Source: https://dsxprt.de/datenschutzbeauftragter-kirche/
Timestamp: 2019-05-22 07:19:57+00:00

Document:
Externer Datenschutz-Beauftragter KDG und DSG-EDK | dsXprt
Externer Datenschutz-Beauftragter nach KDG bzw. DSG-EKD
Gemäß Erwägungsgrund 165 achtet die DSGVO den Status, den Kirchen und religiöse Vereinigungen oder Gemeinschaften in den Mitgliedstaaten nach deren bestehenden verfassungsrechtlichen Vorschriften genießen, und beeinträchtigt ihn nicht. Daraus folgend genießen nach Art. 91 Abs. 1 DSGVO Kirchen das Recht, ein eigenes Regelwerk zum Schutz natürlicher Personen bei der Verarbeitung zu pflegen, sofern dieses mit dieser Verordnung in Einklang gebracht wird.
Unsere Experten sind mit dem kirchlichen Datenschutzrecht (konkret dem KDG der katholischen Kirche und dem DSG-EKD der evengelischen Kirchen) bestens vertraut. Wir legen auch hier größten Wert darauf, dass unsere Leistungen für unsere Kunden möglichst exakt kalkulierbar sind. Daher bieten wir Festpreispakete für Unternehmen unterschiedlicher Größenordnungen an, die – basierend auf unseren Erfahrungswerten – typischer Weise passend sind.
die Benennung des örtlichen Datenschutzbeauftragten
Soforthilfe bei Datenschutzvorfällen (Incident Response Service) ohne Aufpreis*
intern: Interne DSB müssen zu mindestens 25% von Ihrer Hauptbeschäftigung freigestellt werden, d.h. Personalkosten für mind. ¼ Stelle entfallen auf den internen DSB
Für die Berechnung gehen wir davon aus, dass in einem kleinen/mittelständischen Unternehmen (KMU) die Rolle des internen DSB kein Mitarbeiter in Vollzeit beschäftigt wird.
Gem. Art. 39 Abs. I DSGVO (§38 KDG oder §38 DSG-EKD gelten dem entsprechend) obliegen dem Datenschutzbeauftragten zumindest folgende Aufgaben:
Im Fall eines datenschutzrelevanten Vorfalls im Unternehmen haben Sie als Verantwortlicher unverzüglich Sofortmaßnahmen zu ergreifen und den Vorfall bei der zuständigen Aufsichtsbehörde zu melden. Mit unserem Incident Response Service unterstützen wir Sie, den Schaden zu begrenzen und andere rechtliche Auswirkungen zu minimieren.
Zur Umsetzung der Anforderungen des DSGVO und des BDSG bzw. des KDG oder DSG-EKD ist es erforderlich, im Unternehmen einige Standardprozesse zu etablieren und die Einhaltung dieses Prozesse durch alle Mitarbeiter (und ggf. Auftragsverarbeiter) sicherzustellen. Wichtige Beispiele hierfür sind der Notfall-Prozess (Im Fall eines Datenschutz-Vorfalls: Wer im Unternehmen tut wann was, um den Vorfall zu analysieren, Schaden zu begrenzen und den gesetzlichen Pflichten nachzukommen?) und der Anfrageprozess (Im Fall eines Auskunftsanfrage eines Betroffenen oder einer Datenschutz-Aufsichtsbehörde: Wer im Unternehmen hat was wann zu tun?). Auf Anfrage sind diese Prozesse der Aufsichtsbehörde vorzulegen.
Der Art. 30 DSGVO (entsprechend gelten §31 KDG und §31 DSG-EKD) verpflichtet Unternehmen zum Führen eines Verzeichnisses von Verarbeitungstätigkeiten („Verarbeitungsverzeichnis“). Das Verarbeitungsverzeichnis dient der Transparenz über die Verarbeitung personenbezogener Daten und damit der rechtlichen Absicherung des Unternehmens und des Verantwortlichen. Es muss der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden und dient als Nachweis der Einhaltung des gesetzlichen Dokumentations-Verpflichtung.
Neben dem Verzeichnis der Verarbeitungstätigkeiten hat der Verantwortlich weiterhin dafür Sorge zu tragen, dass geeignete technische und organisatorische Maßnahmen (TOM, Art. 23 DSGVO bzw. §26 KDG oder §27 DSG-EKD) implementiert sind, die die technische Sicherheit der Datenverarbeitungsvorgänge wie auch die notwendigen Rahmenbedingungen in Form von Regeln, Vorgaben und Handlungsanweisungen sicherstellen.
Gem. Art. 35 DSGVO (sowie §35 KDG und §34 DSG-EKD) führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Bei der Durchführung einer Datenschutz-Folgenabschätzung hat der Verantwortliche den Rat des Datenschutzbeauftragten einzuholen.

References: Art. 91
 Art. 39
 §38
 Art. 30
 §31
 §31
 Art. 23
 §26
 §27
 Art. 35
 §35
 §34