs. 2 HinSchG erlaubt mehreren privaten Beschäftigungsgebern mit in der Regel 50 bis 249 Beschäftigten, eine gemeinsame Stelle einzurichten und zu betreiben. Die Pflicht, den Verstoß abzustellen und dem Hinweisgeber zurückzumelden, verbleibt beim einzelnen Beschäftigungsgeber. Für Töchter ab 250 Beschäftigten reicht eine geteilte Einrichtung nicht, sie brauchen ein eigenes Meldesystem, dessen operativer Betrieb an die Holding ausgelagert werden kann.

Die EU-Kommission hält das größenunabhängige Konzernprivileg für richtlinienwidrig. In ihren Stellungnahmen zur Hinweisgeberrichtlinie (Richtlinie (EU) 2019/1937) hat sie klargestellt, dass jede Gesellschaft ab 50 Beschäftigten nach Art. 8 Abs. 3 der Richtlinie ein eigenes Hinweisgebersystem einrichten muss, für eigenständige Gesellschaften ebenso wie für Konzerngesellschaften. Ein rein zentrales System sei contra legem. Erleichterungen gelten nur für Gesellschaften mit 50 bis 249 Beschäftigten nach Art. 8 Abs. 6 der Richtlinie. Ein Vertragsverletzungsverfahren gegen Deutschland ist deshalb nicht ausgeschlossen. Wer sich auf § 14 Abs. 1 HinSchG verlässt, sollte die dezentralen Meldekanäle parallel vorhalten.

Bei den umwelt- und sonderrechtlichen Beauftragten entscheidet nicht nur der Konzern, sondern auch die Behörde mit. Die Bestellung, die Fachkunde und der Lehrgang richten sich nach der jeweiligen Anlage und deren Gefahrenpotenzial. Eine Person für mehrere Standorte ist nur machbar, wenn sie für jede Anlage die Fachkunde und die Erreichbarkeit nachweist. Konzernsynergie stößt hier an anlagenbezogene Grenzen.

Für Immissionsschutz- und Störfallbeauftragte gilt die 5. BImSchV. Die Bestellung, die Fachkunde und der Lehrgang richten sich nach der Anlage der Verordnung, die Behörde wird über die Bestellung informiert und prüft die Zuverlässigkeit der bestellten Person. Das Oberverwaltungsgericht NRW hat bestätigt, dass die Behörde verlangen kann, dass der Betreiber einen anderen Immissionsschutzbeauftragten bestellt, wenn ihr Tatsachen bekannt werden, aus denen sich ergibt, dass die bestellte Person nicht die erforderliche Fachkunde besitzt. Für den Konzern folgt daraus: Die Behörde bewertet die Person je Anlage, nicht je Konzern.

Gefahrgutbeauftragte nach der Gefahrgutbeauftragtenverordnung und Strahlenschutzbeauftragte nach der Strahlenschutzverordnung sind anlagen- und standortbezogen bestellt. Die Pflichten hängen an der jeweiligen Betriebsstätte, dem jeweiligen Genehmigungssachverhalt und der jeweiligen Strahlenschutzverordnung. Eine zentrale Bestellung durch die Mutter ersetzt diese Pflichten nicht, sie kann sie höchstens operativ bündeln. Anlagen- und standortbezogene Pflichten schlagen Konzernsynergie.

Wer darf der beauftragten Person was sagen, und wer unterschreibt die Urkunde? Die Antwort fällt je Rolle unterschiedlich aus, aber die Richtung ist dieselbe: Die Mutter dirigiert nicht.

Der Datenschutzbeauftragte ist weisungsfrei, Art. 38 DSGVO. Betriebsärzte und Fachkräfte für Arbeitssicherheit sind bei der Anwendung ihrer Fachkunde weisungsfrei, § 8 Abs. 1 ASiG, und unterstehen unmittelbar dem Leiter des Betriebs, § 8 Abs. 2 ASiG. Der Leiter des Betriebs ist die jeweilige Gesellschaft, nicht die Konzernmutter. Die Mutter kann die Beauftragten der Tochter nicht dirigieren, auch wenn sie dieselben Personen angestellt hat.

Die Bestellung ist Aufgabe der Geschäftsführung der jeweiligen Gesellschaft. Eine Delegation an die Mutter kann die operative Arbeit bündeln, ersetzt aber nicht die eigene Bestellurkunde. Die Tochter braucht ihre eigene schriftliche Benennung, ihre eigenen Unterschriften und ihre eigenen Anzeigen an die zuständigen Stellen. Wer nur die Urkunde der Mutter vorlegt, hat keine Bestellung vorzuweisen.

§ 181 BGB verbietet dem Vertreter, im Namen des Vertretenen mit sich im eigenen Namen oder als Vertreter eines Dritten ein Rechtsgeschäft vorzunehmen. Unterzeichnet dieselbe Person für Mutter und Tochter, droht die schwebende Unwirksamkeit. Der BGH hat in II ZB 6/22 die Selbstbestellung eines Vorstandsmitglieds zum Geschäftsführer der Tochtergesellschaft verneint, jedenfalls ohne Befreiung vom Selbstkontrahierungsverbot. Die Lösung ist die im Handelsregister einzutragende Befreiung vom Mehrfachvertretungsverbot, § 181 Alt. 2 BGB.

Der Nachweis entscheidet, nicht die Absicht. Eine Bestellung, die nicht dokumentiert ist, ist im Prüfbericht keine Bestellung. Der Standard ist einfach: Pro Gesellschaft eine eigene Bestellurkunde, unterschrieben von beiden Seiten, abgelegt und belegbar. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden.

Die Zustimmung des Betriebsrats zur Bestellung und Abberufung nach § 9 Abs. 3 ASiG ist je Betrieb und damit je Gesellschaft einzuholen und zu dokumentieren, nicht konzernweit. Dasselbe gilt für die Anzeigen an die zuständigen Behörden: Jede Gesellschaft zeigt ihre Bestellung selbst an, mit ihren eigenen Fristen und Nachweisen. Eine konzernweite Sammelanzeige ersetzt die einzelgesellschaftliche Anzeigepflicht nicht.

Genau hier liegt der operative Engpass im Konzern: Dutzende Urkunden, Dutzende Betriebsratsverfahren, Dutzende Behördenanzeigen, verteilt auf mehrere Gesellschaften und Rechtsgebiete. CIVAC löst das mit zentralem Nachweismanagement: eine Plattform für alle Rollen und Gesellschaften, jede Bestellurkunde unterschrieben, abgelegt, belegbar, mit Aufgaben, Schulungen und Audits je Mandat. Ob mit eigenen oder externen Beauftragten: Die Nachweise liegen bereit, wenn der Prüfer anruft.

Ja. Art. 37 Abs. 2 DSGVO erlaubt einer Unternehmensgruppe, einen gemeinsamen Datenschutzbeauftragten zu ernennen, sofern er von jeder Niederlassung aus leicht erreicht werden kann. Jede Gesellschaft bleibt eigener Verantwortlicher: Die Bestellpflicht nach § 38 BDSG (ab 20 Personen mit automatisierter Verarbeitung) und die Pflichten aus der DSGVO gelten je Gesellschaft und werden durch die zentrale Bestellung nicht zusammengelegt.

Grundsätzlich ja. Nach § 5 Abs. 1 ASiG bestellt jeder Arbeitgeber seine Fachkraft für Arbeitssicherheit schriftlich und überträgt ihr die Aufgaben, bemessen nach Betriebsart, Beschäftigtenzahl und Betriebsorganisation. Der legale Weg zur Bündelung ist § 19 ASiG: Die Verpflichtung kann auch durch einen überbetrieblichen Dienst erfüllt werden. Zu beachten: Bestellung und Abberufung erfordern nach § 9 Abs. 3 ASiG die Zustimmung des Betriebsrats der jeweiligen Gesellschaft.

Nein. Beauftragte üben ihr Amt weisungsfrei aus: Art. 38 DSGVO für den Datenschutzbeauftragten, § 8 ASiG für Fachkräfte für Arbeitssicherheit und Betriebsärzte. Die Mutter kann die Beauftragten der Tochter nicht dirigieren. Nach § 8 Abs. 2 ASiG untersteht die Fachkraft für Arbeitssicherheit unmittelbar dem Leiter des Betriebs, also der jeweiligen Tochtergesellschaft.

Die Geschäftsführung der pflichtigen Gesellschaft. Nach § 130 OWiG handelt ordnungswidrig, wer als Inhaber eines Betriebes oder Unternehmens die erforderlichen Aufsichtsmaßnahmen unterlässt. Zu diesen Maßnahmen gehört ausdrücklich die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Eine Bestellung auf Konzernebene ersetzt die Urkunde der Tochter nicht

Ja, nach deutschem Recht. § 14 Abs. 1 HinSchG erlaubt die Betrauung eines Dritten mit den Aufgaben der internen Meldestelle, und nach der Gesetzesbegründung (BT-Drucksache 20/3442) kann der Dritte auch eine andere Konzerngesellschaft sein, unabhängig von der Beschäftigtenzahl. Vorbehalt: Die EU-Kommission hält dieses Konzernprivileg für richtlinienwidrig, ein Vertragsverletzungsverfahren ist möglich. Die Erleichterung nach § 14 Abs. 2 HinSchG gilt nur für Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten.

Es droht die schwebende Unwirksamkeit nach § 181 BGB. Vertritt eine Person bei einem Rechtsgeschäft mehrere Gesellschaften gleichzeitig, greift das Mehrfachvertretungsverbot. Der BGH (Az. II ZB 6/22) hat die Selbstbestellung eines Vorstands zum Geschäftsführer der Tochter-GmbH ohne Befreiung verneint. Lösung: eine im Handelsregister einzutragende Befreiung vom Mehrfachvertretungsverbot oder unterschiedliche Unterzeichner je Gesellschaft.

Je Gesellschaft, schriftlich und unterschrieben: eine eigene Bestellurkunde mit Rechten, Pflichten und Aufgabenübertragung, unterschrieben von der Geschäftsführung der jeweiligen Gesellschaft und der bestellten Person. Der Datenschutzbeauftragte ist der zuständigen Aufsichtsbehörde zu melden, seine Kontaktdaten gehören in die Datenschutzerklärung. Bei SiFa und Betriebsarzt ist die Betriebsrats-Zustimmung nach § 9 Abs. 3 ASiG zu dokumentieren. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden.