Interim-Manager und Externe prüfen: So schließen Sie die Lücke

Interim-Manager, Berater und Dienstleister-Personal fallen in den meisten Unternehmen durch jedes Screening-Raster: Sie durchlaufen kein HR-Onboarding, kein Bewerbungsverfahren und keine Zuverlässigkeitsprüfung — erhalten aber oft weitreichendere Zugriffe als Festangestellte. Rechtlich kommt hinzu, dass § 26 BDSG auf sie regelmäßig nicht passt: § 26 Abs. 8 BDSG definiert den Beschäftigtenbegriff, und Externe sind davon regelmäßig nicht erfasst. Die Prüfung Externer stützt sich deshalb auf Art. 6 Abs. 1 lit. b und f DSGVO — und ist in regulierten Branchen längst keine Kür mehr, sondern Teil der Drittparteien-Pflichten.

Warum Externe durch das Raster fallen

Der Befund hat organisatorische Gründe: Externe kommen über den Einkauf oder die Fachabteilung ins Haus, nicht über HR. Der Dienstleistungsvertrag regelt Leistung und Haftung, aber selten die Integrität der eingesetzten Personen. Und weil der Interim-CFO oder der externe Administrator formal beim Entsender angestellt ist, fühlt sich niemand für seine Überprüfung zuständig — der Entsender verweist auf den Kunden, der Kunde verlässt sich auf den Entsender. Das Ergebnis: Die Person mit dem Generalzugriff auf ERP, Zahlungsverkehr oder Produktionssteuerung ist häufig die am wenigsten geprüfte im ganzen Gebäude. Interim-Manager verschärfen das Muster noch: Sie kommen gerade in Umbruchsituationen ins Haus — Vakanz, Restrukturierung, Krise — und damit in Momenten, in denen interne Kontrollen ohnehin geschwächt sind. Pointiert gesagt: Der teuerste Zugang ins Unternehmen ist der ungeprüfte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO

Dass § 26 BDSG nicht greift, ist kein Hindernis, sondern eine Klarstellung — die allgemeinen Rechtsgrundlagen der DSGVO tragen die Prüfung:

• Art. 6 Abs. 1 lit. b DSGVO: Die Verifikation der Angaben, mit denen sich der Externe oder sein Entsender präsentiert (Qualifikationen, Stationen, Referenzprojekte), ist Teil der vorvertraglichen Maßnahmen und der Vertragsdurchführung.
• Art. 6 Abs. 1 lit. f DSGVO: Register-, Sanktions- und Adverse-Media-Prüfungen stützen sich auf das berechtigte Interesse, kritische Zugriffe nur integren Personen einzuräumen — mit dokumentierter, rollenbezogener Interessenabwägung.

Auch hier gelten Transparenzpflichten und Augenmaß; die allgemeine Systematik haben wir im Beitrag zu den DSGVO-Rechtsgrundlagen des Screenings entwickelt.

Was regulierte Branchen zusätzlich verpflichtet

In regulierten Sektoren ist die Prüfung Externer zunehmend ausdrücklich gefordert:

• Finanzsektor: Die DORA-Verordnung (VO (EU) 2022/2554, Art. 28 ff.) verlangt vor Vertragsschluss eine Due Diligence auf IKT-Drittdienstleister — die Verantwortung bleibt beim Finanzunternehmen. Details im Beitrag zu DORA und dem Faktor Mensch.
• Kritische Infrastruktur: Das BSIG verpflichtet betroffene Einrichtungen zu Konzepten für Personalsicherheit und Lieferkette — Fremdfirmenpersonal eingeschlossen.
• GwG-Verpflichtete: Die Sorgfaltspflichten nach § 10 GwG erfassen Geschäftsbeziehungen — auch die zum Dienstleister.

Prüfschema: Person und Entsender gemeinsam prüfen

Die Besonderheit beim Externen-Screening: Es gibt zwei Prüfobjekte. Ein belastbares Schema deckt beide ab —

1. Die Person: Identität, Lebenslauf- und Qualifikationsverifikation, positionsrelevante Register, Sanktionslisten, Adverse Media, Interessenkonflikte (Mandate, Beteiligungen).
2. Der Entsender: Registerauszug und Bestandsdaten, wirtschaftlich Berechtigte (UBO), Sanktions- und Adverse-Media-Prüfung des Unternehmens, erkennbare Verflechtungen.
3. Der Zugriff: Rollenbezogene Einstufung — je kritischer Systeme und Daten, desto tiefer die Prüfung und desto eher eine Wiederholung während der Laufzeit; wann laufendes Monitoring sinnvoll ist, zeigt unser Vergleich Einmalprüfung oder laufendes Monitoring.

Die Prüftiefe folgt dabei demselben Erforderlichkeitsmaßstab wie bei Festangestellten — entscheidend ist der Zugriff, nicht der Vertragsstatus. Wichtig ist zudem die vertragliche Flankierung: Verankern Sie die Prüfung als Bedingung im Dienstleistungsvertrag — einschließlich der Information der betroffenen Person durch den Entsender und der Meldung personeller Wechsel.

Handlungsempfehlung

Inventarisieren Sie zuerst, welche Externen heute welche Zugriffe haben — diese Liste ist erfahrungsgemäß länger als gedacht. Definieren Sie dann eine Prüfpflicht ab einer klaren Kritikalitätsschwelle, verankern Sie sie im Einkaufsprozess und prüfen Sie Person und Entsender gemeinsam. Indicium bildet genau das im kombinierten Personen- und Unternehmens-Report ab, mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) — wie das für Ihre Branche aussieht, zeigen wir Ihnen gern in einer Demo.

Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.