Muss eine Datenschutzerklärung auf der Website den Namen des zuständigen Datenschutzbeauftragten veröffentlichen?
Zunächst legt § 36 Abs. 1 KDG fest, dass für kirchliche Stellen gem. § 3 Abs. 1 lit. a) KDG immer ein Datenschutzbeauftragter zu bestellen ist.
Für Kirchliche Stellen gem. § 3 Abs. 1 lit. b) und c) sind betriebliche Datenschutzbeauftragte nur dann zu bestellen, wenn eine der Bedingungen gem. § 36 Abs. 2 lit. a) bis c) KDG erfüllt sind.
Entgegen den staatlichen Regelungen, die eine bestimmte Form der Benennung nicht mehr vorsehen, ist in § 36 Abs. 1 und 2 KDG weiterhin eine schriftliche Benennung gefordert.
§ 36 Abs. 4 KDG verpflichtet Verantwortliche oder der Auftragsverarbeiter die Kontaktdaten des betrieblichen Datenschutzbeauftragten zu veröffentlichen. Es besteht in den Kommentierungen zur Parallelvorschrift des staatlichen Rechts (Art. 37 DS-GVO) Einigkeit darin, dass die Kontaktdaten nicht den Namen der/des betrieblichen Datenschutzbeauftragten umfassen. Weniger Einigkeit besteht bei der Frage des Umfangs der Kontaktdaten. Nach hier vertretener Ansicht reicht die Nennung einer funktionalen E-Mail-Adresse als Kontaktdatum des Datenschutzbeauftragten aus.
Gleiches gilt für die Erfüllung der Informationspflicht bei unmittelbarer Datenerhebung gem. § 15 Abs. 1 lit. b) KDG. Die Formulierung „gegebenenfalls“ seien die Kontaktdaten des betrieblichen Datenschutzbeauftragten mitzuteilen eröffnet aber keine Wahlmöglichkeit oder ein Ermessen. Vielmehr ist der Fall immer dann gegeben, wenn ein betrieblicher Datenschutzbeauftragter benannt wurde. Dies gilt unabhängig davon, ob er aufgrund des Gesetzes oder freiwillig benannt wurde.
Auf der Website oder in Datenschutzinformationen muss der Name des betrieblichen Datenschutzbeauftragten deshalb nicht benannt werden.
Anders verhält es sich dagegen bei den Angaben im Verzeichnis der Verarbeitungstätigkeiten gem. § 31 Abs. 1 lit a) KDG. Diese Vorschrift sieht die Namensnennung des betrieblichen Datenschutzbeauftragten ausdrücklich vor. Entgegen dem Gesetzeswortlaut ist die Benennung wohl auch dann als erforderlich anzusehen, wenn ein betrieblicher Datenschutzbeauftragter zwar nicht zu benennen ist, gleichwohl aber benannt wurde.
Auch in der Meldung einer Verletzung des Schutzes personenbezogener Daten an die Datenschutzaufsicht gem. § 33 KDG sind gem. § 33 Abs. 3 lit. b) KDG der Name und die Kontaktdaten des betrieblichen Datenschutzbeauftragten mitzuteilen.
Im Verzeichnis der Verarbeitungstätigkeiten und bei der Mitteilung einer Datenschutzverletzung an die Datenschutzaufsicht ist der/die betriebliche Datenschutzbeauftragte namentlich zu benennen.