Aufgrund von Interessenskonflikten können Datenschutzbeauftragte alleine keine Meldestelle betreiben, sofern keine besonderen Maßnahmen ergriffen werden wie – zum Beispiel – klare Vertretungsregelungen mit Nicht-Datenschutzbeauftragten.

Das komplette Outsourcing an externe Datenschutzbeauftragte* ist daher unzulässig.

„Art. 38 Abs. 6 DS-GVO gestattet, dass der Datenschutzbeauftragte andere Aufgaben und Pflichten wahrnehmen kann, wenn sichergestellt ist, dass diese nicht zu einem Interessenkonflikt führen. Gleichzeitig ist zu sehen, dass eine solche Doppelfunktion – ohne zusätzliche Maßnahmen seitens des Verantwortlichen – einen grundsätzlichen Interessenkonflikt darstellen würde: So können einerseits Meldungen bei der Meldestelle eingehen, die den Datenschutzbeauftragten selbst betreffen. Andererseits unterfallen auch die mit der Meldestelle einhergehenden Datenverarbeitungen – insbesondere die Folgemaßnahmen (…) der Kontrolle der/des Datenschutzbeauftragten.“

Ausnahme zur Unvereinbarkeit: „Dementsprechend ist es nicht von vornherein ausgeschlossen, dass im Einzelfall eine Doppelfunktion Datenschutzbeauftragter und Meldestelle zulässig ist. Hierbei zu berücksichtigende Mindestvoraussetzungen für die Vermeidung eines Interessenkonfliktes wären geeignete Vertretungsregelungen auf beiden Seiten (…), klare Zuständigkeiten und Rollentrennungen (organisatorisch und sachlich, z.B. bei Aktenführung und Archivierung) sowie eine lückenlose Prozessdokumentation.“

Bereits lange vor den nun veröffentlichten FAQ hat Hinweisgeberexperte in einem Blog-Beitrag die Unzulässigkeit der alleinigen Verantwortung des (externen) Datenschutzexperten für den Betrieb der internen Meldestelle behandelt.
Den Beitrag finden Sie hier.