Für KDG-Anwender*innen brachte das Brexit-Abkommen nämlich ein besonderes Problem mit sich: Explizit legt das katholische Gesetz in § 29 Abs. 11 fest, dass Auftragsverarbeitung nur in EU- und EWR-Ländern, auf Grundlage eines Angemessenheitsbeschlusses oder auf Grundlage einer Feststellung einer Datenschutzaufsicht zulässig ist. Der vom Abkommen gewählte Umweg einer Behandlung des UK, als sei es kein Drittstaat, ist davon nicht abgedeckt.
Nach dem Blick zurück geht’s in die Zukunft: 2021 ist hoffentlich irgendwann das Jahr post Corona. Für den kirchlichen Datenschutz gibt es auch schon einige mehr oder weniger feste Termine. Mit der Evaluierung des KDG und des ökumenischen Kirchlichen Datenschutzmodells stehen zwei große Themen an, die den kirchlichen Datenschutz noch länger prägen dürften.
Der Datenschutzbeauftragte der EKD hat am Mittwoch eine neue Handreichung zu »Datenschutz bei der Anfertigung und Veröffentlichung von Fotos« veröffentlicht. Angesichts seiner letzten Veröffentlichungen könnte man mit einer besonders strengen Auslegung rechnen – tatsächlich bewegt er sich dieses Mal im eher gemäßigten Bereich der Auslegung ohne große Überraschungen.
Die Datenschutzaufsichten von Bund und Ländern stehen in Deutschland ihren kirchlichen Pendants eher kritisch gegenüber. Zumindest wollen sie die Beteiligung überschaubar halten – das war schon bekannt. Über einen Informationsfreiheitsantrag per »Frag den Staat« habe ich bisher unveröffentlichte Dokumente zum Verhältnis und zum Umgang mit den sogenannten »spezifischen« Aufsichtsbehörden (das sind neben den kirchlichen auch die der Medien) bekommen. Herausgegeben wurden die Unterlagen vom Landesdatenschutzbeauftragte von Rheinland-Pfalz, der 2019 den Vorsitz in der Datenschutzkonferenz hatte. Die Datenschutzkonferenz selbst ist leider rechtlich nicht so verfasst, dass man dort direkt IFG-Anfragen stellen könnte.
Inhaltlich gibt es keine großen Überraschungen – aber man kann sehr deutlich ablesen, wie holprig die Zusammenarbeit mit den spezifischen Aufsichtsbehörden ist: Die Dokumente zeigen, wie groß die Skepsis der staatlichen Aufsichten ist und wie gering sie die Beteiligung an ihrer Arbeit halten wollen.
In Berlin, Hessen, Nordrhein-Westfalen und Niedersachsen haben die Landesdatenschutzaufsichten Zweifel an der eigenen Datenschutzgesetzgebung verschiedener Religionsgemeinschaften. Auf Anfrage von »Artikel 91« haben die Behörden angegeben, das Datenschutzrecht kleinerer Religionsgemeinschaften auf die Erfüllung der europarechtlichen Anforderungen zu überprüfen. Laut einem Sprecher der nordrhein-westfälischen Aufsicht sei es sowohl beim Katholischen Bistum der Alt-Katholiken in Deutschland sowie bei der Neuapostolischen Kirche Westdeutschland (NAK) »fraglich, ob das eigene Datenschutzrecht die Anforderungen des Art. 91 (1) DS-GVO« erfüllt. Im äußersten Fall könnte das dazu führen, dass die betroffenen Gemeinschaften die DSGVO anwenden müssen und ihre eigenen Aufsichten keine Rechtsgrundlage haben. Inwiefern das mit dem grundgesetzlich (und europarechtlich) verbürgten Selbstverwaltungsrecht der Kirchen vereinbar wäre, ist noch nicht abzusehen.
Mit Verweis auf das laufende Verfahren wollten die Berliner und die niedersächsische Landesdatenschutzbeauftragten keine näheren Angaben zu den Zweifeln und zu den betroffenen Religionsgemeinschaft machen. Auch aus Hessen gibt es keine Angabe zu den betroffenen Gemeinschaften.
Auf Anfrage bestätigte allerdings der Datenschutzbeauftragte der Selbständigen Evangelisch-Lutherischen Kirche (SELK), Jochen Springer, dass die niedersächsische Aufsicht »die vorläufige Auffassung vertritt, dass die SELK nicht zum Kreis der Berechtigten nach Art. 91 DSGVO zählt und hierüber voraussichtlich demnächst eine gerichtliche Entscheidung eingeholt werden muss«. Auch andere Landesdatenschutzaufsichten hätten bei kleineren Gemeinschaften ähnliche Nachfragen gestellt, »die auf eine Aberkennung der kirchlichen Selbstverwaltungsrechte in Datenschutzfragen abstellen«, so Springer.
Grundsätzlich hatten alle Kirchen und Religionsgemeinschaften die Möglichkeit, ein eigenes Datenschutzrecht gemäß Art. 91 DSGVO anzuwenden – welche das sind, ist nicht immer einfach herauszufinden, und oft herrscht selbst bei den bekannten (ich weiß momentan von 15 Gemeinschaften) nicht die höchste Transparenz. Anders sieht es beim Bund Freikirchlicher Pfingstgemeinden (BFP) aus: Die Datenschutzaufsicht betreibt eine Infoseite und der Tätigkeitsbericht ist öffentlich zugänglich.
Bildquelle: BFP-Aktuell
Das erklärte Ziel des Datenschutzbeauftragten des Bundes ist es, »das ›Gütesiegel‹ eines angemessenen Datenschutzniveaus« zu sichern, so der Bericht – »immer in dem Wissen, dass es um Menschen geht, die Gott uns anvertraut hat«. Der im September veröffentlichte Tätigkeitsbericht für 2018 und 2019 bietet einen interessanten Einblick in Arbeitsweise und Struktur des Datenschutzes in einer kleineren Religionsgemeinschaft – und birgt sehr besondere Ausnahmeregeln.
Eins gleich vorweg: Die Antwort auf die drängendste Frage, nämlich »Darf ich Zoom verwenden?«, ist ein deutliches »Tja, hmm …«. Zum Thema Videokonferenzen haben die kirchlichen Datenschutzaufsichten viel veröffentlicht – und vieles ist auf der strengeren Seite möglicher Spielräume, bis hin zu ganz klaren Aussagen, dass US-Dienste kategorisch unzulässig sind. Aus diesem Dilemma kommt man nicht heraus.
Auch dieser Artikel kann kein Patentrezept liefern. Das kann momentan niemand – oder wie es der bayerische Diözesandatenschutzbeauftragte sagt: »Wenn Sie nach dem Lesen des Aufsatzes nicht wissen, welches Programm Sie nun wählen sollen, sind Sie damit nicht allein auf der Welt.« Was aber geht: Das Datenschutzniveau pragmatisch zu heben, sich statt völlig immerhin größtmöglich rechtskonform aufzustellen – selbst wenn die Wahl auf einen US-Anbieter fällt – und das eigene Verhalten auf respektvollen Umgang mit den Daten anderer zu optimieren.
Joachimski legt nun eine Aufstellung von Einschätzungen vor, aufgeschlüsselt nach unterschiedlichen Datenarten – und er gibt (nach ersten Äußerungen im Tätigkeitsbericht) auch einen Ausblick, wie er selbst vorgehen wird. Grundsätzlich und der herrschenden Meinung entsprechend weist Joachimski darauf hin, dass explizit zwar nur Privacy Shield gekippt wurde, dass aber auch die Standardvertragsklauseln nach dem Urteil auf tönernen Füßen stehen, vor allem wegen des CLOUD Acts. Entgegen der herrschenden Meinung (aber mit der herrschenden Praxis) will er aber Übergangsfristen gewähren – mit einem Corona-Bonus. Weil es eh nicht anders geht: »Ein fahrender Zug hat auch einen gehörigen Bremsweg.«
Jetzt sind die katholischen Tätigkeitsberichte komplett: Die Diözesandatenschutzbeauftragte Ursula Becker-Rathmair, zuständig für die Südwest-Bistümer Freiburg, Fulda, Limburg, Mainz, Rottenburg-Stuttgart, Speyer und Trier, hat am Dienstag ihren Bericht für 2019veröffentlicht. Er ist weitgehend überraschungsfrei, hat aber drastische Beispiele für die Praxisrelevanz von Datenschutz.
»Die Sensibilisierung für den Schutz der eigenen Daten hat an Fahrt aufgenommen«, betont Becker-Rathmair – auch sie hat mehr zu tun. Aber nicht so viel mehr, wie man bei diesen großen Bistümern erwarten könnte, jedenfalls in manchen Bistümern. Zeigen sich hier Compliance-Lücken bei den Verantwortlichen? Jedenfalls nicht in Trier: Das ist zahlenmäßig Spitzenreiter
Jupp Joachimski (Jahrgang 1942) leitet die Gemeinsame Datenschutzaufsicht der bayerischen (Erz-) Diözesen. Seit 2007 ist er als Diözesandatenschutzbeauftragter tätig.
Jupp Joachimski ist Diözesandatenschutzbeauftragter für die bayerischen Bistümer. Eigentlich sollte er das Amt heute abgeben – doch noch steht sein Nachfolger nicht fest. Der ehemalige Vorsitzende Richter am Obersten Bayerischen Landesgericht hat am Gesetzgebungsprozess für das Gesetz über den katholischen Datenschutz mitgewirkt. Auch bei der gerade stattfindenden Evaluierung des KDG ist er beteiligt. Bei Artikel 91 verrät er einige Details dazu.
(Ebenfalls heute ist ein Interview mit Joachimski auf katholisch.de erschienen. Dort geht es eher allgemein um seine Erfahrungen im kirchlichen Datenschutz. Zudem verrät er dort noch einen weiteren Punkt aus der KDG-Evaluierung: Das Schriftformerfordernis bei der Einwilligung soll fallen.)
