Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Der erste Neue hat seinen ersten Bericht vorgelegt: der seit 1. Januar 2023 amtierende Diözesandatenschutzbeauftragte der Nordbistümer Andreas Bloms hat den Tätigkeitsbericht 2023 der KDSA Nord veröffentlicht. (Der zweite Neue in Bayern steht noch aus.)
Das Layout bleibt nordisch nüchtern und blau, das Format wurde etwas verändert. Neu sind graue Kästen mit Hinweisen dazu, was zu den referierten Themen zu beachten ist – kompakt und praxisnah.
WeiterlesenEigentlich sollte es mit der DSGVO ziemlich einfach sein, die zuständige Aufsicht zu finden: Federführend ist die Aufsichtsbehörde, die für das Gebiet zuständig ist, in der die verantwortliche Stelle oder der Auftragsverarbeiter die Haupt- oder einzige Niederlassung hat. In der Praxis gibt es aber doch einige Konstellationen, in denen das nicht ganz so klar ist. Schon 2016 hat die Artikel-29-Datenschutzgruppe daher »Leitlinien für die Bestimmung der federführenden Aufsichtsbehörde eines Verantwortlichen oder Auftragsverarbeiters« beschlossen (WP 244, geltende Fassung rev. 01 vom 5. April 2017).
Diese Leitlinien sollen nun überarbeitet werden. Der Europäische Datenschutzausschuss, der Nachfolger der Art.-29-Gruppe, hat daher einen Entwurf für überarbeitete Leitlinien zur Konsultation gestellt. Die Konsultation läuft noch bis zum 2. Dezember. Speziell geht es dabei um die Regeln zur gemeinsamen Verantwortlichkeit – eine Frage, die auch im kirchlichen Datenschutzrecht immer wieder Rätsel aufgibt. Der Entwurf erwähnt zwar weiterhin die spezifischen Aufsichten nicht – die neuen Regeln machen aber kirchlichen Verantwortlichen in »gemischtgesetzlichen« gemeinsamen Verantwortlichkeiten das Leben doch einfacher.
WeiterlesenAbonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Eigenes Datenschutzrecht von Religionsgemeinschaften ist die Ausnahme und selten Thema bei den staatlichen Behörden. Das zeigt das Ergebnis von zwei Informationsfreiheitsanfragen an den Europäischen Datenschutzausschuss und den Europäischen Datenschutzbeauftragten: kaum Befassung und Geheimniskrämerei. Der Europäische Datenschutzausschuss schickt zwei Dokumente: Ein Mailverkehr zu einer journalistischen Anfrage, ob die dänische Staatskirche es mit dem Datenschutz übertreibt, wenn sie Pfarrer*innen anweist, in Mails religiöse Bezüge zu vermeiden, und ein großzügig geschwärztes Protokoll der 10. Plenarsitzung des Datenschutzausschusses, aus dem lediglich hervorgeht, dass unter Punkt 5.1 »Access by specific supervisory authorities according to Article 85 and 91 GDPR to Documents of the European Data Protection Board« diskutiert wurde. Zu weiteren vier Dokumenten mit Artikel-91-Bezug wurde der Zugang verweigert. Beim europäischen Datenschutzbeauftragten gab es nur ein einziges Dokument: Die nordrhein-westfälische Aufsicht hat Anfang Oktober gebeten, eine Abfrage zu starten, ob es in anderen Mitgliedsstaaten als Deutschland auch spezifische Aufsichten gemäß Art. 91 Abs. 2 DSGVO gibt – möglicherweise im Zusammenhang mit dem Vorgehen der Aufsicht gegen die alt-katholische und neuapostolische Kirche.
Noch weiß man nicht viel darüber, was da im Bistum Augsburg los ist, dass Bischof Bertram Meier drei leitende Mitarbeitende freistellen musste. Im Raum steht allerdings »Datenmissbrauch«. Aufgrund der vorliegenden Informationen ist es kaum möglich, jetzt schon ein abschließendes Urteil zu fällen. Es könnte aber auch datenschutzrechtlich interessant werden: »Datenmissbrauch« könnte je nachdem, was vorgefallen ist, den Straftatbestand aus § 42 Abs. 2 BDSG verwirklichen – eine wenig angewendete Norm, OpenJur kennt nur zwei Entscheidungen (des VG Frankfurt und des OLG Brandenburg), die darauf Bezug nehmen. Das BDSG dürfte hier trotz kirchlichem Datenschutz einschlägig sein, weil wohl ein Mitarbeiterexzess vorliegt.
Kurz vor Redaktionsschluss hat das Interdiözesane Datenschutzgericht noch eine Entscheidung veröffentlicht – IDSG 08/2021 befasst sich mit Datenweitergabe innerhalb eines Ordinariats. In aller Kürze (nächste Woche mehr): Das Ergebnis ist plausibel. Teile des Wegs dahin über eine quasi »aufgedrängte« konkludente Einwilligung überraschen.
Man freut sich doch gelegentlich auch über die kleinen Dinge: Unsinnige Rechtsgrundlagen und zweifelhafte, weil allzu öffentliche Listen-Lösungen bei der Rückverfolgbarkeit von Veranstaltungen und Restaurantbesuchen gibt es immer noch viel zu viele. Umso schöner, wenn eine Pfarrei wie St. Petrus in Bonn nach Wochen, in denen beim Anstehen einsehbare Listen durch Freiwillige geführt wurden, jetzt auf eine einfache, clevere datensparsame und schlangenvermeidende Lösung umgestellt wurde: Formulare, die schon zu Hause ausgefüllt werden können und in eine verschlossene Box geworfen werden. Noch eine schöne Lowtech-Variante hat Winfrid Veil gesehen. (Wie’s auch mit den korrekten Informationen geht, stand hier schon im Blog.)
Aus Bayern gibt es Neues – und zwar nichts Neues: Mittlerweile verdichten sich die Zeichen, dass der Diözesandatenschutzbeauftragte auch nach seinem offiziellen Dienstende in Verlängerung geht, bis ein Nachfolger gefunden ist. Man erzählt sich, dass es daran liegen könnte, dass man wieder keinen Kirchen-Insider berufen soll, was in Bayern Tradition hat – vor Jupp Joachimski waren bereits ein ehemaliger Polizeipräsident und ein anderer ehemaliger Richter in vergleichbaren Positionen in Bayern tätig.
Weiterlesen