AntwortEntsprechend Art. 38 Abs. 6 DS-GVO kann ein DSB auch andere Aufgaben und Pflichten wahrnehmen, wobei sichergestellt sein muss, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.
Beispiele solcher Tätigkeiten, die regelmäßig zu einem Interessenkonflikt führen, wären Mitglieder der Geschäftsleitung, IT-Administratoren, Personalverwaltung, Geheimschutzbeauftragte, Organisationseinheiten mit besonders umfangreicher oder sensibler Verarbeitung personenbezogener Daten. Außerdem gilt dies generell für jede Tätigkeit, die dazu führen würde, dass ein DSB sich selbst kontrollieren müsste, indem er z.B. über die Zwecke und Mittel der Verarbeitung beim Verantwortlichen oder Auftragsverarbeiter mitentscheidet.
Unabhängig von der Frage eines aufgabenbezogenen Interessenkonflikts, kann die Übertragung zusätzlicher Aufgaben auch Auswirkungen auf die Frage haben, ob dem DSB zur Erfüllung seiner Aufgaben ausreichende (zeitliche) Ressourcen zur Verfügung stehen (Art. 38 Abs. 2 DS-GVO).
Es erscheint deshalb als empfehlenswert, den für die DSB-Aufgaben zur Verfügung stehenden Zeitanteil nachvollziehbar intern festzuschreiben und regelmäßig hinsichtlich erforderlicher Anpassung zu evaluieren; auch um dies z.B. im Rahmen einer aufsichtlichen Prüfung darlegen zu können.
Weitere Beispiele für bereits behandelte Fallgestaltungen:
Informationssicherheitsbeauftragter:
Nach unserem Verständnis hat ein Informationssicherheitsbeauftragter primär beratende und kontrollierende Funktionen innerhalb einer Institution und es bestehen ähnliche Anforderungen an dessen Unabhängigkeit und Eingliederung / Berichtswege im Unternehmen, wie bei einem DSB.
Wir würden aus rein datenschutzrechtlicher Perspektive die Funktion des DSB zumindest so lange mit der des Informationssicherheitsbeauftragten als vereinbar betrachten, wie ausgeschlossen ist, dass der DSB im Rahmen dieser Zusatzfunktion in die Situation kommen kann, über Verarbeitungsvorgänge, bzw. die Zwecke und Mittel der Verarbeitung beim Verantwortlichen oder Auftragsverarbeiter, mitzuentscheiden.
Vorsitz (und Mitglieder) des Personal- / Betriebsrats:
Die gleichzeitige Wahrnehmung einer der genannten Vorsitztätigkeiten begründet regelmäßig das Bestehen eines Interessenkonflikts. Personenbezogene Daten dürfen, z.B. im Fall des Betriebsrats, diesem nur im Rahmen der vom Betriebsverfassungsgesetz vorgesehenen Zwecke zur Verfügung gestellt werden. Der Betriebsrat entscheidet durch Beschluss darüber, welche personenbezogenen Daten er in Ausübung seiner gesetzlichen Aufgaben vom Arbeitgeber fordert und auf welche Weise er diese anschließend verarbeitet, sodass letztlich eine Beteiligung an einer Entscheidung über die Zwecke und Mittel der Verarbeitung besteht.
Da letztlich nicht der Vorsitz alleine handelt, sondern das Gremium als Ganzes, wobei auch jedes einzelne Mitglied entsprechende Anträge einbringen kann, spricht zudem vieles dafür, dass neben dem Vorsitz auch ein Einzelmitglied den entsprechenden Anlass für Verarbeitungen setzen kann, also die Schlussfolgerung eines Interessenkonflikts auch auf ein Einzelmitglied zu übertragen ist.
Meldestelle nach dem HinSchG:
Nimmt ein DSB zugleich die vollständigen Aufgaben der Meldestelle nach dem Hinweisgeberschutzgesetz wahr, begründet dies allein wegen der mit der internen Meldestelle verbundenen Datenverarbeitungsaufgaben regelmäßig Interessenkonflikte im Sinne von Art. 38 Abs. 6 Satz 2 DSGVO.
Dies schließt zwar grundsätzlich nicht aus, dass im Einzelfall durch strikte organisatorische Maßnahmen einem Interessenkonflikt zwischen der Wahrnehmung bestimmter Aufgaben von Meldestellen und den Aufgaben des DSB wirksam vorgebeugt werden kann. Eine vollständige Abgrenzung erscheint in der Praxis jedoch als schwierig.
Stand 10.02.2026
