Windows 10 und Rechtskultur – Wochenrückblick KW 30/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die Konferenz der Diözesandatenschutzbeauftragten hat die Hinweise zum Betrieb von Windows 10 aktualisiert und erweitert. Die Arbeitshilfen leisten dabei lediglich Unterstützung zu einem datensparsamen Betrieb – explizit wird damit keine Aussage zur Möglichkeit eines rechtskonformen Betriebs getroffen. Dass die Hinweise nicht nur akademisch sind, zeigt ein Beispiel im Dokument zur Windows-Suchfunktion: Ein Beispiel ist dort die Suche nach einer lokal gespeicherten Patientinnenakte – wird die Default-Websuche nicht abgeklemmt, werden die Sucheingaben an Microsoft übertragen, und damit möglicherweise auch Namen von Patient*innen.

The Pillar hat noch einmal nachgelegt: Nach dem anscheinenden Zwangs-Outing des Generalsekretärs der US-Bischofskonferenz in der vergangenen Woche mit einem Nachspiel in Newark gab es in dieser Woche einen weiteren Bericht zur Grindr-Nutzung im Vatikan, wieder mit demselben Datenset. Mit den Datenschutz-Problemen von Grindr und anderen Apps hat sich Motherboard eingehend befasst: The Inevitable Weaponization of App Data Is Here und Grindr Has Been Warned for Years About Its Privacy Issues, lesenswert ist auch Ars Technica: Catholic priest quits after “anonymized” data revealed alleged use of Grindr.

Im Vergleich zum hervorragend erschlossenen Recht der evangelischen Landeskirchen ist es in vielen katholischen Bistümern immer noch sehr schwierig, herauszufinden, welches Recht dort eigentlich gilt. Nur wenige Bistümer haben ordentliche online verfügbare Rechtssammlungen – nun kommt ein weiteres dazu: Das Bistum Würzburg stellte am Mittwoch seine neue Rechtssammlung vor. Darin sind alle partikularen Rechtsnormen ab 1980 und die Amtsblätter ab 2007 erschlossen. »Die Sammlung umfasst neben Gesetzen, die der Bischof von Würzburg erlassen hat, auch Ausführungsbestimmungen, Dienstanweisungen sowie Dienstvereinbarungen, die im Würzburger Diözesanblatt in Kraft gesetzt wurden«, so die Pressemitteilung. Ausgaben des Amtsblatts von 1855 bis 2006 sind bereits seit einigen Jahren bei der Bayerischen Landesbibliothek digital verfügbar.

Am Dienstag erschien der Tätigkeitsbericht des Landesdatenschutzbeauftragten von Mecklenburg-Vorpommern. Darin wird auch die Frage von Videoüberwachung an Orten der Religionsausübung thematisiert. Angefragt hatte eine jüdische Gemeinde aufgrund einer durch das LKA bestätigten Bedrohungslage. »Auf Grundlage der Ausführungen des Landeskriminalamtes war das überwiegende berechtigte Interesse an der Videoüberwachungsanlage leicht festzustellen«, so der Bericht. Lobend hervorgehoben wird das Bemühen der Gemeinde, die Überwachung minimalinvasiv zu gestalten.

Das neue Amtsblatt des alt-katholischen Bistums ist erschienen – ohne Regelungen mit direkter Relevanz im Berichtsgebiet Datenschutz. Aber da es hier auch immer wieder um eine gute Rechtskultur in den Religionsgemeinschaften geht doch eine Erwähnung wert: Das Amtsblatt wird ganz selbstverständlich über die üblichen Kommunikationskanäle angekündigt und ist nicht nur irgendwo in den Unterseiten versteckt. Aus diesem Blickwinkel lesenswert ist auch die Präambel zur Bischöflichen Verordnung zur Regelung einer digitalen Synode, die nicht nur Ergebnisse konstatiert, sondern die Argumente auf dem Weg dahin, warum es diese Verordnung in Abweichung zur üblichen Synodenordnung braucht – und das auch noch allgemein verständlich argumentierend.

Weiterlesen

Keine Gelegenheit für Bußgelder – Tätigkeitsbericht 2020 der KDSA Nord

Noch schnell vor der Sommerpause hat die Katholische Datenschutzaufsicht Nord am Donnerstag ihren Tätigkeitsbericht für 2020 veröffentlicht – natürlich ein weiterer Corona-Bericht. Die Pandemie hat sich neben dem Ausfall von allen Vor-Ort-Prüfungen bis auf zwei vielfältig in der Aufsichts- und Beratungstätigkeit niedergeschlagen.

Titelseite des Tätigkeitsberichts 2020 der KDSA Nord

Titelseite des Tätigkeitsberichts 2020 der KDSA Nord

Eine auffällige Leerstelle im Bericht sind die Aufsichtsmaßnahmen: Zwar werden einige Fälle geschildert, in denen durchaus gravierende Datenschutzverstöße vorliegen. Bußgelder werden jedoch nicht erwähnt. Auf Anfrage teilte mir der Diözesandatenschutzbeauftragte Andreas Mündelein mit, dass er keine Möglichkeit hatte, Bußgelder zu verhängen – die besonders gravierenden Fälle waren bei öffentlich-rechtlich organisierten Stellen und damit durch das KDG von Bußgeldern ausgenommen. Der Glaubwürdigkeit der kirchlichen Selbstverwaltung trägt diese Regelung nicht bei.

Weiterlesen

Der Grind mit Grindr – Wochenrückblick KW 29/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Keine Sommerpause in Sicht – erst veröffentlicht das Datenschutzgericht der DBK erstmals Entscheidungen, und während die noch warm sind, kommt der Tätigkeitsbericht der KDSA Nord für 2020. Für den Tätigkeitsbericht war noch keine Zeit – der Überblick folgt am Montag.

»The Pillar« hat eine Recherche zur angeblichen Nutzung der schwulen Dating-App Grindr durch den Generalsekretär der US-amerikanischen Bischofskonferenz veröffentlicht. Dazu wurden anscheinend auf dem Markt erhältliche Datensätze verwendet, aus denen geschlossen wird, dass der beschuldigte Priester die Dating-App regelmäßig verwendet hat. Was genau hier technisch passiert ist und ob es tatsächlich bei auf eindeutigen Geräte-IDs basierenden Datensätzen zu Marketingzwecken – so die Erläuterung von »The Pillar« – möglich ist, Daten so zu disaggregieren, dass aus Bewegungsprofilen auf einzelne Personen geschlossen werden kann, ist noch unklar. Grindr ist jedenfalls spätestens seit dem Millionenbußgeld Anfang des Jahres in Norwegen nicht unbedingt für seine Diskretion bekannt. Grindr selbst hat mir gegenüber dementiert, dass eine solche Analyse möglich sei. Den besten technischen Überblick in die Hintergründe gibt es bei Slate. (Gute Argumente, Marketing-Einwilligungen in Apps erst gar nicht zu erteilen.)

Die eigentliche Frage ist aber eher die nach der journalistischen Ethik: Sind solche investigativen Methoden und die anschließende Veröffentlichung dann, wenn es keine Hinweise auf nicht-konsensuelles Verhalten gibt, vertretbar? Erst recht, wenn raunend Verbindungen von Homosexualität zu sexualisierter Gewalt gegen Minderjährige aufgemacht werden. In einem sehr lesenswerten Kommentar (der auch den Datenschutzkanon anführt) bringt es David Millies auf den Punkt: »The Pillar has less gotten hold of a story than it has published an innuendo. And, the innuendo should worry us.«

Cookies bestätigen mit dem Button »Allzeit Bereit!«

Schönes Fundstück von Maria Herrmann – wenn’s allerdings nicht nur technisch notwendige Cookies sind, wäre ein weiterer Button für die Rechtskonformität hilfreich. »Nehmt Abschied, Cookies« vielleicht. Und wer ins Zeltlager fährt und nach dem Artikel hier vor einigen Tagen die Sache mit den Fotos nochmal vertiefen will, findet das bei den Datenschutz-Notizen.

Weiterlesen

Entscheidungen des DBK-Datenschutzgerichts: Forsch Richtung EuGH, kreativ Richtung Rom

Nach langer Wartezeit wurden am Mittwoch die ersten beiden Entscheidungen des Datenschutzgerichts der Deutschen Bischofskonferenz veröffentlicht. (Auf den ersten Blick) ganz salomonisch ist es ein Beschluss, der eine Entscheidung der ersten Instanz verwirft, und ein Beschluss, der sie bestätigt. (Auf den zweiten Blick wird kirchliches Handeln zweimal bestätigt.)

Eine Statue der Justitia mit verbundenen Augen und Waage
Bildquelle: Photo by Tingey Injury Law Firm on Unsplash

Die eigentlichen Sachverhalte sind jeweils nicht das spannende an diesen Entscheidungen. »Zur Frage der datenschutzrechtlichen Zulässigkeit der Weitergabe von Informationen an staatliche Stellen« und »Datenschutzrechtliche Zulässigkeit der Art und Weise der Übermittlung von Entscheidungen« lauten die Schlagworte in der Entscheidungssammlung. Relevant und interessant ist, was sich aus den Beschlüssen über die Rechtsprechung des Gerichts und sein Selbstverständnis herauslesen lässt.

Weiterlesen

Kirchliche Datenschutzgerichte im Spiegel der Kanonistik

Kirchliches Datenschutzrecht ist, man verzeihe die Selbstverständlichkeit, Kirchenrecht. Dennoch sind die genuin kanonistischen Beiträge zum kirchlichen Datenschutzrecht bisher sehr übersichtlich. In diesem Jahr sind aber gleich zwei Beiträge auf diesem Gebiet erschienen: Ein Aufsatz zur kirchlichen Datenschutzgerichtsbarkeit als möglicher Vorstufe für eine allgemeine Verwaltungsgerichtsbarkeit von Matthias Ambros und die Leuvener Masterarbeit von Martina Tollkühn, die sich ebenfalls mit der Datenschutzgerichtsbarkeit befasst.

Titel der beiden besprochenen Werke

Beide Beiträge leisten einen wichtigen Beitrag, um das kirchliche Datenschutzrecht in den größeren Kontext des kanonischen Rechts einzubetten, insbesondere zu Fragen, wie die spezielle deutsche Gerichtsbarkeit mit dem universalkirchlichen Rechtsschutz interagiert – und Tollkühn hat zudem noch im Anhang ein Osterei, das einen besonderen Einblick in die Entstehungsgeschichte der kirchlichen Datenschutzgerichte gibt.

Weiterlesen

Beichten und spenden – Wochenrückblick KW 28/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Das Beichtgeheimnis wird gerne als ältestes Datenschutzgesetz der Welt bezeichnet. In seiner Rechtsgeschichte des Datenschutzes geht Roland Hoheisel-Gruler in einem lesenswerten Beitrag darauf ein. Ein besonders interessantes Fundstück stammt aus der weltlichen Rechtswissenschaft: Der Bonner Juraprofessor Clemens-August (III) von Droste-Hülshoff hat sich in seiner 1824 erschienenen Schrift »ueber das Zwangsrecht gegen den Beichtvater auf Revelation jedes Beichtgeheimnisses« gegen die Position ausgesprochen, das staatliche Ermittlungsinteresse über das Beichtgeheimnis zu stellen: »Ist es aber nicht unsittlich, ist es nicht schändlich und verwerflich , dasjenige auszubreiten,was uns jemand als Geheimniß mitgetheilt hat ? Ist es nicht in noch höherem Grade unsittlich, schändlich und verwerflich , Treu und Glauben verletzend , dasjenige einem Andern mitzutheilen, was mir jemand unter der ausdrücklichen Bedingung anvertraut hat , daß ich niemanden in der Welt davon irgend etwas eröffne?«

Die KDSA Ost schaut auf Gedenk- und Jubiläums-Spenden, bei denen Jubilar*innen oder Hinterbliebene sich statt Geschenken und Kränzen Spenden wünschen. Die Datenschutz-Frage: Darf die bedachte Organisation Spender*innennamen und Betrag weitergeben? Eine konsequente Anwendung des KDG ergebe, so die Aufsicht: Nein. (Auch wer nicht am Thema interessiert ist, kann die Argumentation mit Gewinn lesen, kann man dort doch sehr gut nachvollziehen, wie Rechtsgrundlagen geprüft werden.) Nur die Einwilligung kommt als Rechtsgrundlage in Frage: »Eine strikte Anwendung des KDG hilft keiner der Parteien wirklich weiter« Interessant ist, dass hier explizit auf das Schriftformerfordernis der Einwilligung nach dem KDG abgehoben wird, um die mangelnde Praktikabilität zu begründen. Eine naheliegende Lösung wird gar nicht erwähnt: Dass Organisationen, die so um Spenden werben, zugleich auch ein Online-Spendenportal anbieten, bei dem dann in die Datenübermittlung eingewilligt werden kann – in die Freuden- oder Traueranzeige könnte dann statt einer unschönen IBAN der Link zur Spendenplattform eingefügt werden, der auf eine personalisierte Landingpage zum Direktspenden oder IBAN-Abschreiben führt.

Was, wenn staatliche Gesetze auf die DSGVO verweisen? Die naheliegende Antwort (im kirchlichen Bereich die entsprechenden Stellen der kirchlichen Gesetze anwenden) hat jetzt auch offiziell das Datenschutzzentrum Dortmund bestätigt in seinem Hinweis auf das neue TTDSG: »Für katholische Einrichtung[sic!] ist dieser Verweis aufgrund der Regelung von Art. 91 DSGVO als direkter Verweis auf die Regelungen des KDG […] zu lesen«.

Das KDG und seine Durchführungsverordnung gelten in allen deutschen Bistümern. Alles weitere wird kompliziert, auch da, wo Gesetze auf Ebene der Bischofskonferenz beschlossen werden – denn die Rechtssetzungskompetenz haben ohne spezielles römisches Mandat nur die einzelnen Bischöfe. Beim KDG hat das Inkraftsetzen geklappt, bei anderen Gesetzen entsteht ein Flickenteppich – für das Seelsorge-Patienten-Datenschutzgesetz hat das die Curacon nun nachvollzogen und visualisiert. In 14 von 27 Bistümern (und dem Offizialat Vechta, und wohl nicht im Militärbistum, das kein kirchliches Krankenhaus hat) gilt es.

Weiterlesen

DSG-EKD geändert: Rechtsgrundlage für Missbrauchsaufarbeitung

Erstmals seit Inkfrattreten wurde das Datenschutzgesetz der Evangelischen Kirche Deutschlands geändert. Wie die EKD in ihrem aktuellen Amtsblatt mitteilt, hat der Rat eine gesetzesvertretende Verordnung zur Änderung des DSG-EKD erlassen »zum Zwecke der institutionellen Aufarbeitung sexualisierter Gewalt«. Die größte Änderung betrifft einen neuen Paragraphen 50a, der eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten für die institutionelle Aufarbeitung sexualisierter Gewalt schafft.

Eine Hand vor einem Gesicht
(Bildquelle: Photo by Philipp Wüthrich on Unsplash)

Die Aufarbeitung wird mit einer neuen Definition in § 4 gefasst: »institutionelle Aufarbeitung sexualisierter Gewalt« ist der als Nr. 22 eingefügten Begriffsbestimmung zufolge »jede systematische, nicht auf den Einzelfall bezogene Untersuchung von Vorkommnissen sexualisierter Gewalt, insbesondere betreffend deren Ursachen, Rahmenbedingungen und Folgen«.

Weiterlesen

Personenbezogene Daten mit dem Fax übertragen – so geht’s (nicht)

Im Alltag, und gerade beim Versand von Unterlagen, muss es oft schnell gehen. Hier kommt es immer noch häufig vor, dass das Fax als Übertragungsmedium genutzt wird. Jedoch ist dem Versender nicht bewusst, wo das Faxgerät vom Empfänger steht oder wer Zugriff auf das Gerät hat – das ist auch ein datenschutzrechtliches Risiko.

Schematische Darstellung eines unverschlüsselten (oben) und eines verschlüsselten (unten) Faxtransfers. Quelle: Tätigkeitsbericht 2020 KDSA Ost.
Schematische Darstellung eines unverschlüsselten (oben) und eines verschlüsselten (unten) Faxtransfers. Quelle: Tätigkeitsbericht 2020 KDSA Ost.

Wie man mit diesen Risiken umgeht, erläutert Marco Eck, Berater Datenschutz bei der Curacon GmbH Wirtschaftsprüfungsgesellschaft, in seinem Beitrag.

Weiterlesen

Kita kontrolliert – Wochenrückblick KW 27/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die KDSA Nord hat ihre Kita-Querschnittsprüfung abgeschlossen und berichtet knapp darüber. Anlass waren gehäufte Datenpannen-Meldungen aufgrund von Einbrüchen, bei denen Datenträger gestohlen wurden. Die Aufsicht sieht die Kitas auf einem guten Weg. Nachbesserungsbedarf wurde vor allem im Bereich der Vermeidung unberechtigter Nutzung von IT-Systemen und Zugriff auf Daten durch aktuell gehaltene Zugriffsberechtigungen und Löschkonzepte gesehen. Das Instrument der Querschnittprüfung selbst wird auch positiv bewertet angesichts des großen Zuständigkeitsbereichs der Aufsicht. Noch keine Ergebnisse gibt es von den Kita-Prüfungen des Datenschutzzentrums Dortmund und des BfD EKD.

Ob MAV-Vorsitzende zugleich betriebliche Datenschutzbeauftragte sein dürfen, ist momentan noch nicht geklärt – derzeit liegt dem EuGH eine Vorlage vor, die die Kompatibilität eines Betriebsratsvorsitzes mit dem Amt des Datenschutzbeauftragten umfasst. Mit einer anderen Konstellation hat sich wohl noch niemand befasst, die jetzt im Bistum Passau auftritt: Dort wurde ein Rechtsanwalt als betrieblicher Datenschutzbeauftragter des Bistums bestellt, wie dem aktuellen Amtsblatt zu entnehmen ist. Was nicht im Amtsblatt steht: Bei dem Rechtsanwalt (einem Fachanwalt für Verkehrsrecht) handelt es sich um den Diözesanratsvorsitzenden. § 36 Abs. 7 KDG benennt nur zwei Ausschlussgründe mit einer Soll-Vorschrift (IT-Leitung und Leitung der Stelle). Dennoch ist denkbar, dass hier ein Interessenkonflikt vorliegen könnte – geklärt wird das aber nur im Konfliktfall. Bis dahin bleibt die Personalie nur eine Kuriosität.

… und dann ist noch eine Antwort zur Frage nach der Zentralisierung der EKD-Datenschutzaufsicht eingegangen: Auch die Nordkirche will nicht unters Dach des BfD EKD, teilte mir eine Sprecherin mit. Anscheinend geht es wirklich nur um die Pfalz.

Weiterlesen

Befreite Protokolle: Spezifische Aufsichten am Katzentisch der DSK

Ein- bis zweimal im Jahr treffen sich Vertreter*innen der Datenschutzkonferenz mit den spezifischen Aufsichten, also den Datenschutzaufsichten von Rundfunk und Religionsgemeinschaften. Die Protokolle werden nicht proaktiv veröffentlicht. Per Informationsfreiheitsantrag gelingt es aber regelmäßig, sie zu befreien. Jetzt liegen die Protokolle der Sitzungen vom 21. Oktober 2020 und 5. Mai 2021 vor.

Wieder einmal wurde per fragdenstaat.de ein Bündel an Unterlagen befreit.
Wieder einmal wurde per fragdenstaat.de ein Bündel an Unterlagen befreit.

Ein unterschwelliges Thema, das auch gelegentlich an die Oberfläche kommt, ist die Einbeziehung der spezifischen Aufsichten in die Arbeit der Datenschutzkonferenz – die dort vertretenen Aufsichten der Länder und des Bundes haben kein gesteigertes Interesse, die spezifischen Aufsichten als gleichwertig zu betrachten. Auch dieses Mal.

Weiterlesen