Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung. Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen.
Wer glaubt, mit Martin Rost mal eben schnell die Anwendung des Standard-Datenschutzmodell lernen zu können, bekommt schon ganz am Anfang den Wind aus den Segeln genommen – obwohl sein Buch mit 224 Seiten recht kompakt bleibt: »Selbstverständlich verspreche ich nicht, dass ein wirksamer Datenschutz mit wenig Aufwand durch das SDM umsetzbar ist. Nein, vielmehr ist das Gegenteil der Fall: Das SDM zeigt auf, welch unbestreitbar hoher Aufwand zu betreiben ist, um wirksamen Datenschutz gemäß DSGVO zu erreichen.«, heißt es im Vorwort von »Das Standard-Datenschutzmodell (SDM) – Einführung, Hintergründe und Kontexte zum Erreichen der Gewährleistungsziele«.
Wer sich dennoch darauf einlässt, mit Rost die Methodik zu verstehen statt nur Checklisten abzuarbeiten, wird dabei von einem der Entwickler und profundesten Kenner des SDM begleitet. Der Autor beschränkt sich dabei nicht auf die rein operative Anwendung oder die strategische Planung: Das Praxis-Buch ist zugleich eine Streitschrift für einen grundrechtlich fundierten Datenschutz.
WeiterlesenUngerade Jahre sind evangelische Berichtsjahre. Jetzt liegt der neue Tätigkeitsbericht des BfD EKD für die Jahre 2021 und 2022 vor – und damit noch einmal ein stark von Corona-Maßnahmen geprägter Bericht. Und nicht nur davon: »Menschen erleben die momentanen Zeiten zunehmend als eine krisenhafte Zuspitzung unseres gesellschaftlichen Miteinanders. Eine Krise folgt auf die andere: Corona-Pandemie, Klimawandel, Krieg in Europa, Energieversorgung und Inflation«, schreibt Michael Jacob in seinem Vorwort: »Da haben es Freiheits- und Grundrechte nicht immer ganz leicht in der gesellschaftlichen und politischen Debatte durchzudringen.«
Diese Ansagen dann im Kleinklein von Zoom, Facebook und Microsoft, Kita-Einbrüchen, CC-Fails und verlorenen USB-Sticks auch deutlich zu machen, ist anspruchsvoll. Es gibt aber doch auch praktische Fälle, in denen Datenschutz als Grundrechtsschutz sehr deutlich wird. Auf der operativen Ebene lohnt sich der Bericht: Er schafft dringend nötige Transparenz über die sonst sehr bedeckte evangelische Kirchengerichtsbarkeit und gibt in vielen Fallbeispielen wichtige Hintergründe zur Praxis des – mangels Kommentar und angesichts wenig Judikatur – immer noch weniger ergründeten DSG-EKD.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Seit knapp anderthalb Jahren gibt es das Kirchliche Datenschutzmodell: Die katholischen und evangelischen Datenschutzaufsichten haben das Standard-Datenschutzmodell für die kirchlichen Gesetze KDG und DSG-EKD adaptiert, um im Bereich der Kirchen auf bewährte Methoden zum Datenschutzmanagement zurückgreifen zu können. Auf einer eigenen Webseite findet sich mittlerweile neben dem Modell auch Schulungsmaterial – doch auch damit bleibt das KDM komplex.
Im Interview berichten Boris Reibach und Maria Schumacher, beide auf Datenschutz spezialisierte Rechtsanwält*innen, von ihren Praxiserfahrungen aus anderthalb Jahren Arbeit mit dem KDM – und wie kleinere Vereine und Organisationen ihren Datenschutz gestalten können, ohne gleich ein umfangreiches Datenschutzmodell einzuführen.
WeiterlesenAbonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Die Osterpause endet mit einigen Publikationen: Zum Kirchlichen Datenschutzmodell sind nun auch Schulungsfolien veröffentlicht worden. Mit 65 kleinteilig beschriebenen Folien sind die Unterlagen sehr umfangreich und schaffen einen grundsätzlich guten Überblick – für eine etwas praxisnähere Schulung wären aber noch Beispiele gut. Hier muss man weiterhin auf die versprochene Referenzimplementation für eine Kita warten.
Die Deutsche Bischofskonferenz veröffentlicht künftig statistische Quartalsberichte: anders als der Namen vermuten lässt, enthalten sie keine Kennzahlen, sondern die Aufbereitung statistischer Themen. Den Auftakt macht eine Einführung in den Zensus 2022, die erläutert, was der Zensus ist und wie die Volkszählung für die kirchliche Statistik genutzt wird. Dabei wird das ganz große historische Rad von biblischen Zeiten bis heute gedreht – mit interessanten Lücken: Die Volkszählung in Num 1 wird erwähnt, die deutlich ambivalenteren Stellen zur Volkszählung Davids (die Thomas Hoeren scherzhaft als eine Quelle des kirchlichen Datenschutzes ausgemacht hat), fehlen; die Volkszählung von 1987 wird nur im Zuge der Datenauswertung durch bayerische Diözesen erwähnt – nicht aber das Volkszählungsurteil von 1983, das den Zensus bis 1987 verzögert hatte und das Grundrecht auf informationelle Selbstbestimmung prägte. Die kirchliche Auswertung des Zensus 2022 wird für das erste Quartal 2024 angekündigt.
In der Osterpause fast untergegangen: Der Vatikan arbeitet an einer Aktualisierung des Kompendiums der Soziallehre der Kirche, berichtet Vatican News (bemerkt hat es das Caritas-Verdi-Blog). Zu den neuen Themen soll auch Digitalisierung gehören – näher wird das aber nicht ausgeführt. Da nur päpstliche Lehrdokumente aufgenommen werden, ist nicht mit Aussagen zum Thema Datenschutz zu rechnen – weder in den Botschaften zum Welttag der sozialen Kommunikationsmittel noch in den Lehrschreiben der Pontifikate Benedikts XVI. und Franziskus‘ war das Thema, auch wenn sich gerade der gegenwärtige Papst viel zu Digitalem äußert. Aber auch im nachsynodalen Schreiben zur Jugendsynode mit einem eigenen Digitalisierungs-Abschnitt wird nur einmal sehr knapp auf den guten Ruf abgehoben.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Am Monatsanfang häufen sich die neuen Amtsblätter. Datenschutzrelevant waren mehrere Veröffentlichungen, allem voran die Personalaktenordnung, die zuerst vom Bistum Limburg veröffentlicht und hier schon besprochen wurde. Außerdem: Die Nordkirche hat ihr Videokonferenzgesetz im Amtsblatt verkündet, damit ist es in Kraft. Es entspricht der auf der Synode eingebrachten Fassung, die Anmerkungen zur Entwurfsfassung treffen also immer noch zu. Das Bistum Essen hat in einem Dekret über die Veröffentlichung des Kirchlichen Amtsblatts neben der mittlerweile in vielen Bistümern üblichen Regelung, dass das Amtsblatt digital first und nur noch in zwei Papierausgaben fürs Archiv erscheint, auch eine Rechtsgrundlage für die Veröffentlichung personenbezogener Daten von Amtsträger*innen und Beauftragten im Amtsblatt »zum Zwecke kirchenamtlich öffentlicher Bekanntgabe der legitimen Ausübung bzw. Wahrnehmung von Ämtern und Diensten sowie sonstigen Befugnissen in der Kirche« geschaffen.
Fleißig waren auch die Verantwortlichen für das Kirchliche Datenschutzmodell: Zwei neue Bausteine sind verfügbar, nämlich Nr. 43 Protokollieren und Nr. 61 Berichtigen. Außerdem: Ganz so versteinert wie befürchtet ist das Grunddokument nicht. Immerhin Fehlerkorrekturen wurden jetzt vorgenommen. Im Vorbild, dem Standard-Datenschutzmodell, hat sich auch etwas getan: Der Baustein 51 »Zugriffe auf Daten, Systeme und Prozesse regeln« wurde beschlossen und veröffentlicht.
In zwei Wochen tagt die Landessynode der Nordkirche. Die Tagesordnung ist schon online. Angekündigt ist nicht nur der Bericht des Datenschutzbeauftragten (der dann den Reigen der Großen für dieses Jahr vollständig macht). Abgestimmt wird auch über ein Kirchengesetz zur Übertragung der Datenschutzaufsicht (Datenschutzübertragungsgesetz – DSÜG). Gibt die Nordkirche ihre eigene Datenschutzaufsicht auf und schließt sich der EKD an? Schon bisher arbeiten die beiden Aufsichten besonders eng zusammen, der Nord-Beauftragte ist zugleich stellvertretender EKD-Beauftragter. Bisher war nur von der Aufsicht der Landeskirche der Pfalz bekannt, dass sie auch unters Dach des BfD EKD will.
Im Zuge der Beschäftigung mit dem Datenschutzrecht der Italienischen Bischofskonferenz habe ich nachgefragt, ob die eigentlich für dieses Jahr geplante Evaluierung schon stattgefunden habe – in Italien ist es auch nicht anders als in Deutschland: »Aufgrund der Notlage wurde die Überprüfung nach drei Jahren noch nicht durchgeführt«, heißt es diese Woche aus Rom.
Ein Veranstaltungshinweis in eigener Sache: Am Samstag, 13. November, findet die Tagung »Kirche digital in der Diözese Rottenburg-Stuttgart« statt. Um 14.30 Uhr gibt es dabei von mir eine praxisorientierte Einheit zum Thema »Datenschutz und Bildrechte«. Die Anmeldung ist offiziell noch bis heute möglich, die Teilnahme kostenlos.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Der dritte Geburtstag der DSGVO wurde in den Medien breit gewürdigt mit vielen Einschätzungen zum aktuellen Stand – oft mit dem Tenor: Verordnung gut, Durchsetzung na ja. Sehr still war es um den dritten Geburtstag des KDG. (Die Woche verzeichnet sogar – wann gab es das zuletzt? – keine einzige amtliche kirchliche Veröffentlichung zum Datenschutz.) Immerhin die Vorsitzende der Konferenz der Diözesandatenschutzbeauftragten Ursula Becker-Rathmair war zum Interview auf katholisch.de bereit. Sie berichtet, dass die Themen vom Anfang sich gewandelt haben: Anstatt um Kinderfotos geht es jetzt um Spezialthemen wie Fotos zur Wunddokumentation bei nichteinwilligungsfähigen Patient*innen. Und noch ein weiteres wichtiges Thema spricht sie an: Die Frage nach gemischten Trägerschaften. Bisher ist es völlig ungeklärt, was passiert – etwa bei gemeinsamer Verantwortlichkeit oder Joint ventures –, wenn mehrere Datenschutzgesetze potentiell anwendbar sind.
Die DSGVO hat zum Geburtstag ein großartiges Geburtstagsgeschenk von Winfried Veil und Stefan Heinemann bekommen: Die »Dataprotection Landscape«, ein Tool, das das weite Feld Datenschutz systematisch und im Kontext erschließt, oder wie Veil es nennt: ein Koordinatensystem des Datenschutzes. Die Kachel zur Öffnungsklausel Artikel 91 ist noch etwas karg. Ich habe aber schon meine Unterstützung angeboten.
Der frisch erschienene Tätigkeitsbericht der niedersächsischen Datenschutzbeauftragten berichtet (neben den hier schon verhandelten Neuigkeiten zum Konflikt um die Datenschutzrichtlinie der SELK) über eine reichlich makabre Missionierungsstrategie: »Ein Verein, der sich auf christlichen Beistand in schwerer Zeit spezialisiert hatte, wertete die Traueranzeigen der örtlichen Tagezeitung aus und glich diese mit dem Telefonbuch ab. An die so ermittelte Adresse wurde dann ein Brief mit Trauerrand versandt, der eine Druckschrift mit Missionierungscharakter beinhaltete sowie eine vorgedruckte Postkarte zur Anforderung von Büchern, Schriften, Bibelfernkursen und CDs.« Beim Verfahren ging es nur um die Auskunftsrechte – ob damit stillschweigend auch gesagt ist, dass es für diese Datenakquise eine Rechtsgrundlage gibt, ist unklar.
Außerdem hat sich das Datenschutzblog der Kanzlei Reichert und Reichert das hier bereits besprochene Kirchliche Datenschutzmodell angeschaut und kommt zu ähnlichen Schlüssen wie bei Erscheinen hier vertreten: »Herausgekommen ist ein komplexes Modell, das zum einen den Aufbau und häufig auch das Wording und die Struktur des Standard-Datenschutzmodells übernimmt, auf der anderen Seite durch den direkten Bezug auf die beiden kirchlichen Datenschutzgesetze und deren gewohnten Begrifflichkeiten das Verständnis und die Übertragung in die Praxis kirchlicher Datenschutzbeauftragter durchaus fördern mag.«
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Das ist doch erfreulich: Die Arbeit am Kirchlichen Datenschutzmodell geht voran – nachdem bei der Vorstellung vor zwei Wochen erst drei Bausteine verfügbar waren, wurde jetzt der vierte zum Thema »Dokumentieren« veröffentlicht. Das macht Hoffnung, dass die Bausteine schnell komplettiert werden. Ein Satz aus dem Baustein passt zum hier immer wieder angesprochenen Thema der Zugänglichkeit kirchlichen Rechts: »Den verantwortlichen kirchlichen Stellen wird […] empfohlen, ein Rechtskataster zu pflegen, welches speziell zusammengestellt ist und den rechtlichen Rahmen aller in und von der verantwortlichen Stelle zu erfüllenden Aufgaben abdeckt« – gar nicht so einfach angesichts der nur in manchen Bistümern gut zugänglichen kirchlichen Rechtssammlungen.
Am Mittwoch wurde außerdem eine weitere Entscheidung des Interdiözesanen Datenschutzgerichts veröffentlicht (IDSG 14/2020 vom 19. April 2021) – der zugrundeliegende Fall dreht sich um den Klassiker »fehlgelaufener Patient*innenbrief«. In der Sache und für die Praxis interessant dürfte die Diskussion des Verfahrensverzeichnisses sein, in dem das Verfahren des Versands und der Kontrolle der Richtigkeit der Unterlagen im Laufe des Falls detailliert ausgearbeitet wurde (RN 4). Erstmals wird mit 2000 Euro auch eine einzelne Summe eines Bußgelds bekannt. Von grundsätzlicher rechtlicher Bedeutung sind die Fragen nach der Zuständigkeit des Gerichts für die Überprüfung von Bußgeldbescheiden (das sieht das IDSG als gegeben an, RN 51f.; man merkt aber dem Schluss an, dass man sich wohl auch eine eigene Kompetenz zur Verhängung wünschen würde, RN 58) und die auch schon an anderer Stelle aufgeworfene Frage, inwiefern überhaupt Bußgelder verhängt werden können, wenn die Datenschutzverletzung von Mitarbeitenden begangen wird. Im vorliegenden Fall argumentiert das Gericht mit dem Funktionsträgerprinzip und bekräftigt seine Position aus einem vorherigen Fall, »dass dem Rechtsträger als dem Verantwortlichen nicht nur das Verhalten von Organen, sondern auch das Verhalten anderer Mitarbeiter zugerechnet wird« (RN 47). Auch der aktuelle Fall fällt allerdings vor die Geltung des Gesetzes über das Verwaltungsverfahren im kirchlichen Datenschutz, das das Ordnungswidrigkeitengesetz für anwendbar erklärt. Wie ähnliche Fälle jetzt entschieden würden, ist also noch offen.
Und, teilweise in eigener Sache: Die Datenschutz-Notizen weisen auf die Evaluierung des KDG hin und dabei auch sehr freundlich auf die hier auf »Artikel 91« ausgegrabenen Erkenntnisse.