Die Uhr tickt, das neue EKD-Datenschutzgesetz kommt auf einmal ganz plötzlich. Es ist fast so wie bei Weihnachten, das ganz unerwartet am 24. Dezember auf einmal da ist, und man besorgt die letzten Geschenke am Vormittag des Heiligabends. In Bezug auf Datenschutz reden wir nicht über Dezember, sondern Mai. Zum 24.5.2018 tritt das neue EKD-Datenschutzgesetz in Kraft, am Folgetag dann die EU-Datenschutzgrundverordnung. Im November hatte die EKD-Synode das DSG-EKD 2018 beschlossen, um das kirchliche Recht der dann EU-weit geltenden Datenschutzgrundverordnung anzupassen. Man kann trefflich (durchaus auch theologisch) streiten, ob es ein eigenes kirchliches Datenschutzrecht – die Kirche muss ja nicht alle Privilegien nutzen, die das Grundgesetz ihr einräumt – braucht oder ob nicht besser in diesem Bereich staatliches Recht hätte übernommen werden sollen. Aber Gesetz ist nun mal Gesetz und daher einzuhalten, sonst droht ab dem 24. Mai nach Kirchenrecht ein Bußgeld, das bis zu einer halben Million Euro betragen kann.
Das neue Gesetz bringt Veränderungen für die Arbeit in Kirchengemeinden, Kirchenkreisen und Einrichtungen mit sich. Im Bereich der kirchlichen Verwaltung werden Vorbereitungen für die neue Rechtslage getroffen, Unsicherheiten im Umgang mit dem neuen Datenschutzrecht gibt es vor allem im Bereich der Öffentlichkeitsarbeit. Gerade in Bezug auf Datenschutzerklärungen für Websites versuchen zurzeit unseriöse Anbieter, diese Unsicherheit auszunutzen und mit überteuerten Angebote zur Überarbeitung Profit zu machen.
Regelungen aus der kirchlichen Verwaltung übernehmen
Im neuen EKD-Datenschutzgesetz nimmt unmittelbar auf die Medien nur Paragraf 51 Bezug („Verarbeitung personenbezogener Daten durch die Medien“), der aber keine Veränderung gegenüber dem bisherigen Recht darstellt. Um für die Öffentlichkeitsarbeit Insellösungen zu vermeiden, sollten Verfahren aus der Verwaltung der Gemeinden oder des Kirchenkreises wenn möglich übernommen werden. Dies gilt beispielsweise für Regelungen, wie nicht mehr benötigte personenbezogene Daten gelöscht werden, wie man Informationspflichten nachkommen kann und bei der Umsetzung für IT-Sicherheit. Also: am besten setzen sich die Verantwortlichen für Öffentlichkeitsarbeit mit ihrer Verwaltung zusammen, um zu vereinbaren, wie solche Regelungen übernommen werden können.
Datenschutzerklärung für die eigene Website
Spezifischen Handlungsbedarf sehe ich in Bezug auf die Öffentlichkeitsarbeit bei folgenden Punkten. Die Datenschutzerklärung auf der eigenen Website ist an die neue Rechtslage zupassen. Dabei ist sicherzustellen, dass die Datenschutzerklärung auch technisch die Datenverarbeitung – z. B. in Bezug auf Cookies und Statistiktools – richtig angibt. Am besten orientieren sich Gemeinden dabei an den Vorlagen der Landeskirche (für die rheinische Kirche werden wir diese zeitnah im Intranet als Vorlage bereitstellen).
Newsletter als Auftragsdatenverarbeitung
Zum Newsletterversand werden in der Regel externe Dienstleister genutzt, die den Versand in Auftragsdatenverarbeitung durchführen. Bestehende Verträge sind daher auch auf die neue Rechtslage umzustellen. Grundsätzlich bedarf die Verarbeitung personenbezogener Daten der Einwilligung. Neu ist nun die explizite Regelung (§12), dass bei elektronischen Angeboten nur religionsmündige Jugendliche die Einwilligung erteilen können, also: kein Newsletterversand an Jugendliche unter 14 ohne Zustimmung der Sorgeberechtigten. E-Mail ist als Kommunikationsmittel bei dieser Altersgruppe allerdings sowieso zu vernachlässigen, aber will eine Gemeinde beispielsweise Messengerdienste anbieten, greift diese Regelung auch in der Praxis.
Datensparsamkeit ist bester Datenschutz
Die EU-Datenschutzgrundverordnung macht Datensparsamkeit zum Prinzip. Also sollten nur Daten erhoben werden, die wirklich notwendig sind. Wer einen E-Mail-Newsletter anbietet, benötigt keine Postanschrift der Abonnentinnen und Abonnenten. Entfällt der Zweck, beispielsweiseweil weil ein Newsletter eingestellt wird, sind die entsprechenden Daten – hier der Newsletterverteiler – zu löschen.
Andachtsstreaming explizit erlaubt
Erfreulich ist, dass nun in Bezug auf Übertragung und Aufzeichnung von Gottesdiensten und anderen kirchlichen Veranstaltungen eine rechtliche Klarstellung erfolgt (§ 53): Diese sind zulässig, „wenn die Teilnehmenden durch geeignete Maßnahmen über Art und Umfang der Aufzeichnung oder Übertragung informiert werden.“ Gegen Live-Streaming eines Gottesdienstes auf YouTube können keine datenschutzrechtlichen Argumente mehr vorgebracht werden.
Nachtrag 18.5.2018: hier ein aktuellerer Blogpost zum Thema
