Interessenkonflikt: Wer darf Datenschutzbeauftragter sein?

Zuletzt aktualisiert am 1. Juni 2026

Neben externen Datenschutzbeauftragten darf auch ein Mitarbeiter zum (internen) Datenschutzbeauftragten benannt werden. Welche Einschränkungen es dabei allerdings gibt und welche Folgen ein Verstoß haben kann, erfahren Sie hier.

Benennung eines Datenschutzbeauftragten

Einige Unternehmen sind verpflichtet, einen Datenschutzbeauftragten zu benennen. Welche das genau sind, erfahren Sie hier.

Zusammengefasst lässt sich sagen, dass ein Datenschutzbeauftragter vor allem die Aufgabe hat, das Unternehmen bezüglich dessen datenschutzrechtlichen Pflichten zu beraten und die Einhaltung datenschutzrechtlicher Vorschriften zu kontrollieren. Diese Aufgabe kann jemand internes übernehmen, der bereits Mitarbeiter des Unternehmens ist oder ein externer Datenschutzbeauftragter kann engagiert werden. Mehr zu den Unterschieden zwischen diesen Möglichkeiten und der Arbeitsweise eines externen Datenschutzbeauftragten erfahren Sie hier.

Einschränkung: Interessenkonflikt

Bezüglich der Benennung eines Datenschutzbeauftragten nimmt Art. 38 VI 2 DSGVO eine Einschränkung vor. Das Amt des Datenschutzbeauftragten kann nur ausüben, wer durch andere Aufgaben keinem Interessenkonflikt unterliegt.

Diese Problematik ergibt sich vor allem bei eigenen Mitarbeitern. So können Mitarbeiter in leitenden Positionen nicht als Datenschutzbeauftragter für das Unternehmen fungieren, wenn sie bei ihrer Arbeit maßgebliche Entscheidungen, die sich auf die Verarbeitung personenbezogener Daten beziehen, treffen. Dann würde ein Interessenkonflikt bestehen, da der Mitarbeiter in seiner Funktion als Datenschutzbeauftragter eigene Entscheidungen überprüfen müsste, sich also selbst überwacht.

Beispiel für Interessenkonflikt aus Berlin

Der Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängte vor kurzem ein Bußgeld in Höhe von 525.000 Euro gegen die Tochtergesellschaft eines Berliner Handelskonzerns wegen eines Interessenkonfliktes des entsprechenden Datenschutzbeauftragten. Das Bußgeld ist noch nicht rechtskräftig.

Die vom Unternehmen als Datenschutzbeauftragter benannte Person war gleichzeitig Geschäftsführer zweier Dienstleister, die als Auftragsverarbeiter für das Unternehmen Daten verarbeiteten. Diese Dienstleistungsgesellschaften waren gleichzeitig auch Teil des Konzerns. Hier kam es zu der geschilderten Situation. Der Datenschutzbeauftragte musste Tätigkeiten überwachen und kontrollieren, die unter ihm als Geschäftsführer vorgenommen wurden.

Der kommissarische Dienststellenleiter des Berliner Datenschutzbeauftragten fasste die Problematik wie folgt zusammen: „Ein Datenschutzbeauftragter kann nicht einerseits die Einhaltung des Datenschutzrechts überwachen und andererseits darüber mitentscheiden. Eine solche Selbstkontrolle widerspricht der Funktion eines Datenschutzbeauftragten, der gerade eine unabhängige Instanz sein soll, die im Unternehmen auf die Einhaltung des Datenschutzes hinwirkt.“

Bei der Verhängung des Bußgeldes wurde berücksichtigt, dass das Unternehmen bereits im vergangenen Jahr wegen desselben Sachverhaltes abgemahnt wurde.

Mehr zu diesem Vorfall erfahren Sie auch in der Pressemitteilung des Berliner Datenschutzbeauftragten.

Tipps für die Praxis

Die Auswahl eines Datenschutzbeauftragtes muss gut überlegt sein. Bei internen Beauftragten können sich schnell Interessenkonflikte ergeben, durch die die Ernennung dem Datenschutzrecht widersprechen würde.

Dieser Problematik lässt sich durch die Ernennung eines externen Datenschutzbeauftragten entgegenwirken. Mehr zu den Vorteilen eines externen Datenschutzbeauftragten erfahren Sie hier.

Kontaktieren Sie uns, um sich von unserem Team an Experten über die Möglichkeiten beraten zu lassen, die wir als externer Datenschutzbeauftragter für Sie bieten können!

Typische Interessenkonflikte in der Praxis

In der betrieblichen Praxis treten Interessenkonflikte bei der Benennung eines internen Datenschutzbeauftragten häufiger auf, als viele Unternehmen vermuten. Die Aufsichtsbehörden haben in den vergangenen Jahren zahlreiche Fälle dokumentiert, in denen Unternehmen Bußgelder zahlen mussten, weil der benannte Datenschutzbeauftragte in einem offensichtlichen Interessenkonflikt stand.

Ein klassisches Beispiel ist die Benennung des IT-Leiters als Datenschutzbeauftragter. Der IT-Leiter trifft wesentliche Entscheidungen über die technische Infrastruktur und damit auch über die Art und Weise der Datenverarbeitung. Gleichzeitig müsste er als Datenschutzbeauftragter diese Entscheidungen kontrollieren — er würde sich also selbst überwachen. Dasselbe gilt für den Leiter der Personalabteilung, den Geschäftsführer oder den Leiter der Marketingabteilung.

Bußgelder und Konsequenzen bei Verstößen

Die Datenschutz-Grundverordnung sieht bei Verstößen gegen die Anforderungen an den Datenschutzbeauftragten Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor. In der Praxis haben Aufsichtsbehörden bereits mehrfach Bußgelder verhängt, wenn ein Interessenkonflikt vorlag. So verhängte die belgische Datenschutzbehörde ein Bußgeld in Höhe von 50.000 Euro gegen ein Unternehmen, dessen Datenschutzbeauftragter gleichzeitig Leiter der Compliance-, Risikomanagement- und Audit-Abteilung war.

Neben dem finanziellen Risiko droht bei einem erkannten Interessenkonflikt auch die Abberufung des Datenschutzbeauftragten durch die Aufsichtsbehörde. Dies kann zu erheblichen organisatorischen Problemen führen, insbesondere wenn kurzfristig ein neuer externer Datenschutzbeauftragter gefunden werden muss.

Vorteile eines externen Datenschutzbeauftragten

Ein externer Datenschutzbeauftragter bietet gegenüber einem internen Datenschutzbeauftragten mehrere Vorteile. Der wichtigste Vorteil: Das Risiko eines Interessenkonflikts ist praktisch ausgeschlossen. Als unabhängiger Berater hat der externe Datenschutzbeauftragte keine operativen Aufgaben im Unternehmen und kann seine Kontrollfunktion uneingeschränkt wahrnehmen.

Außerdem verfügen externe Datenschutzbeauftragte in der Regel über eine breite Erfahrung aus verschiedenen Branchen und Unternehmensgrößen. Sie kennen aktuelle Entwicklungen in der Rechtsprechung und Best Practices aus ihrer täglichen Arbeit. Ein weiterer Vorteil: Der externe Datenschutzbeauftragte genießt keinen besonderen Kündigungsschutz wie ein interner — das Vertragsverhältnis kann flexibler gestaltet werden.

Checkliste: So vermeiden Sie Interessenkonflikte

Um sicherzustellen, dass Ihr Datenschutzbeauftragter frei von Interessenkonflikten ist, sollten Sie folgende Punkte prüfen:

• Hat die Person Entscheidungsbefugnis über die Zwecke und Mittel der Datenverarbeitung?
• Leitet die Person eine Abteilung, die regelmäßig personenbezogene Daten verarbeitet?
• Ist die Person an der strategischen Unternehmensplanung beteiligt?
• Kann die Person ihre Kontrollfunktion unabhängig und weisungsfrei ausüben?
• Verfügt die Person über ausreichende zeitliche Ressourcen für die Aufgabe?

Wenn auch nur eine dieser Fragen problematisch erscheint, sollten Sie die Benennung eines externen Datenschutzberaters in Betracht ziehen. Die DATUREX GmbH unterstützt Unternehmen in Dresden und ganz Sachsen bei der rechtskonformen Umsetzung der DSGVO — einschließlich der Übernahme der Funktion des externen Datenschutzbeauftragten.

Rechtliche Grundlagen der Unabhängigkeit

Die Unabhängigkeit des Datenschutzbeauftragten ist in Art. 38 Abs. 3 DSGVO verankert. Demnach darf der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhalten. Er darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Diese Schutzvorschriften gelten sowohl für interne als auch für externe Datenschutzbeauftragte.

Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien konkretisiert, welche Positionen typischerweise mit einem Interessenkonflikt behaftet sind. Dazu zählen insbesondere Geschäftsführer, Personalleiter, IT-Leiter, Marketingleiter sowie Leiter von Fachabteilungen, die in erheblichem Umfang personenbezogene Daten verarbeiten. Im Zweifelsfall empfiehlt sich laufend die Konsultation eines erfahrenen Datenschutzexperten.