Datenschutzbeauftragter und EU-Vertreter: Ist eine gemeinsame Beauftragung zulässig?

Unternehmen mit Sitz außerhalb der Europäischen Union können dennoch den Vorgaben der Datenschutz-Grundverordnung unterliegen. Das gilt nach Art. 3 Abs. 2 DSGVO insbesondere dann, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.

In diesen Fällen müssen sie nach Art. 27 Abs. 1 DSGVO grundsätzlich schriftlich einen Vertreter in der Europäischen Union benennen. Ausgenommen sind nach Art. 27 Abs. 2 DSGVO Behörden und öffentliche Stellen sowie Verarbeitungen, die nur gelegentlich erfolgen, keine umfangreiche Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten einschließen und voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen.

Unabhängig davon kann zusätzlich nach Art. 37 DSGVO ein Datenschutzbeauftragter erforderlich sein. In der Praxis stellt sich deshalb die Frage, ob beide Aufgaben durch dieselbe Person oder zumindest durch denselben externen Dienstleister übernommen werden dürfen.

Zwei Funktionen mit unterschiedlichen Zielrichtungen

Der EU-Vertreter ist die formelle Anlaufstelle eines außerhalb der EU ansässigen Unternehmens. Er wird durch ein schriftliches Mandat eingesetzt und steht nach Art. 27 Abs. 4 DSGVO insbesondere Aufsichtsbehörden sowie betroffenen Personen als Ansprechpartner zur Verfügung. Er handelt im Auftrag des Unternehmens.

Der Datenschutzbeauftragte nimmt dagegen eine unabhängige Beratungs- und Überwachungsfunktion wahr (Art. 39 DSGVO). Er unterstützt das Unternehmen bei der Einhaltung der datenschutzrechtlichen Vorgaben, kontrolliert interne Prozesse und darf nach Art. 38 Abs. 3 DSGVO bei der Erfüllung seiner Aufgaben keine Weisungen erhalten.

Bereits diese unterschiedlichen Funktionen zeigen, dass beide Rollen nicht ohne Weiteres miteinander verbunden werden können.

Die Auffassung des Europäischen Datenschutzausschusses

Der Europäische Datenschutzausschuss (EDSA) hat sich in seinen Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Version 2.1 vom 12. November 2019) ausdrücklich festgelegt: Er hält die Funktion des Vertreters in der Union nicht für vereinbar mit der Rolle eines externen Datenschutzbeauftragten mit Sitz in der Union.

Zur Begründung verweist der EDSA darauf, dass der Vertreter auf Grundlage eines Mandats für den Verantwortlichen oder Auftragsverarbeiter handelt und damit dessen Weisungen unterliegt. Das sei mit der nach Art. 38 Abs. 3 und Erwägungsgrund 97 DSGVO geforderten Unabhängigkeit des Datenschutzbeauftragten nicht in Einklang zu bringen. Zusätzlich nennt der EDSA den möglichen Konflikt von Pflichten und Interessen in aufsichtsbehördlichen Durchsetzungsverfahren. Aus demselben Grund hält er auch die Rolle des Vertreters und die des Auftragsverarbeiters für denselben Verantwortlichen für unvereinbar.

Die Leitlinien sind kein Gesetz und binden Gerichte nicht. Die Aufsichtsbehörden in der EU legen sie ihrer Prüfpraxis aber regelmäßig zugrunde. Wer beide Funktionen in einer Person bündelt, muss deshalb damit rechnen, dass eine Aufsichtsbehörde die Benennung des Datenschutzbeauftragten oder des Vertreters beanstandet.

Wo ein Interessenkonflikt entstehen kann

Ein Konflikt kann insbesondere dann auftreten, wenn der EU-Vertreter eine bestimmte Unternehmensposition gegenüber einer Aufsichtsbehörde vertreten soll, während der Datenschutzbeauftragte gerade diese Position unabhängig bewerten muss.

Der Datenschutzbeauftragte könnte beispielsweise zu dem Ergebnis gelangen, dass das geplante Vorgehen datenschutzrechtlich bedenklich ist. Gleichzeitig könnte der EU-Vertreter verpflichtet sein, die Entscheidung des Unternehmens nach außen zu erläutern oder zu verteidigen. Genau dieses Beispiel nennt auch der EDSA: Ein externer Datenschutzbeauftragter, der zugleich Vertreter ist, könnte angewiesen werden, einer betroffenen Person eine Entscheidung mitzuteilen, von der er als Datenschutzbeauftragter abgeraten hat.

Würde dieselbe Person beide Funktionen ausüben, müsste sie somit einerseits im Auftrag des Unternehmens handeln und andererseits dessen Vorgehen unabhängig kontrollieren. Nach Auffassung des EDSA ist eine solche Doppelstellung mit der Unabhängigkeit des Datenschutzbeauftragten nicht vereinbar.

Dieselbe Organisation: rechtlich nicht ausdrücklich geklärt

Anders gelagert ist die Situation, wenn ein externer Dienstleister beide Leistungen anbietet, die Aufgaben jedoch auf unterschiedliche Personen oder Teams verteilt.

Die Leitlinien des EDSA sprechen allgemein von der Funktion des Vertreters und der Rolle des externen Datenschutzbeauftragten. Ob die Unvereinbarkeit auch dann gilt, wenn innerhalb derselben Organisation verschiedene Personen die beiden Funktionen wahrnehmen, hat der EDSA nicht ausdrücklich entschieden. Rechtsprechung dazu ist uns nicht bekannt.

Nach unserer Einschätzung ist eine Beauftragung derselben Organisation allenfalls dann vertretbar, wenn die beiden Funktionen personell, organisatorisch und vertraglich strikt voneinander getrennt sind. Aufsichtsbehörden können dies strenger sehen und auch eine organisatorisch getrennte Wahrnehmung innerhalb desselben Dienstleisters als unzulässig bewerten. Wer das Risiko vermeiden will, beauftragt zwei voneinander unabhängige Anbieter.

Anforderungen an eine wirksame Trennung

Entscheidet sich ein Unternehmen dennoch für einen gemeinsamen Anbieter, sollten aus unserer Sicht mindestens die folgenden Anforderungen erfüllt sein.

Unterschiedliche Ansprechpartner

Die Funktion des EU-Vertreters und die Funktion des Datenschutzbeauftragten sollten jeweils durch unterschiedliche natürliche Personen ausgeübt werden. Eine bloße Vertretungsregelung innerhalb desselben Teams reicht regelmäßig nicht aus.

Organisatorisch getrennte Zuständigkeiten

Die Aufgabenbereiche müssen innerhalb des Dienstleisters klar voneinander abgegrenzt sein. Es sollte nachvollziehbar dokumentiert werden, welche Person für welche Funktion verantwortlich ist.

Eigenständige Vertragsverhältnisse

Für beide Tätigkeiten sollten getrennte Verträge oder zumindest eindeutig voneinander abgegrenzte Vertragsbestandteile bestehen. Aufgaben, Befugnisse, Haftungsfragen und Kommunikationswege müssen jeweils gesondert geregelt werden.

Unabhängige Kommunikation

Der Datenschutzbeauftragte muss seine Bewertungen unabhängig abgeben können. Er berichtet nach Art. 38 Abs. 3 DSGVO unmittelbar der höchsten Managementebene und darf nicht verpflichtet sein, seine Einschätzung mit dem EU-Vertreter abzustimmen.

Dokumentierte Konfliktprüfung

Mögliche Interessenkonflikte sollten nicht nur bei Vertragsbeginn geprüft werden. Auch während der laufenden Zusammenarbeit ist regelmäßig zu kontrollieren, ob konkrete Vorgänge zu einer Überschneidung der beiden Rollen führen.

Typische Risikosituationen

Besondere Vorsicht ist beispielsweise geboten, wenn:

• eine Datenschutzaufsichtsbehörde ein Prüfverfahren einleitet,
• betroffene Personen Auskunfts- oder Löschungsansprüche geltend machen,
• eine Datenschutzverletzung gemeldet werden muss,
• der EU-Vertreter eine Stellungnahme des Unternehmens übermittelt,
• der Datenschutzbeauftragte denselben Sachverhalt intern überprüfen soll.

In solchen Fällen muss gewährleistet sein, dass der Datenschutzbeauftragte den Vorgang ohne Rücksicht auf die Tätigkeit des EU-Vertreters bewerten kann.

Was Unternehmen kontrollieren sollten

Unternehmen, die beide Leistungen von einem Anbieter beziehen möchten, sollten insbesondere prüfen:

• Sind zwei unterschiedliche Personen verbindlich benannt?
• Sind Aufgaben und Verantwortlichkeiten schriftlich getrennt?
• Bestehen getrennte Berichts- und Kommunikationswege?
• Kann der Datenschutzbeauftragte unabhängig an die Unternehmensleitung berichten?
• Gibt es interne Regeln zum Umgang mit Interessenkonflikten?
• Ist festgelegt, wer im Konfliktfall von der Bearbeitung ausgeschlossen wird?
• Wird die organisatorische Trennung regelmäßig überprüft und dokumentiert?

Fazit

Die gleichzeitige Wahrnehmung der Aufgaben des EU-Vertreters und des externen Datenschutzbeauftragten durch dieselbe Person ist nach Auffassung des Europäischen Datenschutzausschusses nicht vereinbar. Eine solche Personalunion sollte daher ausgeschlossen werden.

Ob dieselbe Dienstleistungsorganisation beide Funktionen mit getrennten Personen übernehmen darf, ist nicht ausdrücklich geklärt. Nach unserer Einschätzung ist das allenfalls bei konsequenter personeller, organisatorischer und vertraglicher Trennung vertretbar; das Risiko einer abweichenden Bewertung durch die Aufsicht bleibt.

Für Unternehmen genügt es daher nicht, beide Rollen lediglich formal zu besetzen. Die gewählte Struktur muss auch praktisch sicherstellen, dass der Datenschutzbeauftragte unabhängig handeln und das Unternehmen kritisch beraten kann.

Hinweis: Dieser Beitrag enthält allgemeine Informationen und ersetzt keine rechtliche Prüfung des konkreten Einzelfalls.