![\"\"](\"http:\/\/www.caritas-digital.de\/wp-content\/uploads\/2018\/03\/patrick-lindenberg-191841-unsplash-1536x1024.jpg\")
Foto: P. Lindenberg | unsplash.com<\/p><\/div>\n
Herr Kabir, die neue EU-Datenschutzverordnung tritt am 25. Mai 2018 in Kraft \u2013 und sorgt auch in den Reihen der Caritas f\u00fcr Unruhe. Sind die Auswirkungen auf unsere Arbeit tats\u00e4chlich so gravierend?<\/h6>\n
Das kommt darauf an, wie gut man sich in der Vergangenheit aufgestellt hat. Aber der Reihe nach. Zun\u00e4chst einmal ist zu ber\u00fccksichtigen, dass f\u00fcr die Caritas das Gesetz \u00fcber den Kirchlichen Datenschutz (KDG)<\/a> gilt. Das ist m\u00f6glich, weil die Kirche laut EU-Datenschutzgrundverordnung (EU-DSGVO)<\/a> den Datenschutz selbst regeln darf. Allerdings m\u00fcssen alle Bestimmungen des KDG im Einklang mit der EU-DSGVO stehen. Sehr viele Regelungen sind also inhaltsgleich.<\/p>\n Bereits die derzeit g\u00fcltige Regelung zum Datenschutz sieht Formalia wie Verfahrensverzeichnisse<\/a> (<\/em>Dokumentation des Umgangs mit personenbezogenen Daten, Anm. d. Redaktion)<\/em>, Auftragsdatenverarbeitung<\/a> (<\/em>Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten durch einen Dienstleister im eigenen Auftrag, Anm. d. Redaktion)<\/em>\u00a0und Betroffenenrechte<\/a> (<\/em>Rechte jeder Einzelperson gegen\u00fcber den f\u00fcr die\u00a0Verarbeitung Verantwortlichen, Anm. d. Redaktion)<\/em> vor. Diese Formalia wird es auch nach dem 25. Mai geben. Allerdings kommen noch einige neue Punkte hinzu. Wer diese noch nicht auf dem Schirm hat, muss jetzt schnell seine Hausaufgaben erledigen.<\/p>\n <\/p>\n Die Caritas muss ab dem 25. Mai beispielsweise ihrer Informationspflicht gegen\u00fcber Betroffenen wie zum Beispiel Spender(inne)n oder Mitarbeitenden nachkommen. Welche Informationen man preiszugeben hat, ergibt sich aus \u00a7\u00a7 15 und 16 KDG. Unterschieden wird in diesen beiden Vorschriften, ob die Daten unmittelbar bei der betroffenen Person selbst erhoben wurden oder nicht. Diese Information kann der jeweilige Verband grunds\u00e4tzlich selbst geben, da sich die Inhalte unmittelbar aus dem Gesetz ergeben. Dar\u00fcber hinaus hat der jeweilige Verband eine Datenschutz-Folgenabsch\u00e4tzung vorzunehmen, wenn eine Form der Datenverarbeitung aufgrund der Art, des Umfangs, der Umst\u00e4nde und der Zwecke der Verarbeitung ein hohes Risiko f\u00fcr die Rechte und Freiheiten der betroffenen Person bedeutet. Um diese Absch\u00e4tzung vornehmen zu k\u00f6nnen, soll es Hilfestellungen der Aufsichtsbeh\u00f6rden geben, so dass man auch dies grunds\u00e4tzlich selber machen kann.<\/p>\n <\/p>\n Grunds\u00e4tzlich gibt es\u00a0 kaum Unterschiede. Der Grund hierf\u00fcr: Das kirchliche Datenschutzrecht muss mit dem weltlichen im Einklang stehen. Es gibt allerdings die eine oder andere Besonderheit. So ist beispielsweise bei der Bu\u00dfgeldregelung in der KDG ein maximales Bu\u00dfgeld in H\u00f6he von \u201elediglich\u201c 500.000 Euro geregelt. Im weltlichen Recht liegt das deutlich h\u00f6her. Allerdings sieht das KDG eine Ausnahme. Gegen kirchliche Stellen k\u00f6nnen, soweit sie im weltlichen Rechtskreis \u00f6ffentlich-rechtlich verfasst sind, \u00fcberhaupt keine Geldbu\u00dfen verh\u00e4ngt werden. Einzige Ausnahme: Kirchliche Institutionen nehmen als Unternehmen am marktwirtschaftlichen Wettbewerb teil. Dann k\u00f6nnen auch sie bei Verst\u00f6\u00dfen gegen den Datenschutz mit bis zu 500.000 Euro belangt werden.<\/p>\n <\/p>\n Auch hier gibt es eine weitere Besonderheit im KDG. Diese findet sich in \u00a7 29 Abs. 11. Hier wird die Auftragsverarbeitung geregelt. Nach der neuen Vorschrift darf der Auftragsverarbeiter beziehungsweise der Dienstleister personenbezogene Daten nur innerhalb der Mitgliedstaaten der Europ\u00e4ischen Union (EU) oder innerhalb des Europ\u00e4ischen Wirtschaftsraums (EWR) verarbeiten. F\u00fcr eine Verarbeitung au\u00dferhalb ist die Zustimmung der Datenschutzaufsicht erforderlich. Die Aufsichtsbeh\u00f6rde kann die Verarbeitung zulassen, wenn sie selbst oder eine andere Aufsichtsbeh\u00f6rde festgestellt hat, dass an dem Ort, wo die Daten weiterverarbeitet werden, ein angemessenes Datenschutzniveau besteht. Diese Regelung ist daher bei jedem Dienstleister, mit dem man im Web arbeitet, genau zu pr\u00fcfen. Es kommt n\u00e4mlich immer wieder vor, dass Dienstleister mit Subunternehmern au\u00dferhalb der EU oder des EWR zusammenarbeiten. Dies ist rechtlich ab dem 25. Mai so ohne weiteres nicht mehr erlaubt.<\/p>\n <\/p>\n Die Verunsicherung kann ich nachvollziehen. Auf die System-Administratoren der Caritas kommen schon jetzt viele Datenschutz-Anfragen zu. Meist geht es darum, dass die Mitarbeiter wissen wollen, wie genau die datenschutzrechtlichen Anforderungen umzusetzen sind. Insbesondere Auskunftsersuchen oder der Antrag auf L\u00f6schung von personenbezogenen Daten sind in den meisten F\u00e4llen ohne Unterst\u00fctzung der IT nicht m\u00f6glich. Die M\u00f6glichkeit zur Anonymisierung oder Pseudonymisierung der Daten besteht f\u00fcr Anwenderinnen und Anwender nicht. Daher sind auch Nacharbeiten am Code von Websites in vielen F\u00e4llen erforderlich.<\/p>\n Ich empfehle dringend, die Datenschutzerkl\u00e4rung<\/strong> auf der Homepage anzupassen. Ebenso sollte die Website, soweit noch nicht schon geschehen, HTTPS-verschl\u00fcsselt werden. Es wird zwar offiziell verlangt, dass nur Seiten, auf denen personenbezogene Daten eingegeben werden k\u00f6nnen (zum Beispiel Kontaktformulare), zu verschl\u00fcsseln sind, meine Empfehlung ist aber: Gleich die ganze Website verschl\u00fcsseln.<\/p>\n <\/p>\n Das Schlimmste, was passieren kann: Sie werden von findigen Anw\u00e4lten abgemahnt. Das kann dann teuer werden und ist aus meiner Sicht als Datenschutzbeauftragter leider auch etwas peinlich.<\/p>\n <\/p>\n Newsletter-Anmeldemaske auf der Website des DiCV K\u00f6ln | Foto: Screenshot (28. M\u00e4rz 2018)<\/p><\/div>\n Der Grundsatz der Datenminimierung besagt, dass ich grunds\u00e4tzlich nur die Daten erheben und verarbeiten darf, die ich f\u00fcr die Vertragserf\u00fcllung ben\u00f6tige. Die Abmeldung darf keine hohen H\u00fcrden haben. Ich meine daher, dass das Formular so, wie es ist, ausreicht. Allerdings m\u00fcssen Sie die Betroffenen in der Datenschutzerkl\u00e4rung \u00fcber die Rechtsgrundlage informieren.<\/p>\n <\/p>\n Ja, die betroffene Person macht von ihrem Auskunftsrecht Gebrauch. Welche Informationen Sie mitzuteilen haben, ergibt sich aus \u00a7 17 KDG. Man k\u00f6nnte sich aber auch auf den Standpunkt stellen, dass\u00a0 Betroffene kein Auskunftsrecht haben, da sie durch die schriftliche Best\u00e4tigung der get\u00e4tigten Spende bereits \u00fcber alle relevanten Informationen verf\u00fcgten, so dass die Betroffenen wissen sollten, welche Daten von ihnen zur Verf\u00fcgung gestellt wurden. Ich w\u00fcrde hiervon aber immer abraten. Das kommt nicht gut an. Zum anderen tr\u00e4gt die Caritas immer die Beweislast daf\u00fcr, dass die Betroffenen tats\u00e4chlich die Informationen zum Abgleich erhalten haben. Dies wird \u2013 aus meiner Sicht \u2013 im Zweifel schwer nachzuweisen sein.<\/p>\n <\/p>\n Weitere Infos zum Thema:<\/strong><\/p>\n Am 25. Mai 2018 tritt die neue EU-Datenschutzverordnung in Kraft \u2013 und sorgt f\u00fcr Verunsicherung bei vielen Website-Admins. Wir haben mit dem Datenschutzbeauftragten des Deutschen Caritasverbandes, Rechtsanwalt Ziar Kabir, gesprochen und ihn gefragt, worauf wir mit unseren Caritas-Webauftritten achten m\u00fcssen.<\/p>\n","protected":false},"author":6,"featured_media":8927,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-8924","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"acf":[],"yoast_head":"\nWas sind\u00a0 beispielsweise neue Punkte und wie sehen die Hausaufgaben aus?<\/strong><\/h6>\n
Wie unterscheidet sich die EU-Verordnung vom kirchlichen Gesetz?<\/strong><\/h6>\n
Wie sieht es mit der Datenweitergabe aus?<\/strong><\/h6>\n
Besonders gro\u00df ist die Verunsicherung bei Website-Betreibern und Admins. Worauf m\u00fcssen diese k\u00fcnftig verst\u00e4rkt achten?<\/strong><\/h6>\n
<\/h6>\n
Welche Anpassungen an der eigenen Website sollten aus Ihrer Sicht bis zum 25. Mai unbedingt umgesetzt sein?<\/strong><\/h6>\n
Welche Konsequenzen hat es, wenn ich es nicht schaffe, die Website bis zum Inkrafttreten der Verordnung zu 100 Prozent datenschutzkonform zu bekommen?<\/strong><\/h6>\n
![\"\"](\"http:\/\/www.caritas-digital.de\/wp-content\/uploads\/2018\/03\/dfdf-300x206.png\")
Werden wir konkreter: Ich habe auf meiner Website ein Formular eingebaut, das im Hintergrund einen Datensatz erzeugt, beispielsweise f\u00fcr die Anmeldung zum Newsletter (siehe Beispielbild). Kann ich das einfach so lassen?<\/strong><\/h6>\n
Anderes Beispiel: Eine Person meldet sich, die \u00fcber die Website vor geraumer Zeit einem Spendenaufruf gefolgt ist \u2013 und will s\u00e4mtliche von ihr gespeicherten Daten zugestellt bekommen. Muss ich dieser Aufforderung zeitnah nachkommen?<\/strong><\/h6>\n
\n
\n![\"\"](\"http:\/\/www.caritas-digital.de\/wp-content\/uploads\/2018\/03\/IMG_8108-150x150.jpg\")
Zur Person:<\/strong> Ziar Kabir ist Rechtsanwalt und Gesch\u00e4ftsf\u00fchrer der SCO-CON:SULT GmbH. Seine Datenschutzexpertise weist er durch regelm\u00e4\u00dfige Fortbildungen nach. Dar\u00fcber hinaus ist er sowohl \u201eGDDcert.\u201c- als auch \u201eGDDCert. EU\u201c-zertifiziert. Den Deutschen Caritasverband ber\u00e4t er in datenschutzrechtlichen Fragen seit Januar 2015.<\/p>\n","protected":false},"excerpt":{"rendered":"