Interessenkollision: Geheimschutzbeauftragter und Datenschutzbeauftragter in Personalunion

Die Problematik einer möglichen Interessenkollision, wenn sich der oder die Beauftragte für den Datenschutz im Rahmen einer weiteren Rolle im Unternehmem betätigt, ist hinlängglich bekannt. Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit beschäftigt sich jedoch in seinem Tätigkeitsbericht zum Datenschutz für das Berichtsjahr 2023 recht ausführlich mit einer Interessenkollsion, die eher seltener besprochen wird:

Problemstellung:
Wie ist eine mögliche Interessenkollision zu bewerten, wenn sowohl die Rolle des Geheimschutzbeauftragten als auch die des Datenschutzbeauftragten von derselben Person wahrgenommen werden soll?

Kurz: Der TLfDI sah nach Prüfung der Fragestellung, dass bei der Übertragung der Aufgaben eines Geheimschutzbeauftragten auf den behördlichen Datenschutzbeauftragten eine Inkompatibilität der beiden Aufgabenkomplexe und somit ein Interessenkonflikt, mithin eine Unvereinbarkeit im Sinne von Art. 38 Abs. 6 Satz 2 DS-GVO in Verbindung mit § 14 Abs. 7 Satz 2 ThürDSG vorliegt.
Ein Interessenkonflikt nach den datenschutzrechtlichen Bestimmungen liegt nach Auffassung des LLfDI insbesondere dann vor, wenn ein (behördlicher) Datenschutzbeauftragter durch anderweitige Aufgaben und Pflichten, die er zusätzlich erfüllen soll, in seiner Aufgabenwahrnehmung nach Art. 39 DS-GVO in Verbindung mit § 15 ThürDSG derart eingeschränkt wäre, dass keine objektive Aufgabenwahrnehmung mehr vorliegt, er mithin die eigenständig vor-genommenen oder veranlassten Datenverarbeitungstätigkeiten selbst kontrollieren müsste.

Bewertung des TLfDI:
Datenschutzrechtliche Grundlagen:

Gemäß Art. 38 Abs. 6 DS-GVO und § 14 Abs. 7 ThürDSG darf ein Datenschutzbeauftragter keine Aufgaben übernehmen, die zu einer Interessenkollision führen.

Ein Interessenkonflikt liegt vor, wenn der DSB durch andere Aufgaben in seiner Kontrollfunktion beeinträchtigt wird, etwa durch die Notwendigkeit, eigene Tätigkeiten zu überwachen.

Aufgaben des Geheimschutzbeauftragten:

Der Geheimschutzbeauftragte bearbeitet sensible personenbezogene Daten, insbesondere bei Sicherheitsüberprüfungen und der Auswahl zugangsberechtigter Personen. Diese Aufgaben umfassen Entscheidungsbefugnisse über Zweck und Mittel der Datenverarbeitung, die im Konflikt zur Rolle des DSB als unabhängige Kontrollinstanz stehen.

Würde der DSB auch als Geheimschutzbeauftragter fungieren, müsste er sich selbst kontrollieren.Eine wirksame und objektive Kontrolle der Einhaltung von Datenschutzvorschriften wäre nicht möglich, selbst bei einer formalen Trennung der Rollen.

Der Interessenkonflikt gilt bekanntermaßen auch für andere Funktionen, wie etwa Leitungspositionen in der IT, Personalverwaltung, oder als Geldwäsche- oder IT-Sicherheitsbeauftragter.

Rechtslage auf Bundesebene:

§ 3 Abs. 1a SÜG (Sicherheitsüberprüfungsgesetz) verbietet auf Bundesebene sogar explizit, dass Datenschutzbeauftragte Aufgaben im personellen Geheimschutz wahrnehmen.

Fazit und Empfehlung:
Die Funktionen des Datenschutzbeauftragten und des Geheimschutzbeauftragten sind strikt zu trennen, um Interessenkonflikte zu vermeiden. Öffentliche Stellen sollten sicherstellen, dass DSB keine Entscheidungsbefugnisse über personenbezogene Daten erhalten, die ihre Kontrollfunktion beeinträchtigen könnten. Vor einer Übertragung von Zusatzaufgaben ist eine Einzelfallprüfung erforderlich.

(Foto: „E“ – stock.adobe.com)