Source: https://ekvw-recht.de/document/26221
Timestamp: 2019-05-22 21:22:16
Document Index: 337725952

Matched Legal Cases: ['§ 1', '§ 3', '§ 5', '§ 6', '§ 7', '§ 8', '§ 9', '§ 10', '§ 11', '§ 12', '§ 13', '§ 14', '§ 15', '§ 16', '§ 17', '§ 18', '§ 19', '§ 20', '§ 21', '§ 22', '§ 23', '§ 24', '§ 25', '§ 26', '§ 27', '§ 28', '§ 29', '§ 30', '§ 31', '§ 32', '§ 33', '§ 34', '§ 35', '§ 36', '§ 37', '§ 38', '§ 39', '§ 40', '§ 41', '§ 42', '§ 44', '§ 45', '§ 46', '§ 47', '§ 48', '§ 49', '§ 50', '§ 51', '§ 52', '§ 53', '§ 54', '§ 55', '§ 2', '§ 3', '§ 7', '§ 7', '§ 2', '§ 14', '§ 19', '§ 25', '§ 13', '§ 27', '§ 39', '§ 99', '§ 76', '§ 24', '§ 3', '§ 10', '§ 10', '§ 21', '§ 4', '§ 27', '§ 18', '§ 39', '§ 22', '§ 36', '§ 11', '§ 55']

850 EKD-Datenschutzgesetz (DSG-EKD) - Kirchenrecht Online-Nachschlagewerk
850 EKD-Datenschutzgesetz (DSG-EKD)
(01.12.2017) E-DSG-EKD-W - Erläuterungen zum EKD-Datenschutzgesetz
§ 1 Schutzzweck
§ 3 Seelsorgegeheimnis und Amtsverschwiegenheit
Kapitel 2 Verarbeitung personenbezogener Daten
§ 5 Grundsätze
§ 6 Rechtmäßigkeit der Verarbeitung
§ 7 Rechtmäßigkeit der Zweckänderung
§ 8 Offenlegung an kirchliche oder öffentliche Stellen
§ 9 Offenlegung an sonstige Stellen
§ 10 Datenübermittlung an und in Drittländer oder an internationale Organisationen
§ 11 Einwilligung
§ 12 Einwilligung Minderjähriger in Bezug auf elektronische Angebote
§ 13 Verarbeitung besonderer Kategorien personenbezogener Daten
§ 14 Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten
§ 15 Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist
§ 16 Transparente Information, Kommunikation
§ 17 Informationspflicht bei unmittelbarer Datenerhebung
§ 18 Informationspflicht bei mittelbarer Datenerhebung
§ 19 Auskunftsrecht der betroffenen Person
§ 20 Recht auf Berichtigung
§ 21 Recht auf Löschung
§ 22 Recht auf Einschränkung der Verarbeitung
§ 23 Informationspflicht bei Berichtigung, Löschung oder Einschränkung der Verarbeitung
§ 24 Recht auf Datenübertragbarkeit
§ 25 Widerspruchsrecht
Kapitel 4 Pflichten der verantwortlichen Stellen und Auftragsverarbeiter
§ 26 Datengeheimnis
§ 27 Technische und organisatorische Maßnahmen, IT-Sicherheit
§ 28 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
§ 29 Gemeinsam verantwortliche Stellen
§ 30 Verarbeitung von personenbezogenen Daten im Auftrag
§ 31 Verzeichnis von Verarbeitungstätigkeiten
§ 32 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
§ 33 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person
§ 34 Datenschutz-Folgenabschätzung
§ 35 Audit und Zertifizierung
Kapitel 5 Örtlich Beauftragte für den Datenschutz
§ 36 Bestellung von örtlich Beauftragten für den Datenschutz
§ 37 Stellung
§ 38 Aufgaben
Kapitel 6 Unabhängige Aufsichtsbehörden
§ 39 Errichtung der Aufsichtsbehörden und Bestellung der Beauftragten für den Datenschutz
§ 40 Unabhängigkeit
§ 41 Tätigkeitsbericht
§ 42 Rechtsstellung
§ 44 Befugnisse
§ 45 Geldbußen
Kapitel 7 Rechtsbehelfe und Schadensersatz
§ 46 Recht auf Beschwerde
§ 47 Rechtsweg
§ 48 Schadensersatz durch verantwortliche Stellen
Kapitel 8 Vorschriften für besondere Verarbeitungssituationen
§ 49 Verarbeitung personenbezogener Daten bei Dienst- und Arbeitsverhältnissen
§ 50 Verarbeitung personenbezogener Daten für wissenschaftliche und statistische Zwecke
§ 51 Verarbeitung personenbezogener Daten durch die Medien
§ 52 Videoüberwachung öffentlich zugänglicher Räume
§ 53 Gottesdienste und kirchliche Veranstaltungen
Kapitel 9 Schlussbestimmungen
§ 54 Ergänzende Bestimmungen
§ 55 Übergangsregelungen
Kirchengesetz über den Datenschutz
(ABl. EKD 2017 S. 353, 2018 S. 35; ABl. EKD 2018 S. 215; KABl. 2018 S. 42)
mit den Durchführungsbestimmungen zum Kirchengesetz über den Datenschutz
(Datenschutzdurchführungsbestimmungen – DSDB)
(KABl. 2018 S. 110, S. 163)
Datenübermittlung an und in Drittländer oder an internationale Organisationen
Einwilligung Minderjähriger in Bezug auf elektronische Angebote
Informationspflicht bei Berichtigung, Löschung oder Einschränkung der Verarbeitung
Technische und organisatorische Maßnahmen, IT-Sicherheit
Errichtung der Aufsichtsbehörden und Bestellung der Beauftragten für den Datenschutz
Verarbeitung personenbezogener Daten bei Dienst- und Arbeitsverhältnissen
Verarbeitung personenbezogener Daten für wissenschaftliche und statistische Zwecke
Verarbeitung personenbezogener Daten durch die Medien
( 2 ) Dieses Kirchengesetz gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
( 5 ) Die Vorschriften dieses Kirchengesetzes gehen denen des Verwaltungsverfahrens- und -zustellungsgesetzes der Evangelischen Kirche in Deutschland vor, soweit bei der Ermittlung des Sachverhaltes personenbezogene Daten verarbeitet werden.
( 6 ) Soweit andere Rechtsvorschriften, die kirchliche Stellen anzuwenden haben, die Verarbeitung personenbezogener Daten regeln, gehen sie diesem Kirchengesetz vor.
Führen der Übersicht
(zu § 2 Absatz 1 DSG-EKD)
( 1 ) Das Landeskirchenamt führt die Übersicht über die kirchlichen und diakonischen Einrichtungen mit eigener Rechtspersönlichkeit.
( 2 ) 1 Die Übersicht besteht aus zwei Teilen:
den zugeordneten kirchlichen Einrichtungen,
den zugeordneten diakonischen Einrichtungen.
( 3 ) 1 Um die Anwendung des DSG-EKD und dieser Durchführungsbestimmungen sicherzustellen, ist in den jeweiligen Satzungen der nach den Absätzen 1 und 2 zugeordneten kirchlichen Einrichtungen eine entsprechende Formulierung über die Anwendung des DSG-EKD und der Durchführungsbestimmungen aufzunehmen. 2 Für die diakonischen Einrichtungen ist dieses sichergestellt über die Satzung der Diakonie RWL: in § 3 Absatz 5 Buchstabe d für das Diakonische Werk selbst und in § 7 Absatz 7 Buchstabe d in Verbindung mit § 7 Absatz 2 für die Mitglieder im Diakonischen Werk.
2 Die zugeordneten diakonischen Einrichtungen ergeben sich aus der Liste der Mitgliedseinrichtungen des Diakonischen Werkes Rheinland-Westfalen-Lippe e. V. (Diakonie RWL), die ihren Sitz auf dem Gebiet der Evangelischen Kirche von Westfalen haben.
„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; identifizierbar ist eine natürliche Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind,
Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person,
„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung,
„Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken,
„Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen,
„Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden,
„Anonymisierung“ die Verarbeitung personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig hohen Aufwand an Zeit, Kosten und Arbeitskraft einer betroffenen Person zugeordnet werden können,
„Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird,
„verantwortliche Stelle“ die natürliche oder juristische Person, kirchliche Stelle im Sinne von § 2 Absatz 1 Satz 1 oder sonstige Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet,
„Auftragsverarbeiter“ eine natürliche oder juristische Person, kirchliche oder sonstige Stelle, die personenbezogene Daten im Auftrag der verantwortlichen Stelle verarbeitet,
„Empfänger“ eine natürliche oder juristische Person, kirchliche oder sonstige Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht,
„Dritter“ eine natürliche oder juristische Person, kirchliche oder sonstige Stelle, außer der betroffenen Person, der verantwortlichen Stelle, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung der kirchlichen Stelle oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten,
„Einwilligung“ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist,
„Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden,
„genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden,
„biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten,
„Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen,
„Drittland“ einen Staat, in dem die Datenschutz-Grundverordnung keine Anwendung findet,
„Unternehmen“ eine natürliche oder juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personen-, Kapitalgesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen,
„Beschäftigte“
Personen, die wegen ihrer wirtschaftlichen Unselbstständigkeit als arbeitnehmerähnliche Personen anzusehen sind; zu diesen gehören auch die in Heimarbeit Beschäftigten und die ihnen Gleichgestellten,
Bewerbende für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist,
„IT-Sicherheit“ den Schutz der mit Informationstechnik verarbeiteten Daten insbesondere vor unberechtigtem Zugriff, vor unerlaubten Änderungen und vor der Gefahr des Verlustes, um deren Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten.
Rechtmäßigkeit, Verhältnismäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz,
Zweckbindung: Personenbezogene Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben. Sie dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Eine Weiterverarbeitung für im kirchlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt als vereinbar mit den ursprünglichen Zwecken,
Datenminimierung: Die Verarbeitung personenbezogener Daten wird auf das dem Zweck angemessene und notwendige Maß beschränkt; personenbezogene Daten sind zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert,
Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden,
Speicherbegrenzung: Personenbezogene Daten werden in einer Form gespeichert, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Personenbezogene Daten dürfen länger gespeichert werden, soweit sie für die Zwecke des Archivs, der wissenschaftlichen und historischen Forschung sowie der Statistik verarbeitet werden,
eine Rechtsvorschrift erlaubt die Verarbeitung der personenbezogenen Daten oder ordnet sie an,
die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben,
die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgt,
die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der die kirchliche Stelle unterliegt,
die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen,
eine staatliche Rechtsvorschrift dies vorsieht und kirchliche Interessen nicht entgegenstehen,
offensichtlich ist, dass sie im Interesse der betroffenen Person liegt, und kein Grund zu der Annahme besteht, dass diese in Kenntnis des anderen Zweckes ihre Einwilligung verweigern würde,
Angaben der betroffenen Person überprüft werden müssen, weil Anhaltspunkte für deren Unrichtigkeit bestehen,
die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle sie veröffentlichen darf, es sei denn, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Zweckänderung offensichtlich überwiegt,
Grund zu der Annahme besteht, dass andernfalls die Wahrnehmung des kirchlichen Auftrages gefährdet würde,
es zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist,
den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und der kirchlichen Stelle,
die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß § 14 verarbeitet werden,
die EU-Kommission ein angemessenes Datenschutzniveau entsprechend den Bestimmungen des Artikels 45 Absatz 2 Datenschutz-Grundverordnung festgestellt hat,
( 2 ) Falls die Voraussetzungen des Absatzes 1 nicht vorliegen, ist die Übermittlung zulässig, wenn
die betroffene Person in die vorgeschlagene Datenübermittlung ausdrücklich eingewilligt hat, nachdem sie über die für sie bestehenden möglichen Risiken aufgeklärt worden ist,
die Übermittlung für die Erfüllung eines Vertrages oder Rechtsverhältnisses zwischen der betroffenen Person und der verantwortlichen Stelle oder zur Durchführung von vertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist,
die Übermittlung zum Abschluss oder zur Erfüllung eines im Interesse der betroffenen Person von der verantwortlichen Stelle mit einer anderen natürlichen oder juristischen Person geschlossenen Vertrages erforderlich ist,
die Übermittlung aus wichtigen Gründen des kirchlichen Interesses notwendig ist,
die Übermittlung zum Schutz lebenswichtiger Interessen der betroffenen Person oder anderer Personen erforderlich ist, sofern die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.
( 2 ) 1 Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erfolgen, sodass es von anderen Sachverhalten klar zu unterscheiden ist. 2 Soweit die Erklärung unter Umständen abgegeben worden ist, die gegen dieses Kirchengesetz verstoßen, ist sie unwirksam.
( 3 ) 1 Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. 2 Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der auf Grund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. 3 Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. 4 Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat,
die Verarbeitung erforderlich ist, damit die verantwortliche Stelle oder die betroffene Person die ihr aus dem Arbeits- und Dienstrecht sowie dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach kirchlichem oder staatlichem Recht oder nach einer Dienstvereinbarung nach den kirchlichen Mitarbeitervertretungsgesetzen, die geeignete Garantien für die Rechte und die Interessen der betroffenen Person vorsehen, rechtmäßig ist,
die Verarbeitung zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben,
die Verarbeitung durch eine verantwortliche Stelle im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung erfolgt, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der verantwortlichen Stelle oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,
die Verarbeitung sich auf personenbezogene Daten bezieht, die die betroffene Person öffentlich gemacht hat,
die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Kirchengerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist,
die Verarbeitung auf der Grundlage kirchlichen Rechts, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen kirchlichen Interesses erforderlich ist,
die Verarbeitung für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage kirchlichen oder staatlichen Rechts oder auf Grund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich ist,
Verarbeitung von personenbezogenen Daten über strafrechtliche
Verurteilungen und Straftaten
Verarbeitung, für die eine Identifizierung der betroffenen Person
nicht erforderlich ist
( 3 ) 1 Die verantwortliche Stelle stellt der betroffenen Person Informationen über die ergriffenen Maßnahmen gemäß den §§ 19 bis 25 innerhalb von drei Monaten nach Eingang des Antrags zur Verfügung. 2 Diese Frist kann um zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. 3 Die verantwortliche Stelle unterrichtet die betroffene Person innerhalb von drei Monaten nach Eingang über eine Fristverlängerung zusammen mit den Gründen für die Verzögerung.
( 5 ) 1 Informationen werden unentgeltlich zur Verfügung gestellt. 2 Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann die verantwortliche Stelle sich weigern, auf Grund des Antrags tätig zu werden, oder ein angemessenes Entgelt verlangen.
den Namen und die Kontaktdaten der verantwortlichen Stelle,
gegebenenfalls die Kontaktdaten der oder des örtlich Beauftragten,
die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung,
falls möglich die Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
das Bestehen eines Rechts auf Auskunft, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie eines Widerspruchsrechts gegen die Verarbeitung,
das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde,
( 2 ) Von dieser Verpflichtung ist die verantwortliche Stelle befreit, soweit die Daten oder die Tatsache ihrer Speicherung auf Grund einer speziellen Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geheim gehalten werden müssen und das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muss oder wenn durch die Auskunft die Wahrnehmung des Auftrags der Kirche gefährdet wird.
die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind,
das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch die verantwortliche Stelle oder eines Widerspruchsrechts gegen diese Verarbeitung,
( 2 ) Auskunft darf nicht erteilt werden, soweit die Daten oder die Tatsache ihrer Speicherung auf Grund einer speziellen Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geheim gehalten werden müssen und das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muss, oder wenn durch die Auskunft die Wahrnehmung des Auftrags der Kirche gefährdet wird.
ihre Kenntnis für die verantwortliche Stelle zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben nicht mehr erforderlich ist,
die betroffene Person ihre Einwilligung bezüglich der Verarbeitung ihrer Daten widerruft und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt,
die betroffene Person gemäß § 25 Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen,
die Löschung der personenbezogenen Daten zur Erfüllung rechtlicher Verpflichtungen der verantwortlichen Stelle notwendig ist,
zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach kirchlichem oder staatlichem Recht, dem die verantwortliche Stelle unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im kirchlichen Interesse liegt oder in Ausübung hoheitlicher Gewalt erfolgt, die der verantwortlichen Stelle übertragen wurde,
aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß § 13 Absatz 2 Nummer 8 bis 9,
für im kirchlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder
die Richtigkeit der personenbezogenen Daten wird von der betroffenen Person bestritten, und zwar für eine Dauer, die es der verantwortlichen Stelle ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,
Informationspflicht bei Berichtigung, Löschung oder Einschränkung
Pflichten der verantwortlichen Stellen und Auftragsverarbeiter
1 Den bei der Datenverarbeitung tätigen Personen ist untersagt, personenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis). 2 Diese Personen sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis schriftlich zu verpflichten, soweit sie nicht auf Grund anderer kirchlicher Bestimmungen zur Verschwiegenheit verpflichtet wurden. 3 Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort.
die Pseudonymisierung, die Anonymisierung und die Verschlüsselung personenbezogener Daten,
die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall unverzüglich wiederherzustellen,
der Umfang, die Art und der Zweck der vorgesehenen Verarbeitung, die Art der Daten und der Kreis der Betroffenen,
die nach § 27 zu treffenden technischen und organisatorischen Maßnahmen sowie ihre Kontrolle durch den Auftragsverarbeiter,
die Verpflichtung der Beschäftigten des Auftragsverarbeiters auf das Datengeheimnis,
gegebenenfalls die Berechtigung zur Begründung sowie die Bedingungen von Unterauftragsverhältnissen,
die Kontrollrechte der beauftragenden kirchlichen Stelle und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragsverarbeiters,
mitzuteilende Verstöße des Auftragsverarbeiters oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,
der Umfang der Weisungsbefugnis, die sich die beauftragende kirchliche Stelle gegenüber dem Auftragsverarbeiter vorbehält,
den Namen und die Kontaktdaten der verantwortlichen Stelle und gegebenenfalls der gemeinsam mit ihr verantwortlichen Stelle sowie gegebenenfalls der oder des örtlich Beauftragten,
die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Drittländern oder internationalen Organisationen,
gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe der dort getroffenen geeigneten Garantien,
wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien,
den Namen und die Kontaktdaten der Auftragsverarbeiter und jeder verantwortlichen Stelle, in deren Auftrag der Auftragsverarbeiter tätig ist, sowie der örtlich Beauftragten,
die Kategorien von Verarbeitungen, die im Auftrag jeder verantwortlichen Stelle durchgeführt werden,
eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze,
den Namen und die Kontaktdaten der oder des örtlich Beauftragten oder einer sonstigen Anlaufstelle für weitere Informationen,
eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten,
( 5 ) 1 Die verantwortliche Stelle hat Verletzungen des Schutzes personenbezogener Daten zu dokumentieren. 2 Die Dokumentation hat alle mit den Vorfällen zusammenhängenden Tatsachen, deren Auswirkungen und die ergriffenen Abhilfemaßnahmen zu umfassen. 3 Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Paragrafen ermöglichen.
( 1 ) 1 Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, auf Grund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte natürlicher Personen zur Folge, so führt die verantwortliche Stelle vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. 2 Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.
systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen,
eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von der verantwortlichen Stelle verfolgten berechtigten Interessen,
eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck,
( 6 ) Die Aufsichtsbehörden sind gehalten, den Austausch mit staatlichen Aufsichtsbehörden und dem Europäischen Datenschutzausschuss zu suchen, um durch die Aufstellung aufeinander abgestimmter Listen die Zusammenarbeit zwischen kirchlichen und nicht kirchlichen Stellen zu erleichtern.
1 Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und Daten verarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch geeignete Stellen prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. 2 Näheres kann der Rat der Evangelischen Kirche in Deutschland durch Rechtsverordnung regeln.
( 1 ) 1 Bei verantwortlichen Stellen sind örtlich Beauftragte oder Betriebsbeauftragte für den Datenschutz (örtlich Beauftragte) zu bestellen, wenn
2 Die Vertretung ist zu regeln.
die verantwortliche Stelle und die Beschäftigten zu beraten,
die ordnungsmäßige Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden sollen, zu überwachen,
die bei der Verarbeitung personenbezogener Daten tätigen Personen zu informieren und zu schulen,
mit der Aufsichtsbehörde zusammenzuarbeiten,
Errichtung der Aufsichtsbehörden und Bestellung der Beauftragten
(zu § 39 Absatz 3 DSG-EKD)
Die Evangelische Kirche von Westfalen hat die Aufsicht über die Einhaltung des DSG-EKD an den Beauftragten für den Datenschutz der Evangelischen Kirche in Deutschland übertragen.
( 6 ) 1 Beauftragte für den Datenschutz und ihre Mitarbeitenden sind verpflichtet, über die ihnen amtlich bekannt gewordenen Angelegenheiten Verschwiegenheit zu bewahren. 2 Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen. 3 Die Verpflichtung besteht auch nach Beendigung des Dienst- oder Arbeitsverhältnisses.
( 7 ) 1 Beauftragte für den Datenschutz und ihre Mitarbeitenden dürfen, auch wenn sie nicht mehr im Amt sind, über Angelegenheiten, die der Verschwiegenheit unterliegen, ohne Genehmigung weder vor Gericht noch außergerichtlich aussagen oder Erklärungen abgeben. 2 Die Entscheidung über Aussagegenehmigungen treffen die Beauftragten für den Datenschutz für sich und ihre Mitarbeitenden in eigener Verantwortung. 3 Die Beauftragten für den Datenschutz gelten als oberste Aufsichtsbehörde im Sinne des § 99 Verwaltungsgerichtsordnung
( 9 ) Beauftragte für den Datenschutz im Kirchenbeamtenverhältnis scheiden während der Amtszeit aus dem Dienst aus, wenn nach den Bestimmungen der §§ 76, 77, 79 oder 80 des Kirchenbeamtengesetzes der EKD1# die Voraussetzungen einer Entlassung oder Gründe nach § 24 des Deutschen Richtergesetzes vorliegen, die bei einem Richter auf Lebenszeit dessen Entlassung aus dem Dienst rechtfertigen, oder wenn ein Disziplinargericht auf Entfernung aus dem Dienst erkennt.
Aufzeichnungen gemäß § 3 Satz 1,
( 2 ) 1 Stellen die Aufsichtsbehörden Verstöße gegen die Datenschutzbestimmungen oder sonstige Mängel bei der Verarbeitung personenbezogener Daten fest, so beanstanden sie dies gegenüber der verantwortlichen Stelle oder gegenüber dem Auftragsverarbeiter und fordern zur Stellungnahme innerhalb einer gesetzten Frist auf. 2 Von einer Beanstandung kann abgesehen werden, wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt. 3 Mit der Aufforderung zur Stellungnahme können Vorschläge zur Beseitigung der Mängel oder zur sonstigen Verbesserung des Datenschutzes verbunden werden. 4 Die Stellungnahme soll eine Darstellung der Maßnahmen enthalten, die auf Grund der Mitteilung der Aufsichtsbehörde getroffen worden sind.
Verarbeitungsvorgänge auf bestimmte Weise und in einem bestimmten Zeitraum mit diesem Kirchengesetz in Einklang zu bringen,
Verarbeitungsvorgänge vorübergehend oder dauerhaft zu beschränken oder zu unterlassen,
die Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation auszusetzen,
personenbezogene Daten zu berichtigen, zu sperren oder zu löschen,
die von einer Verletzung des Schutzes personenbezogener Daten betroffene Person entsprechend zu benachrichtigen,
( 4 ) 1 Halten die Aufsichtsbehörden einen Angemessenheitsbeschluss der Europäischen Kommission nach § 10 Absatz 1 Nummer 1 oder eine von der Europäischen Kommission erlassene oder genehmigte Standarddatenschutzklausel nach § 10 Absatz 1 Nummer 2, auf deren Gültigkeit es bei der Entscheidung der Aufsichtsbehörden ankommt, für rechtswidrig, so können sie ihr Verfahren aussetzen und einen Antrag auf gerichtliche Entscheidung stellen. 2 Soweit nicht Besonderheiten der kirchlichen Verwaltungsgerichtsordnung2# entgegenstehen, finden die Regelungen des § 21 des Bundesdatenschutzgesetzes entsprechende Anwendung.
( 1 ) 1 Verstößt eine verantwortliche Stelle oder ein kirchlicher Auftragsverarbeiter vorsätzlich oder fahrlässig gegen Bestimmungen dieses Kirchengesetzes, so können die Aufsichtsbehörden Geldbußen verhängen oder für den Wiederholungsfall androhen. 2 Gegen verantwortliche Stellen sind Geldbußen nur zu verhängen, soweit sie als Unternehmen im Sinne des § 4 Nummer 19 am Wettbewerb teilnehmen.
( 3 ) 1 Geldbußen werden je nach den Umständen des Einzelfalls verhängt. 2 Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens,
Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes,
jegliche von der verantwortlichen Stelle oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens,
der Grad der Verantwortung der verantwortlichen Stelle oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß § 27 getroffenen technischen und organisatorischen Maßnahmen,
etwaige einschlägige frühere Verstöße der verantwortlichen Stelle oder des Auftragsverarbeiters,
die Bereitschaft zur Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern,
die Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind,
die Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang die verantwortliche Stelle oder der Auftragsverarbeiter den Verstoß mitgeteilt hat,
die Einhaltung der früher gegen die verantwortliche Stelle oder den Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, sofern solche Maßnahmen angeordnet wurden,
die empfangende Person oder Stelle ein überwiegendes rechtliches Interesse darlegt,
Art oder Zielsetzung der dem oder der Beschäftigten übertragenen Aufgaben die Offenlegung erfordert,
Verarbeitung personenbezogener Daten für wissenschaftliche und
( 3 ) 1 Wird jemand durch eine Berichterstattung in seinem Persönlichkeitsrecht beeinträchtigt, so kann er Auskunft über die der Berichterstattung zugrunde liegenden, zu seiner Person gespeicherten Daten verlangen. 2 Die Auskunft kann verweigert werden, soweit aus den Daten auf die berichtenden oder einsendenden Personen oder die Gewährsleute von Beiträgen, Unterlagen und Mitteilungen für den redaktionellen Teil geschlossen werden kann. 3 Die betroffene Person kann die Berichtigung unrichtiger Daten verlangen.
( 1 ) 1 Bisherige Bestellungen der Beauftragten für den Datenschutz gemäß den §§ 18 bis 18b des EKD-Datenschutzgesetzes in der Fassung der Bekanntmachung vom 1. Januar 20133# (ABl. EKD S. 2, 34) gelten fort. 2 Für diese Bestellungen gelten die Regelungen der §§ 39 bis 45 mit Inkrafttreten dieses Kirchengesetzes.
( 2 ) 1 Bisherige Bestellungen der Betriebsbeauftragten und örtlichen Beauftragten für den Datenschutz gemäß § 22 des EKD-Datenschutzgesetzes in der Fassung der Bekanntmachung vom 1. Januar 20134# (ABl. EKD S. 2, 34) gelten fort. 2 Für diese Bestellungen gelten die Regelungen der §§ 36 bis 38 mit Inkrafttreten dieses Kirchengesetzes.
( 3 ) Vereinbarungen nach § 11 des EKD-Datenschutzgesetzes in der Fassung der Bekanntmachung vom 1. Januar 20135# (ABl. EKD S. 2, 34), gelten fort und sind spätestens bis zum 31. Dezember 2019 an dieses Kirchengesetz anzupassen.
1 § 55 Absatz 4 tritt am Tag nach der Verkündung in Kraft. 2 Im Übrigen tritt dieses Kirchengesetz am 24. Mai 2018 in Kraft. 3 Gleichzeitig tritt das EKD-Datenschutzgesetz in der Fassung der Bekanntmachung vom 1. Januar 2013 (ABl. EKD S. 2, 34) außer Kraft.
1 ↑ Nr. 560.
2 ↑ Nr. 120.
3 ↑ Nr. 850 Archiv-1.
4 ↑ Nr. 850 Archiv-1.
5 ↑ Nr. 850 Archiv-1.