Das Thema
Vielerorts werden noch oder wurden gerade neue Datenschutzerklärungen vor dem Hintergrund der EU-Datenschutzgrundverordnung verfasst. Und viele treibt die Frage um, ob die DSGVO dazu verpflichtet, nicht nur die Kontaktdaten (Art. 13 Abs. 1 lit. b) und Art. 14 Abs. 1 lit. b) DSGVO), sondern auch den Namen des Datenschutzbeauftragten in der Datenschutzerklärung (z. B. auf der Webseite oder in Datenschutzinformationen für Mitarbeiter) aufzuführen.
Klare Antwort: Nein
Im Rahmen der Beratung von Unternehmen zur Umsetzung der EU Datenschutz-Grundverordnung (DSGVO) oder auch bei Seminaren und Vorträgen bekomme ich sehr oft die Frage gestellt, ob die DSGVO dazu verpflichtet, nicht nur die Kontaktdaten (Art. 13 Abs. 1 lit. b) und Art. 14 Abs. 1 lit. b) DSGVO), sondern auch den Namen des Datenschutzbeauftragten in der Datenschutzerklärung (z. B. auf der Webseite oder in Datenschutzinformationen für Mitarbeiter) aufzuführen.
Meiner Ansicht nach ist die klare Antwort: nein. Der Name des Datenschutzbeauftragten muss nicht genannt werden. Natürlich kann man ihn dennoch angeben, wenn man dies möchte. Aber gesetzlich zwingend ist die Angabe im Rahmen der Informationspflichten nach Art. 13 und 14 DSGVO nicht. Daher kann die fehlende Erwähnung des Namens auch keinen Verstoß gegen die DSVGO darstellen, der möglicherweise durch eine Aufsichtsbehörde sanktioniert werden könnte.
Kontaktdaten ja, Name nein
Dies ergibt sich zum einen schlicht aus dem Wortlaut der Normen. Art. 13 Abs. 1 lit. b) DSGVO verlangt, dass gegebenenfalls „die Kontaktdaten des Datenschutzbeauftragten“ mitzuteilen sind. „Kontaktdaten“ sind aber kein Name, sondern etwa die Telefonnummer oder die E-Mail-Adresse. Auch Art. 14 Abs. 1 lit. b) DSGVO erwähnt nur die „Kontaktdaten“.
Im Verzeichnis für Verarbeitungstätigkeiten ja…
Zudem ergibt sich dieses Ergebnis aus einer systematischen Gesamtschau. Der europäische Gesetzgeber sieht nämlich in der DSGVO durchaus die Pflicht vor, den Namen des Datenschutzbeauftragten zu nennen, etwa in Art. 30 Abs. 1 lit. a) DSGVO im Verzeichnis der Verarbeitungstätigkeiten.
Dies spricht dafür, dass er in einem Fall (Art. 13/14 DSVGO) den Namen bewusst nicht von der Informationspflicht umfasst sieht, in einem anderen Fall (Art. 30 DSGVO) den Namen aber im Verzeichnis aufgenommen haben möchte. Ein anderes Beispiel für die Erwähnung des Namens des Datenschutzbeauftragten ist Art. 33 Abs. 3 lit. b) DSGVO bei der Meldung einer Datenschutzverletzung.
…aber nicht in der Datenschutzerklärung
Zuletzt spricht auch noch ein Blick in die Gesetzgebungsgeschichte der DSGVO gegen die Pflicht zur Veröffentlichung des Namens des Datenschutzbeauftragten in der Datenschutzerklärung (z. B. auf der Webseite oder in Datenschutzinformationen für Mitarbeiter).
Im ursprünglichen Entwurf der Europäischen Kommission zur DSGVO (KOM/2012/011 endg.) sah Art. 14 Abs. 1 lit. a) noch ausdrücklich die Pflicht vor, „den Namen und die Kontaktdaten des für die Verarbeitung Verantwortlichen sowie gegebenenfalls seines Vertreters und des Datenschutzbeauftragten“ mitzuteilen. Hier wurde der Datenschutzbeauftragte noch in die Aufzählung des jetzigen Art. 13 Abs. 1 lit. a) DSGVO aufgenommen.
In der nun anwendbaren finalen Fassung der DSGVO wurde dieser Vorschlag jedoch nicht umgesetzt. Dies zeigt, dass dem europäischen Gesetzgeber die Möglichkeit zur verpflichtenden Angabe des Namens des Datenschutzbeauftragten durchaus bekannt und zu Beginn auch angedacht war, jedoch bewusst nicht in die endgültige Fassung der DSGVO aufgenommen wurde.
Zum Autorenprofil einschließlich den Kontaktmöglichkeiten zum Autor in den sozialen Medien