Source: https://digitalelebenswelten.bdkj.de/2018/05/04/eu-dsgvo-kdg-erste-hilfe-datenschutz-im-jugendverband/
Timestamp: 2019-11-21 17:06:48
Document Index: 354640032

Matched Legal Cases: ['§ 40', '§ 8', '§ 7', 'Art. 2', '§ 8', '§ 7']

Das neue Datenschutzrecht rückt näher! Am 24. Mai tritt das Gesetz über den kirchlichen Datenschutz (KDG) in Kraft, einen Tag später die europäische Datenschutzgrundverordnung (EU-DSGVO) – da gibt es einiges zu tun für alle, die mit personenbezogenen Daten zu tun haben. Das heißt natürlich auch: Einiges zu tun für Jugendverbände. Hat die Pfarrei-Homepage eine korrekte Datenschutzerklärung? Werden die Daten der Teilnehmenden am Sommerlager ordentlich geschützt? Und braucht mein DPSG-Stamm vielleicht sogar eine*n Datenschutzbeauftragte*n?
Die Verunsicherung ist groß, nicht nur in der Kirche. Immer wieder liest man in den letzten Tagen in der Presse, dass Vereine und Verbände sich schlecht vorbereitet fühlen und nicht wissen, was auf sie zukommt. Darf der Sportverein künftig keine Bilder mehr von der Siegerehrung veröffentlichen, fragt die Taunus-Zeitung. Die WAZ berichtet, dass Vereine und kleine Firmen große Probleme haben, die EU-DSGVO umzusetzen. In der Welt erschien eine Reportage darüber, wie der Datenschutz Vereinen Problemen bereitet – nur drei von vielen Artikeln.
Was gilt? KDG oder EU-DSGVO?
Für kirchliche Jugendverbände stellt sich zuerst die Frage, welches Gesetz nun gilt: KDG oder EU-DSGVO? Die Antwort darauf dürfte in so gut wie allen Fällen sein: Es gilt das KDG. Das ist bei Einrichtungen anzuwenden, die vorrangig kirchliche Zwecke erfüllen, unabhängig davon, welche Rechtsform sie haben – also auch Ortsgruppen von Jugendverbänden, auch wenn sie kein eingetragener Verein sind. „Einrichtungen unterliegen dann dem KDG, wenn sie nach kirchlichen [sic!] Selbstverständnis ihrem Zweck oder ihrer Aufgabe entsprechend zur Mitwirkung an der Erfüllung des kirchlichen Auftrags berufen sind“, schreibt der bayerische Diözesandatenschutzbeauftragte Jupp Joachimski in einem Skript für kirchliche Datenschutzbeauftragte. Einzige Ausnahme sind Gewerbebetriebe in kirchlicher Trägerschaft (EU-DSGVO gilt) und Orden päpstlichen Rechts (Kirchliche Datenschutzregelung der Ordensgemeinschaften – KDR-OG – gilt, gleichlautend mit dem KDG). Das bestätigen auch staatliche Datenschutzbeauftragte. Im Zweifelsfall fragen staatliche Datenschutzaufsichtsbehörden bei den kirchlichen nach, bevor sie gegen eine mutmaßlich kirchliche Einrichtung tätig werden. Das haben einige Landesdatenschutzbeauftragte auf Anfrage bestätigt. Ein Pressesprecher des „Landesbeauftragten für den Datenschutz und die Informationsfreiheit“ in Rheinland-Pfalz gibt zudem die Auskunft, dass das unstrittig „etwa für Krankenhäuser, Kindertagesstätten, Schulen und kirchliche Jugendorganisationen anerkannt“ sei.
Leider überwiegen die Nachteile: Wer unters KDG fällt, muss das höhere Datenschutzniveau erfüllen, das auch Behörden erfüllen müssen. Die wohl schmerzhafteste und häufigste Auswirkung: Die Benutzung von WhatsApp ist quasi komplett verboten, weil der Dienst Daten in den USA speichert und es keinen Anerkennungsbeschluss der EU-Kommission (vgl. § 40 KDG) für das Datenschutzabkommen EU-US-Privacy-Shield gibt, der das behördliche Datenschutzniveau feststellen würde.
Ein weiterer Nachteil ist, dass das KDG immer eine schriftliche Einwilligung zur Datenverarbeitung voraussetzt. (§ 8 KDG vs. § 7 EU-DSGVO.) Es funktioniert also künftig nicht mehr, einfach anzukündigen, dass fotografiert wird oder rote Punkte für die Nichtfotografierwilligen zu verteilen: Eine solche Einwilligung (und schriftlich heißt mit Unterschrift, digital reicht nicht) genügt nicht. Nach Auskunft des bayerischen Diözesandatenschutzbeauftragten soll allerdings das KDG demnächst so angepasst werden, dass die Schriftform nicht zwingend nötig ist.
Einen Überblick, was neu in der EU-DSGVO ist, gibt’s bei CRonline, und eine Aufstellung der Unterschiede zwischen DSGVO und KDG hat Thomas Hoeren von der Uni Münster zusammengestellt.
Kein Datenschutzrecht greift (neben anderen Ausnahmen, die auch nicht auf die Jugendarbeit zutreffen) nur bei Datenverarbeitung „durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ (Art. 2 Abs. 2 lit. c EU-DSGVO) – man kann sich also nicht damit rausreden, dass man ja mit privaten Geräten oder privaten Accounts arbeitet.
Broadcast-Listen sind unter bestimmten Voraussetzungen möglich. Hier sollte man sich im Einzelfall vom zuständigen Diözesandatenschutzbeauftragten beraten lassen.
Leider haben die kirchlichen Datenschützer die speziellen Bedürfnisse von Verbänden nicht besonders im Blick. Außerdem fehlt auch noch ein eigener Kommentar zum KDG. Da das KDG aber in weiten Teilen textgleich zur EU-DSGVO ist, kann man auf die vielfältige Literatur dazu zurückgreifen. Blogbeiträge und Fachartikel zum Thema gibt es unzählige – zu Spezialthemen am besten einfach googeln. Aber aufpassen: Nicht alles ist gleich, nicht alles stimmt – im Zweifelsfall also jemanden fragen, der sich damit auskennt. Einen guten Überblick über Unterschieden zwischen KDG und DSGVO gibt Thomas Hoeren in der Neuen Zeitschrift für Verwaltungsrecht, der auch online verfügbar ist.
Speziell mit der Situation von Vereinen und Verbänden haben sich einige Landesdatenschutzbeauftragte beschäftigt: Es gibt Arbeitshilfen für Vereine von der nordrhein-westfälischen, der niedersächsischen und der baden-württembergischen Behörde. Die entsprechende bayerische Broschüre („Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine“) gibt’s im Buchhandel zu kaufen, kleine Teile davon auch online. Der baden-württembergische Datenschutzbeauftragte hat außerdem einen Praxisratgeber für Vereine veröffentlicht.
Auch Jugendverbände haben sich schon damit auseinandergesetzt: Der BDKJ Speyer hat eine Infoseite und eine Handreichung zum Thema. Der Landesjugendring Baden-Württemberg hat sich auch damit beschäftigt, aber natürlich nur mit dem staatlichen Recht, genauso wie der Bundesverband der Vereine. Für die Caritas ist Datenschutz auch wichtig – in deren Blog gibt’s auch etwas zum Thema.
Unter diesen Links finden sich unzählige Handreichungen, Checklisten, FAQ-Listen: Damit sollte die Umstellung gelingen.
du schreibst oben: „Ein weiterer Nachteil ist, dass das KDG immer eine schriftliche Einwilligung zur Datenverarbeitung voraussetzt. (§ 8 KDG vs. § 7 EU-DSGVO.)“