Zoom-12-Punkte-Plan und Kinderfoto-Alarmismus – Wochenrückblick KW 34/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Der Datenschutzbeauftragte für Kirche und Diakonie hat eine 12-Punkte-Liste für die Überprüfung oder Planung des datenschutzkonformen Einsatzes eines Videokonferenzsystems veröffentlicht – sicherlich eine nützliche Grundlage für die Einführung, wenn auch zur vierten Welle doch etwas spät: Wer hat jetzt noch kein Videokonferenzsystem? Rechtlich ist an der Handreichung nichts zu beanstanden und für Menschen, die mit Datenschutz vertraut sind, auch ohne Überraschungen. Für alle anderen muss sie aber befremdlich wirken. Sicher hat eine Videokonferenz eine höhere Eingriffsintensität als andere Kommunikationsmittel. Aber gibt es auch nur vergleichbare Checklisten für Telefon, E-Mail und Fax? Muss man sich wirklich noch die Frage stellen, ob eine Videokonferenz im Vergleich zu Telefonkonferenzen »erforderlich« ist? Stellt sich jemand die Frage, ob ein Telefonat im Vergleich zu einer E-Mail im Vergleich zu einem Brief im Vergleich zu einem persönlichen Besuch »erforderlich« ist? Besser wird das wohl erst, wenn Videokonferenzen für alle so unauffällig wie Telefone sind.

Im aktuellen Tätigkeitsbericht des KDSZ Frankfurt ist die Rede von einem Versuch, ein staatliches Verwaltungsgericht für eine Klage gegen eine Entscheidung der kirchlichen Aufsicht zu bemühen, leider ohne Aktenzeichen und Gericht zu nennen. Daher habe ich weiter recherchiert: Auf Nachfrage teilte mir das Verwaltungsgericht Frankfurt mit, dass das Klageverfahren (Az. 5 K 1077/20.F) ohne eine sachliche Entscheidung nach Klagerücknahme beendet und durch Beschluss vom 6. August 2020 eingestellt wurde. »Darauf, dass die Klage auf dem Verwaltungsrechtsweg nicht zulässig, eine Verweisung an das Interdiözes Datenschutzgericht aber auch nicht möglich ist, ist bereits in der Eingangsverfügung hingewiesen worden«, so der Vorsitzende der fürs Datenschutzrecht zuständigen 5. Kammer. Die Zitate aus dem Tätigkeitsbericht stammen daher nicht aus einer rechtskräftigen Entscheidung in der Sache, sondern, so das Gericht, wohl lediglich aus einer Ablehnung einer Bewilligung von Prozesskostenhilfe.

Das in der vergangenen Woche schon erwähnte Urteil des OLG Düsseldorf hat die KDSA Ost zum Anlass genommen, noch einmal einzuschärfen, wie problematisch von ihr Kinderfotos im Netz bewertet werden, inklusive dem Drohen mit Pädophilen, die Kinderfotos abgreifen und einem locker sitzenden Bußgeldfinger. Wieder kommt die Mahnung ohne jegliche Differenzierung, um was für Bilder es sich handelt – und (ich wiederhole mich) ohne zu bedenken, dass Kinder und Jugendliche nicht nur Sicherheitsinteressen, sondern auch Teilhabe- und Repräsentanzinteressen haben. Ein besserer Ansatz wäre, sowohl objektiv untragbare Darstellungen (Nacktheit, entwürdigende Situationen) zu benennen wie medienpädagogische Methoden zu zeigen, um mit den Betroffenen selbst ins Gespräch kommen, welche Darstellungen sie selbst in der Öffentlichkeit haben wollen und welche Möglichkeiten bestehen, informationelle Selbstbestimmung auszuüben.

Weiterlesen

Noch weniger Betroffenenrechte im Osnabrücker Schuldatenschutz

Nach dem Erzbistum Hamburg hat auch das Bistum Osnabrück eine Durchführungsverordnung zum Schutz personenbezogener Daten in katholischen Schulen veröffentlicht. Schon die Hamburger Ordnung hat einen zwiespältigen Eindruck hinterlassen: Während die digitalen Methoden und Werkzeuge angemessen berücksichtigt wurden, wurden die Betroffenenrechte von Schüler*innen empfindlich eingeschränkt.

Ein Kind zeichnet mit einem Stylus auf einem Tablet
Ein Kind zeichnet mit einem Stylus auf einem Tablet (Photo by Jeswin Thomas on Unsplash)

Die Osnabrücker Verordnung ähnelt in weiten Teilen der Hamburger, mit einigen Umstellungen und kleineren Änderungen – aber auch mit substantiellen Unterschieden. Und zwar nicht zum Besseren.

Weiterlesen

Rekordgeldbuße im Südwesten – Tätigkeitsbericht 2020 des KDSZ Frankfurt erschien

Der Tätigkeitsbericht 2020 der katholischen Aufsicht für den Südwesten ist da – und damit ist der 2020er-Reigen vorerst abgeschlossen. (Der bayerische DDSB berichtet immer von September bis September statt zum Kalenderjahr.) Natürlich gibt es wieder viel Corona – und in einem Nebensatz den Hinweis auf die bisher höchsten bekannten Geldbußen im kirchlichen Datenschutz.

Die Titelseite des Tätigkeitsbericht 2020 der KDSZ Frankfurt
Den Bericht des KDSZ Frankfurt ziert eine schöne Statue des hl. Johannes Nepomuk – leider ist auch in der verwendeten Stockphoto-Datenbank nicht herauszufinden, wo diese Statue steht. Vielleicht weiß es ein*e Leser*in?

Erstmals ziert der heilige Johannes Nepomuk den Tätigkeitsbericht – anlässlich der Errichtung als KdÖR hat das Katholische Datenschutzzentrum Frankfurt ein Siegel und einen Schutzpatron bekommen. (Und der NRW-Datenschutzpatron Ivo einen Kollegen.) Er möge, so die Diözesandatenschutzbeauftragte, »den Blick dafür öffnen, wann man reden und wann man vielleicht besser schweigen sollte«.

Weiterlesen

Stand der Technik im Pfarrbüro – Wochenrückblick KW 33/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Mal wieder zum Ende der Woche kam ein Tätigkeitsbericht – der Diözesandatenschutzbeauftragten für die Südwest-Bistümer. Die ausführliche Besprechung folgt in der kommenden Woche. Ein erstes Highlight gibt’s gleich auf der Titelseite: Der Heilige Ivo hat Konkurrenz bekommen – das Frankfurter Datenschutzzentrum stellt sich unter das Patronat des heiligen Johannes Nepomuks.

Und noch eine Prüfung – die KDSA Ost kündigt eine Prüfung von Pfarreien im Zuständigkeitsgebiet an und gibt schon mal Hinweise, was man lieber parat haben sollte: »Datenschutzkonzept, Verfahrensverzeichnisse, technisch- organisatorische Maßnahmen, Pflichtinformationen« werden genannt. Nach Angaben der Aufsicht laufen außerdem gerade noch Prüfungen internationaler Datentransfers, von Mailhostern, Tracking-Tools und der Nutzung privater Endgeräte zu dienstlichen Zwecken. Viel zu tun.

Der für mehrere ostdeutsche Landeskirchen und Diakonischen Werke zuständige Datenschutzbeauftragte für Kirche und Diakonie veröffentlicht immer spät, stoßweise und rückdatiert (und in dieser Woche gleich drei) Hinweise: Zur Änderung des DSG-EKD zur Missbrauchsaufarbeitung (man erfährt, dass die Behörde informell bei der Novellierung beteiligt war), zu den neuen Standardvertragsklauseln (die im Einklang mit dem kirchlichen Datenschutzrecht anzuwenden sind, auch wenn sie natürlich nur die DSGVO referenzieren) und eine Erläuterung zum Begriff »Stand der Technik«: Insbesondere wird betont, dass eine »Berücksichtigung der Implementierungskosten im Sinne einer Wirtschaftlichkeitsbetrachtung« nicht das Datenschutzniveau absenken dürfe. Empfohlen wird die Handreichung zum Thema des Arbeitskreises »Stand der Technik« des Bundesverbands IT-Sicherheit.

Weiterlesen

Gemeinsame Verantwortlichkeit, verschiedene Datenschutzgesetze?

Gemeinsame Verantwortlichkeit ist kompliziert genug – wenn mehrere Verantwortliche gemeinsam über Zwecke und Mittel der Datenverarbeitung entscheiden, braucht es gute Absprachen und eine transparente Vereinbarung darüber, wer welche Pflichten übernimmt. Wenn kirchliche Datenschutzgesetze gelten, wird es noch komplizierter: Wie mit Unterschieden in den einzelnen Gesetzen umzugehen ist und welche Aufsicht wann zuständig ist, ist nicht in den einzelnen Gesetzen geregelt, weder von Aufsichtsbehörden noch von Gerichten sind Einschätzungen und Entscheidungen dazu bekannt – und die sehr übersichtliche Kommentarliteratur hält sich bedeckt.

Fünf Fäuste für eine gemeinsame Verantwortlichkeit (Symbolbild, Photo by Antonio Janeski on Unsplash)

Eine Expertin für den kirchlichen Datenschutz und seine Umsetzung ist die Juristin Beate Brucker. Die Beraterin ist betriebliche Datenschutzbeauftragte für verschiedene kirchliche Einrichtungen erläutert im Interview, wie man mit gemeinsamer Verantwortlichkeit bei unterschiedlichen Datenschutzgesetzen umgeht.

Weiterlesen

Recht unübersichtlich – Wochenrückblick KW 32/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Auf den ersten Blick wirkt die Veröffentlichung des Gesetzes über das Verwaltungsverfahren im kirchlichen Datenschutz im Amtsblatt des Bistums Limburg wie ein reiner Routine-Vorgang – schließlich tröpfeln die Inkraftsetzungen Diözese für Diözese seit Monaten langsam ein, beginnend mit Speyer Ende 2020. Dass dieses vom Verband der Diözesen Deutschlands abgestimmte Gesetz in allen Bistümern einzeln in Kraft gesetzt wird (und zwar formal ein jeweils eigenes, das sich mindestens in der Inkraftsetzungsformel unterscheidet), hat kirchenrechtliche Gründe: Der Diözesanbischof ist Gesetzgeber, die Bischofskonferenz und ihr Rechtsträger, der VDD, hat kaum Gesetzgebungskompetenzen – insbesondere nicht im Datenschutzrecht. Ein einheitliches DBK-Gesetz bräuchte ein besonderes Mandat des Heiligen Stuhls (wie die KDSGO). Das macht Arbeit und kostet Flexibilität, wenn alles erst über Rom muss (und aus dem wenigen, was man über die Entstehung der KDSGO weiß, ist das keineswegs eine reine Formalie, was im Vatikan passiert).

Einen großen Vorteil hätte ein einziges statt 27+ parallelen Gesetzen (»+«, weil das Militärbischofsamt und gegebenenfalls jeder einzelne Orden päpstlichen Rechts noch weitere erlassen können) dadurch, dass Rechtsklarheit herrscht. Bisher sind die Verwaltungsverfahrensgesetze zwar vom relevanten Wortlaut her gleich – was sich aber unterscheidet, sind die Geltungsdaten. Das im Juni 2020 vom VDD beschlossene Gesetz trat in manchen Bistümern schon zum 1. Januar 2021 in Kraft, aktuell in Limburg zum 1. Juli 2021 mit Veröffentlichung im August 2021 im Amtsblatt – für jede einzelne Diözese muss also geprüft werden, ob das Gesetz zu einem bestimmten Zeitpunkt schon in Kraft war (und für nach Inkrafttreten erst veröffentlichte Gesetze wäre eigens zu klären, ob sie wirklich schon zum im Gesetz genannten Zeitpunkt oder erst zum Erscheinungstag des Amtsblattes gelten). Die Österreichische Bischofskonferenz hat eine kreative Lösung ohne Rom-Umweg für einheitliche Gesetze gefunden, etwa bei ihrem Decretum Generale über den Datenschutz: »Die Diözesanbischöfe haben dem vorliegenden Decretum Generale über den Datenschutz in der Katholischen Kirche in Österreich und ihren Einrichtungen (Kirchliche Datenschutzverordnung) einzeln ihre Zustimmung im Sinne can. 455 § 4 CIC 1983 gegeben.« (Ob dieser Kanon als Mittel der Gesetzgebung wirklich so tragbar ist, kann man aber auch hinterfragen.)

Über die Schwerpunktprüfungen in Kindergärten war hier schon öfter zu lesen (katholisch in NRW und im Norden, außerdem beim BfD EKD). Kitas sind also gut beraten, den Datenschutz nicht schleifen zu lassen – die Datenschutz-Nord-Gruppe hat jetzt ein eigenes Serviceangebot zu Datenschutz in katholischen Kindertageseinrichtungen online gestellt.

Und dann gibt’s noch einen Job für #TeamKirchlicherDatenschutz: in Frankfurt sucht die katholische Aufsicht eine*n Sachbearbeiter*in für den Bereich Informationstechnologie.

Weiterlesen

IDSG: Moderate Buße für Arztbrief in falschen Händen

Freitag ist Gerichtstag: Nach dem überraschenden Beschluss des Datenschutzgerichts der DBK in der vorvergangenen Woche wurde am Freitag eine weitere Entscheidung des Interdiözesanen Datenschutzgerichts (IDSG 21/2020) veröffentlicht – diesmal eher Schwarzbrot. Auch was den Sachverhalt angeht: Ein Arztbrief in falschen Händen. In diesem Fall ein Arztbrief, der trotz Sperrvermerk im Klinikinformationssystem an den Ehemann der Patientin übergeben wurde. (Auch wenn der Beschluss anonymisiert ist: Der Fall wird im aktuellen Tätigkeitsbericht der KDSA Ost ausführlich geschildert.)

Briefumschlag auf Notizbüchern
Photo by pure julia on Unsplash

Dass das ein Datenschutzverstoß ist, war recht klar – die Datenschutzrichtlinie, die ein opt-out-Verfahren für die Sperrvermerke vorsah, war ungenügend, die Datenschutzschulung unzureichend. Die Konsequenzen fürs eigene Datenschutzmanagement sind klar: Datenweitergabe an Dritte nur mit Einwilligung, und Schulungen nicht nur für die Akten. Über den Einzelfall hinaus sind vor allem zwei Punkte relevant: die Erläuterungen zur Anwendbarkeit des Funktionsträgerprinzips und ein Einblick in die Bußgeldpraxis.

Weiterlesen

Alles Einzelfälle – Wochenrückblick KW 31/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die neu im DSG-EKD geschaffene Rechtsgrundlage für die systematische Missbrauchsaufarbeitung schließt ihre Anwendung für Einzelfälle aus. Das stößt auf Kritik bei Betroffenenvertreter*innen: Kerstin Claus, Mitglied des Nationalen Rats gegen sexuelle Gewalt an Kindern und Jugendlichen, sieht in einer Ergänzung zur Meldung hier das Problem darin, dass die Gesetzesänderung so ins Leere laufen könnte: »›Nicht auf den Einzelfall bezogene Untersuchung‹ – das heisst im Umkehrschluss, dass gerade für Taten, die sich im gemeindlichen Kontext ereignet haben, entsprechende Akten kaum ausgewertet werden können, da mangels solcher auch öffentlicher kirchlicher Nachforschungen, die das Gegenteil belegen könnten, weiter für die meisten angezeigten Fälle von Einzelfällen ausgegangen werden wird.« Ihr ganzer Kommentar ist lesenswert.

Die Ungeduld wächst bei einigen kirchlichen Aufsichten angesichts verhallender Hinweise. Bei der KDSA Ost geht’s dieses Mal um Namensschilder im Pflegebereich und immer wiederkehrende Konflikte darüber, ob die den vollen Namen enthalten müssen. Müssen sie nicht, ist ziemlicher Konsens bei den Aufsichten, wie auch die Ost-Aufsicht erläutert: »Gerade aber im Bereich körpernaher Dienstleistungen besteht regelmäßig die Gefahr, dass Patienten in der Pflegeleistung mehr als eine Dienstverrichtung sehen. Nach Dienstende oder außerhalb der Dienstzeit haben Arbeitnehmer*innen ein schützenswertes Interesse nicht von Patienten kontaktiert zu werden.« Den Wink mit dem Zaunpfahl sollten entsprechende Verantwortliche zur Kenntnis nehmen – die Aufsicht kündigt Sanktionen an.

Weiterlesen

Zweite Instanz: Der Pfarrer darf Gottesdienst-Teilnahmelisten kontrollieren

Auch das Datenschutzgericht der Deutschen Bischofskonferenz hat kein Problem damit, dass ein Leitender Pfarrer nach den Gottesdiensten die Teilnahmelisten auf Richtigkeit kontrolliert. Das geht aus dem bereits am Freitag veröffentlichten Beschluss der zweiten Instanz hervor (DSG-DBK 01/2021), der die Entscheidung des IDSG (IDSG 27/2020) bestätigt und die Einwände des Katholischen Datenschutzzentrums Dortmund verwirft.

Carl Spitzweg: Disputierende Mönche
Jetzt ist es amtlich: Der Pfarrer darf die Kontaktnachverfolgungslisten kontrollieren. (Symbolbild: Carl Spitzweg: Disputierende Mönche (Detail) – gemeinfrei/Wikimedia Commons)

Bei dem Fall ging es um einen Pfarrer, der Teilnahmelisten im Nachhinein auf Plausibilität hin kontrolliert hatte – offiziell mit der Begründung, dass nur so die von der Corona-Schutzverordnung des Landes geforderte Rückverfolgbarkeit sichergestellt werden könne, zudem solle so eine Evaluierung des Hygienekonzeptes erfolgen. Zum Konflikt kam es aber dadurch, dass mit dem Abgleich von Anwesenheitslisten und Anmeldungen aufflog, dass zwei Ehrenamtliche zwar da waren, sich aber nicht angemeldet hatten. (Der Protest gegen die Anmeldepflicht war angekündigt.) Auf ihre Beschwerde hin hatte die Aufsicht die nachträgliche Durchsicht verboten, dagegen wehrte sich die Pfarrei, die nun in beiden Instanzen recht bekommen hat. (Der Beschluss des Instanzgerichts wurde hier bereits sehr kritisch besprochen.)

Weiterlesen

Betroffenenrechte mangelhaft – Tätigkeitsbericht 2020 des Katholischen Datenschutzzentrums NRW

»Corona.« Mit einem Seufzer beginnt das Vorwort des Tätigkeitsberichts des Katholischen Datenschutzzentrums Dortmund für 2020. Die Bericht der Aufsicht für die NRW-Bistümer und den VDD kommt wie die anderen bereits erschienenen Berichte natürlich nicht um das alles beherrschende Thema herum, setzt aber noch einige andere Schwerpunkte: Schrems II und Brexit sind von außen gesetzt. (Und bieten für regelmäßige Leser*innen hier nichts neues.) Eine intensive Auseinandersetzung mit Betroffenenrechten und eine Kita-Querschnittsprüfung sind selbst gewählt.

Titelseite des Tätigkeitsberichts 2020
Fünf Zeilen für den Namen der Behörde. Eine mögliche Umbenennung in KDSA NRW wird im Bericht aber nicht angesprochen.

Im vergangenen Jahr hieß es hier zum Tätigkeitsbericht für 2019 »Die Schonzeit ist vorbei«. Auch in diesem Jahr macht der DDSB deutlich, dass (zum Veröffentlichungszeitraum) nach mehr als drei Jahren KDG nicht mit allzu viel Nachsicht zu rechnen ist. Die großen Bußgeld-Hämmer blieben dennoch aus.

Weiterlesen