Schwarz/Pahlke/Keß, AO § 32g Datenschutzbeauftragte der ... / 3.1 § 5 Abs. 1 BDSG Pflicht zur Benennung

Rz. 3

Öffentliche Stellen benennen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten. Dies gilt auch für öffentliche Stellen nach § 2 Abs. 5 AO, die am Wettbewerb teilnehmen.

Nach dem Gesetzeswortlaut der Vorschrift kann "eine" einzige Person zum Datenschutzbeauftragten ernannt werden. Unberührt hiervon bleibt jedoch die – im Übrigen auch von der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit bisher ausdrücklich befürwortete^[1] – Möglichkeit, einen fachlichen Vertreter zu bestimmen. Gleiches dürfte auch für die Unterstützung des Datenschutzbeauftragten durch diesem zugewiesene Mitarbeiter gelten – gewährleistet doch dieser Umstand aus datenschutzrechtlicher Sicht eine noch zuverlässigere Aufgabenwahrnehmung.

Formalen Anforderungen an den Benennungsvorgang definieren weder das BDSG noch die DSGVO, eine schriftliche Bestellung des Datenschutzbeauftragten^[2] ist jedoch aus Gründen der Rechtssicherheit zu präferieren.^[3] Der Umfang der Aufgabenstellung und das Verhältnis zu möglicherweise anderen Fachaufgaben können auf diese Weise hinreichend klar festgelegt werden.

In Bezug auf die Mindest-Amtszeit bzw. eine befristete Benennung des Datenschutzbeauftragten macht die DSGVO (und auch das BDSG) entgegen dem ursprünglichen Verordnungsentwurf^[4] ebenfalls keinen verbindlichen Vorgaben. Die Benennung kann somit sowohl befristet als auch unbefristet ausgesprochen werden. Bei der Festlegung der Amtszeit ist jedoch zu beachten, diese nicht zu kurz zu bemessen, damit der Datenschutzbeauftragte seine Aufgaben ordnungsgemäß erfüllen kann. Vor diesem Hintergrund dürfte eine Amtszeit zwischen 2 und 4 Jahren angemessen sein.

[1] Vgl. BfDI, Die Datenschutzbeauftragten in Behörde und Betrieb, 2018, S. 42, 77 – Muster "Bestellung einer/s behördlichen Datenschutzbeauftragten sowie einer/s Vertreterin/Vertreters" sowie zu den Vorteilen eines Vertreters.

[2] Vergleichbar mit der bisherigen Regelung in § 4f Abs. 1 S. 1 BDSG.

[3] Helfrich, in Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl. 2018, Art. 37 DSGVO Rz. 121.

[4] KOM(2012) 11, Vorschlag für DSGVO, 25.1.2012 – Im ursprünglichen Verordnungsentwurf, sah Art. 35 Nr. 7 noch eine Amtszeit des Datenschutzbeauftragten für einen Zeitraum von mindestens 2 Jahren vor.