Archiv der Kategorie: Aufsichtsbehörden

Nordkirche stimmt für Übertragung der Datenschutzaufsicht an die EKD

Schreiben Sie eine Antwort

Die EKD-Datenschutzaufsicht konsolidiert sich weiter: Die 12. Tagung der Landessynode der Nordkirche hat am Donnerstag in erster Lesung einstimmig ein »Kirchengesetz zur Übertragung der Datenschutzaufsicht« an den BfD EKD beschlossen; die endgültige Verabschiedung bei der zweiten Lesung am Samstag dürfte damit nur noch eine Formalität sein. Die Argumente waren für die Synodalen schlagend: eine schlankere und günstigere Verwaltung, dazu Synergieeffekte, die eine angemessene Beaufsichtigung vor allem der diakonischen Einrichtungen ermöglicht. Redebedarf in der Aussprache gab es nicht.

Blick ins Plenum der Landessynode der Nordkirche, September 2020
Die Landessynode der Nordkirche – hier ein Bild aus dem vergangenen Jahr; dieses Mal musste die Synode wieder in den digitalen Raum weichen. (Bildquelle: Susanne Hübner/Nordkirche)

Dass es solche Bestrebungen gibt, war bekannt – im jüngsten Tätigkeitsbericht des BfD EKD hieß es, dass »weitere Gliedkirchen und diakonische Landesverbände« Interesse haben, die Datenschutzaufsicht »in absehbarer Zeit« auf die EKD zu übertragen. Bisher war das lediglich von der Landeskirche der Pfalz bekannt, wo es ebenfalls im Tätigkeitsbericht angekündigt wurde. Noch im Juni hatte die Pressestelle der Nordkirche auf Anfrage mitgeteilt, es gebe »aktuell […] in der Nordkirche keine konkreten Pläne, die Datenschutzaufsicht auf die EKD zu übertragen« – was nicht der Wahrheit entsprach, wie aus dem Synodenantrag nun hervorging.

Weiterlesen →

Neue Argumente für die Unterwerfungserklärung nach DSG-EKD

Schreiben Sie eine Antwort

Auftragsverarbeitung verbindet oft den Anwendungsbereich verschiedener Datenschutzregime: Wenn eine kirchliche Stelle einen nicht-kirchlichen Dienstleister beauftragt, unterliegt der zwar weiterhin der DSGVO, als verantwortliche Stelle muss die kirchliche Einrichtung aber die Durchsetzung des kirchlichen Datenschutzgesetzes sicherstellen. Auftragsverarbeitung im kirchlichen Kontext braucht daher Zusatzvereinbarungen zu den Standard-Auftragsverarbeitungsverträgen.

Eine Hand steckt ein Netzwerkkabel in einem Serverschrank.
Auftragsverarbeitung ist besonders bei der IT alltäglich. (Symbolbild, Photo by ThisisEngineering RAEng on Unsplash)

Als wäre es nicht schon anspruchsvoll genug, Dienstleister (die oft Massendienstleistungen anbieten) von Zusatzvereinbarungen zu überzeugen, verwendet man im Bereich des DSG-EKD auch noch den sehr unsympathischen Begriff »Unterwerfungserklärung«, der nicht unbedingt die besten Assoziationen weckt. Wohl auch deshalb hat der BfD EKD sein Muster einer Unterwerfungserklärung um hilfreiche Erläuterungen ergänzt.

Weiterlesen →

Aufsichten vs. Microsoft-Cloud: Viel Dialog, (fast) keine Sanktionen

3 Antworten

Viel Beratung und Dialog, kaum Maßnahmen – das ist das Ergebnis einer Umfrage unter den Datenschutzaufsichten der Länder und des Bundes, die ich in den vergangenen zwei Wochen zur Nutzung von Microsoft-Produkten in der Cloud durchgeführt habe. Nur eine einzige Behörde antwortete auf die Frage, ob sie aufgrund eines Einsatzes von Microsoft-Produkten von Abhilfebefugnissen gegenüber Verantwortlichen gemäß Art. 58 Abs. 2 DSGVO Gebrauch gemacht habe, mit einem klaren Ja – die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Eine Nahaufnahme einer Windows-Taste auf einer schwarzen Tastatur
scheinen Alternativen zu Microsoft-Produkten scheinen oft unvorstellbar – wenn schon die Hardware mit Microsoft-Branding kommt. (Symbolbild, Photo by Tadas Sar on Unsplash

Das Handeln staatlicher Aufsichten ist auch für den kirchlichen Datenschutzaufsichten unterworfene Verantwortliche interessant: Die kirchlichen Aufsichten bemühen sich um einen großen Einklang mit den staatlichen, in kirchlichen Stellen dominiert Microsoft den Bürosoftware-Markt genauso wie in weltlichen. Wo die staatlichen nicht hart durchgreifen, ist auch kein kirchlicher Durchmarsch zu erwarten.

(Die gesammelten und systematisierten Rückmeldungen in Rohform gibt es auch zum Download.)

Weiterlesen →

EKD-Aufsichten zu Schrems II – Weniger ausnahmsweise als Art. 49 DSGVO

2 Antworten

Die Konferenz der Beauftragten für den Datenschutz in der EKD  hat eine Gemeinsame Stellungnahme zur Datenübermittlung in die USA veröffentlicht. Dass eine gemeinsame Stellungnahme in Arbeit ist, wurde bereits vor zwei Wochen durch die verspätete Veröffentlichung einer Position des Datenschutzbeauftragten für Kirche und Diakonie bekannt und löst den selbst gegebenen Abstimmungsauftrag aus der Stellungnahme aus dem Juli des vergangenen Jahres ein..

Ein Verriegelungsknopf an einem Oldtimer, im Hintergrund eine US-Flagge.
Symbolbilder für Drittlanddatenübertragungen sind ohnehin alle Unsinn, warum also nicht das, das immerhin einen Knopf an einem Auto zeigt? (Photo by Nick Fewings on Unsplash)

Inhaltlich ist die nun für den gesamten landeskirchlichen Bereich abgestimmte Stellungnahme fast keine Überraschung: Im wesentlichen wird das in § 10 Abs. 2 DSG-EKD festgelegte Verfahren zur Drittlandsdatenübermittlung ohne Angemessenheitsbeschluss und Standarddatenschutzklauseln vorgestellt, dazu kommt eine detaillierte Geschichte der Datenübermittlung in die USA, eine Erörterung des Marktortprinzips der DSGVO und ein Überblick über die durch den CLOUD-Act erzeugten Probleme – die eine kleine Überraschung: Die Antwort auf die Frage, ob das DSG-EKD wie Art. 49 DSGVO nur ausnahmsweise Datenübertragungen in Drittländer ohne Angemessenheitsbeschluss normiert.

Weiterlesen →

Wanderaufsicht ohne Buße – Tätigkeitsbericht des bayerischen Diözesandatenschutzbeauftragten 2020/2021

Schreiben Sie eine Antwort

Der bayerische Diözesandatenschutzbeauftragte hat die aktuelle Tätigkeitsberichtsrunde abgeschlossen – mit seinem auf den 1. Oktober datierten und spät am Montag veröffentlichten Bericht für den Zeitraum vom 1. Oktober 2020 bis zum 30. September 2021 liegen nun alle katholischen Berichte vor.

Titelseite des Tätigkeitsberichts des bayerischen Diözesandatenschutzbeauftragten.
Schlicht wie immer: Der Tätigkeitsbericht des bayerischen Diözesandatenschutzbeauftragten für 2020/2021

Wie immer schmucklos, ist er mit 14 Seiten dieses Mal so lang wie noch nie in Bayern. Drama wie im letzten Jahr der Hilferuf wegen der mangelnden Ausstattung der Aufsicht gibt es höchstens zwischen den Zeilen – und der DDSB Jupp Joachimski zeigt wieder einmal, dass er unter seinen Kolleg*innen der mit der stärksten juristischen Durchdringung der komplizierten Verwaltungsmaterien ist.

Weiterlesen →

Wann kommt das Katholische Datenschutzzentrum Nürnberg?

Schreiben Sie eine Antwort

»Die Freisinger Bischofskonferenz errichtet in Nürnberg ein kirchliches Datenschutzzentrum, das als unabhängige kirchliche Behörde die Aufgaben der Datenschutzaufsicht wahrnehmen wird«, hieß es knapp und unscheinbar im März 2018 in der Erklärung zur Frühjahrsvollversammlung der bayerischen Bischöfe in Augsburg. Jetzt, dreieinhalb Jahre später, gibt es immer noch kein Datenschutzzentrum Nürnberg, seit gut einem Jahr ist die Amtszeit des Diözesandatenschutzbeauftragten ausgelaufen (er führt das Amt bis zum Amtsantritt seiner Nachfolge weiter, wie es das Kirchenrecht vorsieht), seine »Behörde« ist die mit Abstand am schlechtesten ausgestattete katholische Datenschutzaufsicht, wie der Leiter selbst in dramatischen Worten in seinem letztjährigen Tätigkeitsbericht schrieb.

Eine Glühbirne ohne Lampenschirm hängt an einem Kabel von einer Decke mit weiß-blauen Rauten herab.
Erstmals kommt dank der Auskunft der Freisinger Bischofskonferenz etwas Licht ins Dunkel um das Katholische Datenschutzzentrum Nürnberg. (Das Symbolbild zeigt eine Lampe in der Bonner Kreuzbergkirche, wo die Wittelsbacher als Kölner Kurfürsten auch mal was zu sagen hatten.)

Möglicherweise kommt jetzt etwas Bewegung in die Sache. Oder auch nicht. Auf Nachfrage teilte mir das Erzbistum München und Freising mit, dessen Pressestelle in Personalunion die der Freisinger Bischofskonferenz bildet, wie es um die Nürnberger Neugründung steht: Es fänden »vorbereitende Schritte« statt, der Prozess soll »schnellstmöglich, aber auch mit der angemessenen Gründlichkeit« abgeschlossen werden.

Weiterlesen →

EKD-Datenschutzbeauftragter veröffentlicht FAQ zu gemeinsamer Verantwortlichkeit

Schreiben Sie eine Antwort

Erstmals äußert sich eine kirchliche Aufsicht ausführlicher zur gemeinsamen Verantwortlichkeit. Der Beauftragte für den Datenschutz der EKD hat am Donnerstag eine FAQ-Liste zu gemeinsam verantwortlichen Stellen veröffentlicht. Die Liste erläutert allgemein, wie gemeinsame Verantwortlichkeit umgesetzt wird. Die eigentlich spannende und bisher ungeklärte Frage, die nach der Zusammenarbeit von Stellen, die unterschiedlichen Datenschutzgesetzen unterliegen, wird immerhin angesprochen.

Neonröhren in Form von sich schüttelnden Händen
(Photo by Charles Deluvio on Unsplash)

Im Blick sind dabei Konstellationen, in denen kirchliche und nichtkirchliche Stellen gemeinsam verantwortlich sind – gemeint sind damit der Diktion des DSG-EKD folgend »kirchliche Stellen« als »dem DSG-EKD unterfallende«, also auch Kooperationen zwischen Stellen, die unterschiedlichen Kirchenrechtsregimen unterliegen. Einige Fragen bleiben trotzdem offen.

Weiterlesen →

Kirchliche Datenschutzaufsicht: Ausstattung gut bis ungenügend

Schreiben Sie eine Antwort

Das schönste Gesetz nutzt nichts, wenn es nicht auch umgesetzt wird. Beim Datenschutzrecht ist ein Faktor dabei die Leistungsfähigkeit der Aufsicht. Der Europäische Datenschutzausschuss EDPB hat daher die Aufsichtsbehörden der Staaten, in denen die DSGVO gilt, unter die Lupe genommen und ihre Ressourcenausstattung verglichen: »Overview on resources made available by Member States to the Data Protection Authorities and on enforcement actions by the Data Protection Authorities«. Aufgrund des Prinzips der federführenden Behörde (»one stop shop«) hat eine schlecht ausgestattete Aufsicht Auswirkungen auf alle – »a lack of resources in a supervisory authority competent to handle cross-border cases, can after all have tangible consequences for citizens across the EU«.

Fünf unterschiedlich hohe Stapel mit Eurocent-Münzen
So transparent lässt sich das Budget nicht bei allen kirchlichen Aufsichten ermitteln. (Symbolbild: Photo by Ibrahim Rifath on Unsplash)

Nicht betrachtet wurde die Ausstattung der kirchlichen Aufsichtsbehörden, die (mindestens in Deutschland und Polen) einen beachtlichen Teil von Stellen beaufsichtigen, die oft mit besonders sensiblen Daten hantieren. Der von den Kirchen geforderte Einklang mit dem DSGVO-Datenschutzniveau steht und fällt dort, wo eigene Aufsichten eingerichtet werden, mit deren Ausstattung. Ein Blick in Tätigkeitsberichte und Kirchenhaushalte kann zumindest ein wenig Licht ins Dunkel bringen.

Weiterlesen →

Rekordgeldbuße im Südwesten – Tätigkeitsbericht 2020 des KDSZ Frankfurt erschien

Schreiben Sie eine Antwort

Der Tätigkeitsbericht 2020 der katholischen Aufsicht für den Südwesten ist da – und damit ist der 2020er-Reigen vorerst abgeschlossen. (Der bayerische DDSB berichtet immer von September bis September statt zum Kalenderjahr.) Natürlich gibt es wieder viel Corona – und in einem Nebensatz den Hinweis auf die bisher höchsten bekannten Geldbußen im kirchlichen Datenschutz.

Die Titelseite des Tätigkeitsbericht 2020 der KDSZ Frankfurt
Den Bericht des KDSZ Frankfurt ziert eine schöne Statue des hl. Johannes Nepomuk – leider ist auch in der verwendeten Stockphoto-Datenbank nicht herauszufinden, wo diese Statue steht. Vielleicht weiß es ein*e Leser*in?

Erstmals ziert der heilige Johannes Nepomuk den Tätigkeitsbericht – anlässlich der Errichtung als KdÖR hat das Katholische Datenschutzzentrum Frankfurt ein Siegel und einen Schutzpatron bekommen. (Und der NRW-Datenschutzpatron Ivo einen Kollegen.) Er möge, so die Diözesandatenschutzbeauftragte, »den Blick dafür öffnen, wann man reden und wann man vielleicht besser schweigen sollte«.

Weiterlesen →

Betroffenenrechte mangelhaft – Tätigkeitsbericht 2020 des Katholischen Datenschutzzentrums NRW

Schreiben Sie eine Antwort

»Corona.« Mit einem Seufzer beginnt das Vorwort des Tätigkeitsberichts des Katholischen Datenschutzzentrums Dortmund für 2020. Die Bericht der Aufsicht für die NRW-Bistümer und den VDD kommt wie die anderen bereits erschienenen Berichte natürlich nicht um das alles beherrschende Thema herum, setzt aber noch einige andere Schwerpunkte: Schrems II und Brexit sind von außen gesetzt. (Und bieten für regelmäßige Leser*innen hier nichts neues.) Eine intensive Auseinandersetzung mit Betroffenenrechten und eine Kita-Querschnittsprüfung sind selbst gewählt.

Titelseite des Tätigkeitsberichts 2020
Fünf Zeilen für den Namen der Behörde. Eine mögliche Umbenennung in KDSA NRW wird im Bericht aber nicht angesprochen.

Im vergangenen Jahr hieß es hier zum Tätigkeitsbericht für 2019 »Die Schonzeit ist vorbei«. Auch in diesem Jahr macht der DDSB deutlich, dass (zum Veröffentlichungszeitraum) nach mehr als drei Jahren KDG nicht mit allzu viel Nachsicht zu rechnen ist. Die großen Bußgeld-Hämmer blieben dennoch aus.

Weiterlesen →