Archiv der Kategorie: Recht und Gesetzgebung

Reformbedarf beim DSGVO-Kirchenartikel

Mit der DSGVO ist alles in Ordnung. Kein Änderungsbedarf. Nur die Durchsetzung könnte etwas besser sein (looking at you, Ireland). Das war in etwa das Fazit der ersten Evaluierungsrunde der DSGVO im vergangenen Jahr, trotz vieler Kritik im Detail. Erst recht nicht wurde dabei Art. 91 DSGVO angefasst, der Religionsgemeinschaften unter bestimmten Bedingungen eigenes Datenschutzrecht und eigene Aufsichten zugesteht – dabei gäbe es dort viel zu tun.

Bücherstapel mit Lesezeichen
(Photo by Bernd Klutsch on Unsplash)

Ein Blick in die Kommentarliteratur zeigt, wie unklar dieser Artikel tatsächlich ist: Der Wortlaut sagt, dass nur schon vor der DSGVO etabliertes kirchliches Datenschutzrecht zulässig ist. Ist das mit dem Gleichbehandlungsprinzip vereinbar? Der Artikel fordert »umfassende« Regeln – muss dann wirklich alles geregelt werden, was auch die DSGVO regelt? Und schließlich braucht es einen »Einklang« mit den Wertungen der DSGVO – also alles genauso, nur eigen? Oder doch etwas Spielraum? Und nur nach oben oder auch nach unten?

Weiterlesen

Noch weniger Betroffenenrechte im Osnabrücker Schuldatenschutz

Nach dem Erzbistum Hamburg hat auch das Bistum Osnabrück eine Durchführungsverordnung zum Schutz personenbezogener Daten in katholischen Schulen veröffentlicht. Schon die Hamburger Ordnung hat einen zwiespältigen Eindruck hinterlassen: Während die digitalen Methoden und Werkzeuge angemessen berücksichtigt wurden, wurden die Betroffenenrechte von Schüler*innen empfindlich eingeschränkt.

Ein Kind zeichnet mit einem Stylus auf einem Tablet
Ein Kind zeichnet mit einem Stylus auf einem Tablet (Photo by Jeswin Thomas on Unsplash)

Die Osnabrücker Verordnung ähnelt in weiten Teilen der Hamburger, mit einigen Umstellungen und kleineren Änderungen – aber auch mit substantiellen Unterschieden. Und zwar nicht zum Besseren.

Weiterlesen

Kirchliche Datenschutzgerichte im Spiegel der Kanonistik

Kirchliches Datenschutzrecht ist, man verzeihe die Selbstverständlichkeit, Kirchenrecht. Dennoch sind die genuin kanonistischen Beiträge zum kirchlichen Datenschutzrecht bisher sehr übersichtlich. In diesem Jahr sind aber gleich zwei Beiträge auf diesem Gebiet erschienen: Ein Aufsatz zur kirchlichen Datenschutzgerichtsbarkeit als möglicher Vorstufe für eine allgemeine Verwaltungsgerichtsbarkeit von Matthias Ambros und die Leuvener Masterarbeit von Martina Tollkühn, die sich ebenfalls mit der Datenschutzgerichtsbarkeit befasst.

Titel der beiden besprochenen Werke

Beide Beiträge leisten einen wichtigen Beitrag, um das kirchliche Datenschutzrecht in den größeren Kontext des kanonischen Rechts einzubetten, insbesondere zu Fragen, wie die spezielle deutsche Gerichtsbarkeit mit dem universalkirchlichen Rechtsschutz interagiert – und Tollkühn hat zudem noch im Anhang ein Osterei, das einen besonderen Einblick in die Entstehungsgeschichte der kirchlichen Datenschutzgerichte gibt.

Weiterlesen

DSG-EKD geändert: Rechtsgrundlage für Missbrauchsaufarbeitung

Erstmals seit Inkfrattreten wurde das Datenschutzgesetz der Evangelischen Kirche Deutschlands geändert. Wie die EKD in ihrem aktuellen Amtsblatt mitteilt, hat der Rat eine gesetzesvertretende Verordnung zur Änderung des DSG-EKD erlassen »zum Zwecke der institutionellen Aufarbeitung sexualisierter Gewalt«. Die größte Änderung betrifft einen neuen Paragraphen 50a, der eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten für die institutionelle Aufarbeitung sexualisierter Gewalt schafft.

Eine Hand vor einem Gesicht
(Bildquelle: Photo by Philipp Wüthrich on Unsplash)

Die Aufarbeitung wird mit einer neuen Definition in § 4 gefasst: »institutionelle Aufarbeitung sexualisierter Gewalt« ist der als Nr. 22 eingefügten Begriffsbestimmung zufolge »jede systematische, nicht auf den Einzelfall bezogene Untersuchung von Vorkommnissen sexualisierter Gewalt, insbesondere betreffend deren Ursachen, Rahmenbedingungen und Folgen«.

Weiterlesen

Das Erzbistum Hamburg digitalisiert seinen Schuldatenschutz

Das Erzbistum Hamburg macht den Datenschutz an seinen Schulen coronafest. Die neue Durchführungsverordnung zum Schutz personenbezogener Daten in katholischen Schulen im Erzbistum Hamburg schafft Rechtsgrundlagen für den Einsatz digitaler Werkzeuge im Unterricht und damit hoffentlich mehr Rechtsklarheit. Zugleich werden auch Auskunfts- und Informationsrechte festgeschrieben – allerdings mit einem Haken.

Ein Kind zeichnet etwas auf einem Tablet, nur die Hände, der Stylus und das Tablet sind zu sehen.
(Symbolbild, Photo by Jeswin Thomas on Unsplash)

Die Ordnung ersetzt eine Vorgängernorm aus 2009, die Anordnung zum Schutz personenbezogener Daten in katholischen Schulen in freier Trägerschaft im Erzbistum Hamburg. Es scheint sich dabei um originäres Hamburger Recht zu handeln, nicht um die Umsetzung einer deutschlandweiten Rahmengesetzgebung des VDD wie bei anderen Gesetzen. (Zuerst hatten die Datenschutz-Notizen über die bereits am 31. Mai im Amtsblatt veröffentlichte neue Ordnung berichtet.)

Weiterlesen

Tagungsbericht »Drei Jahre Gesetz über den Kirchlichen Datenschutz«

Im vierten Jahr seiner Geltung geht es beim KDG und seiner Umsetzung in die Details – das zeigte die von Curacon und den nordrhein-westfälischen Caritasverbänden organisierte Tagung zum dritten Geburtstag des Gesetzes über den kirchlichen Datenschutz am vergangenen Freitag.

Folie mit dem Veranstaltungstitel auf einem Laptop

Schwerpunkt waren alltägliche, aber komplizierte Themen: Der Umgang mit Auskunftsersuchen, Auftragsverarbeitung, Schadensersatzansprüche, Datenschutzfolgenabschätzungen und Compliance. Zwei Produkt-Vorstellungen – ein KDG-Compliance-Tool der GDD und ein Datenschutzfolgenabschätzungstool der Curacon – standen zudem auf der Tagesordnung. Den Blick aus den Niederungen der Praxis weitete zum Abschluss ein Vortrag des Vorsitzenden Richters am Interdiözesanen Datenschutzgericht, Bernhard Fessler.

Weiterlesen

Was wir über die Reform des kirchlichen Datenschutzes wissen

An Pfingsten hat zwar nicht die Kirche Geburtstag, dafür dieses Jahr das Gesetz über den kirchlichen Datenschutz: Am 24. Mai 2018, ein Tag vor dem Wirksamwerden der DSGVO, trat es in Kraft. Damit gilt es nun seit drei Jahren – und das heißt: Seine Evaluierung steht an.

Ein Buch unter der Lupe
(Bildquelle: Photo by Teslariu Mihai on Unsplash)

Besonders viel ist noch nicht bekannt – nur eins dürfte sicher sein: Ein eigenes Datenschutzrecht bleibt, das aber Datenschutz nicht grundsätzlich anders aufzieht als die DSGVO (schon um den geforderten Einklang nicht zu gefährden).

Weiterlesen

Noch mehr Probleme bei Brexit-Datentransfers?

Ist es doch nicht so einfach mit dem Brexit und dem katholischen Datenschutzrecht? Nachdem durch das rasche Handeln der Konferenz der Diözesandatenschutzbeauftragten um den Jahreswechsel schon Entwarnung herrschte, macht auf Twitter nun @privideu auf eine Problematik aufmerksam, die bisher nicht im Blick war: »Übrigens: Der Beschl[uss] der Konf[erenz] der Diözesan-DSB der Kath. Kirche vom 4.1.2021 betreffen die Datenverarbeitungen von Auftragsverarbeitern kath. Einrichtungen in [Großbritannien] ist keine zuverlässige Rechtsgrundlage für eine Datenübermittlung nach GB«, heißt es in dem kurzen Thread. Zwar gibt es zur Auftragsverarbeitung im UK einen klaren Beschluss – bei der Datenübermittlung allgemein ist das aber nicht der Fall.

Der Union Jack flattert vor bewölktem Himmel auf dem Kirchturm von Great St. Mary's in Cambridge
Bildquelle: »Union Jack on Great St. Mary’s« (CC BY 2.0) by James Bowe (zugeschnitten)

Der Einwand scheint stichhaltig: Bis zum Ende der im Brexit-Abkommen vereinbarten Übergangsfrist ist das Vereinigte Königreich datenschutzrechtlich in einem Schwebezustand, den das kirchliche Datenschutzrecht nur schwer fassen kann: »For the duration of the specified period, transmission of personal data from the Union to the United Kingdom shall not be considered as transfer to a third country under Union law«, heißt es im Artikel FINPROV.10A (S. 414) des Abkommens. Das KDG hat Regeln für EU- und EWR-Staaten, Länder mit Angemessenheitsbeschluss und für Drittstaaten – aber natürlich nicht für diesen extra erfundenen Status.

Weiterlesen

Rechtsgrundlage »Kirchliches Interesse« – wer, wann, wie?

Im Datenschutzrecht gilt das Prinzip des Verbots mit Erlaubnisvorbehalt – jede Verarbeitung braucht eine Rechtsgrundlage. Im kirchlichen Datenschutzrecht entsprechen diese Rechtsgrundlagen weitgehend denen der Datenschutzgrundverordnung. Aber eben nur weitgehend: Eine Abweichung ist die Rechtsgrundlage des »kirchlichen Interesses«. Das ist zwar dem aus der DSGVO bekannten »öffentlichen Interesse« nachgebildet – aber es gibt doch einige Unterschiede und viele Unklarheiten, weil weder im Gesetz noch durch Äußerungen der Gesetzgeber präzisiert wird, wer sich wann wie darauf berufen kann.

Carl Spitzweg: Mönch und Sennerin, Ausschnitt.
Kann sich nur der Abt eines öffentlich-rechtlich verfassten Klosters (rechts im Bild) auf die Rechtsgrundlage »kirchliches Interesse« für seine Datenverarbeitungen berufen, oder steht diese Rechtsgrundlage auch der Vorsitzenden der privatrechtlich organisierten kfd-Gruppe (links im Bild) zur Verfügung? (Symbolbild: Carl Spitzweg, Sennerin und Mönch (gemeinfrei/Foto: Immanuel Giel/Wikimedia Commons)
Weiterlesen

Rechtsgrundlage »Anderes Gesetz« – ein europarechtswidriges Fossil?

Die Rechtsgrundlagen der beiden großen kirchlichen Datenschutzgesetze beginnen mit einem Fossil: In der DSGVO sucht man vergeblich eine Norm, die eine Verarbeitung für rechtmäßig erklärt, wenn sie durch eine andere kirchliche oder staatliche Rechtsvorschrift erlaubt oder angeordnet wird (§ 6 Nr. 1 DSG-EKD und § 6 Abs. 1 lit. a) KDG). Ein Fossil ist dieser Rechtsgrund, weil er jeweils wortgleich aus den Vorgängergesetzen übernommen wurde (§ 3 DSG-EKD alt und § 3 Abs. 1 Nr. 1 KDO), die damit wiederum § 4 BDSG alt nachvollzogen haben.

Ein Verantwortlicher im Anwendungsbereich des Gesetzes über den kirchlichen Datenschutz auf der Suche nach einer anderen kirchlichen oder einer staatlichen Rechtsvorschrift. (Symbolbild, Bildquelle: Carl Spitzweg: Der Bücherwurm (Reproduktion: The Yorck Project/Wikimedia Commons))

Insbesondere katholische Gesetzgeber machen intensiv von dieser Rechtsgrundlage Gebrauch, etwa mit speziellen Gesetzen zu Patient*innen-Datenschutz und Fundraising, und in ökumenischer Eintracht mit Regelungen, die die Veröffentlichung von Personaldaten und -jubiläen in Amts- und Pfarrblättern erlauben. Aber ist das auch legal? Besteht da noch der von der DSGVO geforderte »Einklang« in den Wertungen?

Weiterlesen