Archiv des Autors: Felix Neumann

Über Felix Neumann

Felix Neumann ist Journalist und berichtet hauptsächlich über kirchliche Themen. Der Politikwissenschaftler und vergleichende Kirchenrechtler hat die Qualifizierung zum Betrieblichen Datenschutzbeauftragten (IHK) absolviert und berät freiberuflich kirchliche Verbände und Institutionen zu praktischen Fragen des Datenschutzes und durch Datenschutzschulungen.

Kirchliches Datenschutzrecht vor staatlichen Gerichten?

Wer in Fragen des kirchlichen Datenschutzes den Rechtsweg beschreiten tun, muss das erst über die kirchliche Gerichtsbarkeit tun. Direkt die staatlichen Gerichte anrufen geht nicht. Von einem entsprechenden Versuch berichtet das Katholische Datenschutzzentrum Frankfurt in seinem aktuellen Tätigkeitsbericht, wie hier bereits berichtet wurde.

Eine Statue der Justitia mit verbundenen Augen und Waage
Bildquelle: Photo by Tingey Injury Law Firm on Unsplash

Nach der ersten Antwort des Vorsitzenden Richters der entscheidenden Kammer liegt mir nun die vollständige Entscheidung vor, nämlich ein Beschluss zur Ablehnung eines Antrags auf Bewilligung von Prozesskostenhilfe (VG Frankfurt am Main, Beschluss vom 1. Juli 2020 – Z 5 K 1077/20.F). Weiterhin ist das Ergebnis – dass staatliche Gerichte nicht für kirchlichen Datenschutz zuständig sind – wenig überraschend, der ausführliche Beschluss gibt aber Hinweise darauf, wann doch einmal eine kirchliche Datenschutzsache vor einem weltlichen Gericht landen könnte.

Weiterlesen

Impffragen und Jubiläum im Geheimarchiv – Wochenrückblick KW 35/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die Frage, ob Beschäftigte von ihren Arbeitgeber*innen nach dem Impfstatus gefragt werden dürfen, beherrscht diese Woche die Pandemie-Diskussion. Gegenüber dem ZDF hat sich dazu auch Theologe und Ethikratsmitglied Andreas Lob-Hüdepohl geäußert: »Der Datenschutz ist ein wichtiges Gut, allerdings werden die Daten nicht um ihrer selber geschützt, sondern sie dienen der Persönlichkeitssphäre der betroffenen Mitarbeiterinnen und Mitarbeiter, von daher muss man tatsächlich in dieser Situation eine Güterabwägung vornehmen, nämlich zwischen dem Gut der geschützten Daten um des Persönlichkeitsschutzes willen, oder aber das Wissen um bestimmte Daten, in diesem Fall Gesundheitsdaten, auch um Personen zu schützen, nämlich im Betrieb, von daher ist das grundsätzlich anzudenken und möglicherweise sogar erforderlich.« Lob-Hüdepohl betont dabei die ethische Notwendigkeit einer rechtlichen Regelung: »denn nur was gesetzlich geregelt ist, dagegen kann ich mich gegebenenfalls auch wehren, das ist ein Rechtsstaatsprinzip«, so der Berliner Theologe.

Das Katholische Datenschutzzentrum Dortmund feiert sein fünfjähriges Jubiläum und die Bestätigung von Steffen Pau als Diözesandatenschutzbeauftragter auf fünf weitere Jahre. (Amtsblatt- und Artikel-91-Leser*innen wussten das schon.) In der Meldung hebt das Datenschutzzentrum seine organisatorische Vorreiterrolle hervor, die die Errichtung als KdÖR darstellte: »In der Folge entstand für die südwestlichen (Erz-)Bistümer in Deutschland das „Katholische Datenschutzzentrum Frankfurt am Main“ (KdöR). Auch die Freisinger Bischofskonferenz plant zur Unterstützung des gemeinsamen Diözesandatenschutzbeauftragten der bayerischen (Erz-)Bistümer ein „kirchliches Datenschutzzentrum“ in Nürnberg zu errichten.« Wann das der Fall sein wird, ist trotz vieler Nachfragen bei der Pressestelle der Freisinger Bischofskonferenz noch nicht zu erfahren.

Im Würzburger »Kanon des Monats« geht es im September um die bischöflichen Geheimarchive. Jessica Scheiper, die das Thema bereits vor einigen Wochen bei Feinschwarz angesprochen hatte, legt jetzt noch einige kanonistische Details nach. Dazu gehört auch der Verweis auf can. 490 § 3 CIC: »Aus dem Geheimarchiv bzw. Geheimschrank dürfen keine Dokumente herausgegeben werden.« Das hat auch für die Betroffenenrechte des Datenschutzrechts erhebliche Auswirkungen: Das Universalkirchenrecht ist höherrangiges Recht als das KDG und geht damit den datenschutzrechtlichen Auskunftsrechten vor. Da im Geheimarchiv unter anderem »Akten der Strafsachen in Sittlichkeitsverfahren« gelagert werden, hebelt das insbesondere die Rechte von Betroffenen sexualisierter Gewalt aus.

Weiterlesen

Kirchliche Datenschutzaufsicht: Ausstattung gut bis ungenügend

Das schönste Gesetz nutzt nichts, wenn es nicht auch umgesetzt wird. Beim Datenschutzrecht ist ein Faktor dabei die Leistungsfähigkeit der Aufsicht. Der Europäische Datenschutzausschuss EDPB hat daher die Aufsichtsbehörden der Staaten, in denen die DSGVO gilt, unter die Lupe genommen und ihre Ressourcenausstattung verglichen: »Overview on resources made available by Member States to the Data Protection Authorities and on enforcement actions by the Data Protection Authorities«. Aufgrund des Prinzips der federführenden Behörde (»one stop shop«) hat eine schlecht ausgestattete Aufsicht Auswirkungen auf alle – »a lack of resources in a supervisory authority competent to handle cross-border cases, can after all have tangible consequences for citizens across the EU«.

Fünf unterschiedlich hohe Stapel mit Eurocent-Münzen
So transparent lässt sich das Budget nicht bei allen kirchlichen Aufsichten ermitteln. (Symbolbild: Photo by Ibrahim Rifath on Unsplash)

Nicht betrachtet wurde die Ausstattung der kirchlichen Aufsichtsbehörden, die (mindestens in Deutschland und Polen) einen beachtlichen Teil von Stellen beaufsichtigen, die oft mit besonders sensiblen Daten hantieren. Der von den Kirchen geforderte Einklang mit dem DSGVO-Datenschutzniveau steht und fällt dort, wo eigene Aufsichten eingerichtet werden, mit deren Ausstattung. Ein Blick in Tätigkeitsberichte und Kirchenhaushalte kann zumindest ein wenig Licht ins Dunkel bringen.

Weiterlesen

Zoom-12-Punkte-Plan und Kinderfoto-Alarmismus – Wochenrückblick KW 34/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Der Datenschutzbeauftragte für Kirche und Diakonie hat eine 12-Punkte-Liste für die Überprüfung oder Planung des datenschutzkonformen Einsatzes eines Videokonferenzsystems veröffentlicht – sicherlich eine nützliche Grundlage für die Einführung, wenn auch zur vierten Welle doch etwas spät: Wer hat jetzt noch kein Videokonferenzsystem? Rechtlich ist an der Handreichung nichts zu beanstanden und für Menschen, die mit Datenschutz vertraut sind, auch ohne Überraschungen. Für alle anderen muss sie aber befremdlich wirken. Sicher hat eine Videokonferenz eine höhere Eingriffsintensität als andere Kommunikationsmittel. Aber gibt es auch nur vergleichbare Checklisten für Telefon, E-Mail und Fax? Muss man sich wirklich noch die Frage stellen, ob eine Videokonferenz im Vergleich zu Telefonkonferenzen »erforderlich« ist? Stellt sich jemand die Frage, ob ein Telefonat im Vergleich zu einer E-Mail im Vergleich zu einem Brief im Vergleich zu einem persönlichen Besuch »erforderlich« ist? Besser wird das wohl erst, wenn Videokonferenzen für alle so unauffällig wie Telefone sind.

Im aktuellen Tätigkeitsbericht des KDSZ Frankfurt ist die Rede von einem Versuch, ein staatliches Verwaltungsgericht für eine Klage gegen eine Entscheidung der kirchlichen Aufsicht zu bemühen, leider ohne Aktenzeichen und Gericht zu nennen. Daher habe ich weiter recherchiert: Auf Nachfrage teilte mir das Verwaltungsgericht Frankfurt mit, dass das Klageverfahren (Az. 5 K 1077/20.F) ohne eine sachliche Entscheidung nach Klagerücknahme beendet und durch Beschluss vom 6. August 2020 eingestellt wurde. »Darauf, dass die Klage auf dem Verwaltungsrechtsweg nicht zulässig, eine Verweisung an das Interdiözes Datenschutzgericht aber auch nicht möglich ist, ist bereits in der Eingangsverfügung hingewiesen worden«, so der Vorsitzende der fürs Datenschutzrecht zuständigen 5. Kammer. Die Zitate aus dem Tätigkeitsbericht stammen daher nicht aus einer rechtskräftigen Entscheidung in der Sache, sondern, so das Gericht, wohl lediglich aus einer Ablehnung einer Bewilligung von Prozesskostenhilfe.

Das in der vergangenen Woche schon erwähnte Urteil des OLG Düsseldorf hat die KDSA Ost zum Anlass genommen, noch einmal einzuschärfen, wie problematisch von ihr Kinderfotos im Netz bewertet werden, inklusive dem Drohen mit Pädophilen, die Kinderfotos abgreifen und einem locker sitzenden Bußgeldfinger. Wieder kommt die Mahnung ohne jegliche Differenzierung, um was für Bilder es sich handelt – und (ich wiederhole mich) ohne zu bedenken, dass Kinder und Jugendliche nicht nur Sicherheitsinteressen, sondern auch Teilhabe- und Repräsentanzinteressen haben. Ein besserer Ansatz wäre, sowohl objektiv untragbare Darstellungen (Nacktheit, entwürdigende Situationen) zu benennen wie medienpädagogische Methoden zu zeigen, um mit den Betroffenen selbst ins Gespräch kommen, welche Darstellungen sie selbst in der Öffentlichkeit haben wollen und welche Möglichkeiten bestehen, informationelle Selbstbestimmung auszuüben.

Weiterlesen

Noch weniger Betroffenenrechte im Osnabrücker Schuldatenschutz

Nach dem Erzbistum Hamburg hat auch das Bistum Osnabrück eine Durchführungsverordnung zum Schutz personenbezogener Daten in katholischen Schulen veröffentlicht. Schon die Hamburger Ordnung hat einen zwiespältigen Eindruck hinterlassen: Während die digitalen Methoden und Werkzeuge angemessen berücksichtigt wurden, wurden die Betroffenenrechte von Schüler*innen empfindlich eingeschränkt.

Ein Kind zeichnet mit einem Stylus auf einem Tablet
Ein Kind zeichnet mit einem Stylus auf einem Tablet (Photo by Jeswin Thomas on Unsplash)

Die Osnabrücker Verordnung ähnelt in weiten Teilen der Hamburger, mit einigen Umstellungen und kleineren Änderungen – aber auch mit substantiellen Unterschieden. Und zwar nicht zum Besseren.

Weiterlesen

Rekordgeldbuße im Südwesten – Tätigkeitsbericht 2020 des KDSZ Frankfurt erschien

Der Tätigkeitsbericht 2020 der katholischen Aufsicht für den Südwesten ist da – und damit ist der 2020er-Reigen vorerst abgeschlossen. (Der bayerische DDSB berichtet immer von September bis September statt zum Kalenderjahr.) Natürlich gibt es wieder viel Corona – und in einem Nebensatz den Hinweis auf die bisher höchsten bekannten Geldbußen im kirchlichen Datenschutz.

Die Titelseite des Tätigkeitsbericht 2020 der KDSZ Frankfurt
Den Bericht des KDSZ Frankfurt ziert eine schöne Statue des hl. Johannes Nepomuk – leider ist auch in der verwendeten Stockphoto-Datenbank nicht herauszufinden, wo diese Statue steht. Vielleicht weiß es ein*e Leser*in?

Erstmals ziert der heilige Johannes Nepomuk den Tätigkeitsbericht – anlässlich der Errichtung als KdÖR hat das Katholische Datenschutzzentrum Frankfurt ein Siegel und einen Schutzpatron bekommen. (Und der NRW-Datenschutzpatron Ivo einen Kollegen.) Er möge, so die Diözesandatenschutzbeauftragte, »den Blick dafür öffnen, wann man reden und wann man vielleicht besser schweigen sollte«.

Weiterlesen

Stand der Technik im Pfarrbüro – Wochenrückblick KW 33/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Mal wieder zum Ende der Woche kam ein Tätigkeitsbericht – der Diözesandatenschutzbeauftragten für die Südwest-Bistümer. Die ausführliche Besprechung folgt in der kommenden Woche. Ein erstes Highlight gibt’s gleich auf der Titelseite: Der Heilige Ivo hat Konkurrenz bekommen – das Frankfurter Datenschutzzentrum stellt sich unter das Patronat des heiligen Johannes Nepomuks.

Und noch eine Prüfung – die KDSA Ost kündigt eine Prüfung von Pfarreien im Zuständigkeitsgebiet an und gibt schon mal Hinweise, was man lieber parat haben sollte: »Datenschutzkonzept, Verfahrensverzeichnisse, technisch- organisatorische Maßnahmen, Pflichtinformationen« werden genannt. Nach Angaben der Aufsicht laufen außerdem gerade noch Prüfungen internationaler Datentransfers, von Mailhostern, Tracking-Tools und der Nutzung privater Endgeräte zu dienstlichen Zwecken. Viel zu tun.

Der für mehrere ostdeutsche Landeskirchen und Diakonischen Werke zuständige Datenschutzbeauftragte für Kirche und Diakonie veröffentlicht immer spät, stoßweise und rückdatiert (und in dieser Woche gleich drei) Hinweise: Zur Änderung des DSG-EKD zur Missbrauchsaufarbeitung (man erfährt, dass die Behörde informell bei der Novellierung beteiligt war), zu den neuen Standardvertragsklauseln (die im Einklang mit dem kirchlichen Datenschutzrecht anzuwenden sind, auch wenn sie natürlich nur die DSGVO referenzieren) und eine Erläuterung zum Begriff »Stand der Technik«: Insbesondere wird betont, dass eine »Berücksichtigung der Implementierungskosten im Sinne einer Wirtschaftlichkeitsbetrachtung« nicht das Datenschutzniveau absenken dürfe. Empfohlen wird die Handreichung zum Thema des Arbeitskreises »Stand der Technik« des Bundesverbands IT-Sicherheit.

Weiterlesen

Gemeinsame Verantwortlichkeit, verschiedene Datenschutzgesetze?

Gemeinsame Verantwortlichkeit ist kompliziert genug – wenn mehrere Verantwortliche gemeinsam über Zwecke und Mittel der Datenverarbeitung entscheiden, braucht es gute Absprachen und eine transparente Vereinbarung darüber, wer welche Pflichten übernimmt. Wenn kirchliche Datenschutzgesetze gelten, wird es noch komplizierter: Wie mit Unterschieden in den einzelnen Gesetzen umzugehen ist und welche Aufsicht wann zuständig ist, ist nicht in den einzelnen Gesetzen geregelt, weder von Aufsichtsbehörden noch von Gerichten sind Einschätzungen und Entscheidungen dazu bekannt – und die sehr übersichtliche Kommentarliteratur hält sich bedeckt.

Fünf Fäuste für eine gemeinsame Verantwortlichkeit (Symbolbild, Photo by Antonio Janeski on Unsplash)

Eine Expertin für den kirchlichen Datenschutz und seine Umsetzung ist die Juristin Beate Brucker. Die Beraterin ist betriebliche Datenschutzbeauftragte für verschiedene kirchliche Einrichtungen erläutert im Interview, wie man mit gemeinsamer Verantwortlichkeit bei unterschiedlichen Datenschutzgesetzen umgeht.

Weiterlesen

Recht unübersichtlich – Wochenrückblick KW 32/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Auf den ersten Blick wirkt die Veröffentlichung des Gesetzes über das Verwaltungsverfahren im kirchlichen Datenschutz im Amtsblatt des Bistums Limburg wie ein reiner Routine-Vorgang – schließlich tröpfeln die Inkraftsetzungen Diözese für Diözese seit Monaten langsam ein, beginnend mit Speyer Ende 2020. Dass dieses vom Verband der Diözesen Deutschlands abgestimmte Gesetz in allen Bistümern einzeln in Kraft gesetzt wird (und zwar formal ein jeweils eigenes, das sich mindestens in der Inkraftsetzungsformel unterscheidet), hat kirchenrechtliche Gründe: Der Diözesanbischof ist Gesetzgeber, die Bischofskonferenz und ihr Rechtsträger, der VDD, hat kaum Gesetzgebungskompetenzen – insbesondere nicht im Datenschutzrecht. Ein einheitliches DBK-Gesetz bräuchte ein besonderes Mandat des Heiligen Stuhls (wie die KDSGO). Das macht Arbeit und kostet Flexibilität, wenn alles erst über Rom muss (und aus dem wenigen, was man über die Entstehung der KDSGO weiß, ist das keineswegs eine reine Formalie, was im Vatikan passiert).

Einen großen Vorteil hätte ein einziges statt 27+ parallelen Gesetzen (»+«, weil das Militärbischofsamt und gegebenenfalls jeder einzelne Orden päpstlichen Rechts noch weitere erlassen können) dadurch, dass Rechtsklarheit herrscht. Bisher sind die Verwaltungsverfahrensgesetze zwar vom relevanten Wortlaut her gleich – was sich aber unterscheidet, sind die Geltungsdaten. Das im Juni 2020 vom VDD beschlossene Gesetz trat in manchen Bistümern schon zum 1. Januar 2021 in Kraft, aktuell in Limburg zum 1. Juli 2021 mit Veröffentlichung im August 2021 im Amtsblatt – für jede einzelne Diözese muss also geprüft werden, ob das Gesetz zu einem bestimmten Zeitpunkt schon in Kraft war (und für nach Inkrafttreten erst veröffentlichte Gesetze wäre eigens zu klären, ob sie wirklich schon zum im Gesetz genannten Zeitpunkt oder erst zum Erscheinungstag des Amtsblattes gelten). Die Österreichische Bischofskonferenz hat eine kreative Lösung ohne Rom-Umweg für einheitliche Gesetze gefunden, etwa bei ihrem Decretum Generale über den Datenschutz: »Die Diözesanbischöfe haben dem vorliegenden Decretum Generale über den Datenschutz in der Katholischen Kirche in Österreich und ihren Einrichtungen (Kirchliche Datenschutzverordnung) einzeln ihre Zustimmung im Sinne can. 455 § 4 CIC 1983 gegeben.« (Ob dieser Kanon als Mittel der Gesetzgebung wirklich so tragbar ist, kann man aber auch hinterfragen.)

Über die Schwerpunktprüfungen in Kindergärten war hier schon öfter zu lesen (katholisch in NRW und im Norden, außerdem beim BfD EKD). Kitas sind also gut beraten, den Datenschutz nicht schleifen zu lassen – die Datenschutz-Nord-Gruppe hat jetzt ein eigenes Serviceangebot zu Datenschutz in katholischen Kindertageseinrichtungen online gestellt.

Und dann gibt’s noch einen Job für #TeamKirchlicherDatenschutz: in Frankfurt sucht die katholische Aufsicht eine*n Sachbearbeiter*in für den Bereich Informationstechnologie.

Weiterlesen

IDSG: Moderate Buße für Arztbrief in falschen Händen

Freitag ist Gerichtstag: Nach dem überraschenden Beschluss des Datenschutzgerichts der DBK in der vorvergangenen Woche wurde am Freitag eine weitere Entscheidung des Interdiözesanen Datenschutzgerichts (IDSG 21/2020) veröffentlicht – diesmal eher Schwarzbrot. Auch was den Sachverhalt angeht: Ein Arztbrief in falschen Händen. In diesem Fall ein Arztbrief, der trotz Sperrvermerk im Klinikinformationssystem an den Ehemann der Patientin übergeben wurde. (Auch wenn der Beschluss anonymisiert ist: Der Fall wird im aktuellen Tätigkeitsbericht der KDSA Ost ausführlich geschildert.)

Briefumschlag auf Notizbüchern
Photo by pure julia on Unsplash

Dass das ein Datenschutzverstoß ist, war recht klar – die Datenschutzrichtlinie, die ein opt-out-Verfahren für die Sperrvermerke vorsah, war ungenügend, die Datenschutzschulung unzureichend. Die Konsequenzen fürs eigene Datenschutzmanagement sind klar: Datenweitergabe an Dritte nur mit Einwilligung, und Schulungen nicht nur für die Akten. Über den Einzelfall hinaus sind vor allem zwei Punkte relevant: die Erläuterungen zur Anwendbarkeit des Funktionsträgerprinzips und ein Einblick in die Bußgeldpraxis.

Weiterlesen