Datenschutzbeauftragter nach dem KDG

Wer in einer kirchlichen Einrichtung für den Datenschutz zuständig ist, arbeitet mit einem anderen Gesetz als der Rest der Wirtschaft. Ein Datenschutzbeauftragter nach KDG folgt dem Katholischen Datenschutzgesetz, nicht unmittelbar der DSGVO – und meldet an eine andere Aufsicht.

Warum für Kirchen eigenes Recht gilt

Der Grund steht in der Verordnung selbst. Art. 91 DSGVO erlaubt Kirchen und religiösen Vereinigungen, ihre bereits bestehenden Datenschutzregeln weiter anzuwenden, sofern diese mit der Verordnung in Einklang gebracht werden. Von dieser Öffnung hat die katholische Kirche mit dem KDG Gebrauch gemacht, die evangelische mit dem DSG-EKD.

Beide Regelwerke sind inhaltlich eng an die DSGVO angelehnt. Wer die Verordnung kennt, findet sich zurecht: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Betroffenenrechte, Meldepflicht bei Datenpannen – die Systematik ist dieselbe. Unterschiedlich sind Nummerierung, Begriffe und vor allem die Zuständigkeiten.

Wichtig ist die Reichweite. Erfasst sind nicht nur Bistümer und Pfarreien, sondern auch die Einrichtungen in kirchlicher Trägerschaft: Krankenhäuser, Alten- und Pflegeheime, Kindertagesstätten, Schulen, Beratungsstellen, Caritas- und Diakonieverbände. Für viele dieser Häuser ist der Datenschutz keine Randfrage, weil sie Gesundheitsdaten verarbeiten.

Wer benennen muss

Das KDG verlangt von jeder verantwortlichen Stelle die Benennung eines Datenschutzbeauftragten. Der praktische Unterschied zur DSGVO ist erheblich: Die Schwelle, ab der im gewerblichen Bereich benannt werden muss, spielt hier keine Rolle. Die Pflicht knüpft an die Eigenschaft als kirchliche Stelle an, nicht an die Zahl der Beschäftigten.

Ob die Aufgabe aus den eigenen Reihen besetzt oder an einen externen Dienstleister vergeben wird, entscheidet die Einrichtung selbst. Für kleinere Träger ist die externe Lösung häufig die einzig praktikable – die Anforderungen an Fachkunde und Unabhängigkeit sind dieselben wie im weltlichen Recht, und die Personen, die dafür infrage kämen, sind meist bereits mit der Verarbeitung befasst.

Die Abwägung zwischen interner und externer Besetzung unterscheidet sich sachlich nicht von der im gewerblichen Bereich; sie ist unter Wissen zum Datenschutzbeauftragten beschrieben. Die Schritte bis zur Bestellung stehen in der Checkliste.

Die eigene Aufsicht

Hier liegt der Unterschied, der in der Praxis am häufigsten übersehen wird: Für kirchliche Stellen ist nicht die staatliche Landesdatenschutzbehörde zuständig, sondern die kirchliche Datenschutzaufsicht. Im katholischen Bereich sind das die Diözesandatenschutzbeauftragten, die für mehrere Bistümer gemeinsam eingerichtet sind; im evangelischen Bereich der Beauftragte für den Datenschutz der EKD.

Das hat konkrete Folgen:

  • Die Benennung ist der kirchlichen Aufsicht anzuzeigen, nicht der staatlichen.
  • Eine Datenpanne wird dorthin gemeldet. Die Frist von 72 Stunden gilt entsprechend – wer die Meldung an die falsche Stelle richtet, verliert Zeit, die er nicht hat.
  • Beschwerden von Betroffenen laufen ebenfalls über die kirchliche Aufsicht, die eigene Rechtsbehelfe und einen eigenen Instanzenzug vorsieht.
  • Auskunftsansprüche und Bußgeldrahmen richten sich nach dem KDG, nicht nach der DSGVO.

Was in kirchlichen Einrichtungen anders wiegt

Die Dokumentenlage entspricht der aus dem gewerblichen Bereich: Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Löschkonzept, Verträge mit Dienstleistern nach dem Muster der Auftragsverarbeitung.

Drei Punkte fallen bei kirchlichen Trägern jedoch stärker ins Gewicht:

Besondere Kategorien von Daten sind der Regelfall. Religionszugehörigkeit ist bereits eine besondere Kategorie; in Pflege und Beratung kommen Gesundheitsdaten hinzu. Damit ist eine Datenschutz-Folgenabschätzung häufiger erforderlich als anderswo.

Ehrenamtliche gehören dazu. In vielen Einrichtungen verarbeiten Personen Daten, die nicht angestellt sind – im Gemeindebüro, in der Jugendarbeit, im Besuchsdienst. Sie sind zu verpflichten und zu schulen wie Beschäftigte auch.

Die Strukturen sind verschachtelt. Ein Träger, mehrere Einrichtungen, dazwischen Verbände und Zweckbetriebe – wer im Einzelfall verantwortliche Stelle ist, muss geklärt sein, bevor eine Anfrage eintrifft.

Zusammenarbeit und Kosten

Die Betreuung läuft wie im gewerblichen Bereich: Bestandsaufnahme, Priorisierung, laufende Begleitung. Der Unterschied liegt im Regelwerk, nicht im Verfahren. Ortsunabhängig funktioniert das ebenso – siehe Remote-DSB.

Die Preise entsprechen denen im gewerblichen Bereich; die Aufstellung steht unter Kosten – ab 137 € im Monat. Für eine vorübergehende Vakanz gibt es den Interim-Datenschutzbeauftragten, für intern besetzte Rollen das Coaching.

Kontakt

Sie sind kirchlicher Träger und wissen nicht, ob Ihre Einrichtung eigenständig benennen muss? Das lässt sich in einem Gespräch klären – kostenlos und unverbindlich.