Schlagwort-Archive: Rückverfolgbarkeit

KDSA Ost hat erhebliche Bedenken gegen Luca in Brandenburg

Der Diözesandatenschutzbeauftragte für die ostdeutschen Bistümer ist kein Freund der Luca-App zur Kontaktverfolgung – das hat er schon im vergangenen April ungewöhnlich deutlich gemacht: »datenschutzrechtlich zweifelhaft und demnächst überflüssig«, war sein Urteil. Jetzt setzt er noch einen drauf – zumindest für kirchliche Stellen im Land Brandenburg: »Kirchliche Datenschutzaufsicht empfiehlt alle[n] kirchlichen Dienststellen im Land Brandenburg, für die Kontaktnachverfolgung ausschließlich die Corona Warn-App (CWA) zu nutzen!«, heißt es in der aktuellen Pressemeldung.

Die Corona-Warn-App läuft auf einem Handy — (Bildquelle: Photo by Mika Baumeister on Unsplash)

Die Einschätzung »demnächst überflüssig« war im April nur etwas zu optimistisch, aber immerhin haben die meisten Bundesländer mittlerweile dann doch Abstand von Luca genommen – aber Brandenburg setzt immer noch darauf. Und nicht nur für Kontaktverfolgung in der Corona-Bekämpfung soll Luca genutzt werden – die brandenburgische Justizministerin hat noch ganz andere Begehrlichkeiten: Eine Verwendung zur Strafverfolgung. (Unter anderem netzpolitik.org hat die Details.)

Weiterlesen →

Drei Tipps für datensparsame Formulare

Schreiben Sie eine Antwort

»Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein«, steht so oder ähnlich in der DSGVO und den kirchlichen Datenschutzgesetzen – Datenminimierung ist ein Grundsatz für die Verarbeitung personenbezogener Daten, der theoretisch sehr einleuchtend ist. In der Praxis erhebt man aber gerne viel mehr Daten, als man eigentlich braucht – sei’s, weil man sie irgendwann brauchen könnte, sei’s weil man’s schon immer so gemacht hat und das Formular zur Datenerhebung nunmal die Felder hat, die es hat.

Ein Steuerformular, das noch nicht ausgefüllt ist – und das wird dauern, weil lang und schmerzhaft. Der Stift liegt schon bereit. — Sicher kein Best-practice-Beispiel für ein gutes Formular. Aber immerhin wahrscheinlich mit ordentlicher Rechtsgrundlage für jedes auszufüllende Feld. (Symbolbild, Photo by Leon Dewiwje on Unsplash)

Zu einem guten Datenschutzmanagement gehört daher, einen Blick darauf zu werfen, welche Daten man erhebt – und ob es die wirklich braucht. Mit einer klugen Gestaltung von Formularen lässt sich viel erreichen – das gilt sowohl für Web-Formulare wie für Formulare, die am Bildschirm oder auf Papier ausgefüllt und ausgedruckt oder digital verschickt werden.

Weiterlesen →

Zweite Instanz: Der Pfarrer darf Gottesdienst-Teilnahmelisten kontrollieren

Schreiben Sie eine Antwort

Auch das Datenschutzgericht der Deutschen Bischofskonferenz hat kein Problem damit, dass ein Leitender Pfarrer nach den Gottesdiensten die Teilnahmelisten auf Richtigkeit kontrolliert. Das geht aus dem bereits am Freitag veröffentlichten Beschluss der zweiten Instanz hervor (DSG-DBK 01/2021), der die Entscheidung des IDSG (IDSG 27/2020) bestätigt und die Einwände des Katholischen Datenschutzzentrums Dortmund verwirft.

Jetzt ist es amtlich: Der Pfarrer darf die Kontaktnachverfolgungslisten kontrollieren. *(Symbolbild: Carl Spitzweg: Disputierende Mönche (Detail) –* gemeinfrei/Wikimedia Commons)

Bei dem Fall ging es um einen Pfarrer, der Teilnahmelisten im Nachhinein auf Plausibilität hin kontrolliert hatte – offiziell mit der Begründung, dass nur so die von der Corona-Schutzverordnung des Landes geforderte Rückverfolgbarkeit sichergestellt werden könne, zudem solle so eine Evaluierung des Hygienekonzeptes erfolgen. Zum Konflikt kam es aber dadurch, dass mit dem Abgleich von Anwesenheitslisten und Anmeldungen aufflog, dass zwei Ehrenamtliche zwar da waren, sich aber nicht angemeldet hatten. (Der Protest gegen die Anmeldepflicht war angekündigt.) Auf ihre Beschwerde hin hatte die Aufsicht die nachträgliche Durchsicht verboten, dagegen wehrte sich die Pfarrei, die nun in beiden Instanzen recht bekommen hat. (Der Beschluss des Instanzgerichts wurde hier bereits sehr kritisch besprochen.)

Weiterlesen →

Keine Gelegenheit für Bußgelder – Tätigkeitsbericht 2020 der KDSA Nord

Schreiben Sie eine Antwort

Noch schnell vor der Sommerpause hat die Katholische Datenschutzaufsicht Nord am Donnerstag ihren Tätigkeitsbericht für 2020 veröffentlicht – natürlich ein weiterer Corona-Bericht. Die Pandemie hat sich neben dem Ausfall von allen Vor-Ort-Prüfungen bis auf zwei vielfältig in der Aufsichts- und Beratungstätigkeit niedergeschlagen.

Titelseite des Tätigkeitsberichts 2020 der KDSA Nord

Eine auffällige Leerstelle im Bericht sind die Aufsichtsmaßnahmen: Zwar werden einige Fälle geschildert, in denen durchaus gravierende Datenschutzverstöße vorliegen. Bußgelder werden jedoch nicht erwähnt. Auf Anfrage teilte mir der Diözesandatenschutzbeauftragte Andreas Mündelein mit, dass er keine Möglichkeit hatte, Bußgelder zu verhängen – die besonders gravierenden Fälle waren bei öffentlich-rechtlich organisierten Stellen und damit durch das KDG von Bußgeldern ausgenommen. Der Glaubwürdigkeit der kirchlichen Selbstverwaltung trägt diese Regelung nicht bei.

Weiterlesen →

luca-Betreiberin ermöglicht Einsatz unter kirchlichem Datenschutzrecht

Schreiben Sie eine Antwort

Die Betreiberin der luca-App, die culture4life GmbH, ist bereit, die für die Verwendbarkeit unter dem kirchlichen Datenschutzrecht notwendigen Auflagen bei Auftragsverarbeitungsverträgen zu erfüllen. Auf Anfrage von „Artikel 91“ bestätigte die Datenschutzbeauftragte des Unternehmens Vera Weidmann, dass die nach dem DSG-EKD notwendige Unterwerfungserklärung unter die kirchliche Datenschutzaufsicht ebenso wie der nach KDG erforderliche Bezug auf das kirchliche Datenschutzrecht möglich sei. Wörtlich sagte Weidmann: »Die Zusatzvereinbarung kann zwischen uns und den kirchlichen Trägern unterzeichnet werden. Eine weitere Klausel für katholische Einrichtungen kann ebenfalls in den AVV integriert werden.« [Ergänzung, 26. April 2021]Für die Zusatzvereinbarung zur Unterwerfungserklärung wird das Muster der kirchlichen Aufsicht verwendet: „Dieses erhalten die kirchlichen Einrichtungen bisher nur auf Anfrage bei uns“, so Weidmann. Die zusätzliche Klausel im AVV für katholische Einrichtungen wird gerade erarbeitet und auf Anfrage zur Verfügung gestellt.[/Ergänzung] Damit ist die wichtigste rechtliche Hürde genommen, die Auftragsverarbeitung im kirchlichen Datenschutzrecht im Vergleich zu den Regelungen der DSGVO darstellt.

Weiterlesen →

Wir sehen uns in der 2. Instanz – Wochenrückblick KW 14/2021

Schreiben Sie eine Antwort

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Letzte Woche nach Redaktionsschluss des Wochenrückblicks gab es noch eine kleine Änderung auf der Entscheidungs-Seite des Interdiözesanen Datenschutzgerichts: »Rechtsmittel anhängig«, steht dort jetzt bei der bei Veröffentlichung hier schon sehr kritisch diskutierten Entscheidung zum Recht des leitenden Pfarrers auf Einsicht in die Corona-Schutzlisten von Gottesdiensten – damals schon hatte ich prognostiziert, dass das Katholische Datenschutzzentrum Dortmund wohl Rechtsmittel einlegen wird.

Da es sich bei dem Fall um eine Anwendung der nordrhein-westfälischen Corona-Schutzverordnung handelt, hatte ich parallel auch die Staatskanzlei angefragt, ob die Verordnung ein derartiges Einsichtsrecht des Pfarrers rechtfertige. Wie schon zuvor bei der verunglückten Formulierung der Rechtsgrundlage für die Rückverfolgungslisten (und allgemein beim NRW-Corona-Management) zeigte sich dabei eine gewisse Wurstigkeit und Überforderung: Die Anfrage wurde nicht beantwortet, nur das Gesundheitsministerium hat einige nichts mit der Anfrage zu tun habende Textbausteine geschickt. Eine erneute Nachfrage blieb unbeantwortet.

Die KDSA Ost publiziert mittlerweile so häufig, dass man schon von Blog sprechen kann – sehr gut! Diese Woche ging es um die geplanten Änderungen im Mitbestimmungsrecht zur Ausgestaltung von mobiler Arbeit. Auch wenn das nicht unmittelbar für die Kirchen mit ihrem eigenen Mitarbeitervertretungsrecht relevant ist, ist doch zu hoffen, dass der Impuls auch bei der nächsten MAVO-Novellierung aufgegriffen wird. Bei der »Ausgestaltung von mobiler Arbeit, die mittels Informations- und Kommunikationstechnik erbracht wird«, gibt es momentan vor allem über den (allerdings mächtigen) Umweg der Mitbestimmung bei »technischen Überwachungssystemen« einen Hebel für die Mitarbeitervertretung. Dem Fazit der KDSA Ost kann man sich daher anschließen: »Die geplante Erweiterung der Mitbestimmung könnte so auch aus datenschutzrechtlicher Sicht eine Bereicherung darstellen.«

Weiterlesen →

Von wegen Osterruhe! Wochenrückblick KW 13/2021

Schreiben Sie eine Antwort

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Auch in der Karwoche wird noch ordentlich publiziert, vor allem im Osten: Die KDSA-Ost arbeitet an ihrem Streak weiter und füllt den Newsticker fast täglich mit direkt aus dem Leben gegriffenen Fragen wie der, ob »Original ersetzendes Scannen« zulässig ist oder wie Arbeitgeber*innen mit Corona-Test-Listen umgehen sollen. Außerdem scheinen Beschwerden ohne Betroffenheit ein Problem bei der KDSA Ost zu sein.

Der Datenschutzbeauftragte für Kirche und Diakonie hat (neben dem lang erwarteten Tätigkeitsbericht) außerdem eine Stellungnahme zu »Luca« und anderen Kontaktnachverfolgungsapps veröffentlicht, verweist allerdings im wesentlichen auf das DSK-Papier (wie der DSB-EKD). Besonderheiten des evangelischen Datenschutzrechts wie die hier besonders wichtige Frage nach der Verantwortlichkeit (weil Auftragsverarbeitung nur mit Unterwerfungserklärung funktioniert) werden leider nicht kommentiert. (Inhaltliche Änderungen am Artikel hier auf dem Blog waren daher nicht nötig.) Ansonsten hat Luca gerade keinen guten Lauf – die wenig gelungene Offenlegung des Quellcodes und das weiterhin unschöne Kommunikationsverhalten prägen doch die Wahrnehmung.

Weiterlesen →

Darf der Pfarrer Gottesdienst-Teilnahmelisten kontrollieren?

Schreiben Sie eine Antwort

Darf der Pfarrer eigentlich die Teilnahmelisten von Gottesdiensten, die für die Corona-Rückverfolgbarkeit angelegt werden, durchgehen und kontrollieren? Bis gestern hätten wohl die meisten gesagt: natürlich nicht! Und dann kam der jüngste veröffentlichte Beschluss des Interdiözesanen Datenschutzgerichts (IDSG):

Die Einsichtnahme in Gottesdienstbesucherlisten durch den leitenden Pfarrer zur Überprüfung der Vollständigkeit der Liste und der Einhaltung sowie Evaluierung des Coronaschutzkonzeptes ist durch § 6 Abs. 1 Buchstaben a und d KDG in Verbindung mit der Coronaschutzverordnung NRW gedeckt.
Leitsatz IDSG 27/2020

Der Beschluss geht sogar noch weiter. Nicht nur sei die Einsichtnahme zulässig – sie sei sogar erforderlich und notwendig, urteilen die Datenschutzrichter und widersprechen damit der zuständigen Datenschutzaufsicht, dem Katholischen Datenschutzzentrum Dortmund. Dort zeigt man sich »überrascht«: »Wir sind immer noch überzeugt, dass die Regelungen zur Erfassung der Kontaktdaten eine strenge Zweckbindung vorsehen und ein Einblick in die Listen nicht aus anderen Gründen möglich sein sollte«, sagte der Diözesandatenschutzbeauftragte Steffen Pau auf Anfrage.

Das Pastoralteam diskutiert Gottesdienst-Teilnahmelisten zum Corona-Schutz (Symbolbild: Carl Spitzweg: Disputierende Mönche (Detail) – gemeinfrei/Wikimedia Commons)

Weiterlesen →

Luca-App für kirchliche Veranstaltungen?

Schreiben Sie eine Antwort

Das ist doch mal erfreulich: Die Hype-App du jour hat sich Datenschutz auf die Fahnen geschrieben. Die Kontaktverfolgungs-App »luca« für private Treffen, öffentliche Veranstaltungen und Gastronomie hat viel Lob bekommen: Endlich weg von der Zettelwirtschaft und hin zu einer einfachen, datenschutzkonformen Rückverfolgbarkeit! Erstaunlich viele Testimonials hat die App, Mecklenburg-Vorpommern hat sie lizenziert – und auch kirchliche Veranstalter*innen – von Bildungshäusern bis zum Kirchenkaffee – könnten davon profitieren.

Check-in per QR-Code — (Bildquelle: Photo by Albert Hu on Unsplash)

Erste Interessent*innen gibt es bereits: Am Montag kündigte die Katholische Akademie des Bistums Dresden-Meißen die Nutzung von neuen Kontaktnachverfolgungsapps, darunter »luca«, an: »Wir sind davon überzeugt, dass wir mit dem System für die verschlüsselte, anonymisierte und datenschutzkonforme Kontaktdatenregistrierung und eine schnelle und lückenlose Nachverfolgung von Infektionsketten einen sinnvollen Beitrag leisten, unsere Besucher und Referent*innen vor Infektionen zu schützen«, so Akademie-Direktor Thomas Arnold.

Aber sind diese und andere Apps überhaupt im kirchlichen Kontext problemlos verwendbar? Während die technischen Anforderungen der kirchlichen Datenschutzgesetze sich nicht von den Anforderungen der DSGVO unterscheiden, gibt es doch Besonderheiten: Nach evangelischem Datenschutzrecht ist Auftragsverarbeitung durch nichtkirchliche Stellen generell anspruchsvoll, nach katholischem bereiten Drittlandsübertragungen Schwierigkeiten.

Weiterlesen →

Fünf gute Gründe gegen die Einwilligung

Schreiben Sie eine Antwort

Datenschutz ist gleich Einwilligung – das dürfte das hartnäckigste Datenschutz-Missverständnis sein. Das ist keine Überraschung: Selten wird Datenschutz so sichtbar wie bei der Einwilligung in eine Datenverarbeitung; eine Unterschrift, um etwas zu erlauben, ist intuitiv und ohne größere Rechtskenntnis verständlich – und wer als Verantwortliche*r eine Unterschrift einholt, hat das gute Gefühl, sich um den Datenschutz gekümmert zu haben.

Neonröhren bilden ein Händeschütteln — (Photo by Charles Deluvio on Unsplash)

Das Problem: Meistens sind Einwilligungen gar nicht nötig, oft schaffen sie neue Probleme, und manchmal sorgen sie sogar für erhebliche Rechtsunsicherheit – und unfair sind sie gelegentlich auch noch. Auch wenn die Einwilligung weit vorne bei den Rechtsgrundlagen steht – eigentlich sollte sie viel eher die letzte Auffangmöglichkeit sein, wenn keine andere Rechtfertigung für eine Datenverarbeitung greift – warum das so ist und wie es besser geht, zeigt dieser Artikel.

Weiterlesen →