Archiv des Autors: Felix Neumann

Corona und Schrems II: Das war 2020

War eigentlich noch was anderes 2020? Auch im kirchlichen Datenschutz lag der Schwerpunkt auf Corona, vom Homeoffice über Videokonferenzen bis zum Fiebermessen. Und als wäre eine Pandemie nicht anstrengend genug, hat der Europäische Gerichtshof auch noch das Privacy Shield kassiert.

Das Privacy-Shield-Logo und der Corona-Virus – Symbole für das Jahr 2020.

»Artikel 91« verabschiedet sich mit diesem Jahresrückblick in eine kurze Weihnachtspause. Falls nicht noch etwas Spektakuläres passiert (und wir haben immer noch 2020), geht es im Januar weiter mit einem Jahresausblick 2021.

Weiterlesen

Tut Buße! Nur wie? – Wochenrückblick KW 51

Die Angst vor Bußgeldern hat sich als weitgehend unbegründet erwiesen – auch wenn (so etwa in NRW) es langsam losgeht. Grundsätzliche Bedenken hat der bayerische Diözesandatenschutzbeauftragte Jupp Joachimski schon zuvor geäußert. Jetzt legt er noch einmal nach mit einem kurzen Papier mit dem Titel »Bußgelderkenntnisse im Geltungsbereich von KDG/KDR-OG«, in dem er aufschlüsselt, wann, gegen wen und unter welchen Umständen überhaupt ein Bußgeld verhängt werden kann. Sein Ergebnis: In den meisten Fällen nicht – weil das KDG so formuliert ist, dass Bußgelder dann verhängt werden können, wenn der Verantwortliche vorsätzlich oder fahrlässig für die Datenschutzverletzung verantwortlich ist, während gegen Mitarbeitende nur in sehr speziellen Ausnahmen vorgegangen werden kann.

In der Diözese Rottenburg-Stuttgart beschäftigt sich das aktuelle Amtsblatt mit Schrems II und der praktischen Umsetzung des Urteils – ohne dabei wesentlich Neues zu bisherigen Veröffentlichungen beizutragen: »Zusammenfassend ist zu konstatieren, dass es ohne ein tragfähiges Abkommen zwischen der EU und den USA oder eine grundsätzliche Regelung auf EU-Ebene nach dem derzeitigen Stand keine völlig zufriedenstellenden Lösungen für die durch das EuGH-Urteil aufgeworfenen datenschutzrechtlichen Probleme gibt.« Hilfreich ist immerhin die Anweisung, wenigstens das Privacy Shield aus den Datenschutzerklärungen zu entfernen. Der elephant in the room wird auch hier wieder einmal nicht angesprochen: Dass § 29 Abs. 11 KDG Auftragsverarbeitung ausschließlich in Ländern der EU, des EWR oder solchen mit Angemessenheitsbeschluss zulässt – und damit Auftragsverarbeitung in den USA nach KDG generell nicht mehr möglich ist.

Im evangelischen Bereich gab es dagegen nur kleinere Änderungen in der Durchführungsverordnung der Evangelisch-Reformierten Kirche.

Nicht direkt Datenschutz, aber in jedem Fall lohnend: am Montag ist der Online-Kurs Kirchenrecht von Hendrik Munsonius vom Kirchenrechtlichen Institut der EKD gestartet: »Diese Einführung ist aus Vorlesungen an der Georg-August-Universität Göttingen hervorgegangen und richtet sich an Menschen, die an einer gedeihlichen Ordnung kirchlicher Praxis interessiert sind.« Dem kann man nichts hinzufügen – unbedingte Lockdown-Fortbildungs-Empfehlung!

Weiterlesen

Der erste KDG-Kommentar ist da – Rezension zu Sydow, Kirchliches Datenschutzrecht

Fast drei Jahre nach Inkrafttreten liegt endlich der erste Kommentar zum Gesetz über den kirchlichen Datenschutz (KDG) vor: »Kirchliches Datenschutzrecht. Datenschutzbestimmungen der katholischen Kirche«(Affiliate Link), herausgegeben von dem Münsteraner Professor für Europäisches Verwaltungsrecht Gernot Sydow, der zugleich Vorsitzender Richter des Datenschutzgerichts der Deutschen Bischofskonferenz ist.

Cover von Sydow: Kirchliches Datenschutzrecht

Auch wenn der Kommentar nur die Differenzen zur DSGVO erläutern will (schließlich sind die beiden Gesetze in großen Teilen identisch), kommt er auf fast 600 Seiten. Dass es eine erste Auflage ist, merkt man an einigen Stellen. Eine Pflichtanschaffung für alle mit dem katholischen Datenschutzrecht Befasste ist er trotzdem: Neben dem KDG wird auch dessen Durchführungsverordnung ausführlich sowie die Kirchliche Datenschutzgerichtsordnung (KDSGO) und das Datenschutzrecht der Orden (KDR-OG) zumindest überblicksweise behandelt; das erst im Herbst 2020 verabschiedete Gesetz über das Verwaltungsverfahren im kirchlichen Datenschutz (KDS-VwVfG) ist noch nicht berücksichtigt.

Weiterlesen

Mehr (kirchliches) Verwaltungsrecht wagen! – Wochenrückblick KW 50

Zum Jahresende hauen alle noch mal einen raus: Der EKD-Datenschutzbeauftragte eine Handreichung zu Fotos – und der Verband der Diözesen Deutschlands (VDD) gleich ein ganzes Gesetz. Zum Gesetz über den kirchlichen Datenschutz, dessen Durchführungsverordnung und Kirchliche Datenschutzgerichtsordnung tritt nun die vierte bundesweit einheitliche Norm: Das Gesetz über das Verwaltungsverfahren im kirchlichen Datenschutz (KDS-VwVfG), das ab dem 1. Januar 2021 gilt und online zuerst im Speyerer Amtsblatt veröffentlicht wurde.

Die Materie ist so trocken, wie der Titel verspricht, und es braucht wohl Verwaltungsjurist*innen, um im Detail zu bewerten, ob es überraschende Regeln gibt. (Gastbeiträge willkommen!) So trocken aber Verwaltungsrecht ist, so revolutionär ist das für die Kirche: Neben die spezifische Verwaltungsgerichtsbarkeit in Form der Datenschutzgerichte ist damit jetzt auch eine rechtsförmliche Ordnung der Tätigkeit der Aufsichten getreten, die man sich auch für andere katholische Institutionen wünschen würde. Das Gesetz legt unter anderem auch einige Rechte der Beteiligten fest, etwa auf Akteneinsicht (§ 6; leider keine allgemeine Informationsfreiheitsregelung). Wichtig dürfte auch die Regelung zur Durchsetzung und Vollstreckung von Bußgeldbescheiden sein, mit denen die Aufsicht kirchliche Stellen in die Pflicht nehmen kann bei Androhung der Einschaltung der Bischöflichen Aufsicht, »um rechtmäßige Zustände herzustellen«. (Ein Interessenskonflikt kann hier – leider – nicht entstehen, die öffentlich-rechtlich organisierten Diözesen können gar nicht gebußt werden.)

Weiterlesen

Fotos nach dem DSG-EKD – neue Handreichung des EKD-Datenschutzbeauftragten

Der Datenschutzbeauftragte der EKD hat am Mittwoch eine neue Handreichung zu »Datenschutz bei der Anfertigung und Veröffentlichung von Fotos« veröffentlicht. Angesichts seiner letzten Veröffentlichungen könnte man mit einer besonders strengen Auslegung rechnen – tatsächlich bewegt er sich dieses Mal im eher gemäßigten Bereich der Auslegung ohne große Überraschungen.

Eine Kameralinse im Dunkeln mit blauem Lensflare.
(Bild von Gerd Altmann auf Pixabay)
Weiterlesen

DSK-Dokumente befreit: Staatliche Skepsis gegenüber kirchlichem Datenschutz

Die Datenschutzaufsichten von Bund und Ländern stehen in Deutschland ihren kirchlichen Pendants eher kritisch gegenüber. Zumindest wollen sie die Beteiligung überschaubar halten – das war schon bekannt. Über einen Informationsfreiheitsantrag per »Frag den Staat« habe ich bisher unveröffentlichte Dokumente zum Verhältnis und zum Umgang mit den sogenannten »spezifischen« Aufsichtsbehörden (das sind neben den kirchlichen auch die der Medien) bekommen. Herausgegeben wurden die Unterlagen vom Landesdatenschutzbeauftragte von Rheinland-Pfalz, der 2019 den Vorsitz in der Datenschutzkonferenz hatte. Die Datenschutzkonferenz selbst ist leider rechtlich nicht so verfasst, dass man dort direkt IFG-Anfragen stellen könnte.

Ein Stapel mit den befreiten Dokumenten, oben rechts auf dem Papier das Logo der Datenschutzkonferenz.

Inhaltlich gibt es keine großen Überraschungen – aber man kann sehr deutlich ablesen, wie holprig die Zusammenarbeit mit den spezifischen Aufsichtsbehörden ist: Die Dokumente zeigen, wie groß die Skepsis der staatlichen Aufsichten ist und wie gering sie die Beteiligung an ihrer Arbeit halten wollen.

Weiterlesen

Kaiser Augustus, Roßnagel und Ronellenfitsch – Wochenrückblick KW 49

Im ersten Türchen des Adventskalenders der Datenschutz-Notizen ging es um die Volkszählung in der Weihnachtsgeschichte. Dort wird als Rechtsgrundlage »berechtigtes Interesse« angenommen. Der biblische Befund legt allerdings eine andere nahe: Aus Lk 2, 1 geht klar hervor, dass die Rechtsgrundlage für die Volkszählung nicht »berechtigtes Interesse«, sondern »Wahrnehmung einer Aufgabe« in öffentlichem Interesse oder Auftrag sein dürfte: »Es geschah […], dass Kaiser Augustus den Befehl erließ, den ganzen Erdkreis in Steuerlisten einzutragen.« Auch beliehene private Steuerlistenerhebende müssten sich darauf beziehen, für öffentliche Stellen steht das berechtigte Interesse ohnehin nicht zur Verfügung.

Übrigens sind schon im ersten Testament datenschutzrechtlich relevante Stellen zu finden – und mit der Strafe Gottes für Davids Volkszählung ist sogar eine aufsichtsbehördliche Maßnahme beschrieben.

In Hessen gibt es demnächst einen neuen Landesdatenschutzbeauftragten: Alexander Roßnagel soll Nachfolger von Michael Ronellenfitsch (sehr wohlwollend die FR, andere sehen das anders) werden. Für den kirchlichen Datenschutz könnte das interessant sein: Nicht nur allgemein, da Roßnagel die DSGVO sehr kritisch sieht und so die Datenschutzkonferenz aufmischen könnte, sondern auch mit Blick auf den Umgang mit dem Datenschutzrecht der Religionsgemeinschaften. Schon jetzt ist Hessen unter den Aufsichten, die Zweifel am Datenschutzrecht kleiner Gemeinschaften geäußert haben. Mit Roßnagel kommt nun der Autor der Studie zur Praxis der Zusammenarbeit von Finanzamt und Kirchensteuerstelle ins Amt. Die Studie wurde durch das Institut für Weltanschauungsrecht (ifw) der Giordano-Bruno-Stiftung beauftragt und kommt unter anderem zum Schluss, dass in Sachen Kirchensteuer kein kirchliches Datenschutzrecht anzuwenden sei, obwohl die Kirchensteuerstellen kirchliche Einrichtungen sind.

Weiterlesen

Hart, härter, kirchlicher Datenschutz?

Der kirchliche Datenschutz gilt als besonders streng – jedenfalls hört man das oft von Anwender*innen. Aber stimmt das eigentlich? Schließlich müssen die eigenen Datenschutzregeln von Religionsgemeinschaften, so sieht es Art. 91 DSGVO vor, »in Einklang« mit den Wertungen der DSGVO stehen. Und während die Deutsche Bischofskonferenz schreibt, dass sie mit einem Unterschied in der Formulierung der Einwilligung nicht strenger, sondern »lediglich konkreter und damit anwenderfreundlicher« sein wollte, sagte der bayerische Diözesandatenschutzbeauftragte Jupp Joachimski, der auch an der Ausarbeitung des KDG mitwirkte, dass die Kirche aufgrund ihres Demokratiedefizits handeln musste: »und deshalb waren wir an manchen Stellen bei der Entwicklung des KDG strenger, um zu zeigen, dass wir bereit sind, solche Defizite auszugleichen«, so Joachimski. Von evangelischer Seite sind keine solche Äußerungen bekannt – aber auch dort hört man selten den Vorwurf, das DSG-EKD sei zu lax.

Stimmt es aber überhaupt, dass die kirchlichen Gesetze im Zweifel strenger sind? Ein genauer Blick fördert Interessantes zu Tage – und einige Regelungen, über die man überraschend wenig in der Praxis hört. An einigen Punkten gibt es deutliche Abweichungen von den Regelungen der DSGVO, die auch das Schutzniveau für betroffene Personen verändern.

Weiterlesen

Personalität & Solidarität & Datenschutz – Wochenrückblick KW 48

Die Publizistische Kommission der Deutschen Bischofskonferenz hat Thesen beschlossen: »Digitalität und Künstliche Intelligenz: Technik im Dienst des Geist-begabten und Selbst-bewussten Menschen«. Als Mitglied der »Expertengruppe Social Media« war ich an der Ausarbeitung beteiligt. Wichtig war mir dabei ein differenzierter Blick auf Datenschutz und informationelle Selbstbestimmung, der sich in These 6, »Informationelle Selbstbestimmung und freies Agieren in Öffentlichkeiten sind gegeneinander abzuwägen«, niedergeschlagen hat: Datenschutz darf nicht so ausgestaltet sein, dass (digitale) Öffentlichkeit unmöglich wird. Kommunikation heißt, sich der Öffentlichkeit und anderen Menschen auszusetzen, in Wort und Bild und damit mit personenbezogenen Daten.

»Denn nur so kann die Öffnung auf andere Menschen hin geschehen«, heißt es in den Thesen. Wichtig war es mir, in den Kategorien der katholischen Soziallehre zu argumentieren, die den Menschen weder atomistisch vereinzelt noch totalitär oder utilitaristisch vergemeinschaftet denkt: »Das Personalitätsprinzip steht daher zwangsläufig in Balance zum Solidaritäts- und Gemeinwohlprinzip. Insofern ist bei der Regulierung von personenbezogenen Daten das Recht auf informationelle Selbstbestimmung so auszugestalten, dass die Regulierung Kommunikation und Vergemeinschaftung nicht zu sehr behindert und die gleichwertigen Grundrechte der Meinungs- und Vereinigungsfreiheit ebenso zum Tragen kommen.«

Apropos Vergemeinschaftung: Zu Weihnachten sieht das Referat Datenschutz im Erzbistum Freiburg es wieder möglich an, mit kirchlichem Interesse als Rechtsgrundlage für Streaming-Gottesdienste zu argumentieren; zu Beginn der Pandemie wurde noch (wenig überzeugend) argumentiert, dass bei reduzierter Öffentlichkeit Einwilligungen nötig seien. In den Musterdatenschutzinformationen aus Freiburg zu kirchlichen Amtshandlungen findet sich übrigens auch eine sehr gelungene Formulierung der Rechtsgrundlage, die kirchliches Interesse ans Kirchenrecht rückbindet: »Fotografien bei Erstkommunionfeiern und Firmungen und deren Veröffentlichung im Pfarrblatt und/ oder der homepage der Kirchengemeinde erfolgen im Rahmen des Verkündigungsdienstes gem. CIC-1983, Can. Nr. 761 und damit auf einer rechtlichen Grundlage gem. § 6 Abs. 1 lit. f KDG.«

Und apropos Dienstgemeinschaft: Die Evangelische Kirche Berlin-Brandenburg-schlesische Oberlausitz hat nun eine Rechtsgrundlage für die Publikation von Personalnachrichten im Kirchlichen Amtsblatt geschaffen.

Weiterlesen

Kirchliche Datenschutzgerichte im Licht des Europarechts (Besprechung Martini/Botta, DÖV)

Immer noch sind die wissenschaftlichen Veröffentlichungen zum Datenschutzrecht der Kirchen sehr übersichtlich; vieles ist noch unklar, auch weil der Art. 91 DSGVO, der Religionsgemeinschaften eigenes Datenschutzrecht ermöglicht, bei näherer Betrachtung einige Unklarheiten aufweist. Dem Wortlaut nach schreibt der Artikel nur einen Bestandschutz für bereits bestehendes Datenschutzrecht der Religionsgemeinschaften fest – auch wenn das kaum mit dem Religionsverfassungsrecht (mancher) Mitgliedstaaten vereinbar ist, dem der Vertrag über die Arbeitsweise der EU (AEUV) in seinem Art. 17 wiederum Bestandschutz gewährt.

Zeitschrift »Die Öffentliche Verwaltung«

Während etwa die deutsche Datenschutzkonferenz Art. 91 wörtlich-restriktiv auslegt, reihen sich Mario Martini und Jonas Botta ein unter die Kommentatoren, die den Artikel im Licht von Religionsfreiheit und Selbstverwaltungsrecht interpretieren. Die Juristen am Deutschen Forschungsinstitut für öffentliche Verwaltung (FÖV) – Martini als Leiter des Programmbereichs Digitalisierung, Botta als Forschungsreferent – haben in der aktuellen Ausgabe von »Die Öffentliche Verwaltung« einen Aufsatz mit dem Titel »Kirchliche Datenschutzgerichtsbarkeit zwischen Selbstbestimmungsrecht und Rechtsschutzgarantie« (DÖV 2020, S. 1045–1054) veröffentlicht, in dem sie sich schwerpunktmäßig mit dem Verhältnis kirchlicher Datenschutzgerichtsbarkeit zu Rechtsschutzvorgaben der DSGVO und des Unionsrechts befassen. Über die Frage der Datenschutzgerichtsbarkeit hinaus liefern sie einige gute Argumente zur Interpretation von Art. 91 DSGVO.

Weiterlesen