Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Nach dem forschen Vorstoß aus Bayern mit einem »Facebook-Verbot« hat sich die zweite katholische Aufsicht geäußert. Die KDSA Ost erläutert, dass der Bescheid des BfDI gegen das Bundespresseamt keine neue Rechtslage erzeugt, sondern nur die Konsequenz aus der bisherigen Bewertung der DSK ist. Die bayerische Entscheidung kommentiert er wohlwollend, aber sichtlich bemüht, die irreführende und rechtlich nicht gedeckte Rede vom »Facebook-Verbot« nicht aufzugreifen: »Auch die Datenschutzkonferenz der katholischen Datenschutzaufsichten hat wiederholt auf diese Rechtslage hingewiesen. Deshalb ist es nur folgerichtig, dass der Diözesandatenschutzbeauftragte für die bayrischen Bistümer ankündigt, nach einer von ihm gewährten Frist, gegen Verantwortliche vorzugehen, die weiterhin eine Facebook-Fanpage betreiben.« Für den Bereich seiner Aufsicht rät der Ost-DDSB dazu, datenschutzkonforme Alternativen zu suchen, ohne eine konkrete Offensive anzukündigen. Auch das KDSZ Dortmund hält an seiner Einschätzung fest. Beratungen und Auskünfte zum Betrieb von Facebook-Fanseiten durch die Aufsicht hätten trotz der ablehnenden Haltung in den meisten Fällen nicht dazu geführt, »dass die kirchlichen Stellen einen aus Sicht der Datenschutzaufsichten datenschutzkonformen Betrieb der Facebook-Fanpages erreicht haben bzw. die Fanpages aus diesem Grund (nicht mehr) unterhalten haben«. Die NRW-Aufsicht kündigte an, in den nächsten Monaten bei Prüfungen und Beschwerden verstärkt auf dieses Thema zu achten und gegebenenfalls zu handeln. Der BfD EKD erinnert wie zuvor schon der DSBKD an die Entschließung der evangelischen Datenschutzkonferenz. »Kirchliche und diakonische Stellen müssen demnach den datenschutzkonformen Einsatz von Facebook Fanpages nachweisen können«, heißt es ohne die Ankündigung weiterer Eskalation seitens der Behörde.
Im Publik-Forum fordert der Sprecher des Betroffenenbeirats bei der Deutschen Bischofskonferenz, Johannes Norpoth, ein Recht auf Akteneinsicht und auf individuelle Aufarbeitung für Betroffene von Missbrauch: »Um endlich für Waffengleichheit zu sorgen, müssen Betroffene und Opfer in alle Akten und Dokumente Einsicht nehmen können, die in Zusammenhang mit der Straftat und deren anschließender Vertuschung stehen – unabhängig vom Fund- und Archivort.« Das gelte besonders für die kirchlichen Archive, die sich dem staatlichen Zugriff bisher entzögen. Untersuchungen hätten gezeigt, dass Bistümer ihren eigenen Aufarbeitungskommissionen und Studieninstituten die Einsichtnahme verwehren oder massiv erschweren, selbst wenn es um anonymisierte Daten gehe. »Das Vorenthalten von Informationen, die eine lückenlose und vollständige Aufklärung von Missbrauchstaten im Raum der Kirche ermöglichen, ist quasi das i-Tüpfelchen auf der moralischen Bankrotterklärung klerikaler Bewahrer«, betont Norpoth. Der Staat müsse alle Mittel ausschöpfen trotz hoher rechtlicher Hürden: »Das umfassende Akteneinsichtsrecht muss für alle Archivstrukturen der betroffenen Organisation gelten«, fordert Norpoth.
Bislang hat sich von Seiten von Religionsgemeinschaften nur die katholische Kirche im Gesetzgebungsprozess zur geplanten EU-Verordnung zur Festlegung von Vorschriften zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern eingebracht, hat eine Informationsfreiheitsanfrage bei der Europäischen Kommission ergeben. Der Verordnungsentwurf ist aufgrund der geplanten massiven Eingriffe in die Kommunikationsfreiheit (»Chatkontrolle«) hoch umstritten. Aus einer Mitschrift der Kommission aus der COMECE-Rechtskommission geht auch eine Datenschutzfrage im Kontext von Missbrauchsprävention hervor: Eine Person berichtete (wahrscheinlich aus Irland, das Treffen fand unter Chatham House Rules statt, also ohne Identifikation der Sprechenden) von den Schwierigkeiten der nationalen kirchlichen Stelle für Kinderschutz, Daten zu verdächtigen Priestern weiterzugeben: »Reference to a GDPR issue that prevents non-statutory bodies on sharing information on at-risk priests moving from parish to parish, and where the National Board set up as a central body to coordinate such information sharing is without a legal basis to access case files.«
WeiterlesenAbonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Das DSG-EKD ist nun amtlich geändert: Am Donnerstag veröffentlichte die EKD das Änderungsgesetz im Amtsblatt. (Was sich ändert, stand auch schon mal hier. Spoiler: Nichts Spektakuläres.)
Am Mittwoch fand (wahrscheinlich) das zweite Treffen der Datenschutzkonferenz mit den spezifischen Aufsichten für dieses Jahr statt. Den Termin hatte ich im Sommer mit einer IFG-Anfrage herausgefunden, das Protokoll wird dann wieder per Informationsfreiheitsgesetz zu befreien sein – wie jedes Mal. Auch ohne Transparenzgesetz könnte die DSK die Informationen auch einfach immer von vornherein veröffentlichen.
Zum Ende seiner Amtszeit legt der Gemeinsame Rundfunkdatenschutzbeauftragte von BR, SR, WDR, Deutschlandradio und ZDF einen Abschlussbericht vor. Darin geht er auch noch einmal auf die mangelnde Beteiligung der spezifischen Aufsichten ander Datenschutzkonferenz ein (Rn. 28f.), die er bereits zuvor in einem Positionspapier thematisiert hatte. Konkrete Verabredungen gebe es noch nicht. »Ziel sollte es sein, den nach Auffassung aller Beteiligten bislang unbefriedigenden retrospektiven Austausch durch ein Verfahren zu ersetzen, das eine frühzeitige wechselseitige Information und gegebenenfalls gemeinsame Positionierungen ermöglicht«, so der Rundfunkdatenschutzbeauftragte.
In der aktuellen ZMV befasst sich Matthias Ullrich, der Diözesandatenschutzbeauftragte der Ost-Bistümer und Autor des hier schon besprochenen Buchs »Beschäftigtendatenschutz der katholischen Kirche« mit betrieblichen Datenschutzbeauftragten im staatlichen und kirchlichen Recht. Gewohnt gelungen ist dabei die Verknüpfung von arbeits- und datenschutzrechtlicher Expertise, die auf einige Fragen abhebt, die aus dem Datenschutzrecht allein nicht zu beantworten sind, etwa zur Bestellung (nach Ansicht Ullrichs nicht durch einseitige Übertragung, sondern in der Regel durch eine Arbeitsvertragsänderung vorzunehmen), Probezeit (nicht zulässig, da Anforderungen von Tag 1 an sicher erfüllt sein müssen) sowie Befristung des Amts (in § 36 Abs. 5 KDG und § 36 Abs. 3 DSG-EKD geregelt) und der Stelle (nicht geregelt). Ullricht ist einer Befristung der Stelle zum Unterlaufen der gesetzlichen Mindestbenennungsfristen gegenüber kritisch: »In solchen Fällen ist das befristete Arbeitsverhältnis deshalb aus datenschutzrechtlicher Sicht bei der Benennung zu entfristen oder zumindest auf die Mindestbenennungsdauer für betriebliche Datenschutzbeauftragte zu verlängern.« Im Ergebnis führt das dazu, dass Datenschutzbeauftragte aus Sicht des Datenschutzrechts regelmäßig nicht sachgrundlos befristet beschäftigt werden können – im katholischen Arbeitsrecht ist die maximale sachgrundlose Befristung auf 14 Monate festgelegt, im evangelischen Bereich gilt die gesetzliche Höchstdauer von zwei Jahren.
Die russisch-orthodoxe Kirche hat man nicht als erstes auf dem Zettel, wenn es um grund- und menschenrechtsorientierte Sozialverkündigung geht. Patriarch Kyrill hat sich nun zu biometrischen Datenbanken geäußert: »Die Kirche stimmt den den Experten zu, die darauf hinweisen, dass jede Datenbank mit personenbezogenen Daten, einschließlich biometrischer Daten, nicht vollständig vor Lecks geschützt werden kann. Die Risiken von biometrischer Datenlecks sind aufgrund der Neuartigkeit der Technologie noch nicht vollständig bekannt.« Daher stehe die Kirche für das »grundsätzliche und bedingungslose Recht der Bürger, die biometrische Identifizierung abzulehnen, mit absoluten Garantien der Nicht-Diskriminierung im Falle einer solchen Entscheidung«.
Das KDSZ Dortmund blickt mit einer Veröffentlichung auf die ersten fünf Jahre seines Bestehens zurück: »Kirchlicher Datenschutz – gewachsener Baustein kirchlicher Selbstverwaltung« heißt der im Selbstverlag online veröffentlichte Band anlässlich des Geburtstages, der schon am 1. September 2021 gefeiert wurde.
Auf 120 Seiten gibt es Betrachtungen aus Kanonistik und Staatskirchenrecht, eine kompakte Rechtsgeschichte des kirchlichen Datenschutzes sowie einen Blick in die Praxis von Aufsicht, Gerichten und betrieblichem Datenschutz.
WeiterlesenAbonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Die Datenschutzkonferenz hat einen Beschluss zu Facebook-Fanpages getroffen und sich damit ein Kurzgutachten ihrer Taskforce zum Thema zu Eigen gemacht. Das kommt zu diesem Ergebnis: »Für die bei Besuch einer Fanpage ausgelöste Speicherung von Informationen in den Endeinrichtungen der Endnutzer:innen und den Zugriff auf Informationen, die bereits in der Endeinrichtungen gespeichert sind, sowie für die Verarbeitungen personenbezogener Daten, die von Seitenbetreibern verantwortet werden, sind keine wirksamen Rechtsgrundlagen gegeben. Darüber hinaus werden die Informationspflichten aus Art. 13 DSGVO nicht erfüllt.« Dem schließt sich die KDSA Ost an und fordert die Verantwortlichen in den kirchlichen Einrichtungen auf, ihre Facebook-Fanpages zu deaktivieren, sofern die Verantwortlichen die datenschutzrechtliche Konformität nicht nach denselben Kriterien wie von der DSK gefordert nachweisen können.
In NomoK@non beschäftigt sich Matthias Ambros mit dem Seelsorgegeheimnis im kanonischen Recht. Dabei beschäftigt er sich auch ausführlich mit can. 220 CIC, der den guten Ruf und den Schutz der Intimsphäre normiert. Da der knappe Kanon lediglich eine »Fundamentalnorm« sei, plädiert Ambros für eine Erarbeitung von Schutznormen auf dieser Grundlage. Auch wenn es das noch nicht gibt und das Datenschutzrecht nur Teilaspekte des Persönlichkeitsrechts und der Intimsphäre schützt, gibt es kirchliche Rechtsbehelfe. Ambros erläutert, wie ein kirchliches Verwaltungsverfahren aussehen würde: »Unter Bezugnahme auf den in can. 220 verbürgten Schutz der Intimsphäre kann sich ein Gläubiger in Schriftform an den zuständigen Ordinarius wenden und unter Belegung des Sachverhaltes beantragen, dass die Verletzung des Persönlichkeitsrechts festgestellt und entstandener Schaden wieder behoben wird«, im folgenden beschreibt er noch die zur Verfügung stehenden Rechtsmittel.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Die Corona-Schutzmaßnahmen werden immer weiter zurückgenommen – das hat auch Konsequenzen dafür, welche Daten noch verarbeitet werden dürfen: Schließlich sind mit den Lockerungen auch einige Rechtsgrundlagen weggefallen. Darauf weist die KDSA Ost hin: Der Impf- und Sero-Status der Beschäftigten darf nicht mehr verarbeitet werden. »Eine derartige Datenverarbeitung hat somit zu unterbleiben. Daten, die in diesem Zusammenhang erhoben worden sind, sind datenschutzkonform zu löschen. Damit verbunden ist auch die Vernichtung/Löschung sämtlicher Testnachweise (Schnelltests)«, so der Diözesandatenschutzbeauftragte. Ausnahmen gelten lediglich für Beschäftigte der in § 23 Abs. 3 IfSG genannten medizinischen und Pflegeeinrichtungen. Ohne eine Rechtsgrundlage ist auch die Kontaktnachverfolgung bei Gottesdiensten nicht mehr möglich – jedenfalls nicht ohne Einwilligung. Obwohl diese Rechtsgrundlage teilweise schon länger weggefallen ist, gibt es immer noch Gemeinden mit Gottesdiensten unter Anmeldepflicht, erfährt man aus dem Interview des Domradios mit Antonius Hamers, dem Leiter des Katholischen Büros NRW. Auch über die dort genannten Gründe hinaus sollte man sich gut überlegen, ob man sich ohne Not diese Verarbeitung besonderer Kategorien personenbezogener Daten – denn nichts anderes sind Daten zum Gottesdienstbesuch – ans Bein binden will.
Die katholische Personalaktenordnung für Kleriker und Kirchenbeamte dürfte mittlerweile in den meisten Bistümern in Kraft sein. Das Bistum Essen ist nun die erste Diözese, die auf dieser Grundlage auch ihre Maßgaben für die Beschäftigten reformiert hat. Die »Verordnung über die Führung von Personalakten und Verarbeitung von Personalaktendaten von Mitarbeiterinnen und Mitarbeitern des Bistums Essen« gilt für Mitarbeitende des Bistums Essen. Für Lehrkräfte wird einheitlich das Landesbeamtengesetz angewandt. Nach erster Durchsicht (die Ordnung wurde erst im Laufe des Donnerstags veröffentlicht) wurden dabei im wesentlichen die Regelungen der bekannten Personalaktenordnung für alle Beschäftigte umgesetzt. Interessant ist, dass es sich um eine Verordnung des Generalvikars handelt, anscheinend ohne Beteiligung der KODA.
Mobilsicher hat islamische Gebets-Apps untersucht. Das Ergebnis ist ähnlich ernüchternd wie die Recherche zu Gebets-Apps, die hier vor einigen Wochen schon verlinkt wurde. Alle 13 getesteten Apps schneiden schlecht ab, den Islam-Verbänden sind auch keine guten Alternativen bekannt. Neun der Apps leiten Standortdaten an Dritte weiter, keine scheint ein angemessenes Schutzniveau, wie es besondere Kategorien personenbezogener Daten erfordern, zu erfüllen: »Denn allein die Tatsache, dass jemand eine solche App nutzt, lässt einen Rückschluss auf dessen religiöse Überzeugung zu«, so Mobilsicher, und weiter: »Dabei sollte es technisch nicht allzu schwer sein, gläubigen Muslimen eine Gebets-App zur Verfügung zu stellen, die ohne die Weitergabe persönlicher Daten oder Kennnummern funktioniert« – schließlich braucht es dafür nur die Uhrzeit, einen Ort, der sich auch ohne Ortungsdienst eingeben ließe, sowie Zugriff auf den Kompass. (Danke an netzpolitik.org für den Hinweis!)
In eigener Sache: Am 2. Juni bin ich Referent bei einer Fortbildung von JHD|Bildung zum Thema »Datenschutz in der Jugendarbeit«. In der zweistündigen Veranstaltung gibt es einen Crashkurs zum kirchlichen Datenschutz und einen Blick auf ausgewählte Verarbeitungen, die in der Jugendarbeit relevant sind.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Über eine Informationsfreiheitsanfrage habe ich das Protokoll des Austauschs der Datenschutzkonferenz mit den spezifischen Aufsichtsbehörden vom 8. Dezember 2021 besorgt. (Zu finden bei fragdenstaat.de) Daraus erfährt man, dass der BfDI während seines DSK-Vorsitzes im Jahr 2022 »das übergreifende Thema der Zusammenarbeit zwischen der DSK und den spezifischen Aufsichtsbehörden« vertiefen möchte. Wie erwartet fragt hier vor allem der Rundfunkdatenschutzbeauftragte wieder mal kritisch nach. Viel erfährt man darüber nicht; gesprochen wurde unter anderem über den Zugang zum Dokumentenmanagementsystem des Europäischen Datenschutzausschusses Confluence. Das sei auch schon bei der 102. DSK besprochen worden – der Zugang könne dann beantragt werden, wenn die jeweilige spezifische Aufsichtsbehörde betroffen ist. Wieder einmal sind von den kirchlichen Aufsichten nur der BfD EKD und die Vorsitzende der katholischen Datenschutzkonferenz anwesend – und die »Katholische Kirche Südbayern«, wer auch immer das sein mag. Möglicherweise der für Süddeutschland zuständige Ordensdatenschutzbeauftragte?
Die Landeskirche Hannovers hat eine IuK-Richtlinie erlassen. Erfreulich: Darin wird explizit auch geregelt, dass auch Ehrenamtliche dienstliche Kommunikationsgeräte erhalten können, »wenn die übertragenen Aufgaben es von ihrem Inhalt oder Umfang her erfordern«. Über die Bereitstellung für Ehrenamtliche entscheidet die beauftragende Körperschaft. Da allerdings ohne besondere Hürden auch die dienstliche Nutzung privater Kommunikationsgeräte erlaubt wird, dürfte das nicht dazu führen, dass beispielsweise Kirchenvorstände künftig für ihre Arbeit mit kirchlichen Geräten ausgestattet werden, um die IT-Sicherheit und Vertraulichkeit zu sichern. Die praktischen Auswirkungen der Richtlinie auf das tatsächliche Datenschutzniveau sind damit nicht allzu hoch anzusetzen.
Das Interdiözesane Datenschutzgericht kündigt wieder einmal eine Entscheidungsveröffentlichung an – den Stichworten nach zu urteilen mit hoher praktischer Relevanz: IDSG 04/2019, Offener E-Mail-Verteiler und Kontextinformationen. Erfahrungsgemäß dauert es etwa eine Woche von der Erwähnung in der Entscheidungssammlung bis zur Veröffentlichung der Entscheidung im Volltext.
Der Bund Katholischer Unternehmer hat sich zum Entwurf der EU-KI-Verordnung geäußert und dabei den Schwerpunkt auf die Forderung nach dem Vorrang menschlichen Handelns und Autonomie gelegt. „Die Würde des Menschen und das Recht auf Selbstbestimmung bleiben auch in der digitalen Welt unantastbar“, heißt es in dem Papier des Arbeitskreises Digitalpolitik. Insbesondere wende man sich gegen „digitale Monopole und Datenkolonialismus“. Um als „mündige Bürgerinnen und Bürger in der digitalen Welt partizipieren und die persönlichen wie gesellschaftlichen Risiken besser einschätzen und steuern zu können“, wird ein Mindestanspruch auf digitale Bildung gefordert: „dies betrifft z.B. auch den Umgang mit den eigenen personenbezogenen Daten“, so das Papier weiter. Neben der eigentlichen Regulierung brauche es daher auch eine bildungspolitische und zivilgesellschaftliche Strategie. Der BKU ist dabei nicht der einzige kirchliche Player, der sich bereits zur EU-KI-Politik geäußert hat, wie ich vor einiger Zeit durch eine Informationsfreiheitsanfrage an die EU-Kommission herausgefunden hatte.
Die Kommission der Bischofskonferenzen der Europäischen Gemeinschaft (COMECE) hat sich an der Konsultation zu einem EU-Weißbuch zu Künstlicher Intelligenz beteiligt. Die Bischöfe fordern dabei allgemein einen sozialethischen Diskurs und die systematische Beteiligung von Religionsgemeinschaften ein. Die Regulierung von KI müsse sich am Gemeinwohl orientieren. In der schon im Juni eingereichten Stellungnahme werden in diesem Kontext auch Forderungen zum Datenschutz gestellt.
Die COMECE sieht Positionen mit Sorge, die eine weitreichende Flexibilität bei der Anwendung der DSGVO auf KI-Anwendungen fordern. Stattdessen macht sie die Grundsätze für die Verarbeitung personenbezogener Daten aus Art. 5 DSGVO stark, insbesondere Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz; Datenminimierung; Integrität und Vertraulichkeit und Rechenschaftspflicht (Art. 5 Abs. 1 litt. a), c), f) und Abs. 2 DSGVO).
Weiterlesen