Source: http://kirchenrecht-ekwue.de/document/17399
Timestamp: 2017-03-27 12:37:14+00:00

Document:
900 Datenschutzgesetz – EKD (DSG.EKD) - Kirchenrecht Online-Nachschlagewerk
900 Datenschutzgesetz – EKD (DSG.EKD)
.900. Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz – DSG-EKD)Vom 12. November 1993(ABl. EKD S. 505), geändert durch Kirchengesetz vom 7. November 2002 (ABl. EKD S. 381, ber. ABl. EKD 2003 S. 1) und vom 7. November 2012 (ABl. EKD S. 452), in der Fassung der Bekanntmachung vom 1. Januar 2013 (ABl. EKD S. 2, ber. S. 34)Inhaltsübersicht§ 1Zweck und Anwendungsbereich§ 2Begriffsbestimmungen§ 2aDatenvermeidung und Datensparsamkeit§ 3Erhebung, Verarbeitung und Nutzung§ 3aEinwilligung der Betroffenen§ 4Datenerhebung§ 5Datenspeicherung, -veränderung und -nutzung§ 6Datengeheimnis§ 7Unabdingbare Rechte der betroffenen Person§ 7aVideobeobachtung und Videoaufzeichnung (Videoüberwachung)§ 7bMobile personenbezogene Speicher- und Bearbeitungsmedien§ 8Schadensersatz durch kirchliche Stellen§ 9Technische und organisatorische Maßnahmen, IT-Sicherheit§ 9aDatenschutzaudit§ 10Einrichtung automatisierter Abrufverfahren§ 11Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten im Auftrag§ 12Datenübermittlung an kirchliche oder sonstige öffentliche Stellen§ 13Datenübermittlung an sonstige Stellen§ 14Durchführung des Datenschutzes§ 15Auskunft an die betroffene Person§ 15aBenachrichtigung§ 16Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht§ 17Anrufung der Beauftragten für den Datenschutz§ 18Rechtsstellung der Beauftragten für den Datenschutz§ 18aDer oder die Beauftragte für den Datenschutz der Evangelischen Kirche in Deutschland§ 18bBeauftragte für den Datenschutz der Gliedkirchen der Evangelischen Kirche in Deutschland§ 19Aufgaben der Beauftragten für den Datenschutz§ 20Beanstandungsrecht der Beauftragten für den Datenschutz§ 21Meldepflicht§ 21aInhalt der Meldepflicht§ 22Betriebsbeauftragte und örtlich Beauftragte für den Datenschutz§ 23Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen§ 24Datenerhebung, -verarbeitung und -nutzung bei Dienst- und Arbeitsverhältnissen§ 25Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen§ 26Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien§ 27Ergänzende Bestimmungen, RechtswegAnlage(zu § 9 Absatz 1)####§ 1Zweck und Anwendungsbereich
Dieses Kirchengesetz gilt für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Evangelische Kirche in Deutschland, ihre Gliedkirchen und ihre gliedkirchlichen Zusammenschlüsse sowie die ihnen zugeordneten kirchlichen und diakonischen Werke und Einrichtungen ohne Rücksicht auf deren Rechtsform und rechtsfähige evangelische Stiftungen des bürgerlichen Rechts (kirchliche Stellen). Die Evangelische Kirche in Deutschland, ihre Gliedkirchen und ihre gliedkirchlichen Zusammenschlüsse haben sicherzustellen, dass auch in den ihnen organisatorisch zugeordneten Werken und Einrichtungen dieses Kirchengesetz sowie Ausführungsbestimmungen und seine ergänzenden Durchführungsbestimmungen Anwendung finden. Die Evangelische Kirche in Deutschland und die Gliedkirchen führen jeweils für ihren Bereich eine Übersicht über die kirchlichen Werke und Einrichtungen mit eigener Rechtspersönlichkeit, für die dieses Kirchengesetz gilt. In die Übersicht sind Name, Anschrift, Rechtsform und Tätigkeitsbereich der kirchlichen Werke und Einrichtungen aufzunehmen.
Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten. Im einzelnen ist, ungeachtet der dabei angewendeten Verfahren:Speichern das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zwecke ihrer weiteren Verarbeitung oder Nutzung,Verändern das inhaltliche Umgestalten gespeicherter personenbezogener Daten,Übermitteln das Bekanntgeben von gespeicherten oder durch Datenverarbeitung gewonnener personenbezogener Daten an Dritte in der Weise, dassdie Daten an Dritte weitergegeben werden oderDritte zur Einsicht oder zum Abruf bereitgehaltene Daten einsehen oder abrufen,Sperren das Kennzeichnen gespeicherter personenbezogener Daten, um ihre weitere Verarbeitung oder Nutzung einzuschränken,Löschen das Unkenntlichmachen gespeicherter personenbezogener Daten.
Dritte sind Personen und Stellen außerhalb der verantwortlichen Stelle. Dritte sind nicht die betroffene Person sowie diejenigen Personen und Stellen, die im Geltungsbereich dieses Kirchengesetzes personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
Mobile personenbezogene Speicher- und Bearbeitungsmedien sind Datenträger,die an den Betroffenen ausgegeben werden,auf denen personenbezogene Daten über die Speicherung hinaus durch die ausgebende oder eine andere Stelle automatisiert verarbeitet werden können undbei denen der Betroffene diese Verarbeitung nur durch den Gebrauch des Mediums beeinflussen kann.
Sicherheit beim Einsatz von Informationstechnik (IT-Sicherheit) umfasst den Schutz der mit Informationstechnik erhobenen und verarbeiteten Daten insbesondere vor unberechtigtem Zugriff, vor unerlaubten Änderungen und vor der Gefahr des Verlustes, um deren Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten.#§ 2aDatenvermeidung und DatensparsamkeitDie Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert.#§ 3Erhebung, Verarbeitung und NutzungDie Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, wenn dieses Gesetz oder eine andere Rechtsvorschrift sie erlaubt oder anordnet oder soweit die betroffene Person eingewilligt hat.#§ 3aEinwilligung der Betroffenen
Im Bereich der wissenschaftlichen Forschung liegt ein besonderer Umstand im Sinne von Absatz 1 Satz 3 auch dann vor, wenn durch die Schriftform der bestimmte Forschungszweck erheblich beeinträchtigt würde. In diesem Fall sind der Hinweis nach Absatz 1 Satz 2 und die Gründe, aus denen sich die erhebliche Beeinträchtigung des bestimmten Forschungszwecks ergibt, schriftlich festzuhalten.
Personenbezogene Daten sind bei der betroffenen Person zu erheben. Ohne ihre Mitwirkung dürfen sie nur erhoben werden, wenneine kirchliche oder staatliche Rechtsvorschrift dies vorsieht, zwingend voraussetzt oderdie Wahrnehmung des kirchlichen Auftrages die Erhebung erfordert und keine Anhaltspunkte dafür bestehen, dass überwiegende schutzwürdige Interessen verletzt werden, soferndie zu erfüllende Aufgabe ihrer Art nach eine Erhebung bei anderen Personen oder kirchlichen Stellen erforderlich macht oderdie Erhebung bei der betroffenen Person einen unverhältnismäßigen Aufwand erforderte oderdie betroffene Person einer durch Rechtsvorschrift festgelegten Auskunftspflicht nicht nachgekommen und über die beabsichtigte Erhebung der Daten unterrichtet worden ist.
Das Erheben besonderer Arten personenbezogener Daten nach § 2 Abs. 11 ist nur zulässig, soweiteine Rechtsvorschrift dies vorsieht,der Betroffene nach Maßgabe des § 3 a Abs. 3 eingewilligt hat,dies zum Schutze lebenswichtiger Interessen der betroffenen Person oder Dritter erforderlich ist, sofern die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben,es sich um Daten handelt, die die betroffene Person offenkundig öffentlich gemacht hat,Grund zu der Annahme besteht, dass andernfalls die Wahrnehmung des Auftrages der Kirche oder die Glaubwürdigkeit ihres Dienstes gefährdet würde,dies zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen, oderdies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse der betroffenen Person an dem Ausschluss der Erhebung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.#§ 5Datenspeicherung, -veränderung und -nutzung
Das Speichern, Verändern oder Nutzen von besonderen Arten personenbezogener Daten nach § 2 Abs. 11 für andere Zwecke ist nur zulässig, wenndie Voraussetzungen vorliegen, die eine Erhebung nach § 4 Abs. 5 Nr. 1 bis 5 zuließen, oderdies zur Durchführung wissenschaftlicher Forschung erforderlich ist, das kirchliche Interesse an der Durchführung des Forschungsvorhabens das Interesse der betroffenen Person an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann. Bei dieser Abwägung ist im Rahmen des kirchlichen Interesses das wissenschaftliche Interesse an dem Forschungsvorhaben besonders zu berücksichtigen.#§ 6DatengeheimnisDen mit dem Umgang von Daten betrauten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind – soweit sie nicht aufgrund anderer kirchlicher Bestimmungen zur Verschwiegenheit verpflichtet wurden – bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort.#§ 7Unabdingbare Rechte der betroffenen Person
Sind die Daten der betroffenen Person automatisiert in der Weise gespeichert, dass mehrere Stellen speicherungsberechtigt sind, und ist die betroffene Person nicht in der Lage festzustellen, welche Stelle die Daten gespeichert hat, so kann sie sich an jede dieser Stellen wenden. Diese ist verpflichtet, das Vorbringen der betroffenen Person an die Stelle, die die Daten gespeichert hat, weiterzuleiten. Die betroffene Person ist über die Weiterleitung und jene Stelle zu unterrichten.
Die Beobachtung öffentlich zugänglicher und besonders gefährdeter nicht öffentlich zugänglicher Bereiche innerhalb und außerhalb von Dienstgebäuden mit optisch-elektronischen Einrichtungen (Videobeobachtung) ist nur zulässig, soweit sie in Ausübung des Hausrechts der kirchlichen Stelle zum Schutz von Personen und Sachen oder zur Überwachung von Zugangsberechtigungen erforderlich ist und keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Während der Gottesdienste ist eine Videoüberwachung unzulässig.
Die nach Absatz 1 erhobenen Daten dürfen nur gespeichert werden (Videoaufzeichnung), wenn Tatsachen die Annahme rechtfertigen, dass mit einer Verletzung der Rechtsgüter nach Absatz 1 künftig zu rechnen ist und keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Eine weitere Verarbeitung der erhobenen Daten ist zulässig für den Zweck, für den sie erhoben wurden. Für einen anderen Zweck ist sie nur zulässig, soweit dies zur Verfolgung von Straftaten oder zur Abwehr von Gefahren für Leib, Leben oder Freiheit einer Person oder für bedeutende Sach- oder Vermögenswerte erforderlich ist.
Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet und verarbeitet, so ist diese über die jeweilige Verarbeitung zu benachrichtigen. Von der Benachrichtigung kann abgesehen werden solange das öffentliche Interesse an der Strafverfolgung das Recht auf Benachrichtigung der betroffenen Person erheblich überwiegt oder wenn die Benachrichtigung im Einzelfall einen unverhältnismäßigen Aufwand erfordert.
Aufzeichnungen einschließlich Kopien und daraus gefertigte Unterlagen sind spätestens nach einer Woche zu löschen oder zu vernichten, soweit sie zum Erreichen des verfolgten Zwecks nicht mehr zwingend erforderlich sind. Sie sind unverzüglich zu löschen, soweit schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.
§ 9 Absatz 1 findet Anwendung. Wird Videoüberwachung eingesetzt, sind technische und organisatorische Maßnahmen zu treffen, die geeignet sind zu gewährleisten, dass nur Befugte die durch Videoüberwachung erhobenen Daten zur Kenntnis nehmen können (Vertraulichkeit), die durch Videoüberwachung erhobenen Daten bei der Verarbeitung unverfälscht, vollständig und widerspruchsfrei bleiben (Integrität), die durch Videoüberwachung erhobenen Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können (Verfügbarkeit), die durch Videoüberwachung erhobenen Daten ihrem Ursprung zugeordnet werden können (Authentizität), festgestellt werden kann, wer wann welche durch Videoüberwachung erhobenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit).
Die datenverarbeitende Stelle legt in einer laufend auf dem neuesten Stand zu haltenden Dokumentation fest: den Namen und die Anschrift der datenverarbeitenden Stelle, den Zweck der Videoüberwachung, die Rechtsgrundlage der Videoüberwachung, den Kreis der Betroffenen, den Personenkreis, der Zugang zu den durch Videoüberwachung erhobenen Daten erhält, die Abwägung der mit der Videoüberwachung verfolgten Ziele mit den mit der Videoüberwachung konkret verbundenen Gefahren für die Rechte der Betroffenen, die technischen und organisatorischen Maßnahmen nach Absatz 6, die Art der Geräte, ihren Standort und den räumlichen Überwachungsbereich, die Art der Überwachung, die Dauer der Überwachung.Die datenverarbeitende Stelle kann die Angaben nach Satz 1 für mehrere gleichartige Videoüberwachungen in einer Dokumentation zusammenfassen. Die Betriebsbeauftragten und örtlichen Beauftragten führen die Dokumentation und halten sie zur Einsicht bereit. Die Dokumentationen können bei der kirchlichen Stelle von jeder Person eingesehen werden; für die Angaben nach Satz 1 Nr. 7 und 8 gilt dies nur, soweit die Sicherheit der Videoüberwachung nicht beeinträchtigt wird.
Die Stelle, die ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium ausgibt oder ein Verfahren zur automatisierten Verarbeitung personenbezogener Daten, das ganz oder teilweise auf einem solchen Medium abläuft, auf das Medium aufbringt, ändert oder hierzu bereit hält, muss die betroffene Personüber ihre Identität und Anschrift,in allgemein verständlicher Form über die Funktionsweise des Mediums einschließlich der Art der zu verarbeitenden personenbezogenen Daten,darüber, wie sie ihre Rechte nach den §§ 15, 15 a und 16 ausüben kann, undüber die bei Verlust oder Zerstörung des Mediums zu treffenden Maßnahmenunterrichten, soweit sie nicht bereits Kenntnis erlangt hat.
Die nach Abs. 1 verpflichtete Stelle hat dafür Sorge zu tragen, dass die zur Wahrnehmung des Auskunftsrechts erforderlichen Geräte oder Einrichtungen in angemessenem Umfang zum unentgeltlichen Gebrauch zur Verfügung stehen.
Kommunikationsvorgänge, die auf dem Medium eine Datenverarbeitung auslösen, müssen für den Betroffenen eindeutig erkennbar sein.#§ 8Schadensersatz durch kirchliche Stellen
Die Ansprüche nach Absatz 1 Satz 2 sind insgesamt bis zu einem Betrag in Höhe von 130 000 Euro begrenzt. Ist aufgrund desselben Ereignisses an mehrere Personen Schadensersatz zu leisten, der insgesamt den Höchstbetrag von 130 000 Euro übersteigt, so verringern sich die einzelnen Schadensersatzleistungen im dem Verhältnis, in dem ihr Gesamtbetrag zum Höchstbetrag steht.
Kirchliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Kirchengesetzes, insbesondere die in der Anlage zu diesem Kirchengesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen, deren Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.
Jede kirchliche Stelle ist verpflichtet, IT-Sicherheit zu gewährleisten. Das Nähere regelt der Rat der EKD durch Rechtsverordnung mit Zustimmung der Kirchenkonferenz.#§ 9aDatenschutzauditZur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und – programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch geeignete Stellen prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. Näheres kann der Rat der EKD durch Rechtsverordnung regeln.#§ 10Einrichtung automatisierter Abrufverfahren
Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung personenbezogener Daten durch Abruf ermöglicht, ist zulässig, soweit dieses Verfahren unter Berücksichtigung der schutzwürdigen Interessen der betroffenen Person und des kirchlichen Auftrags der beteiligten Stellen angemessen ist. Die Vorschriften über die Zulässigkeit des einzelnen Abrufs bleiben unberührt.
Über die Einrichtung von Abrufverfahren sind die jeweils zuständigen Beauftragten für den Datenschutz nach § 18 sowie die Betriebsbeauftragten oder die örtlich Beauftragten für den Datenschutz nach § 22 unter Mitteilung der Festlegung nach Absatz 2 zu unterrichten. Die Errichtung von automatisierten Abrufverfahren mit nicht-kirchlichen Stellen kann von der Genehmigung einer anderen kirchlichen Stelle abhängig gemacht werden.
Die Absätze 1 bis 4 gelten nicht für den Abruf allgemein zugänglicher Daten. Allgemein zugänglich sind Daten, die jedermann, sei es ohne oder nach vorheriger Anmeldung, Zulassung oder Entrichtung eines Entgelts, nutzen kann.#§ 11Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten im Auftrag
Die beauftragte Stelle darf die Daten nur innerhalb der Mitgliedsstaaten der Europäischen Union erheben, verarbeiten oder nutzen. Die Evangelische Kirche in Deutschland kann die Datenerhebung, -verarbeitung und -nutzung in Staaten außerhalb der Europäischen Union zulassen, wenn diese ein dem EKD-Datenschutzgesetz angemessenes gesetzliches oder vertraglich vereinbartes Datenschutzniveau nachgewiesen haben.
Die beauftragte Stelle oder Person ist unter besonderer Berücksichtigung der Eignung der von ihr getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind: der Gegenstand und die Dauer des Auftrags, der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen, die nach § 9 Absatz 1 zu treffenden technischen und organisatorischen Maßnahmen sowie ihre Kontrolle durch den Auftragnehmer, die Berichtigung, Löschung und Sperrung von Daten, die Verpflichtung der Beschäftigten des Auftragnehmers auf das Datengeheimnis nach § 6, die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, die Kontrollrechte des Auftraggebers und die entsprechende Duldungs- und Mitwirkungspflichten des Auftragnehmers, mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen, der Umfang der Weisungsbefugnis, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält, die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags. Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren.
Das Recht der Evangelischen Kirche in Deutschland, der Gliedkirchen und der gliedkirchlichen Zusammenschlüsse kann bestimmen, dass vor der Beauftragung die Genehmigung einer kirchlichen Stelle einzuholen ist oder Muster-Vereinbarungen zu verwenden sind. Bei der Beauftragung anderer kirchlicher Stellen kann in den Rechtsvorschriften von Absatz 3 Satz 2 Nr. 3, 5, 7 und 9 und Satz 4 abgesehen werden.#§ 12Datenübermittlung an kirchliche oder sonstige öffentliche Stellen
Die datenempfangende kirchliche Stelle darf die übermittelten Daten für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihr übermittelt werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nur unter den Voraussetzungen des § 5 Abs. 2 zulässig.
Die datenempfangenden Stellen nach Absatz 6 und 7 dürfen die übermittelten Daten nur für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihnen übermittelt werden. Die übermittelnde Stelle hat sie darauf hinzuweisen.#§ 13Datenübermittlung an sonstige Stellen
Die datenempfangenden Stellen und Personen dürfen die übermittelten Daten nur für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihnen übermittelt werden. Die übermittelnde Stelle hat sie darauf hinzuweisen.#§ 14Durchführung des Datenschutzes
In dem Antrag soll die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnet werden. Sind die personenbezogenen Daten in Akten gespeichert, wird die Auskunft nur erteilt, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem geltend gemachten Informationsinteresse steht. Die verantwortliche Stelle bestimmt das Verfahren, insbesondere die Form der Auskunftserteilung, nach pflichtgemäßem Ermessen.
Die Auskunft ist unentgeltlich.#§ 15aBenachrichtigungWerden personenbezogene Daten ohne Kenntnis der betroffenen Person erhoben, so ist diese darüber zu unterrichten. Dies gilt nicht, wenndie betroffene Person davon auf andere Weise Kenntnis erlangt hat,die Unterrichtung einen unverhältnismäßigen Aufwand erfordert oderdie Speicherung oder Übermittlung der erhobenen Daten durch Rechtsvorschrift ausdrücklich vorgesehen ist.Die betroffene Person ist auch bei regelmäßigen Übermittlungen von Daten über die Empfänger oder Kategorien von Empfängern von Daten zu unterrichten, soweit sie nicht mit der Übermittlung an diese rechnen muss.#§ 16Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht
Personenbezogene Daten, die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind, sind ferner zu sperren, soweit ihre Richtigkeit von der betroffenen Person bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt.(4a) Personenbezogene Daten dürfen nicht für eine automatisierte Verarbeitung oder Verarbeitung in nicht automatisierten Dateien erhoben, verarbeitet oder genutzt werden, soweit die betroffene Person dem bei der verantwortlichen Stelle widerspricht und eine Prüfung ergibt, dass das schutzwürdige Interesse der betroffenen Person wegen ihrer besonderen persönlichen Situation das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Satz 1 gilt nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet.
Von der Berichtigung unrichtiger Daten, der Sperrung bestrittener Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die kirchlichen Stellen zu verständigen, denen im Rahmen einer regelmäßigen Datenübermittlung diese Daten zur Speicherung weitergegeben werden, wenn dies keinen unverhältnismäßigen Aufwand erfordert und zur Wahrung schutzwürdiger Interessen der betroffenen Person erforderlich ist.
Niemand darf wegen der Mitteilung von Tatsachen, die geeignet sind, den Verdacht aufkommen zu lassen, das kirchliche Datenschutzgesetz oder eine andere Rechtsvorschrift über den Datenschutz sei verletzt worden, gemaßregelt oder benachteiligt werden. Mitarbeitende der kirchlichen Stellen müssen für Mitteilungen an die Beauftragten für den Datenschutz nicht den Dienstweg einhalten.#§ 18Rechtsstellung der Beauftragten für den Datenschutz1#
Die Amtszeit soll mindestens vier, höchstens acht Jahre betragen und setzt sich bis zum Amtseintritt der Nachfolge fort. Die erneute Bestellung ist zulässig. Die Tätigkeit ist hauptamtlich auszuüben. Nebentätigkeiten sind nur zulässig, soweit dadurch das Vertrauen in die Unabhängigkeit und Unparteilichkeit nicht gefährdet wird und die Voraussetzungen der §§ 46 bis 48 des Kirchenbeamtengesetzes der EKD2# erfüllt sind.
Zu Beauftragten für den Datenschutz dürfen nur Personen bestellt werden, welche die zur Erfüllung ihrer Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzen. Sie müssen die Befähigung zum Richteramt oder zum höheren Dienst besitzen. Sie müssen einer Gliedkirche der Evangelischen Kirche in Deutschland angehören. Die beauftragte Person ist auf die gewissenhafte Erfüllung ihrer Amtspflichten und die Einhaltung der kirchlichen Ordnung zu verpflichten. (
Die Beauftragten für den Datenschutz stehen einer eigenen Behörde vor und sind in Ausübung ihres Amtes an Weisungen nicht gebunden und nur dem kirchlichen Recht unterworfen. Die Ausübung des Amtes geschieht in organisatorischer und sachlicher Unabhängigkeit. Die Dienstaufsicht ist so zu regeln, dass dadurch die Unabhängigkeit nicht beeinträchtigt wird. In der Ausübung ihres Amtes dürfen sie nicht behindert und wegen ihres Amtes als Beauftragte für den Datenschutz weder benachteiligt noch begünstigt werden.
Eine Kündigung von Beauftragten für den Datenschutz im Arbeitsverhältnis ist während der Amtszeit nur zulässig, soweit Tatsachen vorliegen, die zu einer Kündigung aus wichtigem Grund berechtigen. Dies gilt für den Zeitraum von einem Jahr nach Beendigung des Amtes entsprechend. (
Beauftragte für den Datenschutz im Kirchenbeamtenverhältnis können innerhalb der Amtszeit nur entlassen werden, wenn die Voraussetzungen der §§ 76, 77, 79 oder 80 des Kirchenbeamtengesetzes der EKD3# vorliegen oder ein Disziplinargericht auf Entfernung aus dem Dienst erkennt. (
Den Beauftragten für den Datenschutz wird die für die Erfüllung ihrer Aufgaben notwendige Sach- und Personalausstattung zur Verfügung gestellt. Die Haushaltsmittel sind im Haushaltsplan gesondert auszuweisen. Die Besetzungen der Personalstellen erfolgen im Einvernehmen mit den Beauftragten für den Datenschutz. Die Mitarbeitenden unterstehen der Dienst- und Fachaufsicht der Beauftragten für den Datenschutz und können, falls sie mit der beabsichtigten Maßnahme nicht einverstanden sind, nur im Einvernehmen mit den Beauftragten für den Datenschutz versetzt, abgeordnet oder umgesetzt werden.
Die Beauftragten für den Datenschutz treffen die Entscheidung über Aussagegenehmigungen für sich und ihre Mitarbeitenden in eigener Verantwortung. Die Beauftragten für den Datenschutz gelten als oberste Aufsichtsbehörde im Sinne des § 99 Verwaltungsgerichtsordnung.
Die Beauftragten für den Datenschutz bestellen aus dem Kreis ihrer Mitarbeitenden Vertreter oder Vertreterinnen. Dies können daneben auch Beauftragte für den Datenschutz anderer Gliedkirchen oder der oder die Beauftragte für den Datenschutz der Evangelischen Kirche in Deutschland sein. (
Beauftragte für den Datenschutz und ihre Mitarbeitenden sind verpflichtet, über die ihnen amtlich bekanntgewordenen Angelegenheiten Verschwiegenheit zu bewahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen. Die Verpflichtung besteht auch nach Beendigung des Dienst- oder Arbeitsverhältnisses. Beauftragte für den Datenschutz und ihre Mitarbeitenden dürfen, auch wenn sie nicht mehr im Amt sind, über Angelegenheiten, die der Verschwiegenheit unterliegen, ohne Genehmigung ihrer Dienstherren weder vor Gericht noch außergerichtlich aussagen oder Erklärungen abgeben.#§ 18aDer oder die Beauftragte für den Datenschutz der Evangelischen Kirche in DeutschlandDer Rat der Evangelischen Kirche in Deutschland bestellt für den Bereich der Evangelischen Kirche in Deutschland und ihres Evangelischen Werkes für Diakonie und Entwicklung sowie für die gesamtkirchlichen Werke und Einrichtungen eine oder einen Beauftragten für den Datenschutz. #§ 18bBeauftragte für den Datenschutz der Gliedkirchen der Evangelischen Kirche in Deutschland
Die Beauftragten für den Datenschutz teilen das Ergebnis der Prüfung der zuständigen kirchlichen Stelle mit. Damit können Vorschläge zur Verbesserung des Datenschutzes, insbesondere zur Beseitigung von festgestellten Mängeln bei der Verarbeitung oder Nutzung personenbezogener Daten, verbunden sein. § 20 bleibt unberührt.
Die Beauftragten für den Datenschutz arbeiten zusammen. Sie haben die einheitliche Anwendung und Durchsetzung des kirchlichen Datenschutzrechtes sicherzustellen. Sie sollen mit den staatlichen Beauftragten Erfahrungen austauschen.#§ 20Beanstandungsrecht der Beauftragten für den Datenschutz
Soweit automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, unterliegen sie der Prüfung vor Beginn der Verarbeitung (Vorabkontrolle). Eine Vorabkontrolle ist insbesondere durchzuführen, wenn besondere Arten personenbezogener Daten (§ 2 Absatz 11) verarbeitet werden oder die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit der betroffenen Person zu bewerten einschließlich ihrer Fähigkeiten, ihrer Leistung oder ihres Verhaltens, es sei denn, dass eine gesetzliche Verpflichtung oder eine Einwilligung der betroffenen Person vorliegt oder die Erhebung, Verarbeitung oder Nutzung für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit der betroffenen Person erforderlich ist.
Zuständig für die Vorabkontrolle sind die nach § 22 Absatz 1 Beauftragten. Diese haben sich in Zweifelsfällen an die nach § 18 Beauftragten für den Datenschutz zu wenden.#§ 21aInhalt der MeldepflichtSofern Verfahren automatisierter Verarbeitungen meldepflichtig sind, sind folgende Angaben zu machen: Name und Anschrift der verantwortlichen Stelle sowie Namen der mit der Leitung der Datenverarbeitung beauftragten Personen, Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung, eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien, Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können, Regelfristen für die Löschung der Daten, eine geplante Datenübermittlung in Drittstaaten, Rechtsgrundlage der Verarbeitung, eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 Absatz 1 zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind.§ 21 Absatz 1 gilt für die Änderung der nach Satz 1 mitgeteilten Angaben sowie für den Zeitpunkt der Aufnahme und der Beendigung der meldepflichtigen Tätigkeit entsprechend.#§ 22Betriebsbeauftragte und örtlich Beauftragte für den Datenschutz
Bei kirchlichen Werken und Einrichtungen mit eigener Rechtspersönlichkeit sind Betriebsbeauftragte, bei den übrigen kirchlichen Stellen sind örtlich Beauftragte für den Datenschutz schriftlich zu bestellen, wenn in der Regel mehr als neun Personen ständig mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt sind. Die Bestellung kann sich auf mehrere Werke, Einrichtungen und kirchliche Körperschaften erstrecken. Die Vertretung ist zu regeln.
Die Beauftragten nach Absatz 1 sind den gesetzlich oder verfassungsmäßig berufenen Organen der Werke, Einrichtungen oder kirchlichen Körperschaften unmittelbar zu unterstellen. Sie sind im Rahmen ihrer Aufgaben weisungsfrei. Sie dürfen wegen dieser Tätigkeit nicht benachteiligt werden. Sie können Auskünfte verlangen und Einsicht in Unterlagen nehmen. Sie sind bei der Erfüllung ihrer Aufgaben zu unterstützen. § 18 Absatz 10 gilt entsprechend.
Die Kündigung eines Arbeitsverhältnisses ist nur zulässig, wenn Tatsachen vorliegen, die zur Kündigung aus wichtigem Grund berechtigen. Gleiches gilt für den Zeitraum eines Jahres nach Beendigung der Bestellung.
Zur Erhaltung der zur Erfüllung ihrer Aufgaben erforderlichen Fachkunde hat die verantwortliche Stelle den Beauftragten nach Absatz 1 die Teilnahme an Fort- und Weiterbildungsveranstaltungen entsprechend dem Aufgabenbereich zu ermöglichen und die erforderlichen Kosten zu tragen. Die dazu notwendige Freistellung hat ohne Minderung der Bezüge oder des Erholungsurlaubes zu erfolgen. Im Konfliktfall können die Beauftragten für den Datenschutz vermittelnd hinzugezogen werden.
Die Beauftragten nach Absatz 1 wirken auf die Einhaltung der Bestimmungen für den Datenschutz hin und unterstützen die kirchlichen Werke und Einrichtungen bei der Sicherstellung des in ihrer Verantwortung liegenden Datenschutzes. Zu diesem Zweck können sie sich in Zweifelsfällen an die für die Datenschutzkontrolle zuständige Stelle wenden. Sie haben insbesondere die ordnungsmäßige Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden sollen, zu überwachen; die bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Bestimmungen über den Datenschutz, bezogen auf die besonderen Verhältnisse ihres Aufgabenbereiches, vertraut zu machen.
Die Veröffentlichung personenbezogener Daten, die zum Zwecke wissenschaftlicher Forschung übermittelt wurden, ist nur mit Zustimmung der übermittelnden Stelle zulässig. Die Zustimmung kann erteilt werden, wenndie betroffene Person eingewilligt hat oderdies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist,es sei denn, dass Grund zu der Annahme besteht, dass durch die Veröffentlichung der Auftrag der Kirche gefährdet würde.#§ 26Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien
Wird jemand durch eine Berichterstattung in seinem Persönlichkeitsrecht beeinträchtigt, so kann er Auskunft über die der Berichterstattung zugrundeliegenden, zu seiner Person gespeicherten Daten verlangen. Die Auskunft kann verweigert werden, soweit aus den Daten auf die berichtenden oder einsendenden Personen oder die Gewährsleute von Beiträgen, Unterlagen und Mitteilungen für den redaktionellen Teil geschlossen werden kann. Die betroffene Person kann die Berichtigung unrichtiger Daten verlangen.#§ 27Ergänzende Bestimmungen, Rechtsweg
Der Rat der Evangelischen Kirche in Deutschland kann durch Rechtsverordnung mit Zustimmung der Kirchenkonferenz Durchführungsbestimmungen zu diesem Kirchengesetz und ergänzende Bestimmungen zum Datenschutz erlassen.4#
Soweit personenbezogene Daten von Sozialleistungsträgern übermittelt werden, gelten zum Schutz dieser Daten ergänzend die staatlichen Bestimmungen entsprechend. Werden hierzu Bestimmungen gemäß Absatz 1 erlassen, ist vorher das Evangelische Werk für Diakonie und Entwicklung anzuhören.
In Streitigkeiten aus der Anwendung der Regelungen über den kirchlichen Datenschutz ist der Rechtsweg zu den kirchlichen Verwaltungsgerichten gegeben. #§ 28Inkrafttreten, Außerkrafttreten5#Dieses Kirchengesetz tritt am 1. Januar 1994 in Kraft. Mit dem Inkrafttreten dieses Kirchengesetzes tretendas Kirchengesetz über den Datenschutz vom 10. November 1977 (ABl. EKD 1978 S. 2) in der Neufassung vom 7. November 1984 (ABl. EKD S. 507)unddie Verordnung zum Kirchengesetz über den Datenschutz vom 21. März 1986 (ABl. EKD S. 117)außer Kraft.#Anlage (zu § 9 Absatz 1)Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind,Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle),zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle),zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle),zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle),zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.Eine Maßnahme nach Satz 2 Nr. 2 bis 4 ist insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.#1 ↑ Red. Anm.: Gemäß Artikel 4 Abs. 2 des Kirchengesetzes zur Änderung des Kirchengesetzes über den Datenschutz der Evangelischen Kirche in Deutschland und zur Änderung des Kirchengerichtsgesetzes der Evangelischen Kirche in Deutschland vom 7. November 2012 (ABl. EKD 2012, S. 460) bleiben bisherige Bestellungen der Beauftragten für den Datenschutz unberührt, soweit hierbei die Regelungen des § 18 Absatz 3 Satz 3 und 4 und Absatz 4 Satz 1, 2. Halbsatz und die Sätze 2 bis 4 Beachtung finden.#2 ↑ Red. Anm.: Abgedruckt unter Nr. 650 u. 651 dieser Sammlung.#3 ↑ Red. Anm.: Abgedruckt unter Nr. 650 u. 651 dieser Sammlung.#4 ↑ Red. Anm.: Abgedruckt unter Nr. 905 bis 909 dieser Sammlung.#5 ↑ Red. Anm.: § 28 fehlt in der Neubekanntmachung vom 1. Januar 2013 (Abl. EKD S. 2).

References: § 9
 § 2
 § 3
 § 2
 § 4

§ 9
 § 18
 § 22
 § 9
 § 6
 § 5
 § 99
 § 20
 § 22
 § 18
 § 9
 § 18
 § 9
 § 18
 § 28