Interessenkonflikte bei Datenschutzbeauftragten

Zur neutralen Ausübung seines Amts darf ein Datenschutzberater (DSB) keine Aufgaben haben, die einen Interessenkonflikt begründen können (Art. 38 Abs. 6 S. 2 DSGVO). Dass diese Vorgabe in der Praxis nicht stets ernst genommen wird, zeigt ein Straferkenntnis der österreichischen Datenschutzaufsicht in Höhe von 5.500 Euro, das wir in diesem Beitrag vorstellen.

Wer wurde hier zum Datenschutzbeauftragten bestellt?

Die Beschuldigte ist eine nach österreichischen Recht eingetragene GmbH, die ein Covid-19-Labor betrieb. Im Zuge der Pandemie wuchs sie zu einem der größeren Labore in Österreich mit circa 200 Mitarbeiter heran. Im Winter 2021/22 führte sie täglich ca. 45.000 PCR-Analysen durch. Der Umsatz der Beschuldigten betrug bis zum Juni 2023 ca. 4 Mio. Euro. Als DSB benannte die Beklagte ihren Geschäftsführer und zeitweisen Mitgesellschafter, der hierfür eine Fortbildung zum DSB beim Wirtschaftsförderungsinstitut der Wirtschaftskammer Österreich (WIFI) begonnen, aber nicht abgeschlossen hatte.

Wo sah die Aufsichtsbehörde mögliche Interessenkonflikte?

Die Behörde meinte, dass die Beschuldigte nicht hinreichend sichergestellt habe, dass die Aufgaben des Benannten als DSB nicht mit seinen anderen Positionen in der Firma in Konflikt geraten. Das folgerte die Aufsicht aus der Zwitterstellung des Benannten als Geschäftsführer, zeitweiser Gesellschafter und DSB. Wegen der Doppelzuordnung zur C-Ebene der Firma als Geschäftsführer sowie als gewinnbeteiligter Gesellschafter, habe die Beschuldigte nicht annehmen dürfen, dass der Benannte die Aufgaben des DSB – wie die Überwachung der Einhaltung der DSGVO – neutral erfüllen kann. Rein das Vorbringen, dass beim Geschäftsführer ein datenschutzrechtliches Bewusstsein vorhanden sei, genüge hierfür nicht.

Wie vermeidet man also Interessenkonflikte beim DSB?

Als Faustformel kann gelten, je mehr der DSB auch in die Position eines datenschutzrechtlich Verantwortlichen kommt, desto eher ist ein Interessenkonflikt zu bejahen. Das bringt es mit sich, dass Personen auf C-Ebene des Unternehmens kaum für die Position als DSB geeignet sind. Im Übrigen kann man sich an den Leitlinien des EDSA zur Benennung von DSBs orientieren, die auch Maßnahmen zur Vermeidung von Interessenkonflikten nennen, wie:

1. die Positionen zu benennen, die mit der Funktion eines DSB unvereinbar sind,
2. zur Vermeidung von Interessenkonflikten diesbezügliche interne Richtlinien aufzustellen,
3. eine allgemeine Erläuterung potenzieller Interessenkonflikte vorzunehmen,
4. zu erklären, dass sich der DSB in Bezug auf seine Funktion in keinem Interessenkonfliktbefindet und auf diese Weise das Bewusstsein für diese Anforderung zu schärfen,
5. und dafür Sorge tragen, dass die Stellenausschreibung für die Position eines DSB bzw. der betreffende Dienstleistungsvertrag zwecks Vermeidung von Interessenkonflikten genau und präzise formuliert wird.

Im Übrigen sollte es in dem Kontext kein Hexenwerk sein, die Aufsicht nicht aufzuschrecken. Nur evidente Fehler, wie in diesem Fall sollten dazu führen, dass die Datenschutzaufsicht aktiv wird, denn dann „geht es sich eben nicht mehr aus“.