Ein Bistum besteht aus einer Vielzahl an datenschutzrechtlich Verantwortlichen. Neben dem Generalvikariat als zentrale Verwaltungsbehörde gibt es Pfarreien, Dekanate und weitere Einrichtungen. In vielen Fällen erbringt das Generalvikariat verschiedene Dienstleitungen in Rahmen von Auftragsverarbeitungen, insbesondere IT-Dienstleistungen, Archivierung, Aktenvernichtung und Support im Bereich Sozial Media. Die Auftragsvereinbarung muss dann entsprechend der Vorgaben des § 29 KDG manifestiert werden. Der Klassiker einer solchen Manifestation ist der Abschluss eines Vertrages zur Auftragsverarbeitung.

Papierberge

Angenommen jede der 211 Pfarreien wird durch das Generalvikariat mit IT oder Archivierungs­leistungen betreut, dann müssten 211 Verträge zur Auftragsverarbeitung geschlossen werden. Das ist nicht nur ökologisch durchaus kritisch hinterfragbar. Auch unter dem Aspekt der Nähe von Generalvikariat und Pfarrei erscheint es sinnvoll, andere Wege zu gehen.

Anderes Rechtsinstrument

Eine Lösung bietet § 29 Abs. 3 KDG. Danach kann neben dem erwähnten Vertrag zur Auftragsverarbeitung auch ein anderes Rechtsinstrument nach dem kirchlichen Recht die Grundlage der Datenverarbeitung schaffen. Ein solches Rechtsinstrument wurde im Bistum Münster mit dem

  • Gesetz zur Regelung des Rechtsinstruments nach § 29 Gesetz über den Kirchlichen Datenschutz (KDG) im Bereich der Diözese Münster (§ 29-KDG-Gesetz)

und der

  • Verordnung zur Durchführung des Gesetzes zur Regelung des Rechtsinstruments nach § 29 Gesetz über den Kirchlichen Datenschutz (KDG) im Bereich der Diözese Münster vom 1. Januar 2020 (§ 29-KDG-Gesetz-DVO)

geschaffen.

Dabei regelt § 2 des § 29-KDG-Gesetz, dass das § 29-KDG-Gesetz die Grundlage der Verarbeitung personenbezogener Daten im Auftrag liefert und die Vorgaben nach § 29 Abs. 3 und 4 KDG zu beachten sind. Die Details werden dann in der § 29-KDG-Gesetz-DVO geregelt:

  • Erfasst wird die Verarbeitung personenbezogener Daten durch das Bistum Münster, den Bischöflichen Stuhl, das Domkapitel, die Kirchengemeindeverbände, die Kirchengemeinden und sonstige öffentlich-rechtlich verfasste kirchliche Stellen für andere öffentlich-rechtlich verfasste kirchliche Stellen. Diese Stellen handeln entweder als Verantwortliche oder Verarbeiter […]. Die Verordnung gilt für die Verarbeitung personenbezogener Daten, soweit eine der genannten Körperschaften und angehörigen Einrichtungen diese Daten für eine der anderen genannten Körperschaften und angehörigen Einrichtungen verarbeitet.
  • Erfasst werden insbesondere die Bereitstellung folgender Anwendungssoftware, Tätigkeiten und Diensten im Rahmen folgender exemplarischer Verarbeitungen;
    • Bereitstellung der elektronischen Informations- und Datenverarbeitungssysteme, insbesondere die Ausstattung mit Hard- und Software von Arbeitsplatzcomputern, zentrale IT-Systeme (E-Mailsystem, Dateiablagesysteme, Archivierungssysteme, IT-Sicherheitssysteme, IT-Verwaltungssysteme),
    • Personalverwaltung und -abrechnung, Besoldung, Finanzbuchhaltung, Buchführung, Kassengeschäfte, Spendenverwaltung, Immobilienverwaltung, Friedhofsverwaltung, kirchliches Meldewesen, Verwaltungsaufgaben für Kirchengemeinden, Verwaltungsaufgaben für Tageseinrichtungen für Kinder, Verwaltungsaufgaben für Büchereien, Verwaltungsaufgaben für Bildungshäuser, Plattformbereitstellung für Onlineschulungen, Datenschutztätigkeiten,
    • Schulungen, Aus-, Fort- und Weiterbildungen oder sonstige entsprechende Veranlassungen.
  • Der Verarbeiter hat die getroffenen technisch-organisatorischen Maßnahmen zu dokumentieren. (Das muss dann tatsächlich individuell erfolgen – also ganz auf Papier wird man daher nicht verzichten können).

Wer noch?

Neben dem Bistum Münster haben auch folgende Diözesen entsprechende Gesetze auf den Weg gebracht (Aufzählung nicht abschließend):

Fazit

Die neuen Rechtsvorschriften erleichtern die Arbeit des Datenschutzbeauftragten im Bistum ungemein. Lediglich die Dokumentation der getroffenen technisch-organisatorischen Maßnahmen muss noch erfolgen und mit dem Verzeichnis der Verarbeitungstätigkeiten entsprechend verknüpft werden. Es bleibt zu hoffen, dass entsprechende Regelungen auch in anderen Bistümern erlassen werden. Das § 29-KDG-Gesetz sowie die § 29-KDG-Gesetz-DVO können hier angerufen werden.

| | , | ,