Datenschutz für Kirchen und Vereine

Hier liegen zwei Fälle nebeneinander, die häufig verwechselt werden. Kirchen unterliegen eigenem Datenschutzrecht und eigener Aufsicht. Vereine und Stiftungen unterliegen der DSGVO wie jedes Unternehmen. Wer zu einem kirchlich getragenen Verein gehört, muss zuerst klären, welcher der beiden Fälle vorliegt.

Kirchliche Träger: eigenes Recht, eigene Aufsicht

Art. 91 DSGVO erlaubt Kirchen, ihre bestehenden Datenschutzregeln weiter anzuwenden. Davon haben beide großen Kirchen Gebrauch gemacht: die katholische mit dem KDG, die evangelische mit dem DSG-EKD.

Beide sind inhaltlich eng an die DSGVO angelehnt – Grundsätze, Betroffenenrechte, Meldepflicht bei Datenpannen, Verzeichnis, Folgenabschätzung. Unterschiedlich sind Nummerierung, Begriffe und vor allem die Zuständigkeiten.

Erfasst sind nicht nur Bistümer, Landeskirchen und Pfarreien, sondern die Einrichtungen in kirchlicher Trägerschaft: Krankenhäuser, Alten- und Pflegeheime, Kindertagesstätten, Schulen, Beratungsstellen, Caritas- und Diakonieverbände. Für viele davon ist das keine Randfrage, weil sie Gesundheitsdaten verarbeiten – dann greifen zusätzlich die Überlegungen aus dem Gesundheitswesen.

Der Unterschied, der in der Praxis am häufigsten übersehen wird: Zuständig ist nicht die staatliche Landesdatenschutzbehörde, sondern die kirchliche Aufsicht. Die Benennung wird dorthin gemeldet, eine Datenpanne dorthin gemeldet, Beschwerden laufen dorthin. Einzelheiten unter Datenschutzbeauftragter nach dem KDG.

Vereine und Stiftungen: DSGVO, aber mit eigenen Fragen

Hier gilt das allgemeine Recht. Die Besonderheiten liegen nicht im Gesetz, sondern in der Organisationsform.

Ehrenamtliche verarbeiten Daten. Im Vereinsbüro, in der Jugendarbeit, im Besuchsdienst, in der Kassenprüfung. Sie sind keine Beschäftigten, aber sie handeln für den Verein. Sie sind auf Vertraulichkeit zu verpflichten und zu schulen – und das gehört dokumentiert, weil der Verein dafür einsteht.

Die Mitgliederliste ist keine Freigabe. Namen und Anschriften an alle Mitglieder zu verteilen, ist eine Übermittlung mit eigener Rechtsgrundlage. Die Satzung kann dafür eine Grundlage schaffen; ohne sie trägt es selten.

Fotos von Veranstaltungen. Der Klassiker. Für die Veröffentlichung braucht es eine Grundlage; bei Minderjährigen kommt die Einwilligung der Sorgeberechtigten hinzu.

Spender- und Förderdaten. Zuwendungsbestätigungen unterliegen steuerlichen Aufbewahrungspflichten, Werbung an Spender den Regeln aus dem E-Mail-Marketing.

Private Geräte und Messenger. In Vereinen die Regel, nicht die Ausnahme. Was daran hängt, steht unter BYOD und Messenger im Betrieb – besonders das Adressbuchproblem trifft Gruppenchats von Übungsleitern und Gruppenleitungen.

Muss ein Beauftragter benannt werden?

Für Vereine gilt § 38 BDSG: ab zwanzig Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Ehrenamtliche zählen mit – ein Verein mit fünf Angestellten und dreißig aktiven Ehrenamtlichen kann die Schwelle erreichen, ohne dass jemand daran denkt. Unabhängig davon greift die Pflicht bei umfangreicher Verarbeitung besonderer Kategorien. Die Schritte stehen in der Checkliste.

Für kirchliche Stellen richtet sich die Pflicht nach dem jeweiligen kirchlichen Gesetz; sie knüpft dort nicht an eine Beschäftigtenzahl an.

Was wir übernehmen

Die Rolle des Beauftragten – kirchlich wie weltlich – ab 137 € im Monat, dazu Bestandsaufnahme, Verzeichnis, Verpflichtung der Ehrenamtlichen und Schulungen. Für Träger mit mehreren Einrichtungen lohnt der Blick auf ein Datenschutzmanagementsystem, damit Nachweise nicht an einzelnen Personen hängen.

Kontakt

Sie sind kirchlicher Träger oder Verein und wissen nicht, welches Recht für Sie gilt? Diese Frage steht vor allen anderen – und ist schnell beantwortet.