Unternehmen ohne Niederlassung in der EU können nach Art. 3 Abs. 2 DSGVO in den Anwendungsbereich der DSGVO fallen. In diesem Fall ist nach Art. 27 DSGVO grundsätzlich ein EU-Vertreter zu benennen. Unter den Voraussetzungen des Art. 37 DSGVO kann zusätzlich die Pflicht bestehen, einen Datenschutzbeauftragten zu bestellen. Damit stellt sich die Frage, ob beide Funktionen durch dieselbe Person oder denselben Dienstleister erbracht werden können.
Der Inhalt im Überblick
Unterschiedliche Funktionen der beiden Rollen
Die DSGVO selbst enthält kein ausdrückliches Verbot, dass EU-Vertreter und Datenschutzbeauftragter (DSB) durch dieselbe Stelle gestellt werden. Allerdings verlangt Art. 38 DSGVO, dass der DSB keine Aufgaben und Pflichten wahrnimmt, die zu einem Interessenkonflikt führen. Zudem müssen Verantwortliche und Auftragsverarbeiter sicherstellen, dass der DSB bei der Erfüllung seiner Aufgaben keine Weisungen erhält.
Erwägungsgrund 97 ergänzt:
„Derartige Datenschutzbeauftragte sollten unabhängig davon, ob es sich bei ihnen um Beschäftigte des Verantwortlichen handelt oder nicht, ihre Pflichten und Aufgaben in vollständiger Unabhängigkeit ausüben können.“
Der EU-Vertreter nach Art. 27 DSGVO hat eine andere Funktion. Er dient vor allem als Anlaufstelle in der Union und soll insbesondere für Aufsichtsbehörden und betroffene Personen erreichbar sein. Er wird durch ein schriftliches Mandat des Verantwortlichen oder Auftragsverarbeiters bestellt und handelt im Rahmen dieses Mandats.
In Erwägungsgrund 80 heißt es dazu klar:
„Ein solcher Vertreter sollte seine Aufgaben entsprechend dem Mandat des Verantwortlichen oder Auftragsverarbeiters ausführen und insbesondere mit den zuständigen Aufsichtsbehörden in Bezug auf Maßnahmen, die die Einhaltung dieser Verordnung sicherstellen, zusammenarbeiten.“
EDSA: DSB und EU-Vertreter bergen Interessenkonflikte
Der EDSA formuliert in seinen Leitlinien, dass die Funktion des EU-Vertreters mit der Rolle eines externen DSB nicht vereinbar sei:
„Der Vertreter wird von dem Verantwortlichen oder Auftragsverarbeiter, den er vertritt, beauftragt und handelt daher bei der Wahrnehmung seiner Aufgaben in seinem Auftrag; eine solche Funktion kann nicht mit der unabhängigen Wahrnehmung der Pflichten und Aufgaben eines Datenschutzbeauftragten vereinbar sein.“ (Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Artikel 3), S. 28)
Praktisch lässt sich das nachvollziehen: Der EU-Vertreter könnte etwa beauftragt sein, eine bestimmte Position des Unternehmens gegenüber einer Aufsichtsbehörde oder gegenüber betroffenen Personen zu kommunizieren. Der DSB müsste dieselbe Position aber möglicherweise kritisch prüfen und dem Unternehmen intern davon abraten. Wer die Unternehmensposition nach außen vertritt, kann dieselbe Position nur schwer zugleich unabhängig datenschutzrechtlich bewerten.
Es dürfte daher schwierig sein, dass dieselbe natürliche Person die Funktionen des EU-Vertreters und des DSB zugleich wahrnimmt. Ob beide Funktionen durch dieselbe externe Organisation erbracht werden können, ist differenzierter zu betrachten.
Gilt das für dieselbe Dienstleistungsorganisation?
Nun stellt sich die weitergehende Frage: Gilt diese Unvereinbarkeit auch dann, wenn nicht dieselbe natürliche Person, sondern dieselbe Beratungs- oder Dienstleistungsorganisation beide Funktionen durch unterschiedliche Personen bzw. Berater abdecken möchte?
Entscheidend sollte hier nicht allein die formale Zugehörigkeit zu derselben Organisation sein, sondern ob die konkrete Ausgestaltung zu einem Interessenkonflikt führt. Dafür spricht auch Art. 37 Abs. 6 DSGVO: Selbst ein Beschäftigter des Verantwortlichen kann als DSB benannt werden, sofern seine Stellung nicht zu einem Interessenkonflikt führt. Es erscheint daher vertretbar, zumindest auch die Möglichkeit eines DSB aus der Organisation des EU-Vertreters zu prüfen.
Bestellung einer externen Dienstleistungsorganisation als EU-Vertreter
Der EU-Vertreter kann sowohl eine natürliche als auch eine juristische Person sein. In der Praxis ist es üblich, dass eine Beratungsorganisation, Kanzlei oder sonstige Dienstleistungsorganisation als EU-Vertreter benannt wird.
Der EU-Vertreter ist zwar rechtlich nicht mit dem Verantwortlichen identisch. Funktional kann er aber als Teil der externen Compliance-Struktur des Verantwortlichen verstanden werden. Betrachtet man den Vertreter als eine Art „verlängerte Struktur“ des Verantwortlichen, sollte vor diesem Hintergrund nicht von vornherein ausgeschlossen werden, dass eine andere Person innerhalb der Organisation des EU-Vertreters als DSB tätig wird – vorausgesetzt, auch hier werden Interessenkonflikte zuverlässig ausgeschlossen und die Unabhängigkeit des DSB bleibt gewahrt.
DSB als konkrete Person innerhalb derselben Organisation
In der Praxis wird der DSB regelmäßig als konkrete natürliche Person benannt. Daraus folgt aber nicht zwingend, dass ein DSB gesetzlich ausschließlich eine natürliche Person sein müsste.
Ob ein DSB immer eine natürliche Person sein muss, ist nicht völlig unumstritten. Für die Annahme, dass der DSB jedenfalls auf eine konkrete natürliche Person zurückgeführt werden muss, sprechen jedoch mehrere Gründe:
- Wortlaut der DSGVO
Die DSGVO beschreibe den DSB an mehreren Stellen mit personenbezogenen Formulierungen. In der englischen Fassung fänden sich etwa Formulierungen wie „he or she“ und „his or her tasks“. Auch die deutsche Fassung arbeite mit „er“ und ähnlichen personenbezogenen Bezügen. Dies spreche zumindest dafür, dass der DSB in der Systematik der DSGVO als konkret handelnde Person gedacht sei.
- Vergleich mit anderen Rollen der DSGVO
Bei Rollen wie Verantwortlicher, Auftragsverarbeiter, Empfänger oder Dritter nenne Art. 4 DSGVO ausdrücklich natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen. Eine vergleichbare Definition des DSB enthalte Art. 4 DSGVO nicht. Daraus werde teilweise gefolgert, dass der DSB nicht ohne Weiteres wie diese anderen Rollen als rein juristische Person verstanden werden könne.
- Persönliche Ausgestaltung der DSB-Stellung
Unabhängigkeit, Fachkunde, Verschwiegenheit und Freiheit von Interessenkonflikten ließen sich letztlich nur bei den tatsächlich handelnden Personen prüfen. Besonders deutlich werde dies bei Art. 38 Abs. 3 DSGVO: Der DSB dürfe wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Eine solche Schutzlogik beziehe sich im Kern auf die konkrete natürliche Person, die die DSB-Aufgaben wahrnehme.
Es gibt auch andere Stimmen: Teilweise wird vertreten, dass auch eine juristische Person DSB-Leistungen erbringen könne. Relativ klar ist allerdings: Die DSB-Funktion darf nicht in einem bloßen Firmennamen aufgehen. Eine konkrete Person sollte als primäre Ansprechperson für das jeweilige Unternehmen benannt werden.
In den Leitlinien der WP29 heißt es dazu:
„Die Funktion eines DSB kann auch auf Grundlage eines Dienstleistungsvertrags ausgeübt werden, der mit einer natürlichen oder juristischen Person geschlossen wird, die nicht der Einrichtung des Verantwortlichen oder Auftragsverarbeiters angehört. […] Um Interessenkonflikte der Teammitglieder zu vermeiden, wird empfohlen, eine klare Aufgabenverteilung innerhalb des DSB-Teams vorzusehen und eine einzelne Person als primären Ansprechpartner festzulegen, der zugleich für den jeweiligen Kunden ‚zuständig‘ ist.“
In der Praxis sehen die Meldeformulare deutscher Aufsichtsbehörden häufig die Angabe einer konkreten natürlichen Person vor, auch wenn ein externer Dienstleister beauftragt ist.
Trennung der Rollen zur Vermeidung von Interessenkonflikten
Entscheidend ist somit nicht allein die formale Zugehörigkeit zur Vertreterorganisation. Maßgeblich ist vielmehr, ob die konkrete Person ihre DSB-Aufgaben unabhängig, weisungsfrei und ohne Interessenkonflikt wahrnehmen kann. Dies kann insbesondere durch eine klare personelle, organisatorische und vertragliche Trennung der Rollen abgesichert werden.
Personelle und organisatorische Trennung
Innerhalb der externen Dienstleistungsorganisation sollten klare personelle und funktionale Grenzen gezogen werden. Das Team, das die Aufgaben des EU-Vertreters wahrnimmt, sollte von der Person bzw. dem Team getrennt sein, das die DSB-Funktion ausübt.
Getrennte vertragliche Grundlage
Auch vertraglich sollten beide Funktionen nicht vermischt werden. Sinnvoll ist es, für die Tätigkeit als EU-Vertreter und für die Tätigkeit als DSB jeweils eigenständige Vereinbarungen abzuschließen. Darin sollten Aufgaben, Verantwortlichkeiten, Kommunikationswege sowie Weisungsstrukturen klar voneinander abgegrenzt werden.
Getrennte Kommunikations- und Berichtslinien
Die Kommunikations- und Berichtslinien sollten ebenfalls getrennt ausgestaltet werden. Für die EU-Vertreterfunktion und die DSB-Funktion sollten idealerweise unterschiedliche Ansprechpartner auf Seiten des Unternehmens benannt werden.
Der EU-Vertreter kann im Rahmen seines Mandats mit den dafür zuständigen Stellen des Unternehmens kommunizieren. Der DSB muss grundsätzlich in der Lage sein, seine Aufgaben unabhängig wahrzunehmen und insbesondere unmittelbar an die höchste Managementebene zu berichten.
Laufende Prüfung möglicher Interessenkonflikte
Nicht zuletzt darf die Frage möglicher Interessenkonflikte nicht nur einmal zu Beginn des Mandats geprüft werden. Vielmehr ist fortlaufend zu überprüfen, ob sich aus konkreten Sachverhalten ein Konflikt zwischen Vertreterfunktion und DSB-Tätigkeit ergeben kann.
Dies kann etwa relevant werden, wenn der EU-Vertreter in eine Kommunikation mit der Aufsichtsbehörde eingebunden ist und der DSB denselben Vorgang unabhängig bewerten soll. In solchen Fällen muss sichergestellt sein, dass der DSB ohne Rücksicht auf die Vertreterrolle derselben Organisation beraten, dokumentieren und gegebenenfalls auch kritisch Stellung nehmen kann.
Übernahme beider Funktionen nur mit klarer Trennung
Wegen möglicher Interessenkonflikte ist es nicht empfehlenswert, die Funktionen des EU-Vertreters und des DSB durch dieselbe natürliche Person wahrnehmen zu lassen. Anders zu bewerten ist die Konstellation, in der unterschiedliche natürliche Personen bzw. Berater innerhalb derselben Dienstleistungsorganisation tätig werden. Eine solche Gestaltung sollte nicht pauschal ausgeschlossen werden. Entscheidend ist vielmehr, ob Interessenkonflikte zuverlässig vermieden werden können.
