(1) Jedes Krankenhaus hat unverzüglich, bereits bestehende Krankenhäuser haben bis spätestens ein Jahr nach In-Kraft-Treten dieses Gesetzes, mindestens einen Datenschutzbeauftragten schriftlich zu bestellen. Die Bestellung ist dem Sozialminister mitzuteilen. Das Krankenhaus ist verpflichtet, seinen Datenschutzbeauftragten die Aktualisierung ihres Fachwissens in angemessenen Zeitabständen zu ermöglichen.

(2) Die Datenschutzbeauftragten haben insbesondere die Einhaltung der patientenbezogenen Schutzvorschriften nach diesem Gesetz zu überwachen. Zu Datenschutzbeauftragten dürfen nur Personen bestellt werden, die dadurch keinem Interessenkonflikt mit sonstigen dienstlichen Aufgaben ausgesetzt werden und die zur Erfüllung ihrer Aufgabe erforderliche Fachkunde und Zuverlässigkeit besitzen. § 36 Abs. 3 bis 5 und § 37 des Bundesdatenschutzgesetzes gelten entsprechend.