Gemäß § 36 Abs. 1 Nr. 1 DSG-EKD besteht eine Pflicht zur Bestellung einer oder eines örtlich Beauftragten für den Datenschutz, wenn in der Regel mindestens 10 Personen ständig mit der Verarbeitung personenbezogener Daten betraut sind.

Der Begriff der „10 Personen“ ist weit auszulegen. Zu berücksichtigen sind neben den Beschäftigten im Sinne des § 4 Nr. 20 DSG-EKD auch ehrenamtliche Mitarbeitende (von Leitungsorganen), Praktikanten und Auszubildende, sofern sie mit der Verarbeitung personenbezogener Daten betraut sind. Dabei ist es unerheblich, ob es sich um Vollzeit- oder Teilzeitkräfte handelt.

Für die Bestellungspflicht nach § 36 Abs. 1 Nr. 1 DSG-EKD sind nur Personen relevant, die mit der Verarbeitung personenbezogener Daten betraut sind. Nicht zu berücksichtigen sind Personen, die keine Berührungspunkte mit der Verarbeitung personenbezogener Daten haben. Mit der Verarbeitung personenbezogener Daten betraut sind insbesondere Personen, wenn sie unmittelbar von ihrem Arbeitsplatz aus personenbezogene Daten verarbeiten. Ausreichend ist es aber auch, wenn die Personen zum Zweck der Nutzung Zugang zu personenbezogenen Daten haben.

Die Formulierung „in der Regel“ stellt auf die Anzahl der Personen ab, die von der verantwortlichen Stelle regelmäßig zur Verarbeitung personenbezogener Daten eingesetzt werden. Entscheidend ist, dass die einzelnen Personen nicht nur kurzzeitig mit der Verarbeitung personenbezogener Daten betraut sind, sondern dies den „Normalzustand“ darstellt.

Entscheidend ist, wie häufig und intensiv die einzelnen Personen neben den ihnen zugewiesenen Tätigkeiten mit der Verarbeitung personenbezogener Daten befasst sind. Die Verarbeitung personenbezogener Daten muss nicht die Kerntätigkeit der Personen darstellen. Es muss jedoch eine gewisse „Regelmäßigkeit“ erkennbar sein. Nimmt die Verarbeitung personenbezogener Daten jedoch nur einen völlig untergeordneten Anteil der Tätigkeit der Personen ein, reicht dies nicht aus, um das Merkmal zu erfüllen.

Aufgrund der besonderen Sensibilität und des hohen Risikos für die Betroffenen auch kleinerer kirchlicher Stellen muss eine örtlich Beauftragte oder ein örtlich Beauftragter für den Datenschutz auch bestellt werden, wenn die Kerntätigkeit der verantwortlichen Stelle in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht.

Unter dem Begriff „Kerntätigkeit“ ist die Haupttätigkeit der verantwortlichen Stelle zu verstehen. Dazu gehören alle Vorgänge, die einen festen Bestandteil der Haupttätigkeit der verantwortlichen Stelle darstellen. Nicht dazu gehören Tätigkeiten, die die Haupttätigkeit lediglich unterstützen. Zur Erfüllung des Merkmals ist es daher erforderlich, dass der Hauptzweck der verantwortlichen Stelle die Verarbeitung besonderer Kategorien personenbezogener Daten ist.

Gesetzlich ist es zwar nicht ausgeschlossen Mitarbeitende in der Probezeit zu örtlich Beauftragten zu bestellen, aber es sollte mit einer Bestellung innerhalb der Probezeit zurückhaltend umgegangen werden. Dabei ist zu berücksichtigen, dass die bzw. der örtlich Beauftragte gemäß § 36 Abs. 3 DSG-EKD für mindestens 3 Jahre zu bestellen ist. Eine Abberufung ist nach § 37 Abs. 2 DSG-EKD nur in entsprechender Anwendung des § 626 BGB zulässig. Es müssen die Voraussetzungen für eine fristlose Kündigung aus wichtigem Grund vorliegen. Gleiches gilt für den Zeitraum eines Jahres nach Beendigung der Bestellung.