Mehrere Beauftragtenrollen auf eine Person: was zulässig ist

Ein Gesetz, das die Zusammenlegung mehrerer Beauftragtenrollen auf eine Person pauschal verbietet, gibt es nicht. Die Motivation im Mittelstand ist offensichtlich: Fachkräftemangel, Kosten, offene Pflichtbestellungen. Eine Person, die zwei Mandate trägt, spart eine Bestellung, eine Schulung, eine Rechnung. Das ist legitim, solange drei Dinge je Rolle erhalten bleiben: Fachkunde, Ressourcen und Unabhängigkeit.

Die DSGVO macht das Prinzip an einer Rolle explizit. Art. 38 Abs. 6 Satz 1 DSGVO erlaubt dem Datenschutzbeauftragten ausdrücklich weitere Aufgaben im Rahmen des Beschäftigungsverhältnisses. Satz 2 zieht die Grenze: Diese Aufgaben dürfen nicht zu einem Interessenkonflikt mit den Aufgaben des Datenschutzbeauftragten führen. Erlaubt ist die Zusatzaufgabe also grundsätzlich, verboten ist nur die kollidierende.

Derselbe Grundsatz trägt außerhalb der DSGVO. Die Fachkunde muss je Rolle nachgewiesen sein, die Mindesteinsatzzeit je Rolle muss real zur Verfügung stehen, und die beauftragte Person darf sich nicht selbst kontrollieren. Wer diese drei Filter beachtet, kann bündeln. Wer sie ignoriert, bestellt keine Beauftragten, sondern Scheinlösungen, und die Geschäftsführung haftet dafür persönlich nach § 130 OWiG.

Die Praxis bündelt dort, wo die Themenfelder benachbart sind. Drei Muster dominieren den deutschen Mittelstand.

Der gemeinsame Nenner: Die gebündelten Rollen dürfen sich nicht gegenseitig kontrollieren müssen. SiFa und Brandschutzbeauftragter beraten denselben Arbeitgeber in benachbarten Schutzgütern. Der Umweltcluster überwacht dieselben Anlagen aus verschiedenen Rechtsblickwinkeln. Beide Muster erzeugen keine Selbstkontrolle. Genau daran scheitern die problematischen Kombinationen, und die behandelt der nächste Abschnitt.

Fachkunde ist nicht übertragbar. Sie muss je Rolle erworben und je Rolle nachgewiesen werden. Wer zwei Rollen trägt, braucht zwei Qualifikationsnachweise, nicht einen.

Für die Fachkraft für Arbeitssicherheit nach § 5 ASiG und DGUV Vorschrift 2 gilt: Berufsausbildung als Ingenieur, Techniker oder Meister, danach mindestens zwei Jahre praktische Tätigkeit in diesem Beruf und ein anerkannter Ausbildungslehrgang. Diese Zusatzausbildung wird in mehreren Lehrgängen angeboten, die insgesamt sechs Wochen umfassen. Über Ausnahmen entscheidet die zuständige Arbeitsschutzbehörde nach § 7 Abs. 2 ASiG.

Der Brandschutzbeauftragte qualifiziert sich nach der DGUV Information 205-003, die inhaltsgleich mit der VdS-Richtlinie 3111 und der vfdb-Richtlinie 12-09/01 veröffentlicht ist; die Ausbildung umfasst 64 Unterrichtseinheiten. Bestellt wird er schriftlich, wenn besondere Rechtsvorschriften, behördliche Auflagen oder die Gefährdungsbeurteilung die Notwendigkeit ergeben.

Die Konsequenz für jede Bündelung: Jede zusätzliche Rolle bedeutet einen eigenen Lehrgang und einen eigenen Fortbildungsnachweis. Mit dem Ende 2024 beschlossenen Mustertext der DGUV Vorschrift 2 müssen Fachkräfte für Arbeitssicherheit absolvierte Fortbildungen zusätzlich im jährlichen Bericht gegenüber der Geschäftsleitung nachweisen. Ein gemeinsamer Nachweis für mehrere Rollen existiert nicht.

Das Zeitbudget ist die operative Grenze jeder Bündelung. Fachkunde lässt sich nachholen. Zeit nicht.

Für die SiFa schreiben die Berufsgenossenschaften Mindesteinsatzzeiten vor, bemessen nach Mitarbeiterzahl und Gefährdungspotenzial des Betriebs. Wegzeiten zählen dabei nicht als Einsatzzeit. Diese Stunden müssen der Rolle tatsächlich zur Verfügung stehen, und zwar für jede gebündelte Rolle zusätzlich.

Die Verwaltungs-Berufsgenossenschaft nennt als Faustwert eine Einsatzzeit von 100 Stunden pro Jahr, unterhalb derer die Ausbildung eines eigenen Mitarbeiters zur SiFa in der Regel nicht sinnvoll ist. Der Wert markiert die Untergrenze der Wirtschaftlichkeit, nicht die der Rechtmäßigkeit. Die Mindesteinsatzzeit gilt auch darunter.

Begrenzt wird die Bündelung durch die tatsächlich verfügbare Jahresarbeitszeit der Person. Wer mehrere Rollen auf eine Person legt, braucht deshalb einen dokumentierten Arbeitsplan mit Prioritäten, sonst bleibt die zweite Rolle auf dem Papier. Eine externe Kraft muss ein unzureichendes Zeitvolumen aktiv anmahnen. Schweigt sie, haftet sie für die falsche Beratung mit.

Der Datenschutzbeauftragte ist der Sonderfall. Bei ihm ist die kollidierende Zusatzaufgabe nicht nur unklug, sondern bußgeldbewehrt.

Nach Art. 38 Abs. 6 Satz 2 DSGVO dürfen weitere Aufgaben nicht zu einem Interessenkonflikt führen. Aufsichtsbehörden, Gerichte und das Schrifttum sind sich einig: Nicht vereinbar sind die DSB-Rolle mit der Geschäftsleitung, der IT-Leitung, der Personalleitung sowie mit IT-Beschäftigten, die über die Mittel und Zwecke von Verarbeitungen wesentlich bestimmen. Der CISO als DSB ist in aller Regel ein Interessenkonflikt, weil sich seine Tätigkeitsfelder regelmäßig überschneiden.

Auch problematisch: der DSB zugleich als interne Meldestelle nach HinSchG. § 15 Abs. 1 HinSchG verlangt, dass andere Aufgaben der Meldestellen-Personen nicht zu Interessenkonflikten führen. Wer Hinweise über den Datenschutz selbst entgegennehmen soll, die sich gegen die eigene DSB-Arbeit richten können, kontrolliert sich selbst. Gleiches gilt für den erbringenden IT-Dienstleister als DSB.

Die Sanktion ist real. Ein Verstoß gegen Art. 38 Abs. 6 Satz 2 DSGVO kann nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder im Fall eines Unternehmens von bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes geahndet werden. Die Berliner Aufsichtsbehörde hat 2022 ein Bußgeld in Höhe von 525.000 Euro verhängt, weil ein interner Datenschutzbeauftragter Entscheidungen kontrollieren sollte, die er in anderer Funktion selbst getroffen hatte.

Wie viele Rollen überhaupt entstehen, hängt am Betrieb, nicht an der Person. Die Bestellpflicht für eine SiFa nach § 5 ASiG beginnt in der Regel schon mit dem ersten Beschäftigten. Unterhalb bestimmter Mitarbeiterzahlen, die je nach branchenspezifischer Regelung zwischen 20 und 100 Beschäftigten liegen, ist das Unternehmermodell möglich: Der Unternehmer übernimmt die Aufgaben der SiFa selbst und besucht dazu regelmäßig Fortbildungen der Berufsgenossenschaften.

Der Brandschutzbeauftragte entsteht nicht automatisch mit der Betriebsgröße. Erforderlich ist eine erhöhte Brandgefährdung nach ASR A2.2, eine behördliche Auflage oder eine besondere Rechtsvorschrift, ermittelt in der Gefährdungsbeurteilung. Ein Bürostandort ohne erhöhte Brandgefährdung braucht keinen BSB, ein Lager mit brennbaren Stoffen sehr wohl.

Umwelt- und Störfallrollen entstehen erst ab Mengenschwellen und Anlagenstatus: Der Abfallbeauftragte für Betreiber genehmigungsbedürftiger Anlagen und für Betriebe mit regelmäßig anfallenden gefährlichen Abfällen nach § 59 KrWG, der Immissionsschutzbeauftragte für genehmigungsbedürftige Anlagen nach § 53 BImSchG, der Gewässerschutzbeauftragte ab einer zulässigen Einleitung von mehr als 750 Kubikmetern Abwasser pro Tag nach § 64 WHG. Kleine Betriebe bündeln deshalb wenige Rollen, gefährdungsintensive Standorte viele. Die Bündelung folgt dem Betrieb, nicht umgekehrt.

Die Bündelung muss belegbar sein. Sonst greift nicht die Kritik an der Organisation, sondern die Aufsichtspflichtverletzung nach § 130 OWiG. Zu den erforderlichen Aufsichtsmaßnahmen gehören ausdrücklich die Bestellung, die sorgfältige Auswahl und die Überwachung von Aufsichtspersonen. Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu einer Million Euro geahndet werden. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden.

Operativ heißt das: Ein zentraler Workspace wie der CIVAC Workspace führt Aufgaben, Schulungen, Audits und Nachweise aller Rollen einer Person zusammen, statt Belege über Einzelsysteme und Excel-Listen zu verstreuen. Wer mehrere Rollen bündelt, vervielfältigt die Dokumentationslast. Wer sie verteilt, verliert sie.

Die Bündelung ist damit kein Spardruck-Problem, sondern ein Nachweis-Problem. Drei Filter entscheiden: Fachkunde je Rolle, Zeitbudget je Rolle, Unabhängigkeit über alle Rollen. Wer alle drei dokumentiert, kann bündeln. Wer nur eines von dreien belegen kann, bestellt neu. Wir übernehmen Compliance. Sie führen Ihr Unternehmen.

Ja, ein generelles Verbot gibt es nicht. Art. 38 Abs. 6 Satz 1 DSGVO erlaubt dem Datenschutzbeauftragten ausdrücklich andere Aufgaben und Pflichten. Die Grenzen liegen woanders: Jede Rolle verlangt ihre eigene Fachkunde, ihr eigenes Zeitbudget und, beim DSB, die Vermeidung von Interessenkonflikten nach Art. 38 Abs. 6 Satz 2 DSGVO.

Nein, in aller Regel nicht. Die Aufsichtsbehörden sehen in der Leitung der IT-Abteilung und in unternehmensweiter IT-Sicherheitsverantwortung einen engen Bezug zur Verarbeitung personenbezogener Daten und damit einen Interessenkonflikt. Ein Verstoß kann nach Art. 83 Abs. 4 lit. a DSGVO mit bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes geahndet werden.

Das ist problematisch. Die Fachliteratur zählt die Wahrnehmung der internen Meldestelle nach dem Hinweisgeberschutzgesetz neben der DSB-Funktion zu den konflikträchtigen Kombinationen, weil Betroffene nicht auf die Verschwiegenheit des DSB vertrauen können. Unkritischer ist dagegen die Kombination DSB plus Compliance-Beauftragter, weil beide Kontrollfunktionen ausüben.

SiFa plus Brandschutzbeauftragter ist verbreitet und zulässig, ebenso das Umweltcluster aus Immissionsschutz-, Abfall- und Störfallbeauftragtem, sofern die Person keine unternehmerische Gesamtverantwortung trägt. Voraussetzung ist in jedem Fall, dass die Fachkunde je Rolle nachgewiesen wird und das Zeitbudget für alle Mandate reicht.

Das entscheidet das Zeitbudget, nicht die Formalie. Für die SiFa gelten Mindesteinsatzzeiten nach DGUV Vorschrift 2, bemessen nach Mitarbeiterzahl und Gefährdungspotenzial. Jede zusätzliche Rolle muss aus der verfügbaren Arbeitszeit oder aus zusätzlich bereitgestellter Arbeitszeit gedeckt werden, beim DSB nach Art. 38 Abs. 2 DSGVO.

Je Rolle eine eigene schriftliche Bestellurkunde, ein dokumentierter Arbeitsplan mit gesetzten Prioritäten und Fortbildungsnachweise. Für die SiFa ist der Nachweis absolvierter Fortbildungen im jährlichen Bericht an die Geschäftsleitung seit der neuen DGUV Vorschrift 2 Pflicht. Ein zentraler Workspace hält alle Nachweise an einem Ort bereit.

Die Geschäftsleitung. Nach § 130 OWiG gehört zu den erforderlichen Aufsichtsmaßnahmen ausdrücklich die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen; bei unterlassener Aufsicht droht eine Geldbuße bis 1 Million Euro. Die beauftragte Person selbst kann haften, wenn sie ein unzureichendes Zeitvolumen nicht aktiv anzeigt.