Hintergrundinformationen zum Kirchlichen Datenschutzgesetz (KDG)
Seit dem 25. Mai 2018 gilt die am 14. April 2016 durch das EU-Parlament beschlossene Datenschutzgrundverordnung (Verordnung (EU) 2016/679) kurz DSGVO. Nach Artikel 140 des Grundgesetzes gilt: „Jede Religionsgesellschaft ordnet und verwaltet ihre Angelegenheiten selbständig innerhalb der Schranken des für alle geltenden Gesetzes.“ Damit ist es möglich, dass die katholische Kirche als Körperschaft des öffentlichen Rechts eigene Regelungen zum Datenschutz aufstellt.
Art. 91 Abs. 1 der DSGVO besagt zudem: „Wendet eine Kirche oder eine religiöse Vereinigung oder Gemeinschaft in einem Mitgliedstaat zum Zeitpunkt des Inkrafttretens dieser Verordnung umfassende Regeln zum Schutz natürlicher Personen bei der Verarbeitung an, so dürfen diese Regeln weiter angewandt werden, sofern sie mit dieser Verordnung in Einklang gebracht werden.“
Bisher galt die Kirchliche Datenschutzordnung (KDO) die nun durch ein an die DSGVO angepasstes Kirchliches Datenschutzgesetz (KDG) ersetzt wurde. Das KDG wurde am 20.11.2017 von der Vollversammlung des Verbandes der Diözesen Deutschlands einstimmig beschlossen. Die Kirchenvorstände im Erzbistum Berlin wurden mit Schreiben vom 15.02.2018 davon in Kenntnis gesetzt. Die Veröffentlichung im Amtsblatt des Erzbistums Berlin erfolgte im Mai 2018 (Anlage ABl. 3/2018 Erzbistum Berlin)
Hinweis: Es kann durch die Vollversammlung des Verbandes der Diözesen Deutschlands innerhalb der nächsten drei Jahren auch zu Änderungen am KDG kommen.
Die wichtigsten Paragrafen
Die vielleicht am Anfang zunächst relevantesten Paragraphen aus dem Kirchlichen Datenschutzgesetz (KDG) im Alltag für Kirchengemeinden und kirchliche Einrichtungen sind:
- § 6 Rechtmäßigkeit der Verarbeitung personenbezogener Daten
- § 7 Grundsätze für die Verarbeitung personenbezogener Daten
- § 8 Einwilligung
- § 9 Offenlegung gegenüber kirchlichen und öffentlichen Stellen
- § 10 Offenlegung gegenüber nicht kirchlichen und nicht öffentlichen Stellen
- § 11 Verarbeitung besonderer Kategorien personenbezogener Daten
Nicht weniger wichtig sind auch die folgenden Paragraphen:
- § 15 Informationspflicht bei unmittelbarer Datenerhebung
- § 16 Informationspflicht bei mittelbarer Datenerhebung
- § 17 Auskunftsrecht der betroffenen Person
- § 18 Recht auf Berichtigung
- § 19 Recht auf Löschung
- § 23 Widerspruchsrecht
- § 33 Meldung an die Datenschutzaufsicht
- § 35 Datenschutz-Folgenabschätzung und vorherige Konsultation
Bei Datenschutzverletzungen sieht das KDG Geldbußen von bis zu 500.000 Euro vor.
Näheres regelt § 51 KDG - Geldbußen.
„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (...)
Quelle: § 4 Abs. 1 KDG
„Besondere Kategorien personenbezogener Daten“ sind personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.
Die Zugehörigkeit zu einer Kirche oder Religionsgemeinschaft ist keine besondere Kategorie personenbezogener Daten.
Quelle: § 4 Abs. 2 KDG
Veröffentlichung personenbezogener Daten
Es gilt grundsätzlich das Verbot der Verarbeitung personenbezogener Daten mit Erlaubnisvorbehalt (§ 6 KDG).
Zur Veröffentlichung von personenbezogenen Daten benötigen Sie eine explizite, schriftliche Einwilligung (§ 8 Abs. 2 KDG) der betroffenen oder der Sorgeberechtigten. Dies gilt für alle Arten von Veröffentlichungen, also auch für Pfarrbriefe, Vermeldungen, Aushänge, dem Internet, anderen Medien oder anderen Veröffentlichungen.
Nach Aussagen des Diözesandatenschutzbeauftragten der ostdeutschen Bistümer stellt die im Amtsblatt Nr. 139 veröffentlichte "Ordnung zur Veröffentlichung kirchlicher Amtshandlungsdaten und Jubiläen" eine Rechtsvorschrift nach §6 Abs. 1 a KDG dar und hat deshalb weiterhin bestand (Bitte beachten Sie jedoch die dort enthaltenen Regelungen!).
Hilfreiche Fragestellungen:
- Gibt es eine gesetzliche Grundlage zur Verarbeitung der personenbezogenen Daten?
- Wann hat der betroffene der Datenverarbeitung und Veröffentlichung explizit zugestimmt?
- Weiß die betroffene Person von der Datenverarbeitung und Veröffentlichung?
- Was genau ist die mit der Veröffentlichung gewollte Zweckbindung oder welche Erfüllung einer rechtlichen Verpflichtung liegt hier vor?
- Wie lässt sich die Veröffentlichung auch in Bezug auf die Vereinbarkeit von Datensparsamkeit und Datenvermeidung begründen?
Veröffentlichung personenbezogener Fotos und anderer Medien
Das Kirchliche Datenschutzgesetz (KDG) geht davon aus, dass man in jedem Fall eine schriftliche Einwilligung der aufgenommenen Personen benötigt (§ 8 Abs. 2 KDG - Einwilligung).
Darüber hinaus hat die Konferenz der Diözesandatenschutzbeauftragten beschlossen, dass für die Veröffentlichung von Bildern von Kindern bis zur Vollendung des 16. Lebensjahres die vorherige Einwilligung der Sorgeberechtigten unter Vorlage der jeweils zur Veröffentlichung vorgesehenen Bilder einzuholen ist (17. April 2018).
"Erläuterungen zu Fragen des Umgangs mit Bildern und Fotografien" von den Diözesandatenschutzbeauftragten für Hamburg
Empfehlung: Weisen Sie bei Veranstaltungen im Begleitheft und Rund um die Veranstaltung darauf hin (Hinweisschilder), wenn Foto-, Video- oder Audioaufnahmen zu Journalistischen oder historischen Zwecken gemacht werden.
Dokumente: