Die Nordkirche hat ihr Datenschutzrecht erneut teilweise novelliert. Im aktuellen Amtsblatt (2023/11) setzt die Kirchenleitung mit Wirkung zum 1. Oktober ihre Zweite Rechtsverordnung zur Anpassung des Datenschutzrechts in Kraft. Damit wird die Datenschutzdurchführungsverordnung (DSDVO) geändert, außerdem tritt eine neue Verwaltungsvorschrift zur Gewährleistung des Datenschutzes beim Fundraising (FundraisingdatenVwV) in Kraft.
Einige der Änderungen vollziehen lediglich die 2021 beschlossene und ebenfalls zum 1. Oktober wirksam gewordene Übertragung der Aufsicht auf den BfD EKD nach. Ansonsten werden vor allem Fundraising und besondere Verarbeitungssituationen in kirchlichen Einrichtungen geregelt – mit viel Rückgriff auf staatliches Recht.
Die Änderungen der DSDVO im Detail
Aufsichtsbehörde
§ 11 DSDVO verweist nun auf den BfD EKD statt auf eine eigene Aufsichtsbehörde. Damit fallen auch die Bestimmungen in § 12 DSDVO a.F. weg, die eine Beteiligung bei einschlägigen Rechtssetzungsvorhaben und ein Rederecht vor der Landessynode normiert haben. § 12 DSDVO ermächtigt die Aufsichtsbehörde nun, verbindliche Muster und Erläuterungen zur Sicherstellung einer einheitlichen Anwendung des kirchlichen Datenschutzrechts zu erstellen. Die Formulierung ist § 19 DSDVO a.F. entnommen.
Örtliche Beauftragte für den Datenschutz
Neben einer eleganteren inklusiven Formulierung (Plural statt Beidnennung mit »bzw.«) wird das Verb geändert: Kirchenkreise sind nun nicht mehr »gehalten«, sondern »sollen« gemeinsame örtliche Beauftragte bestellen. Bisher wurde nur die Unterstellung unter den Kirchenkreisrat geregelt, nun wird auch klargestellt, dass sie dennoch im Rahmen ihrer Aufgaben weisungsfrei sind. Damit wird § 37 DSG-EKD besser widergegeben.
Neu ist ebenfalls die Möglichkeit, die örtlichen Beauftragten mit den Aufgaben einer Hinweisgeberschutz-Meldestelle zu betrauen.
Regelungen für besondere Verarbeitungssituationen
Ab dem freigewordenene § 19 gibt es nun Bestimmungen für die Verarbeitung in speziellen Kontexten.
§ 19 Übermittlung von Daten zu Zwecken der Seelsorge und der Gemeindearbeit
Die neue Rechtsgrundlage in Abs. 1 ermöglicht es, in kirchlichen und diakonischen Einrichtungen Daten von Bewohner*innen, Patient*innen und Klient*innen an zur Seelsorge in der Einrichtung Beauftragte weiterzugeben. Wie im katholischen Seelsorge-PatDSG müssen Betroffene der Weitergabe aktiv widersprechen, um sie zu verhindern, bei Minderjährigen müssen die Sorgeberechtigten einwilligen (das ist ein höheres Schutzniveau als im katholischen Krankenhausseelsorgegesetz). Über das Widerspruchsrecht ist zu informieren. Besondere Kategorien sind von der Übermittlung ausgenommen (die bloße Konfessions- oder Religionszugehörigkeit darf aufgrund von § 4 Nr. 2 lit. a) aber übermittelt werden).
Abs. 2 regelt die Datenübermittlung von Kitas für die Gemeindearbeit. Mit Einwilligung der Sorgeberechtigten dürfen sie übermittelt werden, nicht aber besondere Kategorien und Fotos. Die Einwilligung soll bei der Aufnahme in die Kita eingeholt werden.
§ 20 Fundraising
Der Verweis auf eigene Fundraisingregeln wird aus dem Paragraphen zu Gemeindegliederdaten gestrichen (§ 14 Abs. 2 S. 2 DSDVO a.F.), stattdessen wird ein eigener Paragraph dazu eingeführt. Fundraising wird darin als kirchliche Aufgabe definiert und auf gesonderte Regeln verwiesen.
§ 21, § 22 Anwendung des einschlägigen staatlichen Rechts
Für Krankenhäuser, Schulen und Einrichtungen der Kinder- und Jugendhilfe in kirchlicher Trägerschaft werden in § 21 die jeweiligen einschlägigen Spezialdatenschutzgesetze der Länder Hamburg, Mecklenburg-Vorpommern und Schleswig-Holstein sowie des SGB VIII auch für den kirchlichen Bereich angewendet. (Der Wortlaut verzichtet auf die explizite Erwähnung, dass das jeweilige am Ort der Einrichtung geltende Landesrecht anzuwenden ist, eine andere Auslegung wäre aber abwegig.)
Bei der Wahrnehmung von Aufgaben nach dem Sozialgesetzbuch gelten gemäß § 22 die Regelungen über den Sozialdatenschutz der jeweiligen Teile des Sozialgesetzbuchs entsprechend. Zusätzlich zum Datengeheimnis sind damit Betraute Beschäftigte auch auf das Sozialgeheimnis hinzuweisen.
Verwaltungsvorschrift zur Gewährleistung des Datenschutzes beim Fundraising
Die kompakte FundraisingdatenVwV ist die Regelung, auf die § 20 DSDVO verweist. Fundraising wird darin gefasst als »alle operativen, konzeptionellen und strategischen Aktivitäten zum Aufbau, zur Pflege und Verstetigung von Beziehungen mit dem Zweck, Ressourcen einzuwerben«.
Grundsätzlich dürfen kirchliche Stellen Daten von Kirchenmitgliedern, deren Familienangehörigen und »Personen, die mit der kirchlichen und diakonischen Arbeit in Beziehung getreten sind« zum Fundraising verwenden, wenn kein Sperrvermerk und kein Widerspruch vorliegt. Kontaktdaten über die Anschrift hinaus bedürfen aber einer Einwilligung.
Eine Übermittlung der Daten an eine andere kirchliche Stelle ist mit deren Zustimmung zulässig. Dazu werden einige Bedingungen wie eine strikte Zweckbindung aufgestellt. Auflagen bei der Übermittlung seitens der übermittelnden Stelle sind zulässig.
Es ist sicherzustellen, dass ein Widerspruch gegen Fundraisingkontakte auch nachgehalten wird, nicht mehr benötigte Daten sind in Einklang mit vorgeschriebenen Aufbewahrungsfristen zu löschen. Datenbanken müssen dauerhaft gepflegt werden. Ein Prüf- und Löschkonzept »soll« erstellt werden.
Fazit
Das neue Datenschutzverordnungs-Paket der Nordkirche ist unspektakulär und trifft nachvollziehbare Regeln. Die umfangreiche Übernahme staatlicher Gesetze für kirchliche Stellen ist pragmatisch und vereinfacht die Rechtsanwendung erheblich, wenn statt eines eigenen Rechts ohne große Aussicht auf Kommentierung und Rechtsprechung auf Entscheidungen und Kommentare sowie ohne Transferarbeit auf Fachkräfte und Dienstleister*innen aus dem nicht-kirchlichen Bereich zurückgegriffen werden kann.
Das ist auch deshalb erfreulich, weil – wie in diversen katholischen Schuldatenschutzgesetzen – kirchliche Spezialdatenschutzgesetze dazu neigen, Rechte von betroffenen Personen ungebührlich einzuschränken bei gleichzeitig sehr eingeschränkten Möglichkeiten zur Normenkontrolle. Leider ist das in der Nordkirche auch der Fall, und zwar bei der Verwendung von Patient*innen-Daten für die Seelsorge: Ob ein Widerspruchsrecht statt einer Einwilligungspflicht angemessen ist, kann man mit der KDSA Nord getrost bezweifeln. Anzuwenden ist es aber: Die Regelung zum Vorrang von Spezialgesetzen in § 2 Abs. 6 DSG-EKD greift unabhängig davon, ob das Spezialgesetz das Datenschutzniveau senkt.