Auch Kirchen und andere Religionsgemeinschaften verarbeiten personenbezogene Daten. Beispielsweise die ihrer Amtsträger, ihrer Mitglieder und von sonstigen Mitarbeitern. Hinzu kommen Daten von Personen, die in kirchlichen Einrichtungen betreut werden. Die verfassungsrechtliche Sonderstellung von kirchlichen Einrichtungen führt beim Datenschutz jedoch zu Besonderheiten. Das beginnt bereits bei der Frage, welches Recht anzuwenden ist.
Wir haben Ihnen die wichtigsten Informationen zusammengefasst.
Warum haben Kirchen und Religionsgemeinschaften eine Sonderstellung?
Grund der Sonderstellung ist das Selbstbestimmungsrecht der Religionsgemeinschaften. Gemeint ist damit das Recht der Religionsgemeinschaften, die eigenen Angelegenheiten selbst zu regeln (§ 137, Abs. 3 WRV). Für den Datenschutz bedeutet dies, dass Sondergesetzgebungen existieren. Für die katholischen Kirche die „Anordnung über den kirchlichen Datenschutz“ (KDG) und für die evangelischen Kirche das „Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland“ (DSG-EKD).
DSGVO und Kirchliches Datenschutzrecht
Heißt das, dass die DSGVO nicht gilt? Jain!
Die Datenschutz-Grundverordnung (DSGVO) weiß um die Regelungskonkurrenz und enthält eine Vorschrift gerade für diese Situation. Gemäß Art. 91 Abs. 1 DSGVO dürfen Kirchen & Religionsgemeinschaften ihre bisherigen Datenschutzregeln anwenden, sofern diese Regeln mit den Bestimmungen der DSGVO in Einklang gebracht werden.
Wann gilt das Datenschutzgesetz der Kirche und wann die DSGVO / BDSG?
Der Anwendungsbereich ist jeweils in den kirchenrechtlichen Vorschriften definiert.
So heißt es in § 2 Abs. 1DSG-EKD
„Dieses Kirchengesetz gilt für die Verarbeitung personenbezogener Daten durch die Evangelische Kirche in Deutschland, die Gliedkirchen und die gliedkirchlichen Zusammenschlüsse, alle weiteren kirchlichen juristischen Personen des öffentlichen Rechts sowie die ihnen zugeordneten kirchlichen und diakonischen Dienste, Einrichtungen und Werke ohne Rücksicht auf deren Rechtsform (kirchliche Stelle).“
Zum Selbstbestimmungsbereich der Kirchen zählen alle Bereiche, in denen weltanschauliche „kircheneigene“ Aufgaben bewältigt werden. Dies betrifft neben Einrichtungen der Glaubensvermittlung auch karitative Einrichtungen, wie Krankenhäuser, Pflegeeinrichtungen oder Kindergärten. Ausschlaggebend ist hierbei, dass die von der Datenverarbeitung betroffene Person die Leistungen der kirchlichen Einrichtung in Anspruch genommen hat. Sie muss nicht selbst der Kirche angehören.
Besonderheiten kirchlicher Datenschutzgesetze
Sowohl das KDG als auch das DSG-EKD haben die Struktur der DSGVO weitgehend übernommen. Auch wenn die kirchlichen Datenschutzgesetze überwiegend mit den Regelungen der DSGVO in Einklang gebracht wurden, sind dennoch Besonderheiten zu beachten:
- Reaktionszeiten bspw. bei der Beantwortung von Betroffenenanfragen, der Meldung von Datenpannen an die Aufsichtsbehörde etc.
- Einwilligung in Datenverarbeitung bedarf der Schriftform
- Verpflichtung auf das Datengeheimnis in der Kirche
- Informationspflicht bei unmittelbarer Datenerhebung
- Schriftliche Benennung des Datenschutzbeauftragten:
Gemäß KDG sind alle kirchlichen Einrichtungen, unabhängig von der Zahl ihrer Mitarbeiter, verpflichtet einen betrieblichen Datenschutzbeauftragten schriftlich zu benennen. In der evangelischen Kirche ist eine Bestellung sog. örtlich Beauftragter für den Datenschutz nur dann erforderlich, wenn mehr als zehn Personen ständig mit der Verarbeitung personenbezogener Daten betraut sind. - Datenschutzaufsicht:
Um eine datenschutzrechtliche Aufsicht ohne staatlichen Eingriff einer Behörde sicherzustellen, ist für die Überwachung der Einhaltung der kirchlichen Datenschutzgesetze die Errichtung unabhängiger kirchlicher Aufsichtsbehörden notwendig (Art. 91 Abs. 2 DSGVO). Als Leiter der Datenschutzaufsicht agieren hierbei die sog. Diözesandatenschutzbeauftragten bei der katholischen Kirche und die Beauftragten für den Datenschutz bei der evangelischen Kirche. - Bußgelder bei Datenschutzverstößen, max. Höhe auf 500.000 Euro begrenzt. + keine Bußgelder gegen Diözese, Kirchengemeinden, Kirchenstiftungen und Kirchengemeindeverbände (soweit sie nicht als Unternehmen am Markt teilnehmen)
- Gerichtliche Überprüfung, zuständig ist das kirchliche Gericht in Datenschutzangelegenheiten. Ergänzend zum KDG wurde die Kirchliche Datenschutzgerichtsordnung (KDSGO) erlassen.
Unsere Leistungen i.S. kirchlicher Datenschutz
Gern unterstützen wir Sie bei der Erstellung von kirchlichen Datenschutzkonzepten.
Zu unseren Leistungen zählen u.a.
- Umfassende Beratung zu DSG-EKD und KDG
- TÜV-zertifizierte Datenschutzbeauftragte oder -auditoren
- Betreuung auf höchstem Niveau durch einen auf IT- und Datenschutzrecht spezialisierten Juristen
- Umfassende, pragmatische Lösungen – wir übernehmen den gesamten Datenschutz für Sie, dazu gehört die eine erste Risikoanalyse, ein Projektplan, der Aufbau eines vollständigen Datenschutzkonzeptes und auch die Schulungen und Sensibilisierung der Mitarbeiter
Im Gegensatz zu einem innerbetrieblichen Datenschutzbeauftragten stehen wir grundsätzlich sowohl bei Vorsatz als auch bei Fahrlässigkeit für unser Tun ein. Für zu erwartende finanzielle Schäden verfügen wir über umfassenden Versicherungsschutz.
Sie wollen mehr erfahren? Lassen Sie sich unverbindlich beraten und nehmen Sie jetzt Kontakt auf!
Ihre Datenschutzbeauftragten