Datenschutz in kirchlichen Einrichtungen Kirchliches Datenschutzgesetz (KDG) Vollversammlung,

Transkript

1 Datenschutz in kirchlichen Einrichtungen Kirchliches Datenschutzgesetz (KDG) Vollversammlung, Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 1

2 Warum Datenschutz? Durch die zunehmende Digitalisierung der (Arbeits-)Welt wird die Verarbeitung von personenbezogenen Daten immer einfacher und alltäglicher. Ein effektiver Datenschutz kann den Missbrauch von personenbezogen Daten verhindern. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 2

3 Die neue europäische Datenschutz-Grundverordnung Die DSGVO ist am in Kraft getreten und gilt als europäische Verordnung unmittelbar in sämtlichen Mitgliedstaaten. Somit gelten künftig EU-weit einheitliche Datenschutzstandards. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 3

4 Warum gilt die DSGVO nicht für kirchlichen Einrichtungen? Die DSGVO gilt nicht für die katholische und evangelische Kirche. Art. 91 Abs. 1 DS-GVO lässt Raum für kircheneigene Regelungen: Wendet eine Kirche oder eine religiöse Vereinigung oder Gemeinschaft in einem Mitgliedstaat zum Zeitpunkt des Inkrafttretens dieser Verordnung umfassende Regeln zum Schutz natürlicher Personen bei der Verarbeitung an, so dürfen diese Regeln weiter angewandt werden, sofern sie mit dieser Verordnung in Einklang gebracht werden. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 4

5 Das neue Kirchliche Datenschutzgesetz (KDG) Am tritt das neue Gesetz über den Kirchlichen Datenschutz (KDG) in der Erzdiözese Freiburg in Kraft und ersetzt die bisher geltende Kirchliche Datenschutzordnung (KDO). Das KDG stellt den Einklang mit der europäischen Datenschutz-Grundverordnung (DSGVO) her und konkretisiert die Anforderungen an einen zulässigen Umgang mit personenbezogenen Daten in kirchlichen Einrichtungen. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 5

6 Sinn und Zweck des Datenschutzes Aufgabe des Datenschutzes ist es, den Einzelnen davor zu schützen, dass er durch die Verarbeitung seiner personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Zudem soll der freie Verkehr solcher Daten ermöglicht werden. 1 KDG Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 6

7 Persönlichkeitsrecht Umfassendes Recht auf Achtung und Entfaltung der Persönlichkeit Durch Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG besonders geschützt Wichtiger Bestandteil ist das vom Bundesverfassungsgericht anerkannte Recht auf informationelle Selbstbestimmung: Jeder Einzelne soll grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen! Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 7

8 Personenbezogene Daten Alle Informationen, die sich auf eine bestimmte natürliche Person beziehen. Es reicht aus, wenn Daten ohne Namensnennung anhand gewisser Kriterien einer bestimmbaren Person zugeordnet oder zugerechnet werden können, die Person identifizierbar ist. 4 KDG Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 8

9 Personenbezogene Daten Name Geburtsdatum Geschlecht Familienstand Adresse Konfession Steuerklasse Personalnummer Kontonummer Kfz-Kennzeichen Telefonverbindungsdaten Online-Kennung Geografische Standortbestimmungen Fotos, Bild- und Tonaufnahmen Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 9

10 Besondere Kategorien personenbezogener Daten Sensible und daher besonders zu schützende Daten: Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, Genetische und biometrische Daten, die die Identifizierung einer Person ermöglichen, Gesundheitsdaten Daten, die Aussagen zum Sexualleben und zur sexuellen Orientierung enthalten. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 10

11 Konfession als besondere Kategorie personenbezogener Daten? Abweichend von der DS-GVO gehört die Feststellung über die Zugehörigkeit zu einer Kirche nicht zur besonderen Kategorie personenbezogener Daten. Berücksichtigung der kirchlichen Strukturen und Besonderheiten Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 11

12 Verarbeitung Der Begriff der Verarbeitung ist sehr umfassend. Jeder denkbare Umgang mit personenbezogenen Daten: Erheben Erfassen Organisation Ordnen Speicherung Anpassung oder Veränderung Auslesen Abfragen Verwendung Offenlegung Verbreitung Abgleich oder Verknüpfung Löschen Vernichtung Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 12

13 Zulässigkeit der Verarbeitung Die Datenverarbeitung führt immer zu einer Einschränkung von Rechten der Betroffenen. Die Verarbeitung personenbezogener Daten ist zulässig, wenn eine gesetzlichen Grundlage es gestattet oder die betroffene Person eingewilligt hat! = Verbot mit Erlaubnisvorbehalt Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 13

14 Zulässigkeit der Verarbeitung Zudem sind weitere Fälle der Zulässigkeit in 6 KDG benannt: Erfüllung eines Vertrages Erfüllung einer rechtlichen Verpflichtung Erforderlichkeit zum Schutz lebenswichtiger Interessen der betroffenen Person oder eines Dritten Erforderlichkeit für die Wahrnehmung einer Aufgabe im kirchlichen Interesse oder für die Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde Erforderlichkeit zur Wahrung der Interessen des Verantwortlichen oder eines Dritten, soweit dabei nicht die Grundrechte der betroffenen Person überwiegen Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 14

15 Rechtsgrundlage im Beschäftigtenverhältnis Personenbezogene Daten eines Beschäftigten - einschließlich der Daten über die Religionszugehörigkeit, die religiöse Überzeugung und die Erfüllung von Loyalitätsobliegenheiten - dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung für dessen Durchführung oder Beendigung erforderlich ist. [ ] 53 KDG Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 15

16 Verarbeitung aufgrund einer Einwilligung Anforderungen an die Einwilligung ( 8 und 4 Nr. 13 KDG): Freiwillig, in informierter Weise und unmissverständlich Schriftform, soweit nicht aufgrund besonderer Umstände eine andere Form angemessen ist Betroffener ist über den Zweck der Datenverarbeitung und über sein Widerrufsrecht aufzuklären Umstritten ist die Frage, ob ein Beschäftigter überhaupt wirksam eine Einwilligung im Rahmen seines Beschäftigtenverhältnisses erteilen kann (Abhängigkeitsverhältnis). Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 16

17 Grundsätze der Datenverarbeitung Rechtmäßigkeit und Transparenz Verarbeitung für festgelegte, eindeutige und legitime Zwecke Datensparsamkeit Sachliche Richtigkeit Begrenzung der Dauer der Speicherung, Löschung Gewährleistung einer angemessene Sicherheit 7 KDG Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 17

18 Verantwortlicher Verantwortlicher (DG) entscheidet über die Zwecke und Mittel der Verarbeitung personenbezogener Daten, 4 Nr. 9 KDG. Informationspflichten Technische und organisatorische Maßnahmen (sog. TOM s) Führen eines Verzeichnisses von Verarbeitungstätigkeiten Datenschutzfolgenabschätzung Vertragliche Vereinbarung mit Auftragsverarbeiter Meldung an die Datenschutzaufsicht bei Datenschutzverletzungen Haftung bei materiellen und immateriellen Schäden gegenüber der betroffenen Person Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 18

19 Betrieblicher Datenschutzbeauftragter Kirchliche Einrichtungen haben unter den in 36 KDG genannten Voraussetzungen einen betrieblichen Datenschutzbeauftragten zu benennen (insbesondere, wenn mindestens 10 Personen mit der Verarbeitung personenbezogener Daten befasst sind). Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 19

20 Aufgaben des betrieblichen Datenschutzbeauftragten Der betriebliche Datenschutzbeauftragte ( 38 KDG): wirkt auf die Einhaltung des Datenschutzes beim Verantwortlichen hin überwacht Datenverarbeitungsanlagen und -programme berät den Verantwortlichen schult die Beschäftigten Ansprechpartner für betroffene Personen Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 20

21 Rechte der Betroffenen Informations- und Auskunftsrechte Berichtigung Vervollständigung Löschung Einschränkung der Verarbeitung Datenübertragung Widerspruchsrecht Beschwerderecht Recht auf gerichtlichen Rechtsbehelf 14 ff KDG Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 21

22 Beschwerderecht Betroffene Personen haben das Recht auf Beschwerde bei der Datenschutzaufsicht, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten gegen Datenschutzvorschriften verstößt, 48 KDG. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 22

23 Diözesandatenschutzbeauftragte/ Datenschutzaufsicht Quelle: Kath. Datenschutzzentrum Frankfurt Katholisches Datenschutzzentrum Frankfurt am Main: Gemeinsame Datenschutzstelle und Aufsichtsbehörde der (Erz-)Diözesen Freiburg, Fulda, Limburg, Mainz, Rottenburg-Stuttgart, Speyer, Trier Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 23

24 Aufgaben und Befugnisse Datenschutzaufsicht Überwachung der Einhaltung der datenschutzrechtlichen Vorschriften Beratung Sensibilisieren Aufklären Beschwerden prüfen Verhängung von Geldbußen bis EURO 44 ff KDG Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 24

25 Rechtsweg Kirchliche Datenschutzgerichte aufgrund der KDSGO (kirchliche Datenschutzgerichtsordnung): Erste Instanz Interdiözesanes Datenschutzgericht Sitz in Köln Zweite Instanz Datenschutzgericht der Deutschen Bischofskonferenz Sitz in Bonn Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 25

26 Zuständigkeit der Kirchlichen Datenschutzgerichte Interdiözesanes Datenschutzgericht: Überprüfung von Entscheidungen der Datenschutzaufsicht Gerichtliche Rechtsbehelfe der betroffenen Person gegen Verantwortliche und Auftragsverarbeiter Datenschutzgericht der Deutschen Bischofskonferenz: Recht auf Beschwerde der Beteiligten gegen die Entscheidung erster Instanz Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 26

27 Datenschutz und MAV-Arbeit: Beteiligungsrechte Die zunehmende Technisierung ermöglicht es Dienstgebern, immer mehr Daten zu erfassen, zu verarbeiten und zu nutzen. Hier sind die MAVen gefragt, damit Dienstgeber die in der Einrichtung verwendete Technik nicht zu Leistungs- und Verhaltenskontrollen der Beschäftigten nutzen. Beispiele: elektronische Arbeitszeiterfassung, Zugangskontrollen, EDV-Anlagen (Hard- und Software), Internetnutzung, Videoüberwachung Zustimmung der MAV, 36 Abs. 1 Nr. 9 MAVO Dienstvereinbarungen, 38 Abs. 1 Nr. 11 MAVO Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 27

28 Datenschutz und MAV-Arbeit: Aufgaben der MAV Gemäß 26 Abs. 1 MAVO gehört es zu den Aufgaben der MAV, darauf zu achten, dass alle Mitarbeiter nach Recht und Billigkeit behandelt werden. Im Bereich des Datenschutzes sind vor allem das allgemeine Persönlichkeitsrecht gemäß Art. 2 Abs. 1 GG, das Kirchliche Datenschutzgesetz (KDG) und entsprechenden Dienstvereinbarungen zu beachten. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 28

29 Datenschutz und MAV-Arbeit: Umgang mit Daten Umgang mit personenbezogenen Daten Datenverarbeitung im Zusammenhang mit MAV-Arbeit Vorlage von erforderlichen Unterlagen zur Durchführung der MAV- Aufgaben, 26 Abs. 2 MAVO Datenschutz! Daten vor Zugriffen Unbefugter schützen Nicht mehr benötigte personenbezogene Daten löschen MAV-Unterlagen sind aufzubewahren, solange ihr Inhalt von rechtlicher Bedeutung und für die MAV-Arbeit noch von Belang ist. Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 29

30 Informationen und Arbeitshilfen Rechtsgrundlagen, Arbeitshilfen und Infos unter: Aufsätze zum Datenschutz: Zeitschrift für Mitarbeitervertretungen Geschäftsstelle DiAG/MAV/KODA, Carl-Kistner-Str. 51, Freiburg 30