Datenschutz ist Menschenschutz! Einführung in den kirchlichen Datenschutz von Sandra Coors, BfD EKD, Regionalverantwortliche Datenschutzregion Nord und Michael Pohle, örtlich Beauftragter des Ev.-luth. Kirchenkreisverband Osnabrück- Stadt und-land Datenschutz in Kirchengemeinden Workshop in Hasbergen am 26.02.2016
Bildnachweis: Walter Reich / pixelio.de 2
Gliedkirchen, die in den Jahren 2014 und 2015 die Datenschutzaufsicht übertragen. Wer ist dabei: Baden Bayern Berlin-Brandenburgschlesische Oberlausitz Braunschweig Bremen Hannover Hessen und Nassau Konföderation Kurhessen-Waldeck Lippe Mitteldeutschland Oldenburg Reformierte Rheinland Schaumburg-Lippe Westfalen Württemberg UEK VELKD Brüdergemeine 3
Diakonische Werke, die die Datenschutzaufsicht übertragen haben. Evangelisches Werk für Diakonie und Entwicklung e.v. Diakonisches Werk Berlin-Brandenburg-schlesische Oberlausitz e.v. Diakonisches Werk Bremen e.v. Diakonie Rheinland-Westfalen-Lippe Diakonisches Werk der evangelischen Kirche in Württemberg e.v. Diakonisches Werk der Ev.-Luth. Kirche in Oldenburg e.v. 4
Bildnachweis: kaemte / pixelio.de 5
Organisation Der Beauftragte für den Datenschutz der EKD hat zur Erfüllung seiner Aufgaben vier Datenschutzregionen gebildet. Die Wahrnehmung der Aufgaben erfolgt in den Außenstellen. 6
Verteilung der Aufgaben Außenstelle Nord Aufsicht Beratung Weiterbildung Inhaltlicher Schwerpunkt (überregional) Außenstelle Mitte / West Aufsicht Beratung Weiterbildung Inhaltlicher Schwerpunkt (überregional) Zentrales Management-Team Leitung, Steuerung Konzept Kontakte / Öffentlichkeit Aufsicht Beratung Weiterbildung Außenstelle Ost Aufsicht Beratung Weiterbildung Inhaltlicher Schwerpunkt (überregional) Außenstelle Süd Aufsicht Beratung Weiterbildung Inhaltlicher Schwerpunkt (überregional) 7
Organigramm 8
Kontakt Der Beauftragte für den Datenschutz der EKD Außenstelle Hannover Sandra Coors Böttcherstraße 7 30419 Hannover Tel. 0511 169335-0 Fax 0511 169335-20 nord@datenschutz.ekd.de https://datenschutz.ekd.de 9
Einführung und Sensibilisierung 10
Keine neue Erfindung aber aktueller denn je. Älteste bekannte Datenschutzregel ist der Eid des Hippokrates von Kós (460 bis 370 v. Chr.) im ärztlichen Bereich. Bei technisch nahezu unbegrenzten Speicher-, Übermittlungs- und Verarbeitungsmöglichkeiten in allen Lebensbereichen besteht heute ein großes Bedürfnis für einen modernen Datenschutz. 11
Worum geht es? Im Mittelpunkt des Datenschutzes steht der einzelne Mensch (und stehen nicht die Daten eines Menschen). Mit Datenschutz wird erreicht, dass der einzelne Mensch durch den Umgang mit seinen Daten in seinem Persönlichkeitsrecht nicht beeinträchtigt wird. In Datenschutzgesetzen (oder anderen Datenschutzbestimmungen) ist daher geregelt, welcher Umgang mit Daten erlaubt ist. 12
Meilensteine des Datenschutzrechts 1970 Erstes allgemeines Datenschutzgesetz der Welt: Landesdatenschutzgesetz Hessen 1977 Erstes Bundesdatenschutzgesetz (BDSG) 1978 Erstes Datenschutzgesetz der EKD (DSG-EKD) 1983 Volkszählungsurteil des Bundesverfassungsgerichts Recht auf Informationelle Selbstbestimmung 1995 Europäische Datenschutzrichtlinie 95/45/EG (DSRL) 2013 (letzte) Neufassung des DSG-EKD Ausblick 2018 Europäische Datenschutzgrundverordnung (EU-DSGVO) 13
Informationelle Selbstbestimmung Entwickelt vom Bundesverfassungsgericht im sog. Volkszählungsurteil vom 15.12.1983 (BVerfGE 65, 1) als Datenschutz-Grundrecht Rechtlich hergeleitet aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 Grundgesetz Das Recht umfasst die Befugnis des Einzelnen selbst zu entscheiden, wann und innerhalb welcher Grenzen seine persönlichen Lebenssachverhalte offenbart werden. 14
Informationelle Selbstbestimmung Einzelangaben über persönliche Verhältnisse sind unbegrenzt speicher- und abrufbar und erfordern daher einen besonderen Schutz. Das Grundrecht auf informationelle Selbstbestimmung ist ein Abwehrrecht. Schutzgegenstand des DSG-EKD 15
Kirchlicher Datenschutz Eigenes Datenschutzrecht für beide christlichen Kirchen einschließlich Diakonie und Caritas. Geregelt im Datenschutzgesetz der EKD (DSG-EKD). Viele gleiche Grundsätze wie im staatlichen Bereich, aber um einige kirchliche Spezifika ergänzt. Schutzrichtung: Schutz des Einzelnen vor Beeinträchtigung seines Persönlichkeitsrechtes durch den Umgang mit seinen personenbezogenen Daten ( 1 DSG-EKD). Definition von personenbezogenen Daten ( 2 DSG-EKD). Es geht um: Erhebung / Verarbeitung / Nutzung ( 3 DSG-EKD) 16
Gesetzliche Grundlagen 17
Anwendungsbereich des DSG-EKD Subsidiarität des DSG-EKD, 1 Abs. 6 DSG-EKD Soweit besondere Regelungen in anderen kirchlichen Rechtsvorschriften auf personenbezogene Daten einschließlich deren Veröffentlichung anzuwenden sind, gehen sie den Vorschriften dieses Kirchengesetzes vor. Grundsatz: Ein spezielleres Datenschutzgesetz verdrängt das allgemeine DSG-EKD. 18
Zweck des Gesetzes, 1 DSG-EKD (1) Zweck dieses Kirchengesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. 19
Definition Personenbezogene Daten Personenbezogene Daten sind Einzelangaben einer bestimmten bzw. bestimmbaren Person, über: Persönliche Verhältnisse: Name, Alter, Familienstand, Augenfarbe, Fotos.. Sachliche Verhältnisse: KFZ-Kennzeichen, Bankdaten, Personalausweisnummer auch Fotos und Videoaufnahmen sind personenbezogene Daten! 20
Werden Sachdaten auch geschützt? Daten ohne Personenbezug (Sachdaten) werden durch das DSG-EKD nicht geschützt. Zum Beispiel: Geschäfts- und Betriebsgeheimnisse, Unternehmensdaten, statistische Untersuchungen, Bilanzen, Wenn kein Bezug der Daten zu einer Person besteht, ist das Persönlichkeitsrecht nicht berührt. 21
Grundsatz nach 2a DSG-EKD Es gilt der Grundsatz der: - Datenvermeidung - Datensparsamkeit Es sind so wenig Daten wie möglich zu erheben. Personenbezogene Daten sind zu anonymisieren oder pseudonomysieren, soweit möglich. 22
Prüfungsgrundsätze Zweckbestimmung Zweckbindung Verhältnismäßigkeit Transparenz Erforderlichkeit Datensparsamkeit Rechte der Betroffenen Datenintegrität 23
Grundsatz der Zweckbindung Personenbezogene Daten dürfen nur zu dem Zweck verwendet werden, zu dem sie erhoben worden sind, 5 Abs. 1 DSG-EKD. Der Zweck muss bei der Erhebung feststehen. Der Betroffene ist auf Verlangen über den Zweck zu informieren, 4 Abs. 3 DSG-EKD. Eine spätere Zweckänderung ist nur ausnahmsweise zulässig, 5 Abs. 2 DSG-EKD. 24
Grundsatz der Erforderlichkeit 4 Abs. 1, 5 Abs. 1, 12 Abs. 1, 13 Abs. 1 DSG-EKD Es dürfen keine überflüssigen personenbezogenen Daten erhoben und verarbeitet werden. Maßstab ist die Zweckbindung: Was ist für den Zweck der Bearbeitung erforderlich? Mitarbeitende dürfen personenbezogene Daten nur in dem Umfang verarbeiten, wie es zur Erfüllung ihrer Aufgabe erforderlich ist. 25
Wann spielt der Grundsatz der Erforderlichkeit eine Rolle? 1. Bei Erhebung von Daten: Reduzierung auf für den Zweck notwendige Daten Need to know, nicht nice to have Selbst festzulegen, soweit nicht im Gesetz aufgezählt 2. Bei Zugangs-/Einsichtsrechte: Nur, wenn es zur Aufgabenerledigung erforderlich ist Je höher der Schutzbedarf, desto restriktiver zu handhaben Technisch und organisatorisch zu sichern ( 9 DSG-EKD) 26
Wann spielt der Grundsatz der Erforderlichkeit eine Rolle? 3. Bei Aufbewahrungsdauer: Solange zur Erledigung der Aufgabe erforderlich Gesetzliche Fristen sind zu ermitteln. Soweit keine gesetzlichen Fristen existieren (häufig der Fall!), ist die Aufbewahrungsdauer selbst anhand Erforderlichkeit/ Zweck zu ermitteln (und zu dokumentieren). Möglichkeit der Anonymisierung bedenken, wenn nicht mehr erforderliche Daten als Referenzinformationen aufbewahrt werden, 2a S. 2 DSG-EKD. 27
Grundsatz der Direkterhebung Personenbezogene Daten sind grundsätzlich beim Betroffenen selbst zu erheben, 4 Abs. 2 DSG-EKD. Grundsatz dient der Gewährleistung des Selbstbestimmungsrechts angesichts der Informations- und Unterrichtungspflichten. Ausnahmen sind in bestimmten Fällen möglich, aber Benachrichtigungspflicht aus 4 Abs. 2, 15a DSG-EKD. 28
4. Erheben, Verarbeiten und Nutzen von Daten 29
EKD-Datenschutzgesetz - Charakter Nach 3 DSG-EKD handelt es sich um ein Verbotsgesetz mit Erlaubnisvorbehalt, d.h. die Erhebung ( 4), Verarbeitung ( 5) und Nutzung ( 5) ist grundsätzlich verboten, es sei denn, das DSG-EKD selbst oder eine andere Rechtsvorschrift erlauben sie oder ordnen sie an oder der Betroffene hat darin eingewilligt ( 3a). 30
Verbot mit Erlaubnisvorbehalt 3 Abs. 1 DSG-EKD Prüfschritte Gibt es eine (bereichsspezifische) gesetzliche Grundlage? Vermittelt das DSG-EKD eine Grundlage (z.b. 4 Abs. 1 DSG-EKD i. V. m. mit einer Aufgabe der kirchlichen Stelle)? Liegt eine Einwilligung des Betroffenen vor ( 3a DSG-EKD)? Liegt eine Dienstvereinbarung vor? 31
Einwilligung, 3a DSG-EKD Anforderungen an die Einwilligung freiwillig (problematisch im Beschäftigungsverhältnis) informiert (Zweckbindung erläutern) bestimmt (Inhalt muss konkret gefasst sein) Formerfordernis (in der Regel schriftlich, besonders hervorzuheben) Widerruf der Einwilligung für die Zukunft muss möglich sein. 32
Datengeheimnis ( 6, 23) Definition: Den mit dem Umgang von Daten betrauten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Alle MA und Ehrenamtliche sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten; d.h. sie sind dazu verpflichtet, die ihnen überlassenen Daten nur für die Zwecke zu verarbeiten und zu nutzen, zu denen sie erhoben bzw. gespeichert wurden. 33
Sonstige datenschutzrechtliche Anforderungen 34
Technische und organisatorische Maßnahmen ( 9 Abs. 1 DSG-EKD) siehe Anlage zu 9 Abs. 1 DSG-EK Sind die (Personal)akten verschlossen aufbewahrt? Ist Home-Office erlaubt? Von wo aus arbeiten Ehrenamtliche und was für Geräte nutzen sie dafür? Wie werden Protokolle verschickt? 35
IT-Sicherheit ( 9 Abs. 2 DSG-EKD) ITSVO-EKD! Wie werden Software und IT-Systeme gesichert? Gibt es ein Intranet und welche Daten werden verarbeitet? Gibt es ein Konzept zur Datensicherung? 36
Datenschutz und Datensicherheit Datenschutz Datensicherheit schützt natürliche Personen vor der Verletzung ihres Persönlichkeitsrechts 9 DSG-EKD und Anlage schützt Daten, Hardware und Software vor Zerstörung, Verlust und Missbrauch 37
Wahrung der Rechte der Betroffenen ( 15, 16, 17) Auskunft Berichtigung, Löschung, Sperrung Widerspruchsrecht Anrufung des Beauftragten für den Datenschutz 38
Berührungspunkte in der KV-Arbeit E-Mail-Verteiler Sitzungsprotokolle Ehrenamtliche/ Praktikanten Gemeindebrief/ Homepage Adressdaten Datenaustausch Daten auf (privaten) Computern Konfirmandenunterricht 39
Aufgaben des örtlich Beauftragten für den Datenschutz Beratung und Unterstützung der Leitung von kirchlichen Stellen und Arbeitsbereichen (die personenbezogene Daten verarbeiten) zu allen Fragen des Datenschutzes und der Datensicherheit Datensicherheit meint nicht IT-Sicherheit DSB hat ein Beteiligungsrecht bei der IT-Sicherheit Prüfung technische und organisatorische Maßnahmen Nicht verantwortlich für die Gewährleistung von IT- Sicherheit 40
Beteiligung des örtlichen Datenschutzbeauftragten (DSB) Wann ist der DSB zu beteiligen? Zu allen datenschutzrechtlichen Vorgängen Erhebung, Nutzung und Verarbeitung von PbD Bei Planungen von Maßnahmen zur Erhebung von PbD Bei (neuen) Verfahren automatisierter Verarbeitung vor Beginn der Verarbeitung Insbesondere bei Daten, die dazu bestimmt sind, die Fähigkeit und Leistung einer Person oder eines Verhaltens zu bewerten / beurteilen. 41
Weiteres Vorgehen in der PRAXIS Sammeln von Information Gespräche mit den verantwortlichen Dienststellen Gespräche mit dem Kirchenamt Osnabrück-Stadt und Land IT-Struktur / Programme / Rechte / Nutzung Personalabteilung / Datengeheimnis Sammeln von Unterlagen Verträge mit Dritten Dienstvereinbarung Erstellung einer Daten(schatz)karte / Verfahrensverzeichnis Klärung spezifischer Vorgänge / Anfragen MAV-Wahl (Daten auf Wahllisten) MewisNt Weitergabe von Daten KiGa-Verwaltung 42