Kann die Position des DSB und des ISB von derselben Person ausgeübt werden?
Datenschutz und Informationssicherheit wachsen in Unternehmen immer stärker zusammen. Prozesse, Systeme und Verantwortlichkeiten überschneiden sich – und damit stellt sich insbesondere für kleinere und mittlere Unternehmen eine naheliegende Frage: Können Datenschutzbeauftragter und Informationssicherheitsbeauftragter in Personalunion tätig sein?
Auf den ersten Blick verspricht die Zusammenlegung Synergien, klare Ansprechpartner und einen effizienteren Ressourceneinsatz. Gleichzeitig besteht jedoch die Gefahr von Interessenkonflikten, wenn Beratung, Entscheidung und Kontrolle nicht sauber voneinander getrennt werden. Entscheidend ist daher nicht allein, ob beide Funktionen von einer Person wahrgenommen werden, sondern vor allem, wie die Rollen organisatorisch ausgestaltet sind.
Datenschutzbeauftragte
Im Gesetz findet sich kein ausdrückliches Verbot für eine Personalunion zwischen Datenschutz- und Informationssicherheitsbeauftragte. Art. 38 Abs. 6 DSGVO bestimmt vielmehr, dass „der Datenschutzbeauftragte andere Aufgaben und Pflichten wahrnehmen (kann), sofern diese nicht zu einem Interessenkonflikt führen.“
Informationssicherheitsbeauftragte
Für den ISB gibt es keine entsprechende gesetzliche Regelung. Aus anderen normativen Vorgaben wie BSI-Grundschutz, ISO 27001 etc., branchenspezifischen oder internen Vorgaben ergibt sich aber ebenfalls, dass der ISB keinen Interessenkonflikten unterliegen darf.
Entscheidend ist die wahrgenommene Rolle
Damit verfolgt insbesondere das BSI letztlich denselben Gedanken wie Art. 38 Abs. 6 DSGVO, allerdings nicht aufgrund einer gesetzlichen Vorschrift, sondern als Organisationsanforderung eines funktionierenden Informationssicherheits-Managementsystems (ISMS). Die Frage lautet daher im Ergebnis nicht, ob dieselbe Person beide Funktionen innehaben darf, sondern ob dadurch ggf. ein Interessenkonflikt entsteht.
Entscheidend für diese Frage ist vor allem, wie die Rolle des ISB im Unternehmen ausgestaltet ist. So sind keine Interessenskonflikte zu befürchten, wenn der ISB insbesondere berät, koordiniert oder Sicherheitskonzepte entwickelt. Problematisch kann es werden, wenn der ISB etwa über Sicherheitsmaßnahmen entscheidet, Budgets verantwortet oder operative IT-Sicherheitsmaßnahmen umsetzt, deren Wirksamkeit anschließend als DSB kontrollieren müsste. In diesem Fall würde bei bestehender Personalunion der DSB letztlich seine eigenen Entscheidungen überwachen.
Die Meinung der Datenschutz-Aufsichtsbehörden
Die deutschen Datenschutzaufsichtsbehörden sehen generell Doppelrollen als zulässig an, sofern kein Interessenkonflikt besteht. Sie gehen aber vom Vorliegen eines Interessenkonfliktes aus, wenn der Datenschutzbeauftragte von ihm zu verantwortende Datenverarbeitungsvorgänge selbst überwachen und damit sich selbst kontrollieren würde. Das Bayerische Landesamt für Sicherheit in der Informationstechnik (LSI) rät sogar ausdrücklich davon ab, den DSB gleichzeitig als ISB zu ernennen (LSI-Info zum ISB, https://lsi.bayern.de/mam/aktuelles/lsi-info_i02_isb-profil.pdf).
Gleichzeitig stellt auch das LSI darauf ab, dass „zumindest die Schnittstellen dieser Tätigkeit klar zu definieren“ sind. Im Ergebnis hält also auch das LSI die Personalunion nicht für ausgeschlossen, sondern knüpft sie – trotz grundsätzlicher Bedenken – an die Bedingung eines sauberen Schnittstellenmanagements.
Die Meinung des BSI
Demgegenüber hält das BSI die Zusammenlegung der Funktionen ausdrücklich für zulässig. Der BSI-Standard 200.2 stellt in Ziffer 4.9, S. 49 klar, dass eine Personalunion von DSB und ISB möglich ist:
„Möglich ist auch die Zusammenlegung der Funktionen des Datenschutzbeauftragten mit denen des Informationssicherheitsbeauftragten.“ (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_2.pdf?__blob=publicationFile&v=2)
BSI-Standard 200.2
Die Zusammenlegung beider Funktionen erfordert zur Vermeidung von Interessenskonflikten aber verschiedene Bedingungen (BSI-Standard 200.2 (vgl. Ziffer 4.4, S. 42):
- „Die Schnittstellen zwischen den beiden Rollen sollten klar definiert und dokumentiert werden. Außerdem sollten auf beiden Seiten direkte Berichtswege zur Leitungsebene existieren. Weiterhin sollte überlegt werden, ob konfliktträchtige Themen zusätzlich noch nachrichtlich an die Revision weitergeleitet werden sollten.
- Es muss sichergestellt sein, dass der Informationssicherheitsbeauftragte über ausreichend freie Ressourcen für die Wahrnehmung beider Rollen verfügt. Gegebenenfalls muss er durch entsprechendes Personal unterstützt werden.“
Fazit
Eine Personalunion zwischen Datenschutzbeauftragtem und Informationssicherheitsbeauftragte ist möglich. Entscheidend ist allein, dass kein Interessenkonflikt besteht. Ein solcher lässt sich durch eine klare organisatorische Gestaltung ausräumen. Hier empfiehlt sich
- eine klare schriftliche Abgrenzung der Aufgaben und Rollen,
- dokumentierte Schnittstellen,
- unmittelbare Berichtswege beider Funktionen zur Leitung,
- gegebenenfalls die Einbindung der Internen Revision bei konfliktträchtigen Themen.
Sofern die organisatorischen und ressourcenbezogenen Voraussetzungen geschaffen werden, kann eine Zusammenlegung der Positionen aus rechtlicher Sicht erfolgen.
In diesem Zusammenhang dürfte Sie auch der Artikel „ISMS + DSMS“ interessieren.
