Kirche präzisiert Datenschutzrecht: Kriterien für Online-Seelsorge
Der Verband der Diözesen Deutschlands (VDD) hat das kirchliche Datenschutzrecht mit Ausführungsbestimmungen präzisiert. Bereits am 19. November hat der VDD die neue Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO) beschlossen, wie der Vorsitzende der Konferenz der Diözesandatenschutzbeauftragten am Mittwoch mitteilte.
Die Durchführungsverordnung regelt dabei unter anderem den Umgang mit Daten näher, die dem Beicht- oder Seelsorgegeheimnis unterliegen. Personenbezogene Daten, die dem kirchenrechtlich festgeschriebenen Beichtgeheimnis unterliegen, dürfen generell nicht verarbeitet werden. Für sonstige im Rahmen der Seelsorge anfallende personenbezogene Daten müssen besonders hohe Sicherheitsmaßnahmen getroffen werden. Die KDG-DVO nennt als Beispiel dafür den Betrieb eigener Server, die keine Verbindung zur Außenwelt haben, und starke Verschlüsselung der verwendeten Datenträger.
Online-Seelsorge, E-Mail, Fax und Datengeheimnis
Die Online-Seelsorge, bei der eine Erreichbarkeit von außerhalb unumgänglich ist, wird dadurch nicht beeinträchtigt. Eine eigene Sonderregelung erlaubt kirchliche Online-Beratungsangebote explizit, wenn sie besondere Sicherheitsmaßnahmen treffen. Ein Beispiel für ein derartiges System ist die von der Katholischen Arbeitsstelle für missionarische Pastoral koordinierte Internetseelsorge. Diese stellt dafür ein besonders gesichertes, verschlüsseltes Webmail-System zur Verfügung, bei dem die Nachrichten nach Ende der Beratung sicher gelöscht werden.
Darüber hinaus trifft die KDG-DVO noch einige weitere Detailregeln. Dazu gehören neben Bestimmungen über die Verpflichtung kirchlicher Mitarbeiter und Ehrenamtlicher auf die datenschutzrechtlichen Regelungen auch ein grundsätzliches Verbot der Nutzung dienstlicher IT-Systeme zu privaten Zwecken sowie Bedingungen, unter denen ausnahmsweise private Geräte für dienstliche Zwecke genutzt werden dürfen. Auch die Verwendung von Fax-Geräten und E-Mails für die Übermittlung personenbezogener Daten wird geregelt.
Das Siegel des katholischen Datenschutzzentrums in Dortmund ist, wie das Gesetz es verlangt, im kirchlichen Amtsblatt abgedruckt.
Nicht alle Arten von personenbezogenen Daten benötigen den gleichen Schutz. Die KDG-DVO teilt daher Daten abhängig von ihrer Schutzwürdigkeit in verschiedene Datenschutzklassen ein und definiert dafür nötige Schutzniveaus. Dabei werden Daten, "deren missbräuchliche Verarbeitung keine besonders schwerwiegende Beeinträchtigung des Betroffenen erwarten lässt" (Schutzklasse 1), Daten, "deren missbräuchliche Verarbeitung den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigen kann" (Schutzklasse 2) sowie Daten, "deren missbräuchliche Verarbeitung die gesellschaftliche Stellung oder die wirtschaftlichen Verhältnisse des Betroffenen erheblich beeinträchtigen kann" (Schutzklasse 3) unterschieden.
Für die unterschiedlichen Schutzklassen wird jeweils das einzuhaltende Datenschutzniveau definiert. Beispiele für Schutzklasse 1 sind Namen und Adressen, für Schutzklasse 2 Daten über Mietverhältnisse und Geschäftsbeziehungen und für Schutzklasse 3 Informationen über strafbare Handlungen oder Disziplinarentscheidungen. Personenbezogene Daten, die dem Seelsorgegeheimnis unterliegen, sind dabei mit Maßnahmen zu schützen, die mindestens dem Schutzniveau 3 entsprechen.
Bischöfe müssen KDG-DVO noch in Kraft setzen
Die KDG-DVO soll ab dem 1. März 2019 gelten. Dazu muss sie noch von jedem Bischof einzeln in Kraft gesetzt werden. Bis dahin gilt gemäß KDG die Durchführungsverordnung für die bis zum 23. Mai 2018 gültige "Anordnung über den kirchlichen Datenschutz" weiter. Im Oktober hatte die Konferenz der Diözesandatenschutzbeauftragten eine Arbeitshilfe veröffentlicht, wie die KDO-DVO im Licht des KDG anzuwenden und auszulegen ist.
Das KDG ist seit dem 24. Mai in Kraft. Mit dem von den Bischöfen erlassenen Gesetz regelt die katholische Kirche den Datenschutz in ihrem Bereich. Religionsgemeinschaften dürfen eigene Datenschutzgesetze anwenden, sofern sie im Einklang mit der seit dem 25. Mai 2018 geltenden europäischen Datenschutzgrundverordnung stehen. (fxn)