Die Woche im kirchlichen Datenschutz

IT-Sicherheit und Eigenständigkeit

Ralf-Peter Reimann, der für den Internetauftritt der Evangelischen Kirche im Rheinland verantwortlich ist, schreibt auf seinem Blog TheoNet über den Wunsch von Kirchengemeinden nach eigenständigen Webauftritten. Anlass ist die Schwachstelle php2shell, wegen der die EKiR die 200 von ihr gemanagten Webseiten frühzeitig vom Netz genommen hat – bei 200 weiteren Auftritten, die nicht zentral gemanagt waren, ging das nicht: »Zwar konnten wir deren Webmaster per E-Mail benachrichtigen und auf die Sicherheitslücke hinweisen, aber soweit ich es mitbekam, konnte niemand schnell genug reagieren.«

Reimann nimmt das zum Anlass, um den Wunsch nach eigenständigen Webauftritten von Gemeinden und dessen Bedeutung für die IT-Sicherheit zu thematisieren. Den Wunsch könne er verstehen:

»Aber ist diese Freiheit tatsächlich so viel wert, dass man dafür Sicherheitsrisiken in Kauf nimmt? Ist ein individuelles Design wichtiger als die zuverlässige Erreichbarkeit? Der Wunsch, anders auszusehen als die Landeskirche, darf nicht dazu führen, dass Sicherheitslücken in Kauf genommen werden.«

Ein interessanter Randaspekt ist die Auswirkung der Novelle des DSG-EKD: Durch den Wegfall der Unterwerfungserklärung wurde Auftragsverarbeitung deutlich einfacher. Für die IT-Sicherheit hatte das unerwünschte Nebenwirkungen: »Damit entfällt ein wesentlicher früherer Grund für ein eigenes Hosting-Angebot der Landeskirche.«

Löschkonzepte aus Bayern

Das KDSZ Bayern hat eine weitere Arbeitshilfe veröffentlicht. Dieses Mal geht es ums Löschen. Mit 47 Seiten ist die Arbeitshilfe recht umfangreich. Das wird aber genutzt, um sehr detailliert und verständlich die Entwicklung und Umsetzung eines Löschkonzepts zu demonstrieren, inklusive Beispielen aus der kirchlichen Praxis. Die Arbeitshilfe ist sehr gelungen, weil sie den Endgegner des Datenschutzmanagements in machbare Schritte zerlegt.

Konsequent wird dabei auch das kirchliche Archivrecht mitgedacht. Dadurch wird deutlich, wie absurd es ist. Abseits der verfassten Kirche im engeren Sinn ist das Archivrecht ein großes Ärgernis, weil das dem staatlichen Archivrecht nachgebildete Recht so umfangreiche Anbietungs- und Archivierungspflichten statuiert, dass wesentliche Elemente des Datenschutzrechts ausgehebelt werden. Korrekt (nämlich wie c.​ 17 CIC verlangt dem Wortlaut nach) ausgelegt darf es keinen Papiermüll geben, darf keine Mail, keine Datei gelöscht werden, ohne dass es entweder eine Anbietung oder eine Anbietungsvereinbarung gibt, die diese Art Dokument erfasst.

Leider fehlt der Hinweis darauf, dass die KAO nicht automatisch in allen Einrichtungen gilt, in denen auch das KDG zur Anwendung kommt: Die KAO gilt wie jedes bischöfliche Gesetz nur dann für eine Einrichtung, wenn die Organisation entweder aufgrund ihrer Rechtsform der bischöflichen Gesetzgebungsgewalt unterliegt (nämlich juristische Personen des kanonischen Rechts wie Pfarreien und kanonische Vereine, nicht aber etwa freie Zusammenschlüsse von Gläubigen und Rechtsträger ohne kanonische Rechtsform) oder aber sich in ihrem Statut der kirchlichen Rechtsordnung als ganzer oder explizit der KAO unterwirft. Die bloße Anwendung von kirchlichem Datenschutzrecht durch Satzungsregelung genügt nicht.

Bayerisch einwilligen

Und noch eine Publikation der bayerischen Aufsicht: Das KDSZ Bayern empfiehlt das hier schon knapp erwähnte aktualisierte DSK-Kurzpapier zur Einwilligung und gibt einige allgemeine Hinweise zur Einwilligung. Die sind wenig überraschend, die Aufzählung ist aber hilfreich für den Einstieg ins Thema Einwilligungen.

Berliner MAV-Videokonferenzen

Die MAVO des Erzbistums Berlin bekommt eine neue Regelung zur Teilnahme via Video- oder Telefonkonferenz, die sich an den kursierenden Entwurf der novellierten MAVO anlehnt. Die bisherige Regelung sah vor, dass eine Remote-Teilnahmemöglichkeit nur »wegen eines unabwendbaren Ereignisses« zulässig ist. Die neue erweitert das immerhin dahingehend, dass kein unabwendbares Ereignis, sondern eine Geschäftsordnungsregelung (wenn auch »unter Sicherung des Vorrangs der Präsenzsitzung«) genügt. Leider wird neu eine Sperrminorität eingefügt, wie sie auch im MAVO-Entwurf vorgesehen ist: Ein Viertel der Mitglieder kann eine Remote-Teilnahme verunmöglichen – mithin bekommt eine Minderheit die Möglichkeit, die Teilhabe von anderen MAV-Mitgliedern zu untergraben. Dazu kommt unnötige Bürokratie: Wenn ein Mitglied remote teilnimmt, muss es das dem*der Vorsitzenden in Textform bestätigen. Die Bestätigung ist dem Protokoll beizufügen – es genügt also nicht, eine Remote-Teilnahme im Protokoll zu vermerken.

Kirchliche Gesetzgebung ist oft schlecht. Die Berliner MAVO-Ergänzung reiht sich in diese Tradition ein. So wie sie promulgiert ist, ist die Änderung aber ohnehin nicht wirksam: Sie wird »i.​ V.« durch den Generalvikar gezeichnet, der gar keine Gesetzgebungskompetenz hat und sie auch nicht delegiert bekommen kann. Dass der Bischof sie erlassen hat, ist nicht erkennbar.

Piusbrüder zu Löschrecht im Taufbuch

Die schismatische Piusbruderschaft fasst das EuGH-Verfahren zum Löschrecht im Taufbuch zusammen, und es wären nicht die Piusbrüder, wenn sie dabei nicht eine Möglichkeit finden würden, das auf ihre Obsession zu beziehen:

»There is, in any case, a cruel irony here: after having claimed, in the name of the religious freedom of Vatican II, the renunciation of the privileges of the Church in society, the ecclesiastical authorities now see states treating the Church as an ordinary association, subject to the same rules as any private body.«

Auf Artikel 91

• Das Transparenzproblem des kirchlichen Datenschutzes

Aus der Welt

• Microsoft räumt sich in seinem neuen Auftragsverarbeitungsvertrag das Recht ein, Daten auf Missbrauchsdarstellungen zu scannen – bei einem AV-Vertrag wirft das einige Fragen auf, ob das dann überhaupt noch Auftragsverarbeitung ist. Johannes Nehlsen hat zu den neuen Musterverträgen ein umfangreiches Gutachten angefertigt.
• Die Open-Source-Umstellung in der schleswig-holsteinischen Landesverwaltung wurde in einer Transformationsstudie untersucht – aus den Erfahrungen könnten auch kirchliche Akteur*innen lernen.

Kirchenamtliches

• Erzbistum Hamburg: Bestellung zum Gemeinsamen Diözesandatenschutzbeauftragten
• Diözese St. Pölten: Dekret über die Führung des Sterberegisters in der Diözese St. Pölten
• Erzbistum Freiburg, Referat Datenschutz: Grundlagenschulung für die Arbeit mit Kindern und Jugendlichen
• Bistum Eichstätt: Einführung eines neuen IT-Standardarbeitsplatzes
• Schweizer Bischofskonferenz: Schweizer Kirchen veröffentlichen gemeinsame Leitlinien zu künstlicher Intelligenz
• KDSZ Bayern:
  • Löschen mit Konzept: Neue Praxishilfe für kirchliche Einrichtungen
  • Einwilligungen: Was kirchliche Einrichtungen beachten sollten