Ein Unternehmen mit rund 80 Mitarbeitern bestellt seinen IT-Leiter zum internen Datenschutzbeauftragten. Die Überlegung klingt zunächst vernünftig: Er kennt die Systeme am besten, weiß, wo welche Daten liegen, und spart dem Unternehmen die Kosten für eine externe Benennung. Ein Jahr später kommt es zu einem Sicherheitsvorfall bei der Protokollierung von Mitarbeiterzugriffen. Es stellt sich die Frage, ob die eingesetzten Kontrollmaßnahmen ausreichend waren – Maßnahmen, die genau dieser IT-Leiter selbst festgelegt hatte. Nun soll er als Datenschutzbeauftragter neutral bewerten, ob seine eigene Entscheidung als IT-Leiter rechtmäßig war.
Diese Situation ist kein Einzelfall und kein Konstruktionsfehler eines bestimmten Unternehmens. Sie beschreibt ein strukturelles Problem, das in vielen Betrieben unbemerkt entsteht, sobald der Datenschutzbeauftragte (DSB) zusätzliche Aufgaben übernimmt. Die französische Aufsichtsbehörde CNIL hat diesem Thema kürzlich eine eigene Praxishilfe gewidmet, weil Interessenkonflikte beim DSB in der Aufsichtspraxis regelmäßig auffallen – und weil sie, anders als viele glauben, nicht nur ein theoretisches Problem sind, sondern handfeste rechtliche Konsequenzen haben können.
Warum ein Datenschutzbeauftragter überhaupt unabhängig sein muss
Die Rolle des Datenschutzbeauftragten ist in der DSGVO bewusst als Kontrollfunktion angelegt. Er soll die Geschäftsführung und die Mitarbeiter zum Datenschutz beraten, die Einhaltung der Vorschriften überwachen und Ansprechpartner für Aufsichtsbehörden und betroffene Personen sein. Damit diese Kontrolle etwas wert ist, verlangt Art. 38 Abs. 6 DSGVO, dass der DSB auch andere Aufgaben wahrnehmen darf, aber nur, wenn diese nicht zu einem Interessenkonflikt führen. Zusätzlich gilt: Die Zusatzaufgabe darf den DSB auch nicht so viel Zeit kosten, dass ihm für seine eigentlichen DSB-Aufgaben nicht mehr genug Zeit bleibt. Kurz gesagt: Der Datenschutzbeauftragte darf nicht die Aufgaben kontrollieren müssen, die er selbst festgelegt hat.
Ein Interessenkonflikt in diesem Sinn liegt regelmäßig dann vor, wenn der DSB – neben seinen Aufgaben nach Art. 39 DSGVO – Funktionen ausübt, in denen er selbst maßgeblich mitentscheidet, wie eine Datenverarbeitung im Unternehmen ausgestaltet wird, etwa welche Zwecke sie verfolgt oder mit welchen Mitteln sie umgesetzt wird.. Er würde dann seine eigene Entscheidung datenschutzrechtlich bewerten müssen. Damit wäre er, bildlich gesprochen, gleichzeitig Richter und Partei in derselben Sache.
Woran ein Interessenkonflikt zu erkennen ist
Ob ein Konflikt vorliegt, lässt sich nicht pauschal beantworten, sondern nur im Einzelfall anhand der tatsächlichen Aufgabenverteilung. Die CNIL empfiehlt Unternehmen, diese Prüfung nicht erst durchzuführen, wenn ein Vorfall eintritt, sondern bereits vor der Benennung eines Datenschutzbeauftragten und erneut, sobald ihm zusätzliche Aufgaben übertragen werden sollen. Je nachdem, wie der Datenschutzbeauftragte im Unternehmen eingebunden ist, helfen dabei unterschiedliche Leitfragen.
Bei einem internen Datenschutzbeauftragten, der zugleich weitere Funktionen im Unternehmen ausübt, lohnt sich vor allem der Blick auf Führungsaufgaben. Positionen wie Geschäftsführung, Personalleitung oder IT-Sicherheitsverantwortung sind in aller Regel nicht mit der DSB-Funktion vereinbar, weil hier typischerweise über Zwecke und Mittel von Verarbeitungen entschieden wird – etwa über Aufbewahrungsfristen von Zugriffsprotokollen, technische Sicherheitsmaßnahmen oder den Umgang mit Auskunftsersuchen von Mitarbeitern. Aber auch Positionen unterhalb der Führungsebene können problematisch sein, wenn sie mit einer entsprechenden Entscheidungsbefugnis verbunden sind. Ebenso kritisch zu prüfen sind Rollen, in denen der DSB zu Themen mit Datenschutzbezug inhaltlich Stellung nehmen muss, etwa als Mitglied eines Ethik-Ausschusses, oder eine Funktion als Betriebsrat beziehungsweise mit einem gewerkschaftlichen Mandat, weil dort im Rahmen von Abstimmungen ebenfalls Position zu personalbezogenen Datenverarbeitungen bezogen werden muss.
Wird die Funktion des Datenschutzbeauftragten extern vergeben, etwa an eine Kanzlei oder ein spezialisiertes Dienstleistungsunternehmen, verschiebt sich die Fragestellung: Hat dieselbe Kanzlei das Unternehmen bereits in einem datenschutzrechtlichen Streitverfahren vertreten? Gehört der externe Dienstleister zugleich zum Personal oder zur Leitung eines Unternehmens, das gegenläufige Interessen haben könnte, etwa weil es Auftragsverarbeiter, gemeinsam Verantwortlicher oder sowohl Datenquelle als auch Empfänger der verarbeiteten Daten ist? Ein vergleichbares Prüfschema gilt, wenn ein Datenschutzbeauftragter für mehrere Unternehmen gleichzeitig tätig ist: Auch hier ist zu prüfen, ob eines der mitbetreuten Unternehmen widerstreitende Interessen zum bestellenden Unternehmen haben könnte.
Die CNIL verweist in ihrer Handlungshilfe ergänzend auf ein Urteil des EuGH zur Unvereinbarkeit von Ämtern beim Datenschutzbeauftragten (Rechtssache C-453/21) ohne dessen Inhalt an dieser Stelle näher zu erläutern.
Wie sich ein solcher Konflikt hätte vermeiden lassen
Im eingangs geschilderten Beispiel wäre der Konflikt bei sorgfältiger Prüfung schon vor der Bestellung erkennbar gewesen: Die Funktion als IT-Leiter bringt typischerweise Entscheidungsbefugnisse über Sicherheitsmaßnahmen, Speicherfristen und den technischen Umgang mit personenbezogenen Daten mit sich – also genau jene Fragen, die der Datenschutzbeauftragte später unabhängig bewerten muss. Eine solche Doppelrolle lässt sich in aller Regel nicht sauber trennen, weil beide Funktionen an denselben Entscheidungen ansetzen.
Entscheidend ist deshalb, die Prüfung nicht formal, sondern anhand der tatsächlichen Aufgaben vorzunehmen: nicht die Position im Organigramm allein betrachten, sondern konkret klären, wer in dieser Rolle über Zwecke und Mittel von Datenverarbeitungen mitentscheidet, wer Sicherheitsmaßnahmen festlegt und wer über Auskunfts- oder Löschanfragen entscheidet. Nur wenn diese Entscheidungsbefugnisse klar von den Kontrollaufgaben des Datenschutzbeauftragten getrennt sind, lässt sich eine Doppelfunktion ohne Konflikt gestalten.
Was zu tun ist, wenn ein Konflikt bereits besteht
Wird ein Interessenkonflikt festgestellt – gleich ob bei der Bestellung oder erst im laufenden Betrieb – ist das Unternehmen verpflichtet, diesen Konflikt zu beseitigen. Dafür kommen im Kern drei Wege infrage:
Der Datenschutzbeauftragte wird durch eine andere Person ersetzt,
ihm werden die Aufgaben entzogen, die den Konflikt auslösen oder
es werden andere geeignete Abhilfemaßnahmen getroffen.
In der Praxis wird häufig die dritte Variante gewählt, wenn ein vollständiger Wechsel des Datenschutzbeauftragten nicht sinnvoll oder verhältnismäßig ist. Eine mögliche Lösung ist die Bestellung eines Vertreters für den betroffenen Themenbereich – eine Art „stellvertretender Datenschutzbeauftragter“, der ausschließlich für den Bereich zuständig ist, in dem der Konflikt besteht. Damit dies wirksam ist und nicht zur bloßen Formalie wird, müssen einige Voraussetzungen erfüllt sein:
Der Vertreter muss für seinen Zuständigkeitsbereich dieselben Garantien erhalten wie ein regulärer Datenschutzbeauftragter – ausreichend Ressourcen, notwendige Schulungen und eine echte Einbindung in datenschutzrelevante Entscheidungen.
Die Aufgabenteilung zwischen Datenschutzbeauftragtem und Vertreter muss klar dokumentiert sein, damit nachvollziehbar bleibt, wer wofür zuständig ist und dass keine Lücken entstehen.
Der Vertreter darf gegenüber dem regulären Datenschutzbeauftragten in keinem Weisungsverhältnis stehen, wenn er im Bereich des Konflikts tätig wird, sonst ist die Unabhängigkeit nur auf dem Papier gegeben.
Der Vertreter darf selbst nicht in die Entscheidungen verwickelt sein, die er kontrollieren soll. Rin Mitarbeiter, der operativ an den fraglichen Verarbeitungen mitwirkt oder seinem eigenen Vorgesetzten unterstellt ist, kommt dafür in der Regel nicht infrage.
Wichtig für die Praxis: Der Vertreter für den Konfliktbereich muss der Aufsichtsbehörde nicht gesondert gemeldet werden. Ansprechpartner bleibt allein der offiziell bestellte Datenschutzbeauftragte. Meldet sich die Aufsichtsbehörde jedoch zu einem Sachverhalt, der in den ausgelagerten Bereich fällt, muss das Unternehmen sicherstellen, dass die tatsächlich zuständige Person – also der Vertreter – informiert wird und antworten kann.
Bei extern bestellten Datenschutzbeauftragten, etwa wenn dieselbe Kanzlei oder derselbe Dienstleister sowohl für ein Unternehmen als auch für dessen Auftragsverarbeiter tätig ist, kann die Lösung auch darin bestehen, innerhalb des Dienstleisters unterschiedliche, voneinander unabhängige Ansprechpersonen für die jeweiligen Mandate einzusetzen, jeweils gebunden an eine Verschwiegenheitsverpflichtung. Auch hier gilt: Es muss sich um eine tatsächliche Trennung handeln, nicht nur um zwei unterschiedliche Namen auf demselben Briefkopf.
Was Sie für Ihr Unternehmen daraus mitnehmen sollten
Für Geschäftsführer und für den Datenschutz zuständige Mitarbeiter ergeben sich aus dieser Praxishilfe der CNIL einige klare Handlungsansätze:
Prüfen Sie bereits vor der Benennung eines internen oder externen Datenschutzbeauftragten, ob dieser weitere Aufgaben im Unternehmen übernimmt und ob diese Aufgaben mit Entscheidungsbefugnissen über Zwecke oder Mittel von Datenverarbeitungen verbunden sind.
Wiederholen Sie diese Prüfung, sobald einem bestehenden Datenschutzbeauftragten neue Aufgaben, Projekte oder Zuständigkeiten übertragen werden, da ein Konflikt kann auch nachträglich entstehen kann.
Verlassen Sie sich nicht allein auf die formale Positionsbezeichnung. Entscheidend ist, wer in der Praxis über Datenverarbeitungen mitentscheidet, nicht wie die Stelle heißt.
Dokumentieren Sie das Ergebnis Ihrer Prüfung. Kommt es später zu einer Beanstandung, können Sie so belegen, dass Sie sich mit der Frage der Unabhängigkeit ernsthaft auseinandergesetzt haben.
Wenn Sie einen externen Datenschutzbeauftragten beauftragen, fragen Sie gezielt nach möglichen Interessenkonflikten mit anderen Mandaten dieses Dienstleisters – insbesondere bei Auftragsverarbeitern, gemeinsam Verantwortlichen oder Wettbewerbern.
Sollte ein Konflikt bestehen oder entstehen, warten Sie nicht ab. Die Beseitigung des Konflikts ist keine Kann-, sondern eine Muss-Vorschrift und ein unabhängiger Vertreter für den betroffenen Bereich ist oft die praktikabelste Lösung.
Genau deshalb lohnt es sich, diese Frage nicht nebenbei, sondern mit derselben Sorgfalt zu behandeln wie die inhaltliche Auswahl des Datenschutzbeauftragten selbst.
Zusammenfassung
Ein Datenschutzbeauftragter kann neben seinen gesetzlichen Aufgaben durchaus weitere Funktionen im Unternehmen übernehmen, solange diese ihn nicht in die Lage bringen, seine eigenen Entscheidungen zu kontrollieren. Ob ein solcher Interessenkonflikt vorliegt, lässt sich nur anhand der tatsächlichen Aufgaben und Entscheidungsbefugnisse beurteilen, nicht anhand der Positionsbezeichnung. Wird ein Konflikt festgestellt, muss das Unternehmen handeln: durch einen Wechsel des Datenschutzbeauftragten, den Entzug der konfliktauslösenden Aufgaben oder wirksame Abhilfemaßnahmen wie einen unabhängigen Vertreter für den betroffenen Bereich. Wer diese Prüfung von Anfang an mitdenkt, vermeidet nicht nur aufsichtsrechtliche Risiken, sondern stellt auch sicher, dass der Datenschutzbeauftragte seine eigentliche Aufgabe – eine unabhängige Kontrollinstanz zu sein – tatsächlich erfüllen kann.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
