Sonstiges Diakonierecht Datenschutzrecht, Beitrag 8 - Seite 1

Transkript

1 Sonstiges Diakonierecht Datenschutzrecht, Beitrag 8 - Seite 1 Verpflichtung der ehrenamtlichen Mitarbeitenden der Mitglieder des Diakonischen Werkes Bayern, die mit dem Umgang mit personenbezogenen Daten betraut sind, zur Einhaltung des Datenschutzes Formblatt "Verpflichtung zum Datengeheimnis" und Merkblatt zur Verpflichtung auf das Datengeheimnis für ehrenamtliche Mitarbeiterinnen und Mitarbeiter Gemäß 6 Satz 2 des Kirchengesetzes über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) in Verbindung mit Artikel 9 Absatz 1 des Kirchlichen Datenschutzdurchführungsgesetzes der Evangelisch-Lutherischen Kirche in Bayern (KDSDG) sind Mitarbeiterinnen und Mitarbeiter im Bereich des Diakonischen Werkes Bayern, die mit dem Umgang mit personenbezogenen Daten betraut sind, bei Aufnahme ihrer Tätigkeit schriftlich auf das Datengeheimnis zu verpflichten und in geeigneter Form mit den Bestimmungen des Datenschutzes vertraut zu machen. Diese Verpflichtung gilt gemäß Artikel 9 Absatz 1 KDSDG auch für ehrenamtliche Mitarbeiterinnen und Mitarbeiter; deren Verpflichtungserklärungen sind gemäß Artikel 9 Absatz 3 KDSDG von dem Mitglied des Diakonischen Werkes Bayern (Verein, GmbH), bei dem sie tätig sind, gesondert zu sammeln. In ReWiSo 3/2013 hatten wir auf Seite 127 ff ein Formblatt "Verpflichtung auf das Datengeheimnis" und ein Merkblatt "Datenschutz und Datensicherung" veröffentlicht (= Bereich Sonstiges Diakonierecht, Gruppe Datenschutzrecht, Beitrag 7). Dieses Formblatt und dieses Merkblatt sollten nur für haupt- und nebenamtliche Mitarbeiterinnen und Mitarbeiter verwendet werden; für ehrenamtliche Mitarbeiterinnen und Mitarbeiter sind auf den folgenden Seiten ein eigenes Formblatt und ein eigenes Merkblatt abgedruckt. Für Rückfragen zu diesem Form- und Merkblatt steht die Datenschutzbeauftragte des Diakonischen Werkes Bayern, Frau Cornelia Preu- Use, zur Verfügung (Tel.: , preu-use@diakonie-bayern.de). ReWiSo - Informationen des Diakonischen Werkes Bayern aus Recht, Wirtschaft und Sozialwesen Heft 1/2014 Seite 5

2 Sonstiges Diakonierecht Datenschutzrecht, Beitrag 8 - Seite 2 Verpflichtungserklärung zum Datengeheimnis gemäß 6 des Kirchengesetzes über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) Frau/ Herr, wohnhaft ist als bei (Name des Vereins einsetzen) ehrenamtlich tätig und bestätigt: Ich wurde heute auf die Wahrung des Datengeheimnisses nach der oben genannten Bestimmung verpflichtet. Ich wurde wie folgt belehrt: 1. Es ist untersagt, personenbezogene Daten unbefugt zu erheben und personenbezogene Daten, die ich befugt erhoben oder erhalten habe oder die mir im Zusammenhang mit meinem Ehrenamt zur Kenntnis gelangt sind, unbefugt zu verarbeiten oder zu nutzen. 2. Diese Pflicht zur Wahrung des Datengeheimnisses besteht auch nach Beendigung der Tätigkeit fort. 3. Verstöße gegen das Datengeheimnis können zum Entzug des Ehrenamtes führen. 4. Auf mögliche Schadensersatzansprüche bei einer unzulässigen Weitergabe personenbezogener Daten wurde ich hingewiesen. Mir wurden ein Abdruck dieser Verpflichtungserklärung und das Merkblatt zur Verpflichtung auf das Datengeheimnis für ehrenamtliche Mitarbeiterinnen und Mitarbeiter ausgehändigt. Ort, Datum Unterschrift der Verpflichteten / des Verpflichteten ReWiSo - Informationen des Diakonischen Werkes Bayern aus Recht, Wirtschaft und Sozialwesen Heft 1/2014 Seite 6

3 Sonstiges Diakonierecht Datenschutzrecht, Beitrag 8 - Seite 3 ReWiSo - Informationen des Diakonischen Werkes Bayern aus Recht, Wirtschaft und Sozialwesen Heft 1/2014 Seite 7

4 Sonstiges Diakonierecht Datenschutzrecht, Beitrag 8 - Seite 4 Merkblatt zur Verpflichtung auf das Datengeheimnis für ehrenamtliche Mitarbeiterinnen und Mitarbeiter Wenn Sie ehrenamtlich bei einem Mitglied des Diakonischen Werkes Bayern mitarbeiten und dabei regelmäßig mit personenbezogenen Daten umgehen, muss diejenige Stelle, für die Sie tätig sind, Sie auf das Datengeheimnis verpflichten. Dies ist im Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD, dort 6) so gesetzlich vorgeschrieben. In diesem Merkblatt erhalten Sie einige Informationen über den wesentlichen Inhalt des Datengeheimnisses und den Sinn der Verpflichtungserklärung. Rechtliche Grundlagen Für den Datenschutz im Bereich des Diakonischen Werkes Bayern sind insbesondere folgende Rechtsvorschriften zu beachten: das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) vom 1. Januar 2013, abgedruckt in ReWiSo, den Informationen des Diakonischen Werkes Bayern aus Recht, Wirtschaft und Sozialwesen, Heft 2/2013, Seite 89ff, und in der Rechtssammlung der Evangelisch-Lutherischen Kirche in Bayern unter Nr. 220, das Kirchliche Datenschutzdurchführungsgesetz der Evangelisch-Lutherischen Kirche in Bayern (KDSDG) vom 2. Dezember 1994, abgedruckt im Wirtschaftsblatt des Diakonischen Werkes Bayern, Ausgabe 2/95, Ord.-Nr. 7.9/166, und in der Rechtssammlung der Evangelisch-Lutherischen Kirche in Bayern unter Nr. 225, das Strafgesetzbuch (StGB) in der jeweils geltenden Fassung. Definitionen Der Umgang mit personenbezogenen Daten umfasst die Erhebung, die Verarbeitung und die Nutzung dieser Daten. Personenbezogene Daten sind alle Einzelangaben über persönliche oder sachliche Verhältnisse (z.b. Name, Anschrift, Geburtsdatum, Beruf sowie Bild- und Filmmaterial über diesen Menschen, aber auch Werturteile, Meinungen, Weltanschauungen, Eigentum, Vertragsverhältnisse zu Dritten) einer bestimmten oder bestimmbaren natürlichen Person ( 2 Absatz 1 DSG- EKD). Erheben ist das Beschaffen von Daten über eine natürliche Person ( 2 Absatz 3 DSG-EKD), z. B. durch mündliche oder schriftliche Befragung; Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen von personenbezogenen Daten ( 2 Absatz 4 DSG-EKD), z.b. das Anlegen einer Liste auf einem Datenträger, die mündliche oder schriftliche Weitergabe an andere Personen, das Vernichten oder Unkenntlichmachen von Daten. Nutzen ist jede Verwendung von personenbezogenen Daten, bei der es sich nicht um Verarbeitung handelt ( 2 Absatz 5 DSG-EKD), also jede Datenverwendung, die nicht unter Verarbeiten fällt. Wenn Sie etwa als ehrenamtliche/r Mitarbeiterin oder Mitarbeiter eines Besuchsdienstes Gespräche mit einem Bewohner einer Senioreneinrichtung führen, handelt es sich bei dem, was Ihr Gesprächspartner Ihnen über sich selbst oder über eine andere natürlich Person erzählt, um personenbezogene Daten. Wenn Sie beispielsweise in einer Kindertagesstätte mithelfen, sind auch die Umstände, die Sie über die Kinder erfahren (z.b. Familien- und Vermögensverhältnisse, Krankheiten) personenbezogene Daten. ReWiSo - Informationen des Diakonischen Werkes Bayern aus Recht, Wirtschaft und Sozialwesen Heft 1/2014 Seite 8

5 Sonstiges Diakonierecht Datenschutzrecht, Beitrag 8 - Seite 5 Das Datengeheimnis Nach den gesetzlichen Vorgaben ist es den mit dem Umgang personenbezogener Daten betrauten Personen untersagt diese unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis; vgl. 6 Satz 1 DSG-EKD). Dies gilt nicht nur für haupt- und nebenamtliche, sondern auch für ehrenamtliche Mitarbeiterinnen und Mitarbeiter. Die Verpflichtung auf das Datengeheimnis ist nicht als Misstrauen gegenüber den rechtlichen oder moralischen Ansprüchen der ehrenamtlichen Mitarbeiterinnen und Mitarbeiter zu verstehen. Vielmehr soll das datenschutzgerechte Verhalten als wichtiger Bestandteil des ehrenamtlichen Dienstes erläutert und schriftlich festgehalten werden. Für die Menschen, mit denen Sie als ehrenamtliche Mitarbeiterinnen und Mitarbeiter der Mitglieder des Diakonischen Werkes Bayern Umgang haben, Gespräche führen oder in anderer Weise tätig werden usw., ist es sehr wichtig, sich sicher sein zu können, dass über ihre Daten Verschwiegenheit gewahrt wird. Daher sind Sie über persönliche und sachliche Verhältnisse, die Ihnen in Ausübung Ihres Ehrenamtes ausdrücklich oder auch nur beiläufig bekannt werden, grundsätzlich zum Schweigen verpflichtet. Dies gilt auch gegenüber Personen, die selber einer Schweigepflicht oder Verschwiegenheitspflicht unterliegen. Unbefugter Umgang mit personenbezogenen Daten Grundsätzlich ist der Umgang mit personenbezogenen Daten erlaubt, soweit dies zur Erfüllung der ehrenamtlichen Aufgabe erforderlich ist. Dabei ist insbesondere zu beachten, dass Daten nur zu dem Zweck verwendet werden dürfen, für den sie erhoben oder gespeichert sind (Zweckgebundenheit), Daten auch innerhalb der diakonischen Stelle nur solchen Personen bekannt gegeben werden dürfen, die zum Empfang der Daten ermächtigt und zur Verschwiegenheit verpflichtet sind, die Bekanntgabe an Dritte (z.b. durch mündliche Auskunft oder schriftliche Mitteilung) nur erfolgen darf, wenn dies zwingend erforderlich ist. Im Zweifel halten Sie bitte Rücksprache mit Ihrem/Ihrer Vorgesetzten. die Daten, wenn sie für die Erfüllung der ehrenamtlichen Aufgaben nicht mehr benötigt werden, gelöscht bzw. zumindest gesperrt werden müssen ( 16 Absatz 2, 3 DSG-EKD). jede Übermittlung oder Nutzung von personenbezogenen Daten, die nicht zur Aufgabenerfüllung erforderlich ist, nur zulässig ist, wenn die (in der Regel schriftliche) Einwilligung des/der Betroffenen vorliegt oder eine Rechtsvorschrift dies erlaubt oder anordnet ( 3, 4, 5, 12, 13 DSG-EKD). Daten dürfen also in keinem Fall wegen gewerblicher Interessen (z.b. Werbung, Versicherungsangebote) herausgegeben werden, auch nicht gutgemeint oder zur Befriedigung von Privatinteressen. Sie dürfen auch nicht einfach annehmen, dass die betroffene Person schon einverstanden sein werde mit der Weitergabe der Daten, sondern es ist in Zweifelsfällen Rücksprache mit dem/der Betroffenen zu halten und eine entsprechende schriftliche Einwilligung einzuholen. Die Einwilligung hat den Gegenstand der Mitteilung und die Personen, denen etwas mitgeteilt werden darf, genau zu benennen. Wenn es Fälle gibt, über die Sie sprechen müssen oder wollen (z.b. weil Sie anderweitige Hilfe für erforderlich halten, jemand gefährdet sehen, staatliche oder kirchliche Auskunftsersuchen vorliegen o.ä.) können Sie mit Ihrem/Ihrer Vorgesetzten bzw. dem Ihnen genannten Ansprechpartner reden. Diese Person entscheidet dann, wie weiter zu verfahren ist und inwieweit ggf. Auskunft erteilt wird. Versuchen Sie dabei die Person, über die Sie sprechen wollen, zu anonymisieren, also die Situation so zu schildern, dass ein Rückschluss auf die betroffene Person nicht möglich ist. In diesem Fall der sog. Anonymisierung von Daten liegt keine Datenverarbeitung im Sinne der Datenschutzgesetze vor. ReWiSo - Informationen des Diakonischen Werkes Bayern aus Recht, Wirtschaft und Sozialwesen Heft 1/2014 Seite 9

6 Sonstiges Diakonierecht Datenschutzrecht, Beitrag 8 - Seite 6 Bei dringendem Handlungsbedarf, wenn keine der Ihnen genannten Personen erreichbar ist, können Sie selbst in verantwortlicher Weise entscheiden, welche Person oder Stelle sie unterrichten. Maßnahmen zur Datensicherung Neben den Vorschriften über das Erheben, Verarbeiten und Nutzen personenbezogener Daten enthält das kirchliche Datenschutzrecht auch die Verpflichtung der für den Datenschutz zuständigen diakonischen Stellen, technische und organisatorische Maßnahmen zu treffen, um den Anforderungen der Datensicherheit zu genügen und auch die IT-Sicherheit zu gewährleisten (vgl. 9 DSG-EKD nebst Anlage). Insbesondere ist nach der Anlage zu 9 DSG-EKD Unbefugten der Zugang zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zugangskontrolle) und zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können (Zugriffskontrolle). Werden solche Maßnahmen nicht getroffen oder werden nicht ausreichende Maßnahmen getroffen, liegt ein Verstoß gegen die Pflicht zur Wahrung des Datengeheimnisses vor. Erforderlich sind Maßnahmen, deren Aufwand in einem angemessenem Verhältnis zum angestrebten Schutzzweck steht ( 9 Satz 2 DSG-EKD). Konkret bedeutet das, dass beispielsweise jede Art Datenträger (z. B. Notizbücher, Akten, Karteikarten usw.) stets sicher und verschlossen aufzubewahren sind, um Einsichtnahme und Zugriff Unbefugter, auch Familienangehöriger, auszuschließen. Eine Speicherung von dienstlich erlangten personenbezogenen Daten auf einem privaten Datenträger (PC, Smartphone, USB-Stick) ist regelmäßig unzulässig. Sollte dies als unbedingt erforderlich angesehen werden, ist dies zu begründen und die schriftliche Erlaubnis der für den Datenschutz zuständigen Stelle (in der Regel die Dienststellenleitung) einzuholen. Erhaltene oder angefertigte Unterlagen, z.b. Adresslisten, Namenslisten, sind nach Gebrauch umgehend zurückzugeben oder zu vernichten. Nicht oder nicht mehr benötigte Daten sind in einer Weise zu löschen, die jeden Rückgriff ausschließt. Ansprechpartner Mängel beim Datenschutz sollten Sie unverzüglich der Leitungskraft Ihrer Einrichtung oder dem bzw. der Betriebsbeauftragten für den Datenschutz anzeigen. Gegebenenfalls können Sie sich wie jede andere Person auch an den diakonischen Beauftragten bzw. die diakonische Beauftragte für den Datenschutz (zur Zeit Frau Cornelia Preu-Use, Anschrift: Diakonisches Werk Bayern, Postfach , Nürnberg) wenden, wenn einem Mangel nicht abgeholfen wird oder wenn Sie der Ansicht sind, bei der Erhebung, Verarbeitung oder Nutzung ihrer personenbezogenen Daten durch eine diakonischen Träger in ihren Rechten verletzt worden zu sein. Wenn Sie weitere Fragen zum Datenschutz haben oder in einem Einzelfall eine Rechtsauskunft benötigen, können Sie sich an die Leitungskraft Ihrer Einrichtung, den oder die Betriebsbeauftragten für den Datenschutz Ihrer Einrichtung oder an die Beauftragte für den Datenschutz des Diakonischen Werkes Bayern wenden. Stand März 2014 ReWiSo - Informationen des Diakonischen Werkes Bayern aus Recht, Wirtschaft und Sozialwesen Heft 1/2014 Seite 10