Schlagwort-Archive: Einwilligung

Videokonferenzgesetz Nord, Exchange-Check West – Wochenrückblick KW 37/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Seit Donnerstag tagt die Synode der Nordkirche. Auf der Tagesordnung steht auch ein »Kirchengesetz über die Durchführung von Sitzungen und die Beschlussfassung kirchlicher Gremien auch mittels Videokonferenzen (Videokonferenzengesetz − VidKoG)«: eine allgemeine Rechtsgrundlage, nicht nur für Seuchenzeiten. Neben den erwartbaren datenschutzrechtlichen Bestimmungen (in der Regel keine Aufzeichnung, Vertraulichkeit beachten, Anbieter müssen europäische Datenschutzstandards einhalten, § 3) und überraschenden Regelungen (implizit gibt es eine grundsätzliche Pflicht, mit Video teilzunehmen, § 7 Abs. 2) wird in der Begründung auch auf öffentliche Sitzungen eingegangen. Dort wird zwar betont, dass es für ein öffentlich zugängliches Streaming grundsätzlich die »Zustimmung« aller Betroffenen brauche, andere Rechtsgrundlagen seien aber zulässig. Und die werden nicht übermäßig hoch gehängt: »Nach Auskunft des örtlichen DS-Beauftragten und des DS-Referenten der EKD ist eine Regelung in der Geschäftsordnung als ausreichende Rechtsgrundlage anzusehen.« (Die Streaming-Rechtsgrundlage § 53 DSG-EKD wird anscheinend nicht für einschlägig gehalten.)

Erst kommt die Exchange-Lücke, und dann auch noch die Aufsicht: Das KDSZ Dortmund berichtet über eine Prüfung anlässlich der im Frühjahr festgestellten Sicherheitslücke im Microsoft-Exchange-Server. Haben die geprüften Einrichtungen rechtzeitig Patches eingespielt? Der Bericht ist aufschlussreich und erfreulich. Aufschlussreich, weil die Aufsicht ihren Prüfprozess grob dokumentiert und erkennen lässt, dass im Haus genügend Expertise ist, um technische Prüfungen durchzuführen: »In einem ersten Schritt wurden durch das Katholische Datenschutzzentrum die öffentlich verfügbaren Informationen der E-Mail-Server der Einrichtungen abgefragt. So konnte auch erkannt werden, ob die Sicherheitslücke noch besteht.« Und erfreulich, weil es keine Beanstandungen gegeben hat: »Die Antworten der angeschriebenen Einrichtungen zeigten durchweg ein angemessenes und professionelles Verhalten der Verantwortlichen.«

Weiterlesen

Impffragen und Jubiläum im Geheimarchiv – Wochenrückblick KW 35/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die Frage, ob Beschäftigte von ihren Arbeitgeber*innen nach dem Impfstatus gefragt werden dürfen, beherrscht diese Woche die Pandemie-Diskussion. Gegenüber dem ZDF hat sich dazu auch Theologe und Ethikratsmitglied Andreas Lob-Hüdepohl geäußert: »Der Datenschutz ist ein wichtiges Gut, allerdings werden die Daten nicht um ihrer selber geschützt, sondern sie dienen der Persönlichkeitssphäre der betroffenen Mitarbeiterinnen und Mitarbeiter, von daher muss man tatsächlich in dieser Situation eine Güterabwägung vornehmen, nämlich zwischen dem Gut der geschützten Daten um des Persönlichkeitsschutzes willen, oder aber das Wissen um bestimmte Daten, in diesem Fall Gesundheitsdaten, auch um Personen zu schützen, nämlich im Betrieb, von daher ist das grundsätzlich anzudenken und möglicherweise sogar erforderlich.« Lob-Hüdepohl betont dabei die ethische Notwendigkeit einer rechtlichen Regelung: »denn nur was gesetzlich geregelt ist, dagegen kann ich mich gegebenenfalls auch wehren, das ist ein Rechtsstaatsprinzip«, so der Berliner Theologe.

Das Katholische Datenschutzzentrum Dortmund feiert sein fünfjähriges Jubiläum und die Bestätigung von Steffen Pau als Diözesandatenschutzbeauftragter auf fünf weitere Jahre. (Amtsblatt- und Artikel-91-Leser*innen wussten das schon.) In der Meldung hebt das Datenschutzzentrum seine organisatorische Vorreiterrolle hervor, die die Errichtung als KdÖR darstellte: »In der Folge entstand für die südwestlichen (Erz-)Bistümer in Deutschland das „Katholische Datenschutzzentrum Frankfurt am Main“ (KdöR). Auch die Freisinger Bischofskonferenz plant zur Unterstützung des gemeinsamen Diözesandatenschutzbeauftragten der bayerischen (Erz-)Bistümer ein „kirchliches Datenschutzzentrum“ in Nürnberg zu errichten.« Wann das der Fall sein wird, ist trotz vieler Nachfragen bei der Pressestelle der Freisinger Bischofskonferenz noch nicht zu erfahren.

Im Würzburger »Kanon des Monats« geht es im September um die bischöflichen Geheimarchive. Jessica Scheiper, die das Thema bereits vor einigen Wochen bei Feinschwarz angesprochen hatte, legt jetzt noch einige kanonistische Details nach. Dazu gehört auch der Verweis auf can. 490 § 3 CIC: »Aus dem Geheimarchiv bzw. Geheimschrank dürfen keine Dokumente herausgegeben werden.« Das hat auch für die Betroffenenrechte des Datenschutzrechts erhebliche Auswirkungen: Das Universalkirchenrecht ist höherrangiges Recht als das KDG und geht damit den datenschutzrechtlichen Auskunftsrechten vor. Da im Geheimarchiv unter anderem »Akten der Strafsachen in Sittlichkeitsverfahren« gelagert werden, hebelt das insbesondere die Rechte von Betroffenen sexualisierter Gewalt aus.

Weiterlesen

Stand der Technik im Pfarrbüro – Wochenrückblick KW 33/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Mal wieder zum Ende der Woche kam ein Tätigkeitsbericht – der Diözesandatenschutzbeauftragten für die Südwest-Bistümer. Die ausführliche Besprechung folgt in der kommenden Woche. Ein erstes Highlight gibt’s gleich auf der Titelseite: Der Heilige Ivo hat Konkurrenz bekommen – das Frankfurter Datenschutzzentrum stellt sich unter das Patronat des heiligen Johannes Nepomuks.

Und noch eine Prüfung – die KDSA Ost kündigt eine Prüfung von Pfarreien im Zuständigkeitsgebiet an und gibt schon mal Hinweise, was man lieber parat haben sollte: »Datenschutzkonzept, Verfahrensverzeichnisse, technisch- organisatorische Maßnahmen, Pflichtinformationen« werden genannt. Nach Angaben der Aufsicht laufen außerdem gerade noch Prüfungen internationaler Datentransfers, von Mailhostern, Tracking-Tools und der Nutzung privater Endgeräte zu dienstlichen Zwecken. Viel zu tun.

Der für mehrere ostdeutsche Landeskirchen und Diakonischen Werke zuständige Datenschutzbeauftragte für Kirche und Diakonie veröffentlicht immer spät, stoßweise und rückdatiert (und in dieser Woche gleich drei) Hinweise: Zur Änderung des DSG-EKD zur Missbrauchsaufarbeitung (man erfährt, dass die Behörde informell bei der Novellierung beteiligt war), zu den neuen Standardvertragsklauseln (die im Einklang mit dem kirchlichen Datenschutzrecht anzuwenden sind, auch wenn sie natürlich nur die DSGVO referenzieren) und eine Erläuterung zum Begriff »Stand der Technik«: Insbesondere wird betont, dass eine »Berücksichtigung der Implementierungskosten im Sinne einer Wirtschaftlichkeitsbetrachtung« nicht das Datenschutzniveau absenken dürfe. Empfohlen wird die Handreichung zum Thema des Arbeitskreises »Stand der Technik« des Bundesverbands IT-Sicherheit.

Weiterlesen

Alles Einzelfälle – Wochenrückblick KW 31/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Die neu im DSG-EKD geschaffene Rechtsgrundlage für die systematische Missbrauchsaufarbeitung schließt ihre Anwendung für Einzelfälle aus. Das stößt auf Kritik bei Betroffenenvertreter*innen: Kerstin Claus, Mitglied des Nationalen Rats gegen sexuelle Gewalt an Kindern und Jugendlichen, sieht in einer Ergänzung zur Meldung hier das Problem darin, dass die Gesetzesänderung so ins Leere laufen könnte: »›Nicht auf den Einzelfall bezogene Untersuchung‹ – das heisst im Umkehrschluss, dass gerade für Taten, die sich im gemeindlichen Kontext ereignet haben, entsprechende Akten kaum ausgewertet werden können, da mangels solcher auch öffentlicher kirchlicher Nachforschungen, die das Gegenteil belegen könnten, weiter für die meisten angezeigten Fälle von Einzelfällen ausgegangen werden wird.« Ihr ganzer Kommentar ist lesenswert.

Die Ungeduld wächst bei einigen kirchlichen Aufsichten angesichts verhallender Hinweise. Bei der KDSA Ost geht’s dieses Mal um Namensschilder im Pflegebereich und immer wiederkehrende Konflikte darüber, ob die den vollen Namen enthalten müssen. Müssen sie nicht, ist ziemlicher Konsens bei den Aufsichten, wie auch die Ost-Aufsicht erläutert: »Gerade aber im Bereich körpernaher Dienstleistungen besteht regelmäßig die Gefahr, dass Patienten in der Pflegeleistung mehr als eine Dienstverrichtung sehen. Nach Dienstende oder außerhalb der Dienstzeit haben Arbeitnehmer*innen ein schützenswertes Interesse nicht von Patienten kontaktiert zu werden.« Den Wink mit dem Zaunpfahl sollten entsprechende Verantwortliche zur Kenntnis nehmen – die Aufsicht kündigt Sanktionen an.

Weiterlesen

Keine Gelegenheit für Bußgelder – Tätigkeitsbericht 2020 der KDSA Nord

Noch schnell vor der Sommerpause hat die Katholische Datenschutzaufsicht Nord am Donnerstag ihren Tätigkeitsbericht für 2020 veröffentlicht – natürlich ein weiterer Corona-Bericht. Die Pandemie hat sich neben dem Ausfall von allen Vor-Ort-Prüfungen bis auf zwei vielfältig in der Aufsichts- und Beratungstätigkeit niedergeschlagen.

Titelseite des Tätigkeitsberichts 2020 der KDSA Nord

Titelseite des Tätigkeitsberichts 2020 der KDSA Nord

Eine auffällige Leerstelle im Bericht sind die Aufsichtsmaßnahmen: Zwar werden einige Fälle geschildert, in denen durchaus gravierende Datenschutzverstöße vorliegen. Bußgelder werden jedoch nicht erwähnt. Auf Anfrage teilte mir der Diözesandatenschutzbeauftragte Andreas Mündelein mit, dass er keine Möglichkeit hatte, Bußgelder zu verhängen – die besonders gravierenden Fälle waren bei öffentlich-rechtlich organisierten Stellen und damit durch das KDG von Bußgeldern ausgenommen. Der Glaubwürdigkeit der kirchlichen Selbstverwaltung trägt diese Regelung nicht bei.

Weiterlesen

Fotos vom Ferienlager – so klappt’s mit dem Datenschutz

Jetzt ist wieder die Zeit der Zeltlager und Ferienfreizeiten – und damit wird eine Klassikerfrage des Datenschutzes wieder sehr aktuell: Was ist eigentlich erlaubt bei Fotos, auf denen Kinder und Jugendliche zu sehen sind? Unter welchen Bedingungen darf was fotografiert werden, und wo und wie dürfen diese Bilder dann veröffentlicht werden?

Ein Pfadfinder trägt einen Seesack in Richtung einer Gruppe von Menschen vor einem Zelt. Er ist von hinten zu sehen, die Gruppe dank fehlender Tiefenschärfe nicht identifizierbar.
Datenschutzrechtlich relevant sind nur Fotos, auf denen »identifizierte oder identifizierbare« Personen abgebildet sind – auch wenn Gesichter Bilder besonders lebendig wirken lassen – dieses Bild von einem Pfadfinder*innen-Lager zeigt, dass es auch ohne Gesicht möglich ist, ansprechende und atmosphärische Bilder aufzunehmen. (Photo by Mael BALLAND on Unsplash)

Immer noch ist es oft Standard, einfach ein Ankreuzfeld auf eine Anmeldung zu packen, mit dem die Eltern in alles einwilligen, was mit Fotos zu tun hat, und dann zu glauben, dass damit auch der Datenschutz abgehakt ist. Tatsächlich braucht es etwas mehr – vor allem ein Verständnis dafür, dass das Thema kein Selbstzweck ist und im besten Fall sogar eine medienpädagogische Chance darstellt. Daher liefert dieser Artikel auch keine fertigen Formulare – sondern Grundlagen für das Lagerteam für eine Beschäftigung mit dem Thema Datenschutz bei Fotos: Datenschutz als Haltung aus Verantwortung vor den anvertrauten Kindern und Jugendlichen – nicht als bürokratische Übung.

(Der Artikel aktualisiert meinen 2018 im BDKJ-Blog »Digitale Lebenswelten« veröffentlichten Beitrag.)

Weiterlesen

Beschäftigtendatenschutz kommentiert: Rezension Weller, Kirchliches Arbeitsrecht

Benjamin Weller legt mit »Kirchliches Arbeitsrecht« einen mit nicht einmal 300 Seiten kompakten und doch erstaunlich umfassenden Übersichtskommentar über einige Rechtsfelder vor: Individual- und Kollektivarbeitsrecht, Rechtsschutz sowie Beschäftigtendatenschutz, jeweils mit vergleichendem Blick auf die staatlichen, evangelischen und katholischen Regelwerke.

Weller: Kirchliches Arbeitsrecht in einem Bücherregal
Benjamin Weller: Kirchliches Arbeitsrecht. Baden-Baden/Freiburg 2021. 298 Seiten, 44 Euro.(Affiliate Link)

Der Abschnitt zum Datenschutz leistet dabei weit mehr, als einfach nur die (wenigen) spezifischen Regeln zum Beschäftigtendatenschutz zu erläutern – das wäre angesichts der sehr kompakten Regelungen von § 49 DSG-EKD und § 53 KDG auch nur ein kleiner Ausschnitt. Stattdessen beginnt das Kapitel mit einem Überblick über die beiden kirchlichen Gesetze im Vergleich mit der DSGVO. Auf gut 40 Seiten gelingt Weller eine umfassende und lesbare Einführung ins Datenschutzrecht und seiner Grundlagen.

Weiterlesen

Landschaftskunde – Wochenrückblick KW 21/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Der dritte Geburtstag der DSGVO wurde in den Medien breit gewürdigt mit vielen Einschätzungen zum aktuellen Stand – oft mit dem Tenor: Verordnung gut, Durchsetzung na ja. Sehr still war es um den dritten Geburtstag des KDG. (Die Woche verzeichnet sogar – wann gab es das zuletzt? – keine einzige amtliche kirchliche Veröffentlichung zum Datenschutz.) Immerhin die Vorsitzende der Konferenz der Diözesandatenschutzbeauftragten Ursula Becker-Rathmair war zum Interview auf katholisch.de bereit. Sie berichtet, dass die Themen vom Anfang sich gewandelt haben: Anstatt um Kinderfotos geht es jetzt um Spezialthemen wie Fotos zur Wunddokumentation bei nichteinwilligungsfähigen Patient*innen. Und noch ein weiteres wichtiges Thema spricht sie an: Die Frage nach gemischten Trägerschaften. Bisher ist es völlig ungeklärt, was passiert – etwa bei gemeinsamer Verantwortlichkeit oder Joint ventures –, wenn mehrere Datenschutzgesetze potentiell anwendbar sind.

Die DSGVO hat zum Geburtstag ein großartiges Geburtstagsgeschenk von Winfried Veil und Stefan Heinemann bekommen: Die »Dataprotection Landscape«, ein Tool, das das weite Feld Datenschutz systematisch und im Kontext erschließt, oder wie Veil es nennt: ein Koordinatensystem des Datenschutzes. Die Kachel zur Öffnungsklausel Artikel 91 ist noch etwas karg. Ich habe aber schon meine Unterstützung angeboten.

Der frisch erschienene Tätigkeitsbericht der niedersächsischen Datenschutzbeauftragten berichtet (neben den hier schon verhandelten Neuigkeiten zum Konflikt um die Datenschutzrichtlinie der SELK) über eine reichlich makabre Missionierungsstrategie: »Ein Verein, der sich auf christlichen Beistand in schwerer Zeit spezialisiert hatte, wertete die Traueranzeigen der örtlichen Tagezeitung aus und glich diese mit dem Telefonbuch ab. An die so ermittelte Adresse wurde dann ein Brief mit Trauerrand versandt, der eine Druckschrift mit Missionierungscharakter beinhaltete sowie eine vorgedruckte Postkarte zur Anforderung von Büchern, Schriften, Bibelfernkursen und CDs.« Beim Verfahren ging es nur um die Auskunftsrechte – ob damit stillschweigend auch gesagt ist, dass es für diese Datenakquise eine Rechtsgrundlage gibt, ist unklar.

Außerdem hat sich das Datenschutzblog der Kanzlei Reichert und Reichert das hier bereits besprochene Kirchliche Datenschutzmodell angeschaut und kommt zu ähnlichen Schlüssen wie bei Erscheinen hier vertreten: »Herausgekommen ist ein komplexes Modell, das zum einen den Aufbau und häufig auch das Wording und die Struktur des Standard-Datenschutzmodells übernimmt, auf der anderen Seite durch den direkten Bezug auf die beiden kirchlichen Datenschutzgesetze und deren gewohnten Begrifflichkeiten das Verständnis und die Übertragung in die Praxis kirchlicher Datenschutzbeauftragter durchaus fördern mag.«

Weiterlesen

Wenn der MAV-Chef krank ist – Wochenrückblick KW 8/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Datenschutz ist hartes Brot. Erst recht, wenn er vor Gericht geht. Wieder einmal hat das Interdiözesane Datenschutzgericht einen Beschluss veröffentlicht (IDSG 09/2020) , recht lang und kompliziert – es geht um die Frage eines möglichen Datenschutzverstoß eines Geschäftsführers eines Krankenhauses, den dieser gegenüber dem Vorsitzenden der Mitarbeitervertretung begangen haben soll.

Zunächst entwickelt das Gericht das kirchliche Prozessrecht weiter: Auch wenn es keine Regelung zur Wiedereinsetzung in den vorherigen Stand gibt, sieht das IDSG das als möglich an: »Im Fall einer unverschuldeten Fristversäumnis erfordert es das Gebot effektiven Rechtsschutzes, eine Wiedereinsetzung in den vorigen Stand zu ermöglichen.« (Nr. 44)

In der Sache dürfte das Urteil für die Zusammenarbeit von Dienstgeber*innen und Mitarbeitervertretung Rechtssicherheit schaffen – auch wenn der Fall kurios ist: Wenn der Vorsitzende der MAV krank ist – wie darf das von wem kommuniziert werden? Dass es kommuniziert werden muss, ist relativ klar, schließlich braucht es eine Vertretung. Nun ist das auch gerichtlich abgesichert, dass es hier keine Datenschutzprobleme gibt – schließlich sieht die Mitarbeitervertretungsordnung und damit ein kirchliches Gesetz vor, dass eine tatsächliche Verhinderung (und nicht bloß etwa eine versehentliche Abwesenheit) festgestellt werden muss. (Die Zusammenfassung vereinfacht grob den 17-seitigen Beschluss. Wer bei »Mitarbeitervertretung« hellhörig wird: Ob diese eine eigenständige Verantwortliche ist, wird im Beschluss nicht angesprochen.

Weiterlesen

Hart, härter, kirchlicher Datenschutz?

Der kirchliche Datenschutz gilt als besonders streng – jedenfalls hört man das oft von Anwender*innen. Aber stimmt das eigentlich? Schließlich müssen die eigenen Datenschutzregeln von Religionsgemeinschaften, so sieht es Art. 91 DSGVO vor, »in Einklang« mit den Wertungen der DSGVO stehen. Und während die Deutsche Bischofskonferenz schreibt, dass sie mit einem Unterschied in der Formulierung der Einwilligung nicht strenger, sondern »lediglich konkreter und damit anwenderfreundlicher« sein wollte, sagte der bayerische Diözesandatenschutzbeauftragte Jupp Joachimski, der auch an der Ausarbeitung des KDG mitwirkte, dass die Kirche aufgrund ihres Demokratiedefizits handeln musste: »und deshalb waren wir an manchen Stellen bei der Entwicklung des KDG strenger, um zu zeigen, dass wir bereit sind, solche Defizite auszugleichen«, so Joachimski. Von evangelischer Seite sind keine solche Äußerungen bekannt – aber auch dort hört man selten den Vorwurf, das DSG-EKD sei zu lax.

Stimmt es aber überhaupt, dass die kirchlichen Gesetze im Zweifel strenger sind? Ein genauer Blick fördert Interessantes zu Tage – und einige Regelungen, über die man überraschend wenig in der Praxis hört. An einigen Punkten gibt es deutliche Abweichungen von den Regelungen der DSGVO, die auch das Schutzniveau für betroffene Personen verändern.

Weiterlesen