Schwarz/Pahlke/Keß, AO § 32g Datenschutzbeauftragte der ... / 3 Benennung (§ 5 BDSG)

3.1 § 5 Abs. 1 BDSG Pflicht zur Benennung

Rz. 3

Öffentliche Stellen benennen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten. Dies gilt auch für öffentliche Stellen nach § 2 Abs. 5 AO, die am Wettbewerb teilnehmen.

Nach dem Gesetzeswortlaut der Vorschrift kann "eine" einzige Person zum Datenschutzbeauftragten ernannt werden. Unberührt hiervon bleibt jedoch die – im Übrigen auch von der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit bisher ausdrücklich befürwortete^[1] – Möglichkeit, einen fachlichen Vertreter zu bestimmen. Gleiches dürfte auch für die Unterstützung des Datenschutzbeauftragten durch diesem zugewiesene Mitarbeiter gelten – gewährleistet doch dieser Umstand aus datenschutzrechtlicher Sicht eine noch zuverlässigere Aufgabenwahrnehmung.

Formalen Anforderungen an den Benennungsvorgang definieren weder das BDSG noch die DSGVO, eine schriftliche Bestellung des Datenschutzbeauftragten^[2] ist jedoch aus Gründen der Rechtssicherheit zu präferieren.^[3] Der Umfang der Aufgabenstellung und das Verhältnis zu möglicherweise anderen Fachaufgaben können auf diese Weise hinreichend klar festgelegt werden.

In Bezug auf die Mindest-Amtszeit bzw. eine befristete Benennung des Datenschutzbeauftragten macht die DSGVO (und auch das BDSG) entgegen dem ursprünglichen Verordnungsentwurf^[4] ebenfalls keinen verbindlichen Vorgaben. Die Benennung kann somit sowohl befristet als auch unbefristet ausgesprochen werden. Bei der Festlegung der Amtszeit ist jedoch zu beachten, diese nicht zu kurz zu bemessen, damit der Datenschutzbeauftragte seine Aufgaben ordnungsgemäß erfüllen kann. Vor diesem Hintergrund dürfte eine Amtszeit zwischen 2 und 4 Jahren angemessen sein.

[1] Vgl. BfDI, Die Datenschutzbeauftragten in Behörde und Betrieb, 2018, S. 42, 77 – Muster "Bestellung einer/s behördlichen Datenschutzbeauftragten sowie einer/s Vertreterin/Vertreters" sowie zu den Vorteilen eines Vertreters.

[2] Vergleichbar mit der bisherigen Regelung in § 4f Abs. 1 S. 1 BDSG.

[3] Helfrich, in Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl. 2018, Art. 37 DSGVO Rz. 121.

[4] KOM(2012) 11, Vorschlag für DSGVO, 25.1.2012 – Im ursprünglichen Verordnungsentwurf, sah Art. 35 Nr. 7 noch eine Amtszeit des Datenschutzbeauftragten für einen Zeitraum von mindestens 2 Jahren vor.

3.2 § 5 Abs. 2 BDSG Gemeinsamer Datenschutzbeauftragter

Rz. 4

Für mehrere öffentliche Stellen kann unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe eine gemeinsame Datenschutzbeauftragte oder ein gemeinsamer Datenschutzbeauftragter benannt werden.

Mehrere Finanzbehörden haben hiernach die grds. Möglichkeit, einen gemeinsamen Datenschutzbeauftragten zu benennen. Von großer Bedeutung ist in diesem Zusammenhang die gesetzlich normierte Berücksichtigung der behördlichen Organisationsstruktur und Größe. Dem Datenschutzbeauftragten muss es stets möglich sein, die ihm zugewiesenen Aufgaben ordnungsgemäß zu erfüllen. Um diesem Umstand auch bei einer denkbaren Zuständigkeit für mehrere Verantwortliche (z. B. mehrere FÄ) hinreichend Rechnung zu tragen, ist ein entsprechender Personalkörper zur fachlichen Unterstützung unabdingbar. Dennoch dürften für einen gemeinsamen Datenschutzbeauftragten durchaus immanente Grenzen gesetzt sein.^[1] Denn auch mit entsprechender personeller Unterstützung muss dieser in der Lage bleiben, das große Ganze zu verstehen und zu bewerten.^[2]

[1] Helfrich, in Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl. 2018, Art. 37 DSGVO Rz. 105.

[2] Bergt, in Kühling/Buchner, DSGVO/BDSG, 3. Aufl. 2020, Art. 37 DSGVO Rz. 34.

3.3 § 5 Abs. 3 BDSG Qualifikation des Datenschutzbeauftragten

Rz. 5

Die oder der Datenschutzbeauftragte wird auf der Grundlage ihrer oder seiner beruflichen Qualifikation und insbesondere ihres oder seines Fachwissens benannt, das sie oder er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage ihrer oder seiner Fähigkeit zur Erfüllung der in § 7 BDSG genannten Aufgaben.

Ein wichtiges Kriterium für die Benennung zum Datenschutzbeauftragten ist dessen Qualifikation, insbesondere das Fachwissen, welches er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt. Zur Erfüllung seiner gesetzlichen Aufgaben^[1] sollte sich das Niveau dieses Fachwissens insbesondere nach den durchgeführten Datenverarbeitungsvorgängen und dem erforderlichen Schutz für die verarbeiteten personenbezogenen Daten richten.^[2] Die Fachkunde des Datenschutzbeauftragten ist – entsprechend dem risikobasierten Ansatz der DSGVO – stets relativ zu betrachten, d. h. im Verhältnis zur Größe und zum Umfang der vorhandenen Datenverarbeitung. Je nach Fallkonstellation ist darüber hinaus ggf. ein Rückgriff auf fachkundige Mitarbeiter zu gewährleisten.^[3]

[1] S. § 7 Abs. 1 BDSG.

[2] EG 97 S. 3 DSGVO.

[3] Vgl. hierzu auch Bergt, in Kühling/Buchner, DSGVO/BDSG, 3. Aufl. 2020, Art. 37 DSGVO Rz. 34.

3.4 § 5 Abs. 4 BDSG Beschäftigter des Verantwortlichen

Rz. 6

Die oder der Datenschutzbeauftragte kann Beschäftigte oder Beschäftigter der öffentlichen Stelle sein oder ihre oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.

In der Finanzverwaltung dürfte der Datenschutzbeauf...