Stand der Technik im Pfarrbüro – Wochenrückblick KW 33/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Mal wieder zum Ende der Woche kam ein Tätigkeitsbericht – der Diözesandatenschutzbeauftragten für die Südwest-Bistümer. Die ausführliche Besprechung folgt in der kommenden Woche. Ein erstes Highlight gibt’s gleich auf der Titelseite: Der Heilige Ivo hat Konkurrenz bekommen – das Frankfurter Datenschutzzentrum stellt sich unter das Patronat des heiligen Johannes Nepomuks.

Und noch eine Prüfung – die KDSA Ost kündigt eine Prüfung von Pfarreien im Zuständigkeitsgebiet an und gibt schon mal Hinweise, was man lieber parat haben sollte: »Datenschutzkonzept, Verfahrensverzeichnisse, technisch- organisatorische Maßnahmen, Pflichtinformationen« werden genannt. Nach Angaben der Aufsicht laufen außerdem gerade noch Prüfungen internationaler Datentransfers, von Mailhostern, Tracking-Tools und der Nutzung privater Endgeräte zu dienstlichen Zwecken. Viel zu tun.

Der für mehrere ostdeutsche Landeskirchen und Diakonischen Werke zuständige Datenschutzbeauftragte für Kirche und Diakonie veröffentlicht immer spät, stoßweise und rückdatiert (und in dieser Woche gleich drei) Hinweise: Zur Änderung des DSG-EKD zur Missbrauchsaufarbeitung (man erfährt, dass die Behörde informell bei der Novellierung beteiligt war), zu den neuen Standardvertragsklauseln (die im Einklang mit dem kirchlichen Datenschutzrecht anzuwenden sind, auch wenn sie natürlich nur die DSGVO referenzieren) und eine Erläuterung zum Begriff »Stand der Technik«: Insbesondere wird betont, dass eine »Berücksichtigung der Implementierungskosten im Sinne einer Wirtschaftlichkeitsbetrachtung« nicht das Datenschutzniveau absenken dürfe. Empfohlen wird die Handreichung zum Thema des Arbeitskreises »Stand der Technik« des Bundesverbands IT-Sicherheit.

Weiterlesen

Gemeinsame Verantwortlichkeit, verschiedene Datenschutzgesetze?

Gemeinsame Verantwortlichkeit ist kompliziert genug – wenn mehrere Verantwortliche gemeinsam über Zwecke und Mittel der Datenverarbeitung entscheiden, braucht es gute Absprachen und eine transparente Vereinbarung darüber, wer welche Pflichten übernimmt. Wenn kirchliche Datenschutzgesetze gelten, wird es noch komplizierter: Wie mit Unterschieden in den einzelnen Gesetzen umzugehen ist und welche Aufsicht wann zuständig ist, ist nicht in den einzelnen Gesetzen geregelt, weder von Aufsichtsbehörden noch von Gerichten sind Einschätzungen und Entscheidungen dazu bekannt – und die sehr übersichtliche Kommentarliteratur hält sich bedeckt.

Fünf Fäuste für eine gemeinsame Verantwortlichkeit (Symbolbild, Photo by Antonio Janeski on Unsplash)

Eine Expertin für den kirchlichen Datenschutz und seine Umsetzung ist die Juristin Beate Brucker. Die Beraterin ist betriebliche Datenschutzbeauftragte für verschiedene kirchliche Einrichtungen erläutert im Interview, wie man mit gemeinsamer Verantwortlichkeit bei unterschiedlichen Datenschutzgesetzen umgeht.

Weiterlesen

Recht unübersichtlich – Wochenrückblick KW 32/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Auf den ersten Blick wirkt die Veröffentlichung des Gesetzes über das Verwaltungsverfahren im kirchlichen Datenschutz im Amtsblatt des Bistums Limburg wie ein reiner Routine-Vorgang – schließlich tröpfeln die Inkraftsetzungen Diözese für Diözese seit Monaten langsam ein, beginnend mit Speyer Ende 2020. Dass dieses vom Verband der Diözesen Deutschlands abgestimmte Gesetz in allen Bistümern einzeln in Kraft gesetzt wird (und zwar formal ein jeweils eigenes, das sich mindestens in der Inkraftsetzungsformel unterscheidet), hat kirchenrechtliche Gründe: Der Diözesanbischof ist Gesetzgeber, die Bischofskonferenz und ihr Rechtsträger, der VDD, hat kaum Gesetzgebungskompetenzen – insbesondere nicht im Datenschutzrecht. Ein einheitliches DBK-Gesetz bräuchte ein besonderes Mandat des Heiligen Stuhls (wie die KDSGO). Das macht Arbeit und kostet Flexibilität, wenn alles erst über Rom muss (und aus dem wenigen, was man über die Entstehung der KDSGO weiß, ist das keineswegs eine reine Formalie, was im Vatikan passiert).

Einen großen Vorteil hätte ein einziges statt 27+ parallelen Gesetzen (»+«, weil das Militärbischofsamt und gegebenenfalls jeder einzelne Orden päpstlichen Rechts noch weitere erlassen können) dadurch, dass Rechtsklarheit herrscht. Bisher sind die Verwaltungsverfahrensgesetze zwar vom relevanten Wortlaut her gleich – was sich aber unterscheidet, sind die Geltungsdaten. Das im Juni 2020 vom VDD beschlossene Gesetz trat in manchen Bistümern schon zum 1. Januar 2021 in Kraft, aktuell in Limburg zum 1. Juli 2021 mit Veröffentlichung im August 2021 im Amtsblatt – für jede einzelne Diözese muss also geprüft werden, ob das Gesetz zu einem bestimmten Zeitpunkt schon in Kraft war (und für nach Inkrafttreten erst veröffentlichte Gesetze wäre eigens zu klären, ob sie wirklich schon zum im Gesetz genannten Zeitpunkt oder erst zum Erscheinungstag des Amtsblattes gelten). Die Österreichische Bischofskonferenz hat eine kreative Lösung ohne Rom-Umweg für einheitliche Gesetze gefunden, etwa bei ihrem Decretum Generale über den Datenschutz: »Die Diözesanbischöfe haben dem vorliegenden Decretum Generale über den Datenschutz in der Katholischen Kirche in Österreich und ihren Einrichtungen (Kirchliche Datenschutzverordnung) einzeln ihre Zustimmung im Sinne can. 455 § 4 CIC 1983 gegeben.« (Ob dieser Kanon als Mittel der Gesetzgebung wirklich so tragbar ist, kann man aber auch hinterfragen.)

Über die Schwerpunktprüfungen in Kindergärten war hier schon öfter zu lesen (katholisch in NRW und im Norden, außerdem beim BfD EKD). Kitas sind also gut beraten, den Datenschutz nicht schleifen zu lassen – die Datenschutz-Nord-Gruppe hat jetzt ein eigenes Serviceangebot zu Datenschutz in katholischen Kindertageseinrichtungen online gestellt.

Und dann gibt’s noch einen Job für #TeamKirchlicherDatenschutz: in Frankfurt sucht die katholische Aufsicht eine*n Sachbearbeiter*in für den Bereich Informationstechnologie.

Weiterlesen

IDSG: Moderate Buße für Arztbrief in falschen Händen

Freitag ist Gerichtstag: Nach dem überraschenden Beschluss des Datenschutzgerichts der DBK in der vorvergangenen Woche wurde am Freitag eine weitere Entscheidung des Interdiözesanen Datenschutzgerichts (IDSG 21/2020) veröffentlicht – diesmal eher Schwarzbrot. Auch was den Sachverhalt angeht: Ein Arztbrief in falschen Händen. In diesem Fall ein Arztbrief, der trotz Sperrvermerk im Klinikinformationssystem an den Ehemann der Patientin übergeben wurde. (Auch wenn der Beschluss anonymisiert ist: Der Fall wird im aktuellen Tätigkeitsbericht der KDSA Ost ausführlich geschildert.)

Briefumschlag auf Notizbüchern
Photo by pure julia on Unsplash

Dass das ein Datenschutzverstoß ist, war recht klar – die Datenschutzrichtlinie, die ein opt-out-Verfahren für die Sperrvermerke vorsah, war ungenügend, die Datenschutzschulung unzureichend. Die Konsequenzen fürs eigene Datenschutzmanagement sind klar: Datenweitergabe an Dritte nur mit Einwilligung, und Schulungen nicht nur für die Akten. Über den Einzelfall hinaus sind vor allem zwei Punkte relevant: die Erläuterungen zur Anwendbarkeit des Funktionsträgerprinzips und ein Einblick in die Bußgeldpraxis.

Weiterlesen

Alles Einzelfälle – Wochenrückblick KW 31/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die neu im DSG-EKD geschaffene Rechtsgrundlage für die systematische Missbrauchsaufarbeitung schließt ihre Anwendung für Einzelfälle aus. Das stößt auf Kritik bei Betroffenenvertreter*innen: Kerstin Claus, Mitglied des Nationalen Rats gegen sexuelle Gewalt an Kindern und Jugendlichen, sieht in einer Ergänzung zur Meldung hier das Problem darin, dass die Gesetzesänderung so ins Leere laufen könnte: »›Nicht auf den Einzelfall bezogene Untersuchung‹ – das heisst im Umkehrschluss, dass gerade für Taten, die sich im gemeindlichen Kontext ereignet haben, entsprechende Akten kaum ausgewertet werden können, da mangels solcher auch öffentlicher kirchlicher Nachforschungen, die das Gegenteil belegen könnten, weiter für die meisten angezeigten Fälle von Einzelfällen ausgegangen werden wird.« Ihr ganzer Kommentar ist lesenswert.

Die Ungeduld wächst bei einigen kirchlichen Aufsichten angesichts verhallender Hinweise. Bei der KDSA Ost geht’s dieses Mal um Namensschilder im Pflegebereich und immer wiederkehrende Konflikte darüber, ob die den vollen Namen enthalten müssen. Müssen sie nicht, ist ziemlicher Konsens bei den Aufsichten, wie auch die Ost-Aufsicht erläutert: »Gerade aber im Bereich körpernaher Dienstleistungen besteht regelmäßig die Gefahr, dass Patienten in der Pflegeleistung mehr als eine Dienstverrichtung sehen. Nach Dienstende oder außerhalb der Dienstzeit haben Arbeitnehmer*innen ein schützenswertes Interesse nicht von Patienten kontaktiert zu werden.« Den Wink mit dem Zaunpfahl sollten entsprechende Verantwortliche zur Kenntnis nehmen – die Aufsicht kündigt Sanktionen an.

Weiterlesen

Zweite Instanz: Der Pfarrer darf Gottesdienst-Teilnahmelisten kontrollieren

Auch das Datenschutzgericht der Deutschen Bischofskonferenz hat kein Problem damit, dass ein Leitender Pfarrer nach den Gottesdiensten die Teilnahmelisten auf Richtigkeit kontrolliert. Das geht aus dem bereits am Freitag veröffentlichten Beschluss der zweiten Instanz hervor (DSG-DBK 01/2021), der die Entscheidung des IDSG (IDSG 27/2020) bestätigt und die Einwände des Katholischen Datenschutzzentrums Dortmund verwirft.

Carl Spitzweg: Disputierende Mönche
Jetzt ist es amtlich: Der Pfarrer darf die Kontaktnachverfolgungslisten kontrollieren. (Symbolbild: Carl Spitzweg: Disputierende Mönche (Detail) – gemeinfrei/Wikimedia Commons)

Bei dem Fall ging es um einen Pfarrer, der Teilnahmelisten im Nachhinein auf Plausibilität hin kontrolliert hatte – offiziell mit der Begründung, dass nur so die von der Corona-Schutzverordnung des Landes geforderte Rückverfolgbarkeit sichergestellt werden könne, zudem solle so eine Evaluierung des Hygienekonzeptes erfolgen. Zum Konflikt kam es aber dadurch, dass mit dem Abgleich von Anwesenheitslisten und Anmeldungen aufflog, dass zwei Ehrenamtliche zwar da waren, sich aber nicht angemeldet hatten. (Der Protest gegen die Anmeldepflicht war angekündigt.) Auf ihre Beschwerde hin hatte die Aufsicht die nachträgliche Durchsicht verboten, dagegen wehrte sich die Pfarrei, die nun in beiden Instanzen recht bekommen hat. (Der Beschluss des Instanzgerichts wurde hier bereits sehr kritisch besprochen.)

Weiterlesen

Betroffenenrechte mangelhaft – Tätigkeitsbericht 2020 des Katholischen Datenschutzzentrums NRW

»Corona.« Mit einem Seufzer beginnt das Vorwort des Tätigkeitsberichts des Katholischen Datenschutzzentrums Dortmund für 2020. Die Bericht der Aufsicht für die NRW-Bistümer und den VDD kommt wie die anderen bereits erschienenen Berichte natürlich nicht um das alles beherrschende Thema herum, setzt aber noch einige andere Schwerpunkte: Schrems II und Brexit sind von außen gesetzt. (Und bieten für regelmäßige Leser*innen hier nichts neues.) Eine intensive Auseinandersetzung mit Betroffenenrechten und eine Kita-Querschnittsprüfung sind selbst gewählt.

Titelseite des Tätigkeitsberichts 2020
Fünf Zeilen für den Namen der Behörde. Eine mögliche Umbenennung in KDSA NRW wird im Bericht aber nicht angesprochen.

Im vergangenen Jahr hieß es hier zum Tätigkeitsbericht für 2019 »Die Schonzeit ist vorbei«. Auch in diesem Jahr macht der DDSB deutlich, dass (zum Veröffentlichungszeitraum) nach mehr als drei Jahren KDG nicht mit allzu viel Nachsicht zu rechnen ist. Die großen Bußgeld-Hämmer blieben dennoch aus.

Weiterlesen

Windows 10 und Rechtskultur – Wochenrückblick KW 30/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die Konferenz der Diözesandatenschutzbeauftragten hat die Hinweise zum Betrieb von Windows 10 aktualisiert und erweitert. Die Arbeitshilfen leisten dabei lediglich Unterstützung zu einem datensparsamen Betrieb – explizit wird damit keine Aussage zur Möglichkeit eines rechtskonformen Betriebs getroffen. Dass die Hinweise nicht nur akademisch sind, zeigt ein Beispiel im Dokument zur Windows-Suchfunktion: Ein Beispiel ist dort die Suche nach einer lokal gespeicherten Patientinnenakte – wird die Default-Websuche nicht abgeklemmt, werden die Sucheingaben an Microsoft übertragen, und damit möglicherweise auch Namen von Patient*innen.

The Pillar hat noch einmal nachgelegt: Nach dem anscheinenden Zwangs-Outing des Generalsekretärs der US-Bischofskonferenz in der vergangenen Woche mit einem Nachspiel in Newark gab es in dieser Woche einen weiteren Bericht zur Grindr-Nutzung im Vatikan, wieder mit demselben Datenset. Mit den Datenschutz-Problemen von Grindr und anderen Apps hat sich Motherboard eingehend befasst: The Inevitable Weaponization of App Data Is Here und Grindr Has Been Warned for Years About Its Privacy Issues, lesenswert ist auch Ars Technica: Catholic priest quits after “anonymized” data revealed alleged use of Grindr.

Im Vergleich zum hervorragend erschlossenen Recht der evangelischen Landeskirchen ist es in vielen katholischen Bistümern immer noch sehr schwierig, herauszufinden, welches Recht dort eigentlich gilt. Nur wenige Bistümer haben ordentliche online verfügbare Rechtssammlungen – nun kommt ein weiteres dazu: Das Bistum Würzburg stellte am Mittwoch seine neue Rechtssammlung vor. Darin sind alle partikularen Rechtsnormen ab 1980 und die Amtsblätter ab 2007 erschlossen. »Die Sammlung umfasst neben Gesetzen, die der Bischof von Würzburg erlassen hat, auch Ausführungsbestimmungen, Dienstanweisungen sowie Dienstvereinbarungen, die im Würzburger Diözesanblatt in Kraft gesetzt wurden«, so die Pressemitteilung. Ausgaben des Amtsblatts von 1855 bis 2006 sind bereits seit einigen Jahren bei der Bayerischen Landesbibliothek digital verfügbar.

Am Dienstag erschien der Tätigkeitsbericht des Landesdatenschutzbeauftragten von Mecklenburg-Vorpommern. Darin wird auch die Frage von Videoüberwachung an Orten der Religionsausübung thematisiert. Angefragt hatte eine jüdische Gemeinde aufgrund einer durch das LKA bestätigten Bedrohungslage. »Auf Grundlage der Ausführungen des Landeskriminalamtes war das überwiegende berechtigte Interesse an der Videoüberwachungsanlage leicht festzustellen«, so der Bericht. Lobend hervorgehoben wird das Bemühen der Gemeinde, die Überwachung minimalinvasiv zu gestalten.

Das neue Amtsblatt des alt-katholischen Bistums ist erschienen – ohne Regelungen mit direkter Relevanz im Berichtsgebiet Datenschutz. Aber da es hier auch immer wieder um eine gute Rechtskultur in den Religionsgemeinschaften geht doch eine Erwähnung wert: Das Amtsblatt wird ganz selbstverständlich über die üblichen Kommunikationskanäle angekündigt und ist nicht nur irgendwo in den Unterseiten versteckt. Aus diesem Blickwinkel lesenswert ist auch die Präambel zur Bischöflichen Verordnung zur Regelung einer digitalen Synode, die nicht nur Ergebnisse konstatiert, sondern die Argumente auf dem Weg dahin, warum es diese Verordnung in Abweichung zur üblichen Synodenordnung braucht – und das auch noch allgemein verständlich argumentierend.

Weiterlesen

Keine Gelegenheit für Bußgelder – Tätigkeitsbericht 2020 der KDSA Nord

Noch schnell vor der Sommerpause hat die Katholische Datenschutzaufsicht Nord am Donnerstag ihren Tätigkeitsbericht für 2020 veröffentlicht – natürlich ein weiterer Corona-Bericht. Die Pandemie hat sich neben dem Ausfall von allen Vor-Ort-Prüfungen bis auf zwei vielfältig in der Aufsichts- und Beratungstätigkeit niedergeschlagen.

Titelseite des Tätigkeitsberichts 2020 der KDSA Nord

Titelseite des Tätigkeitsberichts 2020 der KDSA Nord

Eine auffällige Leerstelle im Bericht sind die Aufsichtsmaßnahmen: Zwar werden einige Fälle geschildert, in denen durchaus gravierende Datenschutzverstöße vorliegen. Bußgelder werden jedoch nicht erwähnt. Auf Anfrage teilte mir der Diözesandatenschutzbeauftragte Andreas Mündelein mit, dass er keine Möglichkeit hatte, Bußgelder zu verhängen – die besonders gravierenden Fälle waren bei öffentlich-rechtlich organisierten Stellen und damit durch das KDG von Bußgeldern ausgenommen. Der Glaubwürdigkeit der kirchlichen Selbstverwaltung trägt diese Regelung nicht bei.

Weiterlesen

Der Grind mit Grindr – Wochenrückblick KW 29/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Keine Sommerpause in Sicht – erst veröffentlicht das Datenschutzgericht der DBK erstmals Entscheidungen, und während die noch warm sind, kommt der Tätigkeitsbericht der KDSA Nord für 2020. Für den Tätigkeitsbericht war noch keine Zeit – der Überblick folgt am Montag.

»The Pillar« hat eine Recherche zur angeblichen Nutzung der schwulen Dating-App Grindr durch den Generalsekretär der US-amerikanischen Bischofskonferenz veröffentlicht. Dazu wurden anscheinend auf dem Markt erhältliche Datensätze verwendet, aus denen geschlossen wird, dass der beschuldigte Priester die Dating-App regelmäßig verwendet hat. Was genau hier technisch passiert ist und ob es tatsächlich bei auf eindeutigen Geräte-IDs basierenden Datensätzen zu Marketingzwecken – so die Erläuterung von »The Pillar« – möglich ist, Daten so zu disaggregieren, dass aus Bewegungsprofilen auf einzelne Personen geschlossen werden kann, ist noch unklar. Grindr ist jedenfalls spätestens seit dem Millionenbußgeld Anfang des Jahres in Norwegen nicht unbedingt für seine Diskretion bekannt. Grindr selbst hat mir gegenüber dementiert, dass eine solche Analyse möglich sei. Den besten technischen Überblick in die Hintergründe gibt es bei Slate. (Gute Argumente, Marketing-Einwilligungen in Apps erst gar nicht zu erteilen.)

Die eigentliche Frage ist aber eher die nach der journalistischen Ethik: Sind solche investigativen Methoden und die anschließende Veröffentlichung dann, wenn es keine Hinweise auf nicht-konsensuelles Verhalten gibt, vertretbar? Erst recht, wenn raunend Verbindungen von Homosexualität zu sexualisierter Gewalt gegen Minderjährige aufgemacht werden. In einem sehr lesenswerten Kommentar (der auch den Datenschutzkanon anführt) bringt es David Millies auf den Punkt: »The Pillar has less gotten hold of a story than it has published an innuendo. And, the innuendo should worry us.«

Cookies bestätigen mit dem Button »Allzeit Bereit!«

Schönes Fundstück von Maria Herrmann – wenn’s allerdings nicht nur technisch notwendige Cookies sind, wäre ein weiterer Button für die Rechtskonformität hilfreich. »Nehmt Abschied, Cookies« vielleicht. Und wer ins Zeltlager fährt und nach dem Artikel hier vor einigen Tagen die Sache mit den Fotos nochmal vertiefen will, findet das bei den Datenschutz-Notizen.

Weiterlesen