Die erste Schwerpunktprüfung des BfD EKD ist beendet und dokumentiert: Am Freitag veröffentlichte die evangelische Aufsicht den Abschlussbericht zur anlasslosen Prüfung in 100 zufällig ausgewählten Kitas in allen Landeskirchen.
Vieles aus dem Abschlussbericht war schon aus dem Zwischenbericht bekannt. Neu ist, dass jetzt auch der verwendete Fragebogen veröffentlicht wurde, der sich zur Selbstprüfung eignet.
WeiterlesenVerantwortliche müssen technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten – so steht es in § 26 KDG. Dazu gehören beispielsweise besonders gesicherte Kommunikationskanäle. Lediglich transportverschlüsselte E-Mail fällt damit regelmäßig aus – das ist sicher, aber unpraktisch. In der Praxis stellt sich daher die Frage, ob auf angemessene ToMs durch eine Einwilligung verzichtet werden kann: »Ich willige in eine Zusendung des Untersuchungsbefunds per E-Mail ein«, zum Beispiel.
Bislang war die Position der katholischen Datenschutzkonferenz, dass eine Einwilligung in schlechtere ToMs nicht zulässig ist. Die Verpflichtung sei »zwingender Natur und steht mithin nicht zur Disposition der an der Datenverarbeitung Beteiligten«, lautete bislang der Beschluss. Nun hat die Konferenz der Diözesandatenschutzbeauftragten ihren Beschluss revidiert und spricht von einem »Dispositionsrecht zur Einwilligung in die Nichtanwendung von technischen und organisatorischen Maßnahmen«. Der Beschluss der Juni-Sitzung wurde jetzt veröffentlicht.
WeiterlesenVor zwei Jahren kündigte die irische Datenschutzaufsicht in ihrem Tätigkeitsbereich für 2019 eine Prüfung der Frage an, inwiefern Kirchen die Daten ausgetretener Mitglieder gegen deren Willen verarbeiten dürfen. Die Frage hat in Irland besondere Brisanz mangels einer Möglichkeit, die Abkehr von der Kirche formell zu bestätigen. Widerstand dagegen wird unter anderem von »Atheist Ireland« organisiert.
Nun steht die Entscheidung der Aufsicht an, wie eine Sprecherin der Data Protection Commission auf Anfrage mitteilte. Demnach sei die Untersuchung in einem fortgeschrittenen Stadium, ein Entwurf der Position ist in Arbeit. Vor einer endgültigen Entscheidung wird der Entscheidungsentwurf dem Erzbischof von Dublin zugeleitet, gegen dessen Erzdiözese sich die Untersuchung formal richtete. Ein Zeitfenster konnte die Sprecherin nicht nennen, da noch nicht absehbar sei, wie umfangreich die Berücksichtigung der Rückmeldungen der Kirche sei.
WeiterlesenUnd noch ein evangelischer Tätigkeitsbericht erschien in dieser Woche: Nach dem landeskirchlichen des DSBKD am Dienstag erschien am Mittwoch der Bericht des Datenschutzbeauftragten des Bundes Freikirchlicher Pfingstgemeinden für 2020/21 – eine der ganz wenigen der kleineren Gemeinschaften, die über ihre eigene Datenschutzorganisation transparent Auskunft gibt.
Inhaltlich ist auch bei den Pfingstgemeinden Corona anscheinend nicht anders abgelaufen als bei anderen Gemeinschaften – dafür gab es gesetzgeberische Tätigkeit an der Datenschutzordnung, sichtlich auch von Corona bestimmt.
WeiterlesenDer Datenschutzbeauftragte für Kirche und Diakonie, der für die Landeskirchen Sachsens und Sachsen-Anhalts und die Diakonie Sachsens und Mitteldeutschlands zuständig ist, hat seinen zweiten Tätigkeitsbericht vorgelegt. Die Berichtsjahre 2020 und 2021 decken die ersten beiden Corona-Jahre ab – aber es geht nicht nur um Corona.
Drei große Schwerpunktthemen widmen sich einem großen Datenschutz-Systemaudit, dem Einsatz von Microsoft-Produkten und Sprachassistenten in der Pflege – eine sehr praktische und nicht DSG-EKD-spezifische Schwerpunktsetzung, die auch für Anwender*innen anderer Datenschutzgesetze relevant sein dürfte.
WeiterlesenVor zwei Wochen hatte die Berliner Landesdatenschutzbeauftragte in ihrem Tätigkeitsbericht den Fall einer Lücke in Software für Stipendienbewerbungen geschildert. Laut Bericht waren vier Studienstiftungen betroffen. Da durch die Ausrichtungen der nicht namentlich genannten Stiftungen auch Daten zur Religionszugehörigkeit erhoben wurden, ist davon auszugehen, dass auch eine der Stiftungen von Religionsgemeinschaften betroffen war. Nun ist klar, um welche es sich handelt: Auf Anfrage teilte das Avicenna-Studienwerk mit, dass dort die fragliche Software eingesetzt wurde. Ausgenutzt wurde die Sicherheitslücke aber nicht.
»Die Herstellerfirma informierte uns unmittelbar über die Sicherheitslücke und deaktivierte die Webseite. Erst nach der Beseitigung der Sicherheitslücke wurde das Bewerbungsportal wieder freigeschaltet«, teilte das muslimische Begabtenförderungswerk auf Anfrage mit. Die zuständige niedersächsische Landesdatenschutzbeauftragte sei durch das in Osnabrück ansässige Werk unmittelbar über den Vorfall informiert worden. »Ein externer Zugriff konnte nach intensiver Prüfung von allen Seiten ausgeschlossen werden. Eine weitere Veranlassung wurde seitens der Landesdatenschutzbehörde für nicht notwendig erachtet«, so das Werk weiter.
Die Berliner Datenschutzbeauftragte hatte mitgeteilt, dass sie Ende August 2021 einen Hinweis erhalten habe, dass durch eine Sicherheitslücke in einer Software für Stipendienportale der Zugriff auf eine große Menge personenbezogener Daten verschiedener Studienstiftungen möglich sei. »Die unsichere Software wurde hauptsächlich zum Bereitstellen von Stipendienbewerbungsportalen genutzt, wo eine große Menge von zum Teil höchstpersönlichen Daten gespeichert werden. Aufgrund der jeweiligen Ausrichtung der betroffenen Studienstiftungen waren zudem besondere Kategorien personenbezogener Daten, wie Religionszugehörigkeit oder Daten zur politischen Überzeugung und Weltanschauung betroffen«, hieß es im Bericht. Die Sicherheitslücke, die auf die falsche Nutzung eines Frameworks zurückging, sei mittlerweile behoben.
Die anderen drei konfessionellen und religiösen Begabtenförderungswerke, die aus Mitteln des Bundesbildungsministeriums gefördert wurden, waren nicht betroffen. Schon vor zwei Wochen teilten sowohl das katholische Cusanuswerk wie das Evangelische Studienwerk Villigst mit, die Software nicht eingesetzt zu haben. Mittlerweile hat sich auch das Ernst-Ludwig-Ehrlich-Studienwerk zu der Sicherheitslücke geäußert: Wie die christlichen Studienwerke setzt auch das jüdische Begabtenförderungswerk die bemängelte Software nicht ein und ist daher nicht betroffen.
Die FAQ-Liste der Datenschutzkonferenz zu Facebook-Fanpages wurde nun von der Aufsicht Sachsen-Anhalts veröffentlicht. Bei den zehn Fragen und Antworten auf sechs Seiten muss man nicht sonderlich zwischen den Zeilen lesen, um zu bestätigen, was ohnehin keine Überraschung ist: Facebook-Fanseiten sind zur Zeit nicht rechtskonform zu betreiben.
Da wirkt es fast schon komisch, wenn die Antwort auf die vierte Frage, »Müssen Facebook-Fanpages jetzt sofort deaktiviert werden?«, kein klares Ja ist, sondern nur ein Verklausuliertes: »Kann die Verarbeitung personenbezogener Daten nicht rechtskonform durchgeführt werden, ist der Betrieb einer Facebook-Fanpage rechtswidrig. Die Aufsichtsbehörden haben seit Jahren auf die Probleme hingewiesen. Übergangsfristen kennt die DSGVO nicht.« Es scheint in dieser Versammlung einige empfindliche Ohren zu geben, die das Wort »Blut« nicht wohl vertragen können.
WeiterlesenDiese Frage bleibt offen im Datenschutzgarten des Bundesdatenschutzbeauftragten. Pünktlich zum Sommerbeginn wurde der nun auch offiziell eröffnet, nachdem im Fediverse darüber schon seit Wochen gesprochen wird. Und auch wenn man zum Recht auf Vergessen bei Raublattgewächsen nichts erfährt, gibt es doch ziemlich viele Informationen auf den Tafeln im Wildblumengarten vor dem Dienstsitz des BfDI im Bonner Stadtteil Castell.
Die Datenschutzkonferenz des Bundes und der Länder befasst sich damit, wie das Gremium für eine wirksamere Kooperation ausgestattet werden kann. Über eine IFG-Anfrage wurde das im Protokoll der letzten DSK-Sitzung erwähnte Gutachten »Rechtliche Möglichkeiten zur Stärkung und Institutionalisierung der Kooperation der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK 2.0)« von Eike Richter und Indra Spiecker gen. Döhmann öffentlich gemacht.
Die staatlichen Aufsichten haben kein gesteigertes Interesse daran, dass die spezifischen Aufsichten mehr Beteiligungsrechte erhalten. Das spiegelt sich auch im Auftragsgutachten wieder – eine zu enge Einbeziehung soll sogar verfassungs- und europarechtswidrig sein. Das überzeugt nur bedingt.
WeiterlesenGeldbußen waren das Aufregerthema, als das neue Datenschutzrecht wirksam wurde. Mittlerweile ist es um die Bußgelder stiller geworden – vor allem, was die befürchtete Breitenwirkung angeht. Kaum ein kleines Unternehmen, kaum ein kleiner Verein wird gebußt.
Mit den neuen Richtlinien des Europäischen Datenschutzausschusses zur Ermittlung der Bußgeldhöhe kommt das Thema nun wieder etwas stärker auf die Agenda. Im kirchlichen Datenschutz gibt es solche Leitplanken bislang nicht – aber auch hier ist die Angst vor dem Bußgeld groß. Der Blick in die Gesetze und in die Praxis der Aufsichten kann aber beruhigen.
Weiterlesen