Die naheliegende Wahl ist oft die heikle
Wer einen DSB benennen muss, schaut zuerst nach innen. Die IT-Leitung kennt die Systeme, die Personalleitung die Mitarbeiterdaten, die Geschäftsführung trägt die Verantwortung ohnehin. Das wirkt praktisch. Doch gerade diese Personen entscheiden oft selbst, welche personenbezogenen Daten wozu verarbeitet werden.
Artikel 38 Absatz 6 DSGVO erlaubt dem DSB zwar andere Aufgaben. Er verpflichtet aber den Verantwortlichen, also Ihr Unternehmen, sicherzustellen, dass diese Aufgaben nicht zu einem Interessenkonflikt führen. Die Pflicht liegt bei Ihnen, nicht bei der Person, die Sie benennen.
Was der EuGH unter einem Interessenkonflikt versteht
Der Europäische Gerichtshof hat die Frage 2023 im Fall X-FAB Dresden geklärt (Rechtssache C-453/21, Urteil vom 9. Februar 2023). Ein DSB darf keine Aufgaben übernehmen, mit denen er die Ziele und Methoden der Verarbeitung personenbezogener Daten bestimmt. Der Grund liegt in Artikel 39 Absatz 1 Buchstabe b DSGVO. Der DSB überwacht die Einhaltung der Datenschutzvorschriften. Wer selbst entscheidet, würde sich selbst überwachen.
Eine Liste verbotener Rollen gibt das Gericht nicht vor. Ob ein Konflikt besteht, ist im Einzelfall zu prüfen, anhand aller Umstände, vor allem der Organisationsstruktur und der internen Regeln des Unternehmens. In dem Fall ging es um einen Betriebsratsvorsitzenden, der zugleich DSB war. Das Bundesarbeitsgericht hat danach am 6. Juni 2023 entschieden, dass die Pflichten eines DSB mit denen eines Betriebsratsvorsitzenden nicht zu vereinbaren sind (9 AZR 383/19).
Welche Rollen als Faustregel kritisch sind
Die Artikel-29-Datenschutzgruppe, das frühere europäische Beratungsgremium für Datenschutz, nennt in ihren Leitlinien zu Datenschutzbeauftragten eine Faustregel (WP 243 rev.01, Abschnitt 3.5). Konfliktträchtig können Leitungspositionen sein, etwa Geschäftsführung, operative Leitung, Finanzleitung, Marketingleitung, Personalleitung oder IT-Leitung. Auch Rollen weiter unten in der Hierarchie kommen infrage, wenn sie über Zwecke und Mittel der Verarbeitung entscheiden.
Die Leitlinien sind nicht verbindlich. Sie zeigen aber, worauf es ankommt. Entscheidet die Person mit, wie und wozu personenbezogene Daten verarbeitet werden?
Ein Beispiel macht es greifbar. Die IT-Leitung wählt Systeme und Dienstleister aus. Die Personalleitung legt fest, welche Bewerber- und Mitarbeiterdaten verarbeitet werden. Die Marketingleitung entscheidet über Newsletter und Tracking. Prüfte dieselbe Person als DSB, ob diese Verarbeitungstätigkeiten rechtmäßig sind, prüfte sie ihre eigene Arbeit. Das heißt nicht, dass eine Person in solcher Position automatisch ausscheidet. Maßgeblich ist, was sie tatsächlich entscheidet.
Was passiert, wenn der Konflikt besteht
Bußgeld. Verstöße gegen die Pflichten des Verantwortlichen nach den Artikeln 25 bis 39 DSGVO fallen unter Artikel 83 Absatz 4 Buchstabe a. Der Rahmen liegt bei bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist der Rahmen, nicht der Regelfall.
Ein reales Beispiel zeigt, wie die Aufsicht rechnet. Die Berliner Datenschutzbehörde verhängte 2022 gegen die Tochtergesellschaft eines E-Commerce-Konzerns 525.000 Euro. Der DSB war zugleich Geschäftsführer zweier Dienstleistungsgesellschaften des Konzerns, die für das Unternehmen personenbezogene Daten verarbeiteten. Die Person musste also Auftragsverarbeiter überwachen, die sie selbst leitete. Die Behörde hatte 2021 verwarnt, der Verstoß bestand trotzdem fort. Bei der Bemessung berücksichtigte sie den dreistelligen Millionenumsatz des Konzerns und die fast einjährige Weiterbenennung nach der Verwarnung. Mildernd wertete sie, dass das Unternehmen mit ihr zusammenarbeitete und den Verstoß während des Verfahrens abstellte. Zum Zeitpunkt der Pressemitteilung vom 20. September 2022 war das Bußgeld nicht rechtskräftig.
Widerruf der Benennung. Beim Betriebsratsvorsitz hat das Bundesarbeitsgericht entschieden, dass der Interessenkonflikt es rechtfertigt, die Benennung zu widerrufen. Bei einem internen DSB ist das nicht beliebig möglich. Ist die Benennung verpflichtend, ist die Abberufung nur in entsprechender Anwendung von § 626 BGB zulässig, also aus wichtigem Grund. Eine Kündigung ist unzulässig, solange kein wichtiger Grund vorliegt und der Schutz wirkt ein Jahr über das Ende des Amts hinaus (§ 6 Absatz 4 BDSG, der nach § 38 Absatz 2 BDSG auch für private Unternehmen gilt). Eine Fehlbesetzung lässt sich deshalb nur unter diesen Voraussetzungen korrigieren.
Intern oder extern: Wo der Konflikt entsteht
Intern liegt die Gefahr in der Doppelfunktion. Prüfen Sie neben der Leitungsfunktion auch Nebenämter, etwa im Betriebsrat oder in der Geschäftsführung anderer Konzerngesellschaften.
Extern erlaubt Artikel 37 Absatz 6 DSGVO den Weg über einen Dienstleistungsvertrag. Ein externer DSB steht außerhalb Ihrer Linienhierarchie. Frei von Konflikten ist er dadurch nicht automatisch. Die Leitlinien nennen ein Beispiel: Ein Konflikt kann entstehen, wenn ein externer DSB das Unternehmen in Datenschutzstreitigkeiten vor Gericht vertreten soll. Schauen Sie deshalb auch auf die übrigen Leistungen, die derselbe Anbieter für Sie erbringt.
Fünf Schritte vor der Benennung
1. Rollen sammeln. Schreiben Sie auf, welche Stellen bei Ihnen über Zwecke und Mittel der Verarbeitung entscheiden. Das sind meist Geschäftsführung, IT, Personal und Marketing, dazu weitere Stellen, die Systeme oder Datenerhebungen festlegen.
2. Kandidaten prüfen. Gleichen Sie die Person mit dieser Liste ab, einschließlich ihrer Nebenfunktionen. Dazu zählen Betriebsratsämter, Geschäftsführungen anderer Konzerngesellschaften und die Leitung von Dienstleistern, die für Sie personenbezogene Daten verarbeiten.
3. Konzernstruktur beachten. Die Berliner Aufsicht rät, Doppelrollen in Konzernen auf Interessenkonflikte zu prüfen, besonders bei Auftragsverarbeitung oder gemeinsamer Verantwortlichkeit zwischen Konzerngesellschaften.
4. Externe Verträge präzise fassen. Die Leitlinien empfehlen, Stellenausschreibung oder Dienstleistungsvertrag so genau zu formulieren, dass ein Konflikt vermieden wird. Legen Sie fest, welche Aufgaben der DSB übernimmt und welche nicht. Fragen Sie den Anbieter, welche weiteren Leistungen er für Sie erbringt.
5. Festhalten. Die Leitlinien nennen es gute Praxis, unvereinbare Positionen zu bestimmen, dazu interne Regeln aufzustellen und zu erklären, dass der DSB keinen Konflikt hat. Eine Pflicht aus der DSGVO ist das nicht. Es hilft Ihnen aber, die Prüfung nachzuweisen.
Der nächste Schritt ist Schritt 1. Eine Liste der entscheidenden Stellen brauchen Sie bei jedem Modell, bevor Sie jemanden benennen. Wo ETHYX hilft: ETHYX stellt den externen DSB ab dem Expert-Plan (299 € im Monat, zwei DSB-Stunden inklusive). Fragen Sie jeden Anbieter, auch uns, welche weiteren Leistungen er für Sie erbringt. Die Kosten der Modelle vergleichen Sie im Kostenvergleich. Die Gegenüberstellung finden Sie unter Interner vs. externer DSB.