Schlagwort-Archive: Schrems II

Sie soll, sie kann, sie will – Wochenrückblick KW 22/2021

Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.

Monatsanfang ist immer wie ein kleines Weihnachten: Dann veröffentlicht der Würzburger Kirchenrechtslehrstuhl seinen »Kanon des Monats«. Der 1. Juni war wie Weihnachten und Ostern: Der Kanon des Monats Juni ist can. 220 CIC – also der Datenschutzkanon. Martina Tollkühn gibt einen Überblick über die universalkirchliche Datenschutzgesetzgebung und wie und warum sie in Deutschland so konkret ausgestaltet wird: »Aber warum haben die deutschen Bistümer eigene Regelungen zum Datenschutz? Und was hat das mit dem c. 220 CIC/1983 zu tun? Die Kurzformel auf diese Fragen könnte sein: Weil sie sollen, weil sie können und weil sie wollen.« Nicht beantwortet wird allerdings, warum sie wollen sollten, was sie können, und warum dazu die allgemeinen staatlichen Gesetze nicht genügen. Etwas zirkulär positivistisch lautet die Begründung: Kirchen dürfen ihre eigenen Angelegenheiten selbst regeln, und weil sie ein Datenschutzrecht haben, ist das eine eigene Angelegenheit.

Die KDSA Ost hat sich mit Corona-Tests an Schulen befasst – vor drei Wochen war eine Entscheidung aus Hamburg dazu schon Thema hier. Im Ergebnis kommt die Aufsicht zu einem ähnlichen Ergebnis wie das Verwaltungsgericht, aber mit einem deutlichen Fokus auf die Zulässigkeit von Testungen in Schulen: »Schüler*innen und Erziehungsberechtigte, die mit dieser Art der Durchführung und Erhebung von personenbezogenen Daten nicht einverstanden sind, sollte die Möglichkeit eingeräumt werden, ein negatives Testergebnis durch ein anerkanntes Testzentrum (auch Schnelltestzentrum) oder einem Arzt vorzulegen.« Das Verwaltungsgericht hatte festgestellt, dass externe Tests anerkannt werden müssen. Ohne sollte.

Und dann hat die KDSA Ost sich auch noch einmal zur Abdingbarkeit von Technischen und organisatorischen Maßnahmen geäußert, nachdem der Hamburger Datenschutzbeauftragte die als Möglichkeit gesehen hatte (auch hier wurde schon darüber berichtet). Die kirchliche Aufsicht bekräftigt nun noch einmal die bereits zuvor geäußerte Ansicht, dass eine Einwilligung sich nur auf das Ob, nicht auf das Wie der Datenverarbeitung beziehen kann: »Würde man die Einwilligung so weit für zulässig erachten, wie dies im Vermerk der Hamburger Datenschutzbehörde zum Ausdruck kommt, handelte es sich nicht mehr um eine Einwilligung, sondern um einen Verzicht auf Datenschutz«, so die KDSA Ost – mit der paradoxen Folge, dass es zwar problemlos möglich wäre, in die Veröffentlichung der eigenen Daten auf einer Webseite zuzustimmen, nicht aber in eine ungesicherte E-Mail-Übermittlung derselben Daten.

Der Beschluss des IDSG zu einer Datenpanne durch fehlgelaufene Briefe in einem katholischen Krankenhaus wurde hier schon besprochen. Einige kritische Anfragen daran haben die Datenschutz-Notizen aufgeworfen: Es scheint unterschiedliche Ansichten dazu zu geben, wie ausführlich das Verfahrensverzeichnis sein muss – die beteiligte Aufsicht scheint dort auch eine konkrete Verfahrensbeschreibung zu erwarten, die den Beschäftigten bekannt sein muss. Das Gericht folgte der Ansicht, dass Verfahren im Detail dokumentiert sein müssen. »Die dabei geforderte Detailtiefe ist auf den ersten Blick überraschend«, so die Autorin, der nötige Aufwand bei der Erstellung von Verarbeitungsverzeichnissen wäre enorm: »Die hierdurch gebundenen personellen Kapazitäten könnte man sicher an anderen Stellen sinnvoller nutzen.« Mit Blick auf das KDG und das Verarbeitungsverzeichnis-Muster der Aufsichten wirken die Anforderungen des Gerichts aber durchaus plausibel. Im Musterformular gibt es mit Feld B.3 Verarbeitungsablauf ein passendes Feld: »Eine (kurze) Beschreibung des operativen Ablaufs der Verarbeitung mit ihren wichtigsten Schritten«, und das Gesetz selbst sieht vor, »wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen« aufzunehmen (§ 31 Abs. 1 lit. h)).

Weiterlesen

Schrems-II-Workaround auch mit kirchlichem Datenschutzrecht?

Nach wie vor machen Datenübertragungen in die USA nach dem Kippen des Privacy Shields Probleme. Eine wirkliche Lösung gibt es dafür noch nicht, und wenn überhaupt, schärfen die Datenschutzaufsichten ihren Umgang damit gerade an – zuletzt hatte der rheinland-pfälzische Datenschutzbeauftragte unter dem Label »Informationsoffensive« mit dem Zaunpfahl gewunken.

Der Europäische Datenschutzausschuss interpretiert die in Art. 49 DSGVO festgelegten »Ausnahmen für bestimmte Fälle« recht eng (allerdings nicht klar sauber belegt). Nun wird nach dem »Europäischen Datenschutztag« am 28. Januar diskutiert, ob es vielleicht doch weniger eng geht: Dort hatte der EuGH-Richter Thomas von Danwitz, der außerdem Berichterstatter bei Schrems II war, geäußert, dass die Ausnahmen aus Art. 49 noch nicht genug »ausgelotet« seien und auch weniger restriktiv ausgelegt werden könnten.

Ein Mann mit einer US-Flagge als Umhang wird von einer laufenden Frau mit US-Flagge verfolgt. Am Horizont erkennt man keinen Nachfolger für Privacy Shield.
So oder so ähnlich funktioniert Datenübertragung in die USA. (Bildquelle: Photo by frank mckenna on Unsplash)

Diese Äußerung hat eine juristische Debatte ausgelöst. Stephan Hansen-Oest schlüsselt Schritt für Schritt in seinem Blog auf, worum es geht und wie sich eine weniger restriktive Auslegung und damit eine vereinfachte Datenübertragung in die USA rechtfertigen lässt. Für Anwender*innen der kirchlichen Datenschutzgesetze stellt sich damit natürlich die Frage: Können wir das auch?

Weiterlesen

Pragmatismusschub dank Corona bei der KDSA Ost – Tätigkeitsbericht 2020

Von der Katholischen Datenschutzaufsicht Ost kommt traditionell der schnellste und der politischste der Tätigkeitsberichte der Diözesandatenschutzbeauftragten – so auch dieses Jahr. Programmatisch stellt Matthias Ullrich seinem diesjährigen Bericht ein Zitat der Schriftstellerin und brandenburgischen Verfassungsrichterin Juli Zehn voran: »Ein observierter Mensch ist nicht frei.«

Cover des Tätigkeitsberichts der KDSA Ost 2019
Symbolbild Tätigkeitsbericht der KDSA Ost

Im letzten Jahr habe ich den politischen Teil deutlich kritisiert, als Öffentlichkeitsarbeit mit Fotos in den Kontext sexualisierter Gewalt gestellt wurden. Dieses Jahr kommt so etwas nicht vor – der Bericht spart trotzdem nicht mit klaren politischen Ansagen. Und viele praxisrelevante Tipps und Checklisten sind auch dabei.

Weiterlesen

Evaluieren und impfen – Wochenrückblick KW 5/2021

Noch ist nicht viel bekannt über die Evaluierung des Gesetzes über den kirchlichen Datenschutz (KDG) – zwar hat der bayerische Diözesandatenschutzbeauftragte in seinem Bericht und im Interview schon einige Punkte verraten. Ob und wie eine größere Beteiligung geplant ist, wurde dagegen noch nicht bekannt gegeben. Deshalb nimmt die Gesellschaft katholischer Publizisten (GKP) das jetzt selbst in die Hand. (Ich bin dort im Vorstand und koordiniere das Projekt.) Bis zum 28. Februar sind Mitglieder und weitere interessierte eingeladen, sich an einer Stellungnahme zu beteiligen. Schwerpunkte dabei sind der Medienbereich (Bildrechte, Medienprivileg, Streaming) und die Anwendung in Vereinen und Verbänden. Die Stellungnahme kann für liberalere Freund*innen des Drittstaatentransfers direkt auf Google Docs kommentiert werden, ansonsten per Mail.

Auch die katholische Datenschutzkonferenz hat gearbeitet: Sie hat sich in einem noch nicht im Volltext verfügbaren Beschluss mit der Frage auseinandergesetzt, ob Dienstgeber*innen von Beschäftigen Corona-Impfnachweise verlangen dürfen. Das Ergebnis: Vorerst nicht, da noch nicht bekannt ist, ob eine Impfung auch Übertragungen verhindert. Ein Interesse am Impfstatus bestehe für Dienstgeber*innen aber nur mit Blick auf die Gefährdung von Dritten. »Wenn wissenschaftlich erwiesen ist, dass eine Impfung nicht nur Geimpfte schützt, sondern darüber hinaus auch eine Weitergabe des Virus ausschließt, ist über diese Frage ggf. neu zu entscheiden«, so die KDSA Ost.

Außerhalb der katholischen Kirche war der Brexit Thema: Während der evangelische Beauftragte für den Datenschutz noch einmal die aktuellen Entwicklungen rekapitulierte, wurde mir nun auch die Position des alt-katholischen Bistumsdatenschutzbeauftragten bekannt: Anders als seine römisch-katholischen Kolleg*innen lässt er keine UK-Auftragsverarbeitung während der Übergangsphase zu. (Möglicherweise ist die Mitteilung schon länger online – mir ist sie zuerst am Donnerstag aufgefallen.)

Weiterlesen

God is in the Clubhouse – Wochenrückblick KW 3/2021

2021 hat seine erste große Hype-App: Clubhouse. Muss man dazu viel sagen? Datenschutzrechtlich ist für einen Einsatz nicht nur in kirchlichen Kontexten einiges im Argen – die üblichen Kriterien für die zulässige dienstliche Nutzung werden jedenfalls kaum erfüllt: Sehr großer Druck, das Adressbuch zu teilen, Aufzeichnung und unklare Speicherfristen der Gespräche (das sollte bei seelsorglichen Gesprächen besonders im Blick sein!), dienstliche Nutzung in den AGB ausgeschlossen, kaum Transparenz über Betroffenenrechte. Klingt nicht gut, aber das gilt auch für mit mehr oder weniger schlechtem Gewissen selbstverständlich genutzte Kanäle wie Facebook oder WhatsApp. (Thomas Schwenke hat sich ausführlich damit beschäftigt – und kommt zum Schluss, dass unter gewissen Vorkehrungen ein nicht-privater Einsatz gerechtfertigt werden kann.) Dazu kommt die Frage nach Barrierefreiheit: Eine Audio-only-App erreicht naturgemäß nur Hörende, und iPhone-only mit Invite schließt auch viele aus (sorgt aber für Exklusivität).

Montage (Photo by Fabian Albert on Unsplash, Screenshot)

Die #digitalekirche springt jedenfalls mit Begeisterung auf die neue App und kann auch schon einige Erfolge vorweisen: Theotabea, Anna-Nicole Heinrich, Lisa Quarch und Gottdigital berichten von ersten Erfahrungen und Einschätzungen, ein Außenblick auf LinkedIn von Matthias Maier spricht dafür, mutig reinzugehen. Lesenswert ist auch die kritische Diskussion angesichts einiger problematischer Eigenschaften von Clubhouse, die Philipp Greifenstein angestoßen hat: Ist es naiv, einfach so begeistert reinzugehen, auch wenn die Plattform schon jetzt große Probleme mit unmoderierter gruppenbezogener Menschenfeindlichkeit hat? (Dazu ausführlich im Twitter-Thread von Taylor Lorenz, komprimiert auf Instagram von Maggie Tyson.) Lutz Neumeier meint: »Ich bin gerne naiv u nutze jede Möglichkeit Kirche zu Menschen zu bringen. Hat heute Abend ziemlich gut geklappt… u ich glaub Jesus, Paulus u viele andere waren auch naiv, sonst hätten sie nicht angefangen u erreicht, was sie haben. Paulus wär ohne nicht auf Reisen gegangen…« Wenn die Entscheidung dann für Clubhouse ausfällt: Das Landesjugendpfarramt Oldenburg hat für Einsteiger schon mal die ersten sich entwickelnden Hausregeln zusammengefasst.

Nicht ganz so hip wie Clubhouse: Das katholische Patient*innendatenschutzgesetz ist da: Das Bistum Würzburg hat als erstes das neue »Gesetz zum Schutz von Patientendaten bei der Seelsorge in katholischen Einrichtungen des Gesundheitswesens (Seelsorge-PatDSG)« veröffentlicht. Das Gesetz wird wieder in Form der Simultangesetzgebung der einzelnen Diözesen in Kraft gesetzt und sollte daher demnächst in noch mehr Amtsblättern auftauchen. Mehr dazu hier im Blog in der kommenden Woche.

Gute Nachrichten auch aus Hannover: Der Datenschutzbeauftragte der EKD nimmt seine Schulungen für den Fachkunde-Nachweis für kirchliche Datenschutzbeauftragte wieder auf, zunächst digital.

Weiterlesen

Corona und Schrems II: Das war 2020

War eigentlich noch was anderes 2020? Auch im kirchlichen Datenschutz lag der Schwerpunkt auf Corona, vom Homeoffice über Videokonferenzen bis zum Fiebermessen. Und als wäre eine Pandemie nicht anstrengend genug, hat der Europäische Gerichtshof auch noch das Privacy Shield kassiert.

Das Privacy-Shield-Logo und der Corona-Virus – Symbole für das Jahr 2020.

»Artikel 91« verabschiedet sich mit diesem Jahresrückblick in eine kurze Weihnachtspause. Falls nicht noch etwas Spektakuläres passiert (und wir haben immer noch 2020), geht es im Januar weiter mit einem Jahresausblick 2021.

Weiterlesen

Tut Buße! Nur wie? – Wochenrückblick KW 51

Die Angst vor Bußgeldern hat sich als weitgehend unbegründet erwiesen – auch wenn (so etwa in NRW) es langsam losgeht. Grundsätzliche Bedenken hat der bayerische Diözesandatenschutzbeauftragte Jupp Joachimski schon zuvor geäußert. Jetzt legt er noch einmal nach mit einem kurzen Papier mit dem Titel »Bußgelderkenntnisse im Geltungsbereich von KDG/KDR-OG«, in dem er aufschlüsselt, wann, gegen wen und unter welchen Umständen überhaupt ein Bußgeld verhängt werden kann. Sein Ergebnis: In den meisten Fällen nicht – weil das KDG so formuliert ist, dass Bußgelder dann verhängt werden können, wenn der Verantwortliche vorsätzlich oder fahrlässig für die Datenschutzverletzung verantwortlich ist, während gegen Mitarbeitende nur in sehr speziellen Ausnahmen vorgegangen werden kann.

In der Diözese Rottenburg-Stuttgart beschäftigt sich das aktuelle Amtsblatt mit Schrems II und der praktischen Umsetzung des Urteils – ohne dabei wesentlich Neues zu bisherigen Veröffentlichungen beizutragen: »Zusammenfassend ist zu konstatieren, dass es ohne ein tragfähiges Abkommen zwischen der EU und den USA oder eine grundsätzliche Regelung auf EU-Ebene nach dem derzeitigen Stand keine völlig zufriedenstellenden Lösungen für die durch das EuGH-Urteil aufgeworfenen datenschutzrechtlichen Probleme gibt.« Hilfreich ist immerhin die Anweisung, wenigstens das Privacy Shield aus den Datenschutzerklärungen zu entfernen. Der elephant in the room wird auch hier wieder einmal nicht angesprochen: Dass § 29 Abs. 11 KDG Auftragsverarbeitung ausschließlich in Ländern der EU, des EWR oder solchen mit Angemessenheitsbeschluss zulässt – und damit Auftragsverarbeitung in den USA nach KDG generell nicht mehr möglich ist.

Im evangelischen Bereich gab es dagegen nur kleinere Änderungen in der Durchführungsverordnung der Evangelisch-Reformierten Kirche.

Nicht direkt Datenschutz, aber in jedem Fall lohnend: am Montag ist der Online-Kurs Kirchenrecht von Hendrik Munsonius vom Kirchenrechtlichen Institut der EKD gestartet: »Diese Einführung ist aus Vorlesungen an der Georg-August-Universität Göttingen hervorgegangen und richtet sich an Menschen, die an einer gedeihlichen Ordnung kirchlicher Praxis interessiert sind.« Dem kann man nichts hinzufügen – unbedingte Lockdown-Fortbildungs-Empfehlung!

Weiterlesen

Hart, härter, kirchlicher Datenschutz?

Der kirchliche Datenschutz gilt als besonders streng – jedenfalls hört man das oft von Anwender*innen. Aber stimmt das eigentlich? Schließlich müssen die eigenen Datenschutzregeln von Religionsgemeinschaften, so sieht es Art. 91 DSGVO vor, »in Einklang« mit den Wertungen der DSGVO stehen. Und während die Deutsche Bischofskonferenz schreibt, dass sie mit einem Unterschied in der Formulierung der Einwilligung nicht strenger, sondern »lediglich konkreter und damit anwenderfreundlicher« sein wollte, sagte der bayerische Diözesandatenschutzbeauftragte Jupp Joachimski, der auch an der Ausarbeitung des KDG mitwirkte, dass die Kirche aufgrund ihres Demokratiedefizits handeln musste: »und deshalb waren wir an manchen Stellen bei der Entwicklung des KDG strenger, um zu zeigen, dass wir bereit sind, solche Defizite auszugleichen«, so Joachimski. Von evangelischer Seite sind keine solche Äußerungen bekannt – aber auch dort hört man selten den Vorwurf, das DSG-EKD sei zu lax.

Stimmt es aber überhaupt, dass die kirchlichen Gesetze im Zweifel strenger sind? Ein genauer Blick fördert Interessantes zu Tage – und einige Regelungen, über die man überraschend wenig in der Praxis hört. An einigen Punkten gibt es deutliche Abweichungen von den Regelungen der DSGVO, die auch das Schutzniveau für betroffene Personen verändern.

Weiterlesen

ÖKT, KDM, ohjeohje: Wochenrückblick KW 46

Der Ökumenische Kirchentag steht auf der Kippe, die Veranstaltenden wollen es noch nicht ganz wahrhaben, in der FAZ wurden Fakten geschaffen und später wieder hinter der Einschätzung des Kirchendezernenten der Stadt aufgeräumt. Was das mit kirchlichem Datenschutz zu tun hat? Eigentlich war der ÖKT als Veröffentlichungstermin für das Kirchliche Datenschutzmodell (KDM) vorgesehen, war im Bericht des NRW-Diözesandatenschutzbeauftragten zu lesen. Und außerdem biete ich dort einen Workshop mit dem Arbeitstitel »Datenschutz mit Augenmaß. Impulse für die Praxis« an.

Ansonsten im kirchlichen Datenschutz eine ruhige Woche ganz ohne offizielle Veröffentlichungen.

Weiterlesen

Beschäftigtendatenschutz-Woche! – Wochenrückblick KW 45

Beim Beauftragten für den Datenschutz der EKD ist Beschäftigtendatenschutz-Woche: In zwei frisch erschienenen Flyern mit Kurzinformationen geht es um Personalakten und Informationen für Mitarbeitende. Das Papier zu Personalakten startet vage (»Unterschiedliche Teile der Personalakte unterliegen aufgrund unterschiedlicher Verarbeitungszwecke der personenbezogenen Daten unterschiedlichen Aufbewahrungsfristen.«), wird dann aber doch sehr hilfreich und listet auf, was in die Personalakte gehört, was nicht und wie damit umzugehen ist.

Das Kurzpapier »Was müssen Mitarbeitende über den Datenschutz wissen?« ist gut gemeint – aber für normale Mitarbeitende doch etwas kryptisch, da viele Fragen nur mit einem Verweis auf die Fundstelle im Gesetz beantwortet werden. Als Grundlage für betriebliche Datenschutzbeauftragte kann es aber hilfreich sein für die Planung von Schulungen. Leider zieht sich auch hier durch das Papier die ärgerliche Angewohnheit des DSB-EKD durch, Informationen nach nicht nachvollziehbaren Kriterien nur selektiv zu nennen. Dass bei der Frage nach der Veröffentlichungen von Mitarbeitendenfotos (grundsätzlich nur mit Einwilligung) der Sonderfall von Mitarbeitenden nicht erwähnt wird, bei denen das zum Stellenprofil gehört (z. B. bei Pressesprecher*innen), ist verschmerzbar. Wie in einem Papier zum Beschäftigtendatenschutz aber nur die Rechtsgrundlagen Einwilligung und Gesetz für die Verarbeitung personenbezogener Daten erwähnt werden können, wo doch hier in der Regel die einschlägigen Rechtsgrundlagen Arbeitsvertrag und insbesondere die speziellen Regelungen zum Beschäftigtendatenschutz (§ 49 DSG-EKD) sind, ist unverständlich. Eine grobe Unterlassung ist es zudem, dass die Problematik von Einwilligungen im Arbeitsverhältnis und die besonderen Anforderungen an sie (auf die § 49 Abs. 3 DSG-EKD explizit eingeht) gar nicht erst erwähnt wird.

Auch im Bereich der katholischen Kirche scheint die Sommerpause jetzt vorbei zu sein. Der bayerische Diözesandatenschutzbeauftragte hat eine Handreichung zu Schrems II veröffentlicht und das Erzbistum Köln reiht sich ein in die Bistümer, die ein eigenes §-29-KDG-Gesetz zur Auftragsdatenverarbeitung erlassen haben. Außerdem haben die Datenschutz-Notizen über den bayerischen Tätigkeitsbericht berichtet: »kurz und brisant« ist das Urteil, ähnlich wie meines.

Weiterlesen