Benennung des Datenschutzbeauftragten

In unseren vorherigen Blogeinträgen wurde schon erklärt, wer einen Datenschutzbeauftragten benötigt, welche Aufgaben dieser hat und welche Voraussetzungen er erfüllen muss. Dieser Blogeintrag handelt nun von der Benennung des Datenschutzbeauftragten, also in welcher Form er zu benennen ist, welche Fristen eingehalten werden müssen und welche Informationen zum Datenschutzbeauftragten veröffentlicht werden müssen.

Eine bestimmte Form der Ernennung, insbesondere eine Schriftform, ist generell nicht vorgeschrieben. Aus Beweisgründen, Gründen der Nachweispflicht und zur Rechtsklarheit sollte allerdings eine schriftliche Benennung erfolgen. Zudem wird empfohlen, dass die Aufgaben des Datenschutzbeauftragten explizit formuliert und festgehalten werden, sodass sich sowohl der Verantwortliche und der Datenschutzbeauftragte über diese Aufgaben im Klaren sind.

Es ist auch keine Frist geregelt, sodass die Pflicht zur Ernennung eines Datenschutzbeauftragten direkt dann zu erfüllen ist, sobald die notwendigen Voraussetzungen vorliegen, also sobald die Bedingungen zur Bestellpflicht erfüllt sind.

Zudem gilt, wie auch bereits in vorherigen Blogposts erläutert, dass auch die Benennung von externen Datenschutzbeauftragten zulässig ist und diese externen Datenschutzbeauftragten ihre Aufgaben auch auf Grundlage eines Dienstleistungsvertrags erfüllen können. Die Benennung einer juristischen Person allerdings ist nicht zulässig, da die DSGVO die Benennung einer natürlichen Person vorschreibt.

Die verantwortliche Stelle ist dazu verpflichtet, die Kontaktdaten ihrer Datenschutzbeauftragten zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen. Das bedeutet, dass die Kontaktdaten sowohl innerhalb der Organisation der verantwortlichen Stelle als auch für außenstehende Dritte veröffentlicht und zugänglich gemacht werden müssen. Die DSGVO definiert nicht genau, welche Kontaktdaten explizit genannt werden müssen, allerdings ist es wichtig, dass durch die Kontaktdaten eine leichte Kontaktaufnahme gewährleistet wird. Daher wird empfohlen Adresse, Telefonnummer, E-Mail-Adresse und ggf. sonstige Möglichkeiten zu veröffentlichen.

Es wird ebenfalls nicht vorgegeben, ob der Name veröffentlicht werden soll. Dies wird allerdings empfohlen und zumindest intern eine Veröffentlichung des Namens zusätzlich zu den Kontaktdaten zu ermöglichen. Der Aufsichtsbehörde muss der Name in jedem Fall mitgeteilt werden, damit der Datenschutzbeauftragte der Aufgabe als Anlaufstelle für die Aufsichtsbehörde nachgehen kann.