Das evangelische Datenschutzrecht hat seine Evaluation erfolgreich durchlaufen – jetzt geht es auch beim katholischen richtig los. Die Deutsche Bischofskonferenz hat einen Entwurf für die Novellierung des Gesetzes über den kirchlichen Datenschutz (KDG) online gestellt.
Die Änderungen sind umfangreich – und vieles davon deutet darauf hin, dass die Diskussionen der vergangenen Jahre in der Fachwelt aufgegriffen wurden. Der eine oder andere Wunsch bleibt aber doch offen.
WeiterlesenSowohl das KDG als auch das DSG-EKD haben in ihrem Kapitel zu Vorschriften für besondere Verarbeitungssituationen eigene Normen für die Verarbeitung personenbezogener Daten in Beschäftigungsverhältnissen. § 49 DSG-EKD und § 53 KDG sind sichtlich § 26 BDSG nachgebildet – allerdings mit einigen Unterschieden.
Die verschiedenen Gesetzgeber haben dabei sehr unterschiedliche Strategien verfolgt, wie stark und wo kirchliche Besonderheiten berücksichtigt werden. Die kirchlichen Regeln haben zwar jeweils ihre Lücken und Probleme – insgesamt dürften sie aber zukunftssicherer sein als ihr BDSG-Pendant.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Am 24. Mai ist das Gesetz über den kirchlichen Datenschutz fünf Jahre in Kraft. Nach einiger Aufregung zu Beginn hat sich der Datenschutz in der katholischen Kirche nun eingespielt. Viele Aufregerthemen wie Social Media und Messenger sind in der Praxis gar nicht so konfliktträchtig wie ursprünglich gedacht.
Für den Vorsitzenden der katholischen Datenschutzkonferenz, Matthias Ullrich, ist das KDG ein Solitär im kirchlichen Recht: Nirgends sonst geben Bischöfe so viel Macht an unabhängige Behörden ab. Im Interview erzählt er, wie er mit einem widerspenstigen Bistum umgeht – und warum Datenschutz für ihn eine politische Mission ist.
WeiterlesenBei den Ordensgemeinschaften läuft der Datenschutz recht reibungslos – den Eindruck gewinnt man jedes Jahr im Tätigkeitsbericht des gemeinsamen Ordensdatenschutzbeauftragten. Die einzige Besonderheit in diesem Jahr ist, dass der Tätigkeitsbericht für den Zeitraum vom 1. Februar 2022 bis 31. Januar 2023 dieses Jahr nicht den Reigen der Berichte eröffnet hat. Durch den Leitungswechsel im Norden hatte die KDSA Nord die Nase vorn.
Wie im Vorjahr sind die Ordensdatenschutzbeauftragten für 238 Gemeinschaften zuständig, und wie im Vorjahr gibt es mehr als in den anderen Tätigkeitsberichten zur Evaluierung des kirchlichen Datenschutzrechts. Bei den Orden gibt man sich optimistisch: Das soll der letzte Corona-Bericht gewesen sein. Dafür kommt nun der Ukraine-Krieg vor.
WeiterlesenWarum machen sich die großen Kirchen eigentlich die Mühe, sich ein eigenes Datenschutzrecht zu geben? Aus der Kanonistik gibt es von Martina Tollkühn eine forsche Antwort: »Weil sie sollen, weil sie können und weil sie wollen.« Das sehen nicht alle so. Die nun veröffentlichte Dissertation von Michaela Hermes zu »Datenschutz der katholischen Kirche im Spannungsfeld zwischen kirchlicher Selbstbestimmung und europäischem Datenschutzrecht«(Affiliate Link) wird die Frage nach dem Warum stark gemacht – ohne dass sie letztlich beantwortet werden kann.
Das ist kein Versäumnis der Autorin, sondern an sich schon ein Ergebnis, das in der Evaluation nicht nur des katholischen Datenschutzrechts wohl leider nicht allzu großen Nachhall finden wird. Die Dissertation leistet aber noch deutlich mehr, als die vom Gesetzgeber unbeantwortete Frage nach dem Sinn deutlich zu beleuchten.
Weiterlesen2022 endet, wie es begonnen hat: Die hier prophezeiten großen Themen können alle auf Wiedervorlage gelegt werden. Die große Facebook-Dämmerung kam nicht – alle warten immer noch auf das Musterverfahren zwischen dem Bundesdatenschutzbeauftragten und dem Bundespresseamt. Bei der Evaluierung der kirchlichen Datenschutzgesetze gibt es auch nichts Neues – das KDG ist nach wie vor überfällig, beim DSG-EKD ist öffentlich keine Bewegung sichtbar. Die KDSA Nord ist immer noch keine KdÖR, und in Bayern ist Jupp Joachimski im 81. Lebensjahr Diözesandatenschutzbeauftragter ohne Aussicht auf Ablöse. Der DSG-EKD-Kommentar ist immer noch nicht da, die KDSGO-Kommentierung auch nicht.
Vormals große Themen wie der Umgang mit Corona haben an Bedeutung verloren – im Frühjahr wurde noch über den richtigen Umgang mit Impfnachweisen diskutiert, seither ist die Pandemie zumindest datenschutzrechtlich vorbei. Die Tendenz der vergangenen Jahre zeichnet sich also fort: Der kirchliche Datenschutz läuft im Regelbetrieb. Große Aufregerthemen blieben aus, nach Ausnahmejahren der Pandemie können sich Aufsichten und Verantwortliche wieder auf ihre Regelaufgaben konzentrieren.
WeiterlesenDie Gemeinsame Datenschutzaufsicht der Bayerischen (Erz-)Diözesen hat ihren Tätigkeitsbericht für 2021/2022 veröffentlicht – immer noch in der alten Konstellation, in der Jupp Joachimski Diözesandatenschutzbeauftragter mit einem Mitarbeiter und ohne rechtlich selbständige Stelle ist. Über den Stand der Errichtung des geplanten Kirchlichen Datenschutzzentrums Bayern in Nürnberg erfährt man nichts.
Ansonsten gibt es vor allem Einblicke in Entscheidungen zu in kirchlichen Einrichtungen verwendeter Software – und deutliche Kritik an der Mehrheits-Rechtsposition der kirchlichen Aufsichten und Datenschutzgerichte zum Bußgeld.
WeiterlesenAbonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Gedruckte Gesetzessammlungen zum katholischen Datenschutz gibt es ebenso wie PDFs. Was bislang noch fehlte, war ein guter Zugang direkt im Netz. Die gibt es nun unter kirchlicher-datenschutz.org, besorgt von Christian Schmidt. Mit KDG, KDG-DVO, §-29-KDG-Gesetz, §-29-KDG-Gesetz-DVO, SeelsorgePatDSG, KDS-VwVfG, KDSGO und KAO sind dort die katholischen Datenschutzregelungen in der Fassung des Beschlusses durch den VDD sehr gut zugänglich.
Mitte Juli hat das Bundesverfassungsgericht seine Entscheidung im Fall von Claudia Pechsteins Verfassungsbeschwerde gegen den BGH veröffentlicht. (Guter Überblick dazu: Christian Duve im aktuellen FAZ-Einspruch-Podcast.) In der Sache geht es um den Internationalen Sportgerichtshof CAS. Die Entscheidung tragend ist das durch den CAS als privates Schiedsgericht verletzte Öffentlichkeitsprinzip unter Rückgriff auf die Europäische Menschenrechtskonvention: »Der Grundsatz der Öffentlichkeit mündlicher Verhandlungen ist ein wesentlicher Bestandteil des Rechtsstaatsprinzips und geht in seiner Bedeutung damit über einzelne Verfahrensregelungen weit hinaus. Auch entspricht er dem allgemeinen Öffentlichkeitsprinzip der Demokratie. Die Gerichtsöffentlichkeit sollte in Gestalt einer Verfahrensgarantie dem Schutz der an der Verhandlung Beteiligten gegen eine der öffentlichen Kontrolle entzogene Geheimjustiz dienen« (Rn. 44), erläutert das BVerfG. Die Entscheidung kann natürlich nicht direkt auf kirchliche Gerichte übertragen werden. Die ordentliche kirchliche Gerichtsbarkeit, die immer neben der staatlichen Gerichtsbarkeit und nie sie ersetzend tätig wird, ist davon sicher in keinem Fall betroffen. Interessant wird es für die Datenschutzgerichtsbarkeit, die statt der staatlichen Gerichtsbarkeit entscheidet – und keinerlei Öffentlichkeitsprinzipien kennt, selbst die Veröffentlichung ausgewählter Entscheidungen erfolgt auf freiwilliger Basis. Hier wäre es durchaus denkbar, dass unter Rückgriff auf die Argumentation im Fall Pechstein ein staatliches Gericht auch Zweifel an den rechtsstaatlichen Standards des kirchlichen Gerichts erkennt. (Die andere kirchliche Gerichtsbarkeit, die staatliche ersetzt, die Arbeitsgerichtsbarkeit, kennt ein Öffentlichkeitsprinzip.)
Kaum eine Einrichtung dürfte ohne Auftragsverarbeitung auskommen: Das Hosting der eigenen Webseite, IT- und Versand-Dienstleistungen und andere Verarbeitungen werden meist extern gelöst. Um das rechtskonform abzubilden, braucht es in der Regel einen Auftragsverarbeitungsvertrag. Viele Dienstleister haben auch schon fertige Musterverträge. Aber schon im Geltungsbereich der DSGVO sind die oft nicht vollständig und korrekt – im kirchlichen Bereich kommt erschwerend dazu, dass Musterverträge selten auf die Existenz anderer Rechtsordnungen und Aufsichtsregime als nach der DSGVO Rücksicht nehmen, und allein mit dem Verweis ist es auch nicht getan.
Für die Prüfung von DSGVO-Auftragsverarbeitungsverträgen hat die Berliner Landesdatenschutzaufsicht eine ausführliche und detaillierte Checkliste nebst Ausfüllhinweisen veröffentlicht. Bevor man damit aber Auftragsverarbeitungen im kirchlichen Bereich prüfen oder gestalten kann, braucht es viel Arbeit: Die entsprechenden Paragraphen im KDG und im DSG-EKD sind teils sehr unterschiedlich aufgebaut – und dazu kommen Besonderheiten, die es nur in den kirchlichen Gesetzen gibt. Hier hilft eine KDG- und DSG-EKD-Synopse zur Berliner Checkliste.
Weiterlesen