Interessenkonflikt des betrieblichen Datenschutzbeauftragten: 525.000 Euro Bußgeld

[Jack Ryan]

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
BlnBDI) hat gegen die Tochtergesellschaft eines Berliner
Handelskonzerns ein Bußgeld in Höhe von 525.000 Euro wegen
eines Interessenkonflikts des betrieblichen
Datenschutzbeauftragten verhängt. Das Unternehmen hatte einen
Datenschutzbeauftragten benannt, der Entscheidungen unabhängig
kontrollieren sollte, die er selbst in einer anderen Funktion
getroffen hatte. Das Bußgeld ist noch nicht rechtskräftig.

Betriebliche Datenschutzbeauftragte haben eine wichtige Aufgabe:
Sie beraten das Unternehmen hinsichtlich der datenschutzrechtlichen
Pflichten und kontrollieren die Einhaltung der Datenschutzvorschriften.
Diese Funktion dürfen gemäß Art. 38 Abs. 6 Satz 2 Datenschutz-
Grundverordnung (DS-GVO) ausschließlich Personen ausüben, die keinen
Interessenkonflikten durch andere Aufgaben unterliegen. Das wäre
zum Beispiel bei Personen mit leitenden Funktionen im
Unternehmen der Fall, die selber maßgebliche Entscheidungen über d
ie Verarbeitung von personenbezogenen Daten im Unternehmen treffen.
Die Aufgabe darf demnach nicht von Personen wahrgenommen werden,
die sich dadurch selbst überwachen würden.

So ein Interessenkonflikt lag nach Auffassung der BlnBDI im Falle
eines Datenschutzbeauftragten einer Tochtergesellschaft eines Berliner
E-Commerce-Konzerns vor. Die Person war gleichzeitig Geschäftsführer
von zwei Dienstleistungsgesellschaften, die im Auftrag genau jenes
Unternehmens personenbezogene Daten verarbeiteten, für das er als
Datenschutzbeauftragter tätig war. Diese Dienstleistungsgesellschaften
sind ebenfalls Teil des Konzerns; stellen den Kund:innenservice und
führen Bestellungen aus.

Der Datenschutzbeauftragte musste somit die Einhaltung des
Datenschutzrechts durch die im Rahmen der Auftragsverarbeitung tätigen
Dienstleistungsgesellschaften überwachen, die von ihm selbst als
Geschäftsführer geleitet wurden. Die BlnBDI sah in diesem Fall
einen Interessenkonflikt und damit einen Verstoß gegen die
Datenschutz-Grundverordnung.

Die Aufsichtsbehörde erteilte daher im Jahr 2021 zunächst eine
Verwarnung gegen das Unternehmen. Nachdem eine erneute Überprüfung in
diesem Jahr ergab, dass der Verstoß trotz der Verwarnung weiterbestand,
verhängte die BlnBDI das Bußgeld, das noch nicht rechtskräftig ist.

Volker Brozio, kommissarischer Dienststellenleiter der BlnBDI:
„Dieses Bußgeld unterstreicht die bedeutende Rolle der Datenschutz-
beauftragten in Unternehmen. Ein Datenschutzbeauftragter kann
nicht einerseits die Einhaltung des Datenschutzrechts überwachen
und andererseits darüber mitentscheiden. Eine solche Selbstkontrolle
widerspricht der Funktion eines Datenschutzbeauftragten, der gerade
eine unabhängige Instanz sein soll, die im Unternehmen auf die Einhaltung
des Datenschutzes hinwirkt."

Bei der Bußgeldzumessung berücksichtigte die BlnBDI den
dreistelligen Millionenumsatz des E-Commerce-Konzerns im vorangegangen
Geschäftsjahr und die bedeutende Rolle des Datenschutzbeauftragten als
Ansprechpartner für die hohe Zahl an Beschäftigten und Kund:innen.
Berücksichtigung fand auch die vorsätzliche Weiterbenennung des
Datenschutzbeauftragten über fast ein Jahr trotz der bereits erteilten
Verwarnung. Als bußgeldmindernd wurde u. a. eingestuft, dass das
Unternehmen umfangreich mit der BlnBDI zusammengearbeitet und den
Verstoß während des laufenden Bußgeldverfahrens abgestellt hat.

„Zur Vermeidung von Datenschutzverstößen sollten Unternehmen
etwaige Doppelrollen der betrieblichen Datenschutzbeauftragten in
Konzernstrukturen auf Interessenkonflikte hin prüfen“, sagt
Brozio. „Das gilt insbesondere dann, wenn Auftragsverarbeitungen
oder gemeinsame Verantwortlichkeiten zwischen den Konzerngesellschaften
bestehen.“

<https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/pressemitteilungen/2022/20220920-BlnBDI-PM-Bussgeld-DSB.pdf>