Personalunion: Beauftragter für Informationssicherheit und Datenschutzbeauftragter

Die Meinungen zu der Frage, ob und welche zusätzlichen Funktionen einen Datenschutzbeauftragter in eine Interessenkollision bringen, sind uneinheitlich.

Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI):
Der TLfDI geht in seinem 2. Tätigkeitsbericht zum Datenschutz nach der DS-GVO (Berichtsjahr 2019, veröffentlicht am 22.10.2020) auf die Fragen von möglichen Interessenkollisionen für die Tätigkeit des Datenschutzbeauftragten ein (vgl. S. 135, Ziffer 4.1.).

In diesem Zusammenhang sei zu beachten, dass auch nach Wirksamkeit der DS-GVO die Tätigkeit eines IT-Sicherheitsbeauftragten und Datenschutzbeauftragten in Personalunion nicht miteinander vereinbar sein, das diese zu Interessenkonflikten führten.

Es sei zwar nachvollziehbar, dass für die Entscheidung, eine Person beide Aufgaben übernehmen zu lassen, die hohe Arbeitsbelastung, das knappe Personal und die Tatsache, dass in beiden Funktionen sehr gute IT-Kenntnisse notwendig seien, als Argumente vorgetragen werden könnten. Jedoch habe der TLfDI bereits in seinem 3. Tätigkeitsbericht zum nicht-öffentlichen Bereich (Beitrag 2.3) zur alten Rechtslage die Auffassung vertreten, dass in dieser Konstellation Interessenkonflikte drohen und daher die Bestellung zum betrieblichen Datenschutzbeauftragten (bDSB) unzulässig sei. Einen Grund, diese Bedenken auszuräumen könne sich nicht aus der Neuausrichtung der Funktion des DSB, welche in der DS-GVO zu erkennen sei, ergeben.

Nach Art. 38 Abs. 6 DS-GVO sei es grundsätzlich möglich, dass der Datenschutzbeauftragte auch andere Aufgaben übernehmen könne. Dabei müsse allerdings zwingend sichergestellt werden, dass es nicht zu Interessenkonflikten komme. Interessenkonflikte seien immer dann anzunehmen, wenn der Datenschutzbeauftragte sich selbst (im Rahmen seiner anderweitigen Tätigkeit) kontrollieren müsse, oder die Unabhängigkeit des Datenschutzbeauftragten gefährdet wäre.

Eine mögliche Interessenkollision sieht der TLfDI u.a. in dem Umstand, dass der IT-Sicherheitsbeauftragte im Rahmen der Gefahrenabwehr von Angriffen Dritter auf IT-Systeme des Unternehmens oftmals an einer umfangreichen Sammlung personenbezogener Daten interessiert sei, um Missbrauch zu entdecken, während der DSB unter Berücksichtigung der Schutzziele der DS-GVO eine Begrenzung der Sammlung personenbezogener Daten anstrebe. Auch in punkto die Speicherdauer personenbezogener Daten sei zu erwarten, dass IT-Sicherheitsbeauftragte und Datenschutzbeauftragte häufig unterschiedliche Positionen vertreten müssten.

Die Sächsische Datenschutzbeauftragte:
Die Sächsische Datenschutzbeauftragte bewertet diese Frage in ihrem Tätigkeitsbericht 2021 (Seite 140) etwas differenzierter:

Die Bestellung verschiedener anderer Beauftragter in Personalunion zum Datenschutzbeauftragten sei zwar grundsätzlich problematisch. Der Beauftragte für Informationssicherheit sei dabei jedoch weniger kritisch zu betrachten, da Informationssicherheit und Datenschutz meist parallel liefen. Dies gelte auch vor dem Hintergrund, dass für die Informationssicherheit umfassende Sammlungen personenbezogener Daten verarbeiten würden, um Missbrauch zu entdecken. Auch Art. 32 DS-GVO adressiere die Sicherheit der Verarbeitung und zudem in Absatz 1 Buchst. c) ausdrücklich die Verfügbarkeit. Anders stelle sich dies jedoch dar, wenn der Informationssicherheitsbeauftragte auch noch Aufgaben der Umsetzung, gar mit Budgetverantwortung, habe.

Die Landesbeauftragte für den Datenschutz Niedersachsen:
Eine enge Zusammenarbeit zwischen DSB und ISB wird von der LfD Niedersachsen als förderlich und erforderlich angesehen. Dem Verantwortlichen wird empfohlen, im Hinblick auf mögliche Interessenkollisionen die Benennung von DSB und ISB in Personalunion zu vermeiden.

Eine gleichzeitige Ausübung beider Aufgaben in Personalunion wird allerdings nicht pauschal für unzulässig erklärt. Es bedürfe stets der Betrachtung im Einzelfall. Dabei habe der Verantwortliche zu beachten, dass für eine ordnungsgemäße Wahrnehmung beider Aufgaben die notwendigen zeitlichen Ressourcen für die jeweiligen Funktionen zur Verfügung stehen müssen.

Für den Fall, dass der Verantwortliche die Wahrnehmung der Aufgaben von ISB und DSB in Personalunion für erforderlich hält, empfiehlt die LfD Niedersachsen vor der Benennung zumindest folgendes Vorgaben festzulegen:

• Die Aufgaben und Schnittstellen beider Rollen sowie die Vorbehalte bei möglichen Interessenkollisionen sollen klar zu definieren und – im Rahmen der Rechenschaftspflicht nach Artikel 5 Absatz 2 DS-GVO – zu dokumentiert werden ;
• eventuelle Zielkonflikte, die durch die Wahrnehmung der beiden unterschiedlichen Rollen durch eine Person (Beratung, Überwachung) entstehen können, sollen stets dem Verantwortlichen zur Entscheidung vorgelegt werden;
• konfliktträchtige Themen sollten zusätzlich nachrichtlich der Revision oder sonstigen Gremien oder Personen mit Überwachungsaufgaben gemeldet werden;
• es sollen geeignete Vertretungsregelungen festgelegt werden.

Bundesamt für Sicherheit in der Informationstechnik (BSI):
Das BSI adressiert dieses Thema ebenfalls unter dem Blickwinkel des Informationssicherheitsmanagements. Nach Auffassung des BSI ist „eine Personalunion mit dem Datenschutzbeauftragten nicht unkritisch.“ Das BSI verneint eine Personalunion jedoch ebenfalls nicht per se, sondern bewertet wie folgt:
„Sollte dies der Fall sein, müssen die Schnittstellen dieser beiden Aufgaben klar definiert werden, um Rollenkonflikte zu vermeiden.“

(Foto: Song_about_summer – stock.adobe.com)