Wer entscheidet, kann sich nicht selbst überwachen

Am 10. August 2026 hat die CNIL eine praktische Handreichung zu einem Problem veröffentlicht, das fast jede Organisation hat und kaum eine schriftlich festgehalten hat: dem Interessenkonflikt des Datenschutzbeauftragten.

Ausgangspunkt ist Art. 38 Abs. 6 DSGVO. Der DSB darf über die Aufgaben des Art. 39 hinaus weitere Funktionen wahrnehmen, unter zwei kumulativen Bedingungen: Diese Aufgaben dürfen ihm nicht die für die DSB-Tätigkeit erforderliche Zeit nehmen und ihn nicht in einen Interessenkonflikt bringen.

Die Fragen, die ihn sichtbar machen

Die CNIL empfiehlt, die Prüfung vor der Benennung vorzunehmen oder bevor einem bereits benannten DSB neue Aufgaben übertragen werden. Diese Fragen schlägt sie vor:

• Welche weiteren Funktionen werden mit der des DSB verbunden?
• Nimmt der DSB Leitungsaufgaben wahr? Geschäftsführung und Personalleitung sind in der Regel unvereinbar, ebenso können es niedrigere Rollen sein, wenn sie dazu führen, Zwecke und Mittel einer Verarbeitung zu bestimmen
• Haben der DSB oder sein Team Entscheidungsbefugnis über Zwecke oder Mittel? Ist der DSB zugleich Informationssicherheitsbeauftragter: Legt er die Speicherfristen der Protokolldaten fest, schlägt er Sicherheitsmaßnahmen vor, entscheidet er über Zugriffsanfragen auf Beschäftigtendaten?
• Bezieht der DSB in seinen weiteren Funktionen Stellung zu Vorhaben mit Personenbezug, etwa als Mitglied eines Ethikgremiums?
• Ist der DSB Beschäftigtenvertreter oder Gewerkschaftsfunktionär? Bei einer Abstimmung kann er sich zu Maßnahmen der Beschäftigtenkontrolle äußern müssen
• Bei externem DSB: Hat er die Organisation bereits in einem datenschutzrechtlichen Rechtsstreit vertreten? Gehört er einer Stelle mit gegenläufigen Interessen an, etwa einem Auftragsverarbeiter oder gemeinsam Verantwortlichen?

Besteht ein Konflikt, muss er beseitigt werden

Die benennende Organisation ist verpflichtet, den Interessenkonflikt zu beenden. Drei Wege stehen offen: den DSB ersetzen, ihm die konfliktauslösenden weiteren Aufgaben entziehen oder andere Abhilfemaßnahmen ergreifen.

Enthaltung und stellvertretender DSB

Die häufigste Maßnahme ist die Enthaltung: Der DSB zieht sich aus dem betroffenen Bereich zurück, dort handelt ein stellvertretender DSB. Die CNIL stellt klar, dass dies keine reine Formalie sein darf. Eine bloße Gegenzeichnung ohne echte Entscheidungsbefugnis des Stellvertreters genügt nicht.

Der Stellvertreter muss dieselben Garantien der Art. 37 und 39 genießen: Mittel, Schulung, Einbindung in die Fragen seines Zuständigkeitsbereichs. Und er darf dem benannten DSB nicht weisungsgebunden sein. Das Beispiel der CNIL ist eindeutig: Ist der DSB eines Versicherers zugleich Leiter der Betrugsbekämpfung und muss sich dort enthalten, kann ein Betrugsanalyst nicht Stellvertreter sein, weil er Verarbeitungen, die sein eigener Vorgesetzter entschieden hat, nicht unabhängig überwachen kann.

Zu dokumentieren sind das die Enthaltung rechtfertigende Risiko und die Aufgabenteilung zwischen DSB und Stellvertreter, damit keine Verarbeitung ungedeckt bleibt. Der Stellvertreter wird der Behörde nicht gemeldet: Ansprechpartner bleibt der benannte DSB, der jedoch in der Lage sein muss, den Stellvertreter zu informieren, wenn die Behörde zu Verarbeitungen des betroffenen Bereichs schreibt.