Source: https://vonderhorst.de/publikationen-blog/135-200703-vom-datenschutz-und-der-datensicherheit-zur-datenschutzkulturq-update-2007.html
Timestamp: 2019-07-16 10:29:18+00:00

Document:
2007.03 - Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur" update 2007
Die datenschutzrechtlichen Anforderungen im Kunst- und Kulturbetrieb
- Das update 2007
5.	Datenschutz durch Datensicherheit
5.1	Datensicherheitsgrundsätze
5.2	Datenschutzsicherungsmaßnahmen
5.3	Datenschutz und -sicherheits-Risikoanalyse
6.	Pflicht zur Bestellung eines Datenschutzbeauftragten
6.1	Automatisierte Datenverarbeitung
6.2	Nicht-automatisierte Datenverarbeitung
6.3	Wer kann Datenschutzbeauftragter werden?
6.4	Aufgaben des Datenschutzbeauftragten
6.5	Welche (arbeitsrechtliche) Stellung hat der betriebsinterne Datenschutzbeauftragte?
6.6	Wie muss die Bestellung des Datenschutzbeauftragten erfolgen?
Beispiel Bestellung zum Datenschutzbeauftragten­ Teil 3
Der Einsatz neuer Informationstechnologien (IT) innerhalb des eigenen Kultur- und Kunstunternehmens erzeugt immer auch eine (zunächst) betriebsinterne Datengenerierung.
Beim Aufbau einer „Datenschutzkultur" (siehe oben) gilt die Formel: „Daten-schutz durch Datensicherheit". Die beiden Begriffe lassen sich wie folgt ab-grenzen:
Datensicherheit betrifft die (technische) Sicherung von Daten. Diese sollte von folgenden Grundsätzen geprägt sein:
- Integrität: Die Daten lassen sich nicht manipulieren.
- Authentizität: Der Urheber der Daten ist zweifelsfrei nachweisbar.
- Vertraulichkeit: Die Daten sind nur für den Adressaten zugänglich.
- Verfügbarkeit: Die Daten sind zugänglich, wenn man sie benötigt.
Datenschutz hingegen betrifft den Schutz von Daten, genauer den Schutz der Dateninhalte. Dabei wird Datenschutz auch durch Datensicherheit erreicht bzw. unterstützt. Damit die entsprechenden Datensicherungsmaßnahmen auch tatsäch-lich eingehalten werden, müssen (betriebsintern) umfangreiche Kontrollen vorge-sehen werden, § 9 BDSG. Das BDSG gibt dazu in der Anlage zu § 9 BDSG eine Auflistung der erforderlichen Kontrollen:
- Zutrittskontrolle:	Der Zutritt zu den Räume, in denen eine Datenverarbeitung stattfindet, wird überprüft.
- Zugangskontrolle:	Der Zugang zu den Datenverarbeitungsanlagen wird überprüft.
- Zugriffskontrolle:	Der Zugriff auf Daten erfolgt nur, soweit erforderlich.
- Weitergabekontrolle:	Die Weitergabe von Daten erfolgt nur von Berechtigten an Berechtigte.
- Eingabekontrolle:	Die Eingabe von Daten erfolgt nur von Berechtigten.
- Auftragskontrolle:	Datenverarbeitungstätigkeiten an Dritte werden auf Einhaltung von Datenschutz und Datensicherheit ü-berprüft (Problem: Verlust der Verfügungsgewalt z. B. bei der Auftragsdatenverarbeitung bei der Fernwartung, beim Outsourcing und beim Einsatz von ASP = Application-Service-Providing, bei der die Software auf dem Server eines Dritten liegt, Fall des Mietens statt des Kaufens).
- Verfügbarkeitskontrolle:	Datensicherung erfolgt regelmäßig und wird auf Erfolg überprüft. (Sind die Daten auch tatsächlich noch physisch vorhanden?)
- Trennungskontrolle:	Getrennte Aufbewahrung (Speicherung) von Daten in unterschiedlichen Dateien mit unterschiedlichen Zugriffsrechten.
Erforderlich sind diese Maßnahmen jedoch nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Damit Sie nun herausfinden können, wann der Aufwand (noch) angemessen ist, müssen Sie eine Sicherheits(bedarfs-)analyse hinsichtlich der in Ihrem (Kunst- und Kultur-) Unternehmen verarbeiteten Daten durchführen.
Diese Risikoanalyse zur Bestimmung des eigenen Bedürfnisses an Datenschutz und Datensicherheit sollte sich dabei von den folgenden Fragen leiten lassen:
­-	Welche Daten haben welchen „Sensibilitätsgrad"?
­-	Welche Schutzmechanismen gibt es?
­-	Welche sind durchführbar (technisch und wirtschaftlich)?
Die Analyse sollte auch das Erstellen einer Sicherheitsrichtlinie (Security Poli-cy) nebst einer Benutzerrichtlinie beinhalten, die
-­	Zugriffsrechte festlegt, wobei die Befugnis von der Tätigkeit abgeleitet wird (Prinzip: „divide et impera" = „teile und herrsche", denn nicht jeder muss immer alles wissen);
­-	dabei das Prinzip der Eigenverantwortlichkeit festschreibt;
­-	eine Aufzählung der erlaubten Daten- insbesondere Internetnutzungen enthält;
­-	auf eventuelle Sicherheitsrisiken hinweist;
­-	und Kontroll- wie auch Sanktionsmaßnahmen vorsieht.
In allen Fällen findet eine Dokumentation der betreffenden Vorgänge statt. Die Dokumentation des Sicherheitskonzepts sollte dabei Auskunft über die folgenden Punkte geben:
Aufgeführt werden sollte z. B. die technische Infrastruktur, auf der automati-sierte Verfahren der Datenverarbeitung betrieben werden, einschließlich der verwendeten Systemprogramme, der Bürosoftware, einschließlich individueller Anpassungen für das Verfahren (z. B. Makroprogrammierung) der Büroanwen-dungen und die Löschungs-Vorschriften.
Weiter gehört dazu eine Beschreibung der Fachprogramme für die Branchen-anwendung inklusive der Beschreibung der Eingabedaten, der Verarbeitungsprozesse und der Ausgabedaten; etwaige Programmdokumentation, sofern Program-me individuell erstellt werden. (Hier kann es u.U. zu urheberrechtlichen Kollisio-nen kommen, wenn die urheberrechtliche Lizenz die Weitergabe an Dritte - z. B. externe Datenschutzbeauftragte - nicht erlaubt. Ob ein solcher Ausschluss recht-lich zulässig ist, ist noch nicht geklärt.)
Die Vorgehensweise der Wartung ist ebenfalls zu beschreiben. Desweiteren gehören in die Beschreibung die Schnittstellen des Verfahrens zu anderen Verfah-ren, die Schnittstellen des verwendeten Systems nach außen (z. B. Fernwartung), die Zugriffsprofile der Benutzer, die Benennung von Verantwortlichen für den Datenschutz und die Datensicherheit, Systemverwaltung usw.
Es gehören dazu die Unterlagen zu den Verfahrenstests und die Freigabedokumentation, Hinweise zur Qualifikation der mit dem Verfahren arbeitenden Mitar-beiter. Ebenso zählt dazu die Beschreibung des Umgangs mit Papier (Aktenunterbringung, -entsorgung, und -vernichtung), sowie eine Beschreibung der Maßnahmen, die zur Sicherstellung der Sicherheit der Datenverarbeitung getroffen werden.
Kurz: Das ganze Sicherheitskonzept sollte vollständig und für jeden (sachkundigen) Dritten verständlich nachvollziehbar dokumentiert werden.
Die „goldene Datensicherheitsregel" lautet dabei: „Sicherheit ist kein Produkt, sondern ein Prozess!"
Damit die oben genannten Pflichten auch tatsächlich eingehalten werden, ver-pflichtet das Bundesdatenschutzgesetz (Kunst- und Kultur-)Unternehmen unter bestimmten Voraussetzungen datenschutzrechtlich zur Bestellung eines Daten-schutzbeauftragten, der sich eigens um die Belange des Datenschutzes zu küm-mern hat. Unterschieden wird hier zwischen automatisierter und nicht automatisierter Datenverarbeitung.
Bei der automatisierten Datenverarbeitung von personenbezogenen Daten durch nicht-öffentliche (betriebliche) Stellen haben die jeweiligen Verantwortlichen z. B. eines (Kultur-)Unternehmens spätestens innerhalb eines Monats nach Auf-nahme ihrer Tätigkeit ein Datenschutzbeauftragten zu bestellen, sobald mindes-tens zehn Arbeitnehmer mit der Erhebung, der Verarbeitung oder der Nutzung von Daten beschäftigt sind, § 4f Absatz 1 BDSG.
Entscheidend ist allein die Anzahl der bei der Verarbeitung oder Nutzung von personenbezogenen Daten beschäftigten Personen und nicht deren Arbeitnehmereigenschaft. Zu berücksichtigen sind sämtliche Arbeitnehmer, die mit der automatisierten Verarbeitung von Angaben über persönliche oder sachliche Verhältnisse natürlicher Personen (etwa Arbeitnehmer- oder Kundendaten) befasst sind, gleichgültig, ob es sich dabei um Voll- oder Teilzeitbeschäftigte (auch Heimarbeiter), Auszubildende oder Leihpersonal handelt und wie viel Arbeitszeit für die Datenverarbeitung aufgewendet wird. (Sind im Unternehmen jedoch fünf Selbstständige/Chefs mit der Datenverarbeitung befasst, so werden diese - nach dem Wortlaut des Gesetzes - nicht mitgezählt!)
Verantwortliche von Unternehmen haben - unabhängig von der Anzahl der Arbeitnehmer - einen Beauftragten für den Datenschutz zu bestellen, soweit sie automatisierte Verarbeitungen vornehmen, die einer Vorabkontrolle unterliegen (dazu unten) oder personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung oder der anonymisierten Übermittlung erheben, verarbeiten oder nutzen (§ 4 f Absatz 1 Satz 6 BDSG), wie etwa bei Auskunfteien, Adressenmak-lern sowie Markt- und Meinungsforschungsinstituten.
Die Regelung gilt für jedes rechtlich eigenständige Unternehmen. Nicht ausreichend ist daher die Bestellung nur eines einzigen Datenschutzbeauftragten für einen Konzern. Niederlassungen benötigen keinen gesonderten Datenschutzbeauftragten. Doch wird es als sinnvoll angesehen, einen „Datenschutz-Koordinator" zu benennen, der den Datenschutzbeauftragten in seiner Arbeit unterstützt.
Beschäftigt das Unternehmen höchsten vier Mitarbeiter, hat es zwar keinen Da-tenschutzbeauftragten zu bestellen. Die Geschäftsleitung muss dann selbst den Datenschutz sicherstellen.
Der Verantwortliche des Unternehmens hat dann auf Anforderung die Angaben zum Datenschutz nach § 4 e Satz 1 Nr. 1 bis 8 BDSG jedem Dritten vorzulegen (öffentliches Verfahrensverzeichnis).
Unter Marketinggesichtspunkten kann es empfehlenswert sein, das Verfahrensverzeichnis auf der Unternehmens-Website zu veröffentlichen und zwar auch dann, wenn ein Datenschutzbeauftragter bestellt wurde.
Die Bestellung eines betrieblichen Datenschutzbeauftragten kann noch aus anderen Gründen sinnvoll sein: Wie oben aufgezeigt hat der Verantwortliche des Unternehmens ein (mitunter sehr arbeitsintensives) Sicherheitskonzept (= Daten-schutzrichtlinie) zu erstellen, das er ggf. bei einer Kontrolle durch die Aufsichts-behörde vorzuweisen hat. Hier kann die Beauftragung eines Datenschutzbeauftragte auch zur Arbeitserleichterung und -entlastung der Unternehmensleitung führen.
Eine freiwillige Beauftragung eines Datenschutzbeauftragten bietet sich zudem geradezu an, weil nicht-öffentliche Stellen grundsätzlich ihre Verfahren automatisierter Verarbeitungen vor der Inbetriebnahme den zuständigen Aufsichtsbehörden zu melden haben. Diese Meldepflicht entfällt jedoch, sobald die Stelle einen eigenen betrieblichen Datenschutzbeauftragten bestellt.
Bei der nicht-automatisierten Datenverarbeitung besteht die Pflicht zur Beauftra-gung eines Datenschutzbeauftragten, wenn in der Regel mindestens zwanzig Personen beschäftigt sind, § 4f Absatz 1 Satz 3 BDSG.
Datenschutzbeauftragter kann nur werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt, § 4f Absatz 2 BDSG. Das kann auch eine Person außerhalb der verantwortlichen Stelle sein, (meist gewerb-liche Datenschutzbeauftragte oder externe Rechtsanwälte mit entsprechender Sachkunde, vgl. des weiteren § 4f Absatz 2 Satz 3, 4 BDSG ).
Die erforderliche Fachkunde umfasst rechtliche, (betriebs-)organisatorische und technische Kenntnisse. Gemäß § 4f Absatz 2 Satz 2 BDSG bestimmt sich das Maß der erforderlichen Fachkunde insbesondere nach dem Umfang der Daten-verarbeitung der verantwortlichen Stelle und dem Schutzbedarf der personenbezogenen Daten, die die verantwortliche Stelle erhebt oder verwendet.
Voraussetzung ist, dass der Mitarbeiter die Fähigkeit hat, die Kenntnisse in der Praxis anzuwenden. Soweit dem Datenschutzbeauftragten die fachliche Qualifi-kation in Teilbereichen noch fehlt, ist ihm Gelegenheit zu geben, diese zu erwerben (Lehrgangsbesuch, Zeit zum Selbststudium). Allerdings muss die gesetzlich geforderte Fachkunde bereits zum Zeitpunkt der Bestellung vorhanden sein. Auch sollte die Möglichkeit bestehen, sich von Dritten, d. h. von Experten aus der EDV-Abteilung oder von externen EDV-Experten, bzw. von Datenschutzrecht-lern Informationen und Ratschläge zu holen.
Unabdingbar für eine zuverlässige Funktionserfüllung ist natürlich, dass ausreichend Zeit zur Erfüllung der Aufgabe als Datenschutzbeauftragter zur Verfügung steht.
Bei der Zuverlässigkeit sind objektive genauso wie subjektive Kriterien zu beach-ten. Die objektiven beziehen sich auf mögliche Interessenkollisionen, die subjek-tiven auf persönliche Eigenschaften.
Hinsichtlich der objektiven Kriterien gilt: Eine verlässliche Kontrolle setzt eine klare Trennung zwischen der verantwortlichen Stelle und dem Beauftragten voraus. Fehlt die Trennung, können Interessenkonflikte entstehen, die eine kon-sequente Anwendung der gesetzlichen Anforderungen an den Beauftragten in Frage stellt. Wer in das Unternehmen investiert, bzw. dank seiner finanziellen Beteiligung auf dessen Entwicklung Einfluss nimmt, oder sie sogar ganz an sei-nen Vorstellungen ausrichtet, kommt als Beauftragter nicht in Betracht. Ob es sich um eine erhebliche Beteiligung handelt, spielt keine Rolle. Entscheidend ist die Gefährdung der Integrität des Beauftragten für den Datenschutz. Wird eine der vorgenannten Personen bestellt, liegt in der Regel keine wirksame Bestellung als Datenschutzbeauftragter vor.
Ebenso sind ausgeschlossen: Der Unternehmensinhaber, Gesellschafter oder eine andere Person aus der Geschäftsleitung oder auch Personen, die aufgrund ihrer Funktion in Interessenkonflikte geraten könnten (z.B. Leiter der EDV-Abteilung, Personalleiter sowie Personen mit leitenden Aufgaben in Organisationseinheiten mit besonders umfangreicher oder sensitiver Verarbeitung von personenbezoge-nen Daten). Diese Personen können nicht Datenschützer in eigener Sache sein. Ansonsten bestünde die Gefahr, dass sich der zu Kontrollierende selbst kontrolliert.
Aus Gründen möglicher Interessenkollisionen sind auch Bestellungen von enge-ren Verwandten zu vermeiden, auch wenn bislang diesbezüglich noch keine ein-schlägige Rechtsprechung vorliegt.
Zur Vermeidung von Interessenkonflikten ist es daher für jeden Unternehmer geboten, den Datenschutzbeauftragten entweder unter den eigenen Mitarbeiter auszuwählen oder eine externe Person mit dieser Aufgabe zu beauftragen.
Hinsichtlich der subjektiven Kriterien gilt: Zuverlässigkeit besitzt derjenige, der eine sorgfältige und gründliche Arbeitsweise, Belastbarkeit, Lernfähigkeit, Loyalität und Gewissenhaftigkeit aufweist.
Der Datenschutzbeauftragte hat die Aufgabe,
­-	auf die Einhaltung der datenschutzrechtlichen Bestimmungen hinzuwirken;
­-	die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme zu ü-berwachen;
­-	die mit der Datenverarbeitung befassten Personen in Datenschutz- und Daten-sicherheit zu schulen;
­-	vor Beginn der automatisierten Verarbeitung zu kontrollieren, ob die Verar-beitung besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweist (Vorabkontrolle);
Die "Vorabkontrolle" durch den Datenschutzbeauftragten ist eine Prüfung von bestimmten automatisierten Verarbeitungen vor Inbetriebnahme. Sie ist nach § 4 d Absatz 5 Satz 1 BDSG erforderlich, wenn automatisierte Verarbei-tungen besondere Risiken für die Rechte und Freiheiten der Betroffenen auf-weisen. Das ist namentlich der Fall, wenn besonderen Arten personenbezoge-ner Daten (z. B. Daten über rassische und ethnische Herkunft, politische Meinung etc.) verarbeitet oder die Verarbeitung personenbezogener Daten dazu verwendet werden, um die Persönlichkeit des Betroffenen, auch im Hinblick auf dessen Fähigkeiten, Leistungen oder Verhaltens zu bewerten.
­-	jedermann auf Antrag die Angaben über Verfahren automatisierter Verarbei-tungen in geeigneter Weise zur Verfügung zu stellen.
Im Falle automatisierter Verarbeitungen sind laut § 4e BDSG folgende Angaben zu machen:
1.	Name oder Firma der verantwortlichen Stelle,
2.	Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen,
3.	Anschrift der verantwortlichen Stelle,
4.	Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung,
5.	eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien,
6.	Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können,
7.	Regelfristen für die Löschung der Daten,
8.	eine geplante Datenübermittlung in Drittstaaten,
9.	eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 zur Gewährleistung der Sicherheit der Verarbei-tung angemessen sind.
Ist kein Datenschutzbeauftragter bestellt worden, so sind die oben genannten datenschutzrechtlichen Anforderungen von der Geschäftsleitung zu erfüllen (so-weit diese nicht wegen Interessenkollision davon ausgeschlossen ist).
Damit der betriebliche Datenschutzbeauftragte seine Tätigkeit auch wirkungsvoll ausüben kann, ist eine unabhängige und organisatorisch herausgehobene Stellung von ausschlaggebender Bedeutung. Der Datenschutzbeauftragte ist daher dem Leiter der nicht öffentlichen Stelle unmittelbar zu unterstellen (§ 4 f Absatz 3 Satz 1 BDSG). Dabei nimmt er der Geschäftsleitung die Verantwortung für die Belange des Datenschutzes nicht ab. Vielmehr soll er diese bei der Siche-rung dieser Belange unterstützen. Er ist bei der Anwendung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei (§ 4 f Absatz 3 Satz 2 BDSG) und darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden (§ 4 f Ab-satz 3 Satz 3 BDSG). Das Unternehmen (die verantwortliche Stelle) ist verpflich-tet, den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben zu unterstüt-zen und ihm insbesondere, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen (§ 4 f Absatz 5 Satz 1 BDSG).
Das Unternehmen hat eine interne Datenverarbeitungsübersicht zu erstellen und dem Beauftragten zur Verfügung zu stellen (§§ 4 g Absatz 2 Satz 1, 4 e Satz 1 Nr. 1 bis Nr. 9 in Verbindung mit § 9 BDSG und in Verbindung mit Anlage zu § 9 Satz 1 BDSG). Tatsächlich ist der Datenschutzbeauftragte oftmals an der Er-stellung der Übersicht selbst beteiligt.
Im Rahmen seiner Aufgabenstellung ist er von allen datenschutzrechtlich relevanten Vorgängen rechtzeitig zu unterrichten.
Der Datenschutzbeauftragte ist unmittelbarer Ansprechpartner für Betroffene (z. B. Kunden, Mitarbeiter). Diese können sich jederzeit an ihn wenden (§ 4 f Absatz 5 Satz 2 BDSG). Der Beauftragte ist zur Verschwiegenheit über die Identität des Betroffenen sowie über Umstände, die Rückschlüsse auf den Betroffenen zulassen, verpflichtet, soweit er nicht davon durch den Betroffenen befreit wird (§ 4 f Absatz 4 BDSG).
Die Bestellung zum Datenschutzbeauftragten kann aus wichtigem Grund wider-rufen werden, § 4f Absatz 3 Satz 4 BDSG. Ein solcher Widerruf ist gerechtfer-tigt, wenn Tatsachen vorliegen, auf Grund derer, unter Berücksichtigung aller Umstände des Einzelfalls und unter Abwägung der Interessen beider Vertragstei-le, die Fortsetzung der Tätigkeit nicht zugemutet werden kann (z.B. weil der Beauftragte für den Datenschutz nicht die erforderliche Fachkunde und Zuverläs-sigkeit besitzt etwa wegen Alkoholismus, Drogensucht, unstreitige oder bewiese-ne strafbare Handlung namentlich im Zusammenhang mit der Ausübung der Aufgaben des Datenschutzbeauftragten). In einem solchen Fall kann auch die Aufsichtsbehörde den Widerruf verlangen. Daraus wird auf der anderen Seite auch ersichtlich, dass der Datenschutzbeauftragte in Bezug auf seine Tätigkeit als Datenschutzbeauftragter einen besonderen Kündigungsschutz genießt. Dieser privilegierte Kündigungsschutz erstreckt sich jedoch nur auf Entlassungsgründe, die sich auf die Funktionswahrnehmung für den Datenschutz beziehen.
Für den Fall, dass ein Datenschutzbeauftragter zu bestellen ist, sollte die Bestel-lung - schon zu Dokumentations-/Beweiszwecken - schriftlich durch die Leitung des Unternehmens erfolgen. Eine derartige schriftliche Bestellung könnte etwa folgendermaßen aussehen:
Beispiel Bestellung zum Datenschutzbeauftragten
Sehr geehrte(r) Frau/Herr Muster,
hiermit bestelle/n wir/ich Sie mit sofortiger Wirkung zum Datenschutzbeauftrag-ten gemäß § 4f Bundesdatenschutzgesetz. In Ihrer Funktion als Datenschutzbe-auftragte/r sind Sie der Geschäftsleitung (Frau/Herrn X) unmittelbar unterstellt. Ihre Aufgaben als Datenschutzbeauftragte/r ergeben sich aus dem Bundesdaten-schutzgesetz. In Anwendung Ihrer Fachkunde auf dem Gebiet des Datenschutzes sind Sie weisungsfrei. Über Ihre Tätigkeit werden Sie der zuständigen Geschäfts-leitung laufend Bericht erstatten. Erforderliche Organisationsanweisungen wer-den Sie der Geschäftsleitung vorschlagen.
Mit der Bestellung bin ich einverstanden.
Unterschrift Datenschutzbeauftragte(r)
Die Bestellung zum betrieblichen Datenschutzbeauftragten sollte allen Mitarbeitern bekannt gemacht werden.
Der Aufsichtsbehörde muss die Bestellung nicht mitgeteilt werden. Wenn jedoch die Aufsichtsbehörde konkret Auskunft verlangt, (um zu kontrollieren, ob die Verpflichtung zur Bestellung eines Datenschutzbeauftragten besteht und ob sie erfüllt wurde) besteht eine Auskunftspflicht.

References: § 9
 § 9
 § 4
 § 4
 § 4
 § 4
 § 4
 § 4
 § 4
 § 4
 § 9
 § 9
 § 9
 § 4
 § 4