Interessenkonflikt beim Datenschutzbeauftragten: Welche Rollen sind unvereinbar?

Was ist ein Interessenkonflikt nach Art. 38 Abs. 6 DSGVO?

Ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 DSGVO liegt vor, wenn dem Datenschutzbeauftragten (DSB) andere Aufgaben oder Pflichten übertragen werden, die ihn dazu veranlassen würden, selbst die Zwecke und Mittel der Verarbeitung personenbezogener Daten beim Verantwortlichen oder seinem Auftragsverarbeiter festzulegen. So hat es der EuGH am 09.02.2023 in zwei am selben Tag verkündeten Leitentscheidungen (C-453/21 und C-560/21) entschieden — zwei Verfahren mit unterschiedlichen Ausgangsfällen (C-453/21: ein privater Halbleiterhersteller, dazu unten mehr; C-560/21: ein kommunaler Zweckverband als öffentliche Stelle), zu denen der Gerichtshof aber dieselbe unionsrechtliche Auslegungsfrage zu Art. 38 Abs. 3 und Abs. 6 DSGVO beantwortet hat, unabhängig davon, welche nationale Vorschrift den Abberufungsschutz im jeweiligen Einzelfall konkretisiert. Der Gesetzestext selbst ist knapp: Nach Art. 38 Abs. 6 Satz 1 DSGVO „kann [der DSB] andere Aufgaben und Pflichten wahrnehmen"; nach Satz 2 muss der Verantwortliche oder Auftragsverarbeiter aber sicherstellen, „dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen". Der EuGH hat diese offene Formulierung ausgefüllt:

Auch die deutsche Datenschutzkonferenz (DSK) — der Zusammenschluss der Aufsichtsbehörden des Bundes und der Länder — vertritt in ihrem Kurzpapier Nr. 12 dieselbe Linie: Ein Interessenkonflikt sei „insbesondere anzunehmen, wenn gleichzeitig Positionen des leitenden Managements wahrgenommen werden oder die Tätigkeitsfelder die Festlegung von Zwecken und Mitteln der Datenverarbeitung mit sich bringen". Kurz gesagt: Wer selbst entscheidet, wie und wofür Daten verarbeitet werden, kann diese Entscheidungen nicht gleichzeitig als DSB neutral überwachen.

Welche Positionen sind typischerweise mit dem DSB-Amt unvereinbar?

Nach den Leitlinien der Art.-29-Datenschutzgruppe (WP243 rev.01, von der EDPB als weiterhin gültig bestätigt) zählen zu den Positionen, die als Regelbeispiel einen Interessenkonflikt begründen, ausdrücklich Geschäftsführung, Betriebsleitung, Finanzleitung, ärztliche Leitung sowie die Leitung von Marketing, Personal und IT — wörtlich „chief executive, chief operating, chief financial, chief medical officer, head of marketing department, head of Human Resources or head of IT departments". Die Leitlinien betonen aber, dass auch niedrigere Positionen betroffen sein können, „wenn diese Positionen oder Funktionen zur Festlegung von Zwecken und Mitteln der Verarbeitung führen" — es handelt sich um Regelbeispiele, keine abschließende Liste. Die folgende Tabelle ordnet gängige Rollen aus der Unternehmenspraxis anhand dieser Kriterien ein; die Einordnung ist eine eigene didaktische Zusammenfassung dieses Artikels auf Basis der genannten Primärquellen, keine amtliche Liste:

Diese Zuordnung ersetzt keine Einzelfallprüfung: Der EuGH verlangt ausdrücklich eine Würdigung „aller relevanten Umstände, insbesondere der Organisationsstruktur" — eine Position, die in einem kleinen Unternehmen unproblematisch ist, kann es in einem anderen mit weitreichenderen Entscheidungsbefugnissen nicht sein.

Darf der Betriebsratsvorsitzende gleichzeitig Datenschutzbeauftragter sein?

In der Regel nein — das Bundesarbeitsgericht hat für die dortige konkrete Aufgabenkonstellation mit Urteil vom 06.06.2023 (Az. 9 AZR 383/19) einen unauflösbaren Interessenkonflikt bejaht. Sowohl EuGH als auch BAG stellen jedoch klargestellt auf eine Würdigung aller relevanten Umstände des Einzelfalls ab: Maßgeblich ist stets, ob die konkrete Funktion in der Organisationsstruktur zur Festlegung von Zwecken und Mitteln der Datenverarbeitung führt.

Ausgangspunkt des BAG-Falls war C-453/21: Ein Halbleiterhersteller (X-FAB Dresden) hatte einen zugleich als Betriebsratsvorsitzenden amtierenden Mitarbeiter zum betrieblichen Datenschutzbeauftragten bestellt. Nachdem der Thüringer Landesbeauftragte für Datenschutz und Informationsfreiheit einen Interessenkonflikt zwischen beiden Ämtern beanstandet hatte, widerrief das Unternehmen die DSB-Bestellung am 1. Dezember 2017; eine weitere, vorsorgliche Abberufung nach Art. 38 Abs. 3 Satz 2 DSGVO sprach es am 25. Mai 2018 aus. Das Bundesarbeitsgericht hielt später allein den ersten Widerruf vom 1. Dezember 2017 für entscheidungserheblich. Es setzte das Verfahren aus und legte dem EuGH mit Vorlagebeschluss vom 27.04.2021 (Az. 9 AZR 383/19 (A)) die Frage vor, ob ein solcher Widerruf mit dem Abberufungsschutz aus Art. 38 Abs. 3 Satz 2 DSGVO vereinbar ist. Der EuGH beantwortete diese unionsrechtliche Auslegungsfrage am 09.02.2023 mit dem Interessenkonflikt-Maßstab aus Tenor Ziffer 2 (siehe oben) — im Vorabentscheidungsverfahren nach Art. 267 AEUV entscheidet der Gerichtshof nur über die Auslegung des Unionsrechts, nicht über den Ausgangsrechtsstreit selbst; die konkrete Anwendung auf den Fall blieb dem Bundesarbeitsgericht überlassen. Das BAG entschied daraufhin: Der Betriebsratsvorsitzende vertritt Beschlüsse des Betriebsrats nach außen und ist an deren Umsetzung beteiligt; als Datenschutzbeauftragter müsste dieselbe Person diese Vorgänge unabhängig kontrollieren — ein unauflösbarer Widerspruch zur nach Art. 38 Abs. 3 DSGVO geforderten Weisungsfreiheit. Der Widerruf der DSB-Bestellung vom 1. Dezember 2017 war damit wirksam.

Wie kann ein Interessenkonflikt zur Abberufung des DSB führen?

Ein ungelöster Interessenkonflikt kann den nach deutschem Recht strengen Abberufungsschutz des DSB überwinden, weil er einen „wichtigen Grund" darstellen kann. Art. 38 Abs. 3 Satz 2 DSGVO schützt den DSB davor, „wegen der Erfüllung seiner Aufgaben" abberufen zu werden. Deutschland hat diesen Schutz über § 6 Abs. 4 BDSG zusätzlich verschärft: Danach ist die Abberufung „nur in entsprechender Anwendung des § 626 des Bürgerlichen Gesetzbuchs zulässig" — also nur aus wichtigem Grund, wie bei einer fristlosen Kündigung. Über § 38 Abs. 2 BDSG gilt dieser verschärfte Schutz auch für betriebliche DSB in der Privatwirtschaft, allerdings nur, wenn die Benennung eines DSB gesetzlich verpflichtend ist — bei rein freiwillig bestellten DSB greift der verschärfte § 626-BGB-Maßstab nicht; für sie bleibt es beim unionsrechtlichen Mindestschutz aus Art. 38 Abs. 3 Satz 2 DSGVO (kein Abberufen „wegen der Erfüllung seiner Aufgaben") sowie beim allgemeinen arbeitsrechtlichen Kündigungsschutz der jeweiligen Beschäftigten. Der EuGH hat in Tenor Ziffer 1 desselben Urteils bestätigt, dass ein Mitgliedstaat einen solchen strengeren nationalen Abberufungsschutz vorsehen darf, „sofern diese Regelung die Verwirklichung der Ziele dieser Verordnung nicht beeinträchtigt". Ein nachgewiesener, nicht auflösbarer Interessenkonflikt nach Art. 38 Abs. 6 DSGVO kann einen solchen wichtigen Grund darstellen — genau das hat das BAG im Betriebsratsvorsitz-Fall bejaht.

Welche Rechtsfolgen drohen bei einem ungelösten Interessenkonflikt?

Lässt der Verantwortliche einen erkannten Interessenkonflikt bestehen, verstößt er gegen seine Pflicht aus Art. 38 Abs. 6 Satz 2 DSGVO — und das ist nach Art. 83 Abs. 4 Buchstabe a DSGVO bußgeldbewehrt mit bis zu 10 Millionen Euro oder, bei Unternehmen, bis zu 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die vollständige Bußgeldsystematik mit allen Bußgeldrahmen findest du in unserem Artikel zu Bußgeldern nach Art. 83 DSGVO. Praktisch besteht die Pflicht des Verantwortlichen darin, einen erkannten Konflikt aufzulösen: entweder durch Widerruf der DSB-Bestellung oder durch Entzug der konfligierenden Zusatzaufgabe. Bis dahin bleibt die ursprüngliche Bestellung wirksam — der Interessenkonflikt macht sie nicht automatisch nichtig, wie der Ablauf des BAG-Falls zeigt.

Wie lässt sich ein Interessenkonflikt von vornherein vermeiden?

Am zuverlässigsten lässt sich ein Interessenkonflikt vermeiden, indem die Position des DSB von vornherein nicht mit einer der oben genannten Regelbeispiel-Positionen kombiniert wird — die WP243-Leitlinien empfehlen Verantwortlichen dazu ausdrücklich, vorab die mit dem DSB-Amt unvereinbaren Positionen im eigenen Unternehmen zu identifizieren, dies in internen Richtlinien festzuhalten und in Stellenausschreibung oder Dienstvertrag des DSB präzise genug zu regeln, um Konflikte zu vermeiden. Wo intern keine konfliktfreie Besetzung möglich ist, ist die Bestellung eines externen Datenschutzbeauftragten nach Art. 37 Abs. 6 DSGVO die in der Praxis gängige Lösung, da er nicht in die operative Organisationsstruktur des Unternehmens eingebunden ist. Mehr zur Wahl zwischen internem und externem DSB sowie zu den grundsätzlichen Anforderungen an das Amt findest du, aufbauend auf diesem Artikel, in unserem Überblick zur Fachkunde und Stellung des Datenschutzbeauftragten. Wer die Doppelrolle Betriebsrat/DSB im Beschäftigungskontext einordnen will, findet ergänzend unseren Artikel zum Beschäftigtendatenschutz nach § 26 BDSG.

Häufige Fragen