(1) Kirchliche Stellen im Sinne des § 3 Absatz 1 Buchstabe a) benennen schriftlich eine betriebliche Datenschutzbeauftragte oder einen betrieblichen Datenschutzbeauftragten
(2) Kirchliche Stellen im Sinne des § 3 Absatz 1 Buchstabe b) benennen schriftlich eine betriebliche Datenschutzbeauftragte oder einen betrieblichen Datenschutzbeauftragten, wenn
a) sich bei ihnen in der Regel mindestens zehn Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigen,
b) die Kerntätigkeit der oder des Verantwortlichen oder der Auftragsverarbeiterin oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen,
c) die Kerntätigkeit der oder des Verantwortlichen oder der Auftragsverarbeiterin oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß § 12 besteht oder
d) die oder der Verantwortliche oder die Auftragsverarbeiterin oder der Auftragsverarbeiter Verarbeitungstätigkeiten vornehmen, die eine Datenschutz-Folgenabschätzung gemäß § 35 bedingen.
(3) Für mehrere kirchliche Stellen im Sinne des § 3 Absatz 1 kann unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe eine gemeinsame betriebliche Datenschutzbeauftragte oder ein gemeinsamer betrieblicher Datenschutzbeauftragter benannt werden.
(4) Die oder der Verantwortliche oder die Auftragsverarbeiterin oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten der oder des betrieblichen Datenschutzbeauftragten und teilt diese Daten der Datenschutzaufsicht mit.
(5) Die oder der betriebliche Datenschutzbeauftragte kann Beschäftigte oder Beschäftigter der oder des Verantwortlichen oder der Auftragsverarbeiterin oder des Auftragsverarbeiters sein oder ihre oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags oder einer sonstigen Vereinbarung erfüllen. Ist die oder der betriebliche Datenschutzbeauftragte Beschäftigte oder Beschäftigter der oder des Verantwortlichen, finden § 42 Absatz 1 Satz 2 und Satz 3 entsprechende Anwendung.
(6) Zur oder zum betrieblichen Datenschutzbeauftragten darf nur benannt werden, wer die zur Erfüllung seiner bzw. ihrer Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt.
(7) Zur oder Zum betrieblichen Datenschutzbeauftragten darf diejenige Person nicht benannt werden, die mit der Leitung der Datenverarbeitung beauftragt ist oder der die Leitung der kirchlichen Stelle obliegt. Andere Aufgaben und Pflichten der oder des Benannten dürfen im Übrigen nicht so umfangreich sein, dass die oder der betriebliche Datenschutzbeauftragte ihren bzw. seinen Aufgaben nach dieser Verordnung nicht umgehend nachkommen kann.
(8) Soweit keine Verpflichtung für die Benennung einer oder eines betrieblichen Datenschutzbeauftragten besteht, hat die oder der Verantwortliche oder die Auftragsverarbeiterin oder der Auftragsverarbeiter die Erfüllung der Aufgaben nach § 38 in anderer Weise sicherzustellen. Dies kann auch durch das freiwillige Benennen einer oder eines betrieblichen Datenschutzbeauftragten geschehen.
