Bistum Mainz
.

Verordnung zur Durchführung der Anordnung über den kirchlichen Datenschutz (KDO-DVO)

i.d.F. des Beschlusses der Vollversammlung des Verbandes der
Diözesen Deutschlands vom 23. Juni 2003

(Kirchliches Amtsblatt für die Diözese Mainz 2004, Nr. 2, Ziff. 21, S. 26 ff.)

Aufgrund des § 19 der Anordnung über den kirchlichen Datenschutz (KDO) i.d.F. vom 23.06.2003 werden mit Wirkung vom 01.01.2004 die folgenden Regelungen getroffen:
####

I. Zu § 3a KDO (Meldung von Verfahren automatisierter Verarbeitung)

( 1 ) Sofern Verfahren automatisierter Verarbeitungen meldepflichtig sind, sind diese vor Inbetriebnahme schriftlich dem Diözesandatenschutzbeauftragten zu melden. Sofern ein betrieblicher Datenschutzbeauftragter bestellt ist, ist diesem gemäß § 18b Abs. 2 KDO eine Übersicht nach § 3a Abs. 2 KDO zur Verfügung zu stellen.
( 2 ) Für die Meldung von Verfahren automatisierter Verarbeitung vor Inbetriebnahme beziehungsweise die dem betrieblichen Datenschutzbeauftragten zur Verfügung zu stellende Übersicht soll das Muster gemäß der Anlage verwandt werden.
#

II. Zu § 4 KDO:

( 1 ) Zum Kreis der bei der Datenverarbeitung tätigen Personen im Sinne des § 4 KDO gehören die in den Stellen gemäß § 1 Abs. 2 KDO gegen Entgelt beschäftigten und ehrenamtlich tätigen Personen. Sie werden belehrt über:
  1. den Inhalt der KDO und anderer für ihre Tätigkeit geltender Datenschutzvorschriften; dies geschieht durch Hinweis auf die für den Aufgabenbereich des Mitarbeiters wesentlichen Grundsätze und im übrigen auf die Texte in der jeweils gültigen Fassung. Diese Texte werden zur Einsichtnahme und etwaigen kurzfristigen Ausleihe bereitgehalten; dies wird dem Mitarbeiter bekannt gegeben,
  2. die Verpflichtung zur Beachtung der in Nummer 1 genannten Vorschriften bei ihrer Tätigkeit in der Datenverarbeitung,
  3. mögliche disziplinarrechtliche bzw. arbeitsrechtliche/rechtliche Folgen eines Verstoßes gegen die KDO und andere für ihre Tätigkeit geltende Datenschutzvorschriften,
  4. das Fortbestehen des Datengeheimnisses nach Beendigung der Tätigkeit bei der Datenverarbeitung.
( 2 ) Über die Beachtung der Verpflichtung ist von den bei der Datenverarbeitung tätigen Personen eine schriftliche Erklärung nach näherer Maßgabe des Abschnittes III abzugeben. Die Urschrift der Verpflichtungserklärung wird zu den Personalakten der bei der Datenverarbeitung tätigen Personen genommen, welche eine Ausfertigung der Erklärung erhalten.
( 3 ) Die Verpflichtung auf das Datengeheimnis erfolgt durch den Dienstvorgesetzten der in der Datenverarbeitung tätigen Personen oder einen von ihm Beauftragten.
#

III. Zu § 4 KDO:

( 1 ) Die schriftliche Verpflichtungserklärung der bei der Datenverarbeitung tätigen Personen gemäß § 4 Satz 2 KDO hat zum Inhalt,
  1. Angaben zur Identifizierung (Vor- und Zuname, Geburtsdatum und Anschrift sowie Beschäftigungsdienststelle),
  2. die Bestätigung,
    1. dass auf die für den Aufgabenbereich des Mitarbeiters wesentlichen Grundsätze und im übrigen auf die Texte in der jeweils gültigen Fassung sowie
    2. auf die Möglichkeit der Einsichtnahme und etwaigen kurzfristigen Ausleihe dieser Texte
    hingewiesen wurde,
  3. die Verpflichtung, die KDO und andere für ihre Tätigkeit geltende Datenschutzvorschriften in der jeweils gültigen Fassung sorgfältig einzuhalten,
  4. die Bestätigung, dass sie über disziplinarrechtliche bzw. arbeitsrechtliche/rechtliche Folgen eines Verstoßes gegen die KDO belehrt wurden.
( 2 ) Die schriftliche Verpflichtungserklärung ist von der bei der Datenverarbeitung tätigen Person unter Angabe des Ortes und des Datums der Unterschriftsleistung zu unterzeichnen.
( 3 ) Für die schriftliche Verpflichtungserklärung ist das Muster gemäß der Anlage zu verwenden.
#

IV. Anlage zu § 6 KDO:

Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind,
  1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle),
  2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle),
  3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle),
  4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle),
  5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),
  6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
  7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
  8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
#

V. Zu § 12 Abs. 3 KDO:

( 1 ) Die Unterrichtung des Betroffenen (§ 2 Abs. 1 KDO) über eine Übermittlung gemäß § 12 Abs. 3 Satz 1 KDO erfolgt schriftlich.
( 2 ) Sie enthält
  1. die Bezeichnung der übermittelnden Stelle einschließlich der Anschrift,
  2. die Bezeichnung des Dritten, an den die Daten übermittelt werden, einschließlich der Anschrift,
  3. die Bezeichnung der übermittelten Daten.
#

VI. Zu § 13 Abs. 1 KDO:

( 1 ) Der Antrag des Betroffenen (§ 2 Abs. 1 KDO) auf Auskunft ist schriftlich an die verantwortliche Stelle (§ 2 Abs. 8 KDO) zu richten oder dort zu Protokoll zu erklären.
( 2 ) Der Antrag soll die Art der personenbezogenen Daten, über die Auskunft begehrt wird, näher bezeichnen. Der Antrag auf Auskunft über personenbezogene Daten, die weder automatisiert verarbeitet noch in einer nicht automatisierten Datei gespeichert sind, muss Angaben enthalten, die das Auffinden der Daten ermöglichen.
( 3 ) Der Antrag kann beschränkt werden auf Auskunft über
  1. die zur Person des Betroffenen gespeicherten Daten oder
  2. die Herkunft dieser Daten oder
  3. die Empfänger oder Kategorien von Empfängern, an die die Daten weitergegeben worden sind oder
  4. den Zweck, zu dem diese Daten gespeichert sind.
( 4 ) Vorbehaltlich der Regelung in § 13 Abs. 3 KDO wird die Auskunft in dem beantragten Umfang von der verantwortlichen Stelle (§ 2 Abs. 8 KDO) schriftlich erteilt.
( 5 ) Wenn die Erteilung der beantragten Auskunft gemäß § 13 Abs. 2 oder 3 KDO zu unterbleiben hat, so ist dies dem Antragsteller schriftlich mitzuteilen. Die Versagung der beantragten Auskunft soll begründet werden. Für den Fall, dass eine Begründung gemäß § 13 Abs. 4 KDO nicht erforderlich ist, ist der Antragsteller darauf hinzuweisen, dass er sich an den Diözesandatenschutzbeauftragten wenden kann; die Anschrift des Diözesandatenschutzbeauftragten ist ihm mitzuteilen.
#

VII. Zu § 13a KDO

( 1 ) Die Benachrichtigung des Betroffenen (§ 2 Abs. 1 KDO) gemäß § 13 a Abs. 1 KDO erfolgt, soweit die Pflicht zur Benachrichtigung nicht nach § 13a Abs. 2 und 3 entfällt, schriftlich durch die verantwortliche Stelle.
( 2 ) Sie enthält
  1. die zur Person des Betroffenen gespeicherten Daten,
  2. die Bezeichnung der verantwortlichen Stelle,
  3. den Zweck, zu dem die Daten erhoben, verarbeitet oder genutzt werden.
  4. die Empfänger oder Kategorien von Empfängern, soweit der Betroffene nicht mit der Übermittlung an diese rechnen muss.
#

VIII. Zu § 14 KDO:

( 1 ) Der Betroffene (§ 2 Abs. 1 KDO) kann schriftlich beantragen, ihn betreffende personenbezogene Daten zu berichtigen oder zu löschen. Der Antrag ist schriftlich an die Stellen gemäß § 1 Abs. 2 Nr. 2 und 3, im Falle des § 1 Abs. 2 Nr. 1 an das Bistum zu richten.
( 2 ) In dem Antrag auf Berichtigung sind die Daten zu bezeichnen, deren Unrichtigkeit behauptet wird. Der Antrag muss Angaben über die Umstände enthalten, aus denen sich die Unrichtigkeit der Daten ergibt.
( 3 ) In dem Antrag auf Löschung sind die personenbezogenen Daten zu bezeichnen, deren Speicherung für unzulässig gehalten wird. Der Antrag muss Angaben über die Umstände enthalten, aus denen sich die Unzulässigkeit der Speicherung ergibt.
( 4 ) Die zuständige Stelle entscheidet schriftlich über Anträge gemäß Abs. 1. Die Entscheidung ist dem Antragsteller bekannt zu geben. Im Falle des § 14 Abs. 8 KDO sind ihm die Stellen anzugeben, die von der Berichtigung, Löschung oder Sperrung verständigt worden sind. Ist eine Verständigung aufgrund des § 14 Abs. 8 KDO unterblieben, sind dem Antragsteller die Gründe dafür mitzuteilen.
( 5 ) Der Widerspruch gemäß § 14 Abs. 5 KDO ist schriftlich oder zur Niederschrift bei der verantwortlichen Stelle (§ 2 Abs. 8 KDO) einzulegen. Die Umstände, aus denen sich das schutzwürdige Interesse des Betroffenen wegen seiner besonderen persönlichen Situation ergibt, sind von dem Betroffenen darzulegen. Die verantwortliche Stelle entscheidet über den Widerspruch in geeigneter Form. Die Entscheidung ist dem Betroffenen bekannt zu geben.
#

Anlagen

#

1. Zu Abschnitt I. KDO-DVO (§ 3a KDO Meldung von Verfahren automatisierter Verarbeitungen)

Die Notwendigkeit für die in den nachfolgenden Formularen (Muster 1 und Muster 2) geforderten Angaben ergibt sich aus § 3a KDO. Für jedes automatisierte Verfahren einer verantwortlichen Stelle füllt der Rechtsträger (§ 1 Abs. 2 KDO) ein Formular nach Muster 1 und Muster 2 aus.
#

Muster 1

#

Allgemeine Angaben (§ 3a Abs. 2 Nr. 1 und Nr. 2 KDO)

1.
Name und Anschrift
1.1
des Rechtsträgers (§ 1 Abs. 2 KDO) (z.B. Kirchengemeinde)
1.2
der verantwortlichen Stelle (Jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt [§ 2 Abs. 8 KDO]) (z.B. Kindergarten der Kirchengemeinde)
2.
Vertretung der verantwortlichen Stelle
2.1
der nach der Verfassung (Statut, Geschäftsordnung, Satzung) berufene Leiter der verantwortlichen Stelle (z.B. Leiterin des Kindergartens der Kirchengemeinde)
2.2
mit der Leitung der Datenverarbeitung in der verantwortlichen Stelle beauftragte Personen (z.B. beauftragte Gruppenleiterin im Kindergarten der Kirchengemeinde)
#

Besondere Angaben (§ 3a Abs. 2 Nr. 3 bis Nr. 7 KDO)

3.
Zweckbestimmung der Datenerhebung, -verarbeitung
oder -nutzung (z.B. Mitglieder- und Bestandspflege)
4.
Betroffene Personengruppen und Daten oder Datenkategorien
4.1
Beschreibung der betroffenen Personengruppen (z. B. Arbeitnehmer, Gemeindemitglieder, Patienten usw.)
4.2
Beschreibung der diesbezüglichen Daten oder Datenkategorien (Mit „Daten“ sind „personenbezogene Daten“ i. S. d. § 2 Abs. 1 KDO gemeint, wie z.B. Name, Anschrift, Geburtsdatum, Religionszugehörigkeit. Grundsätzlich reicht jedoch die Angabe von Datenkategorien, z.B. Personaldaten, aus. Sogenannte „besondere Arten personenbezogener Daten“ (vgl. § 2 Abs. 10 KDO) sind entsprechend anzugeben.)
5.
Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können (Jede Person oder Stelle, die Daten erhält [§ 2 Abs. 9 KDO]) (z.B. Behörden, kirchliche Stellen, Versicherungen, ärztl. Personal usw.)
6.
Regelfristen für die Löschung der Daten
7.
Geplante Datenübermittlung ins Ausland
Ort, Datum, Unterschrift
#

Muster 2

#

Allgemeine Angaben (§ 3a Abs. 2 Nr. 1 und Nr. 2 KDO)

1.
Name und Anschrift
1.1
des Rechtsträgers (§ 1 Abs. 2 KDO) (z.B. Kirchengemeinde)
1.2
der verantwortlichen Stelle ( Jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt [§ 2 Abs. 8 KDO]) (z.B. Kindergarten der Kirchengemeinde)
2.
Vertretung der verantwortlichen Stelle
2.1
der nach der Verfassung (Statut, Geschäftsordnung, Satzung) berufene Leiter der verantwortlichen Stelle (z.B. Leiterin des Kindergartens der Kirchengemeinde)
2.2
mit der Leitung der Datenverarbeitung in der verantwortlichen Stelle beauftragte Personen (z.B. beauftragte Gruppenleiterin im Kindergarten der Kirchengemeinde)
#

Besondere Angaben (§ 3a Abs. 2 Nr. 8 und Nr. 9 KDO)

3.
Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (z.B. Konfigurationsübersicht, Netzwerkstruktur, Betriebs- und Anwendungssoftware, spezielle Sicherungssoftware usw.)
4.
Zugriffsberechtigte Personen
Ort, Datum, Unterschrift
#

2. Zu Abschnitt III. KDO-DVO ( § 4 Satz 2 KDO):

##

Verpflichtungserklärung

Ich verpflichte mich,
  1. die Anordnung über den kirchlichen Datenschutz – KDO – des Bistums vom sowie die anderen für meine Tätigkeit geltenden Datenschutzregelungen einschließlich der zu ihrer Durchführung ergangenen Bestimmungen sorgfältig einzuhalten und bestätige, dass ich auf die wesentlichen Grundsätze der für meine Tätigkeit geltenden Bestimmungen hingewiesen wurde. Ich wurde ferner darauf hingewiesen, dass die KDO und die Texte der übrigen für meine Tätigkeit geltenden Datenschutzvorschriften bei eingesehen und auch für kurze Zeit ausgeliehen werden können.
  2. das Datengeheimnis auch nach Beendigung meiner Tätigkeit zu beachten.
Ich bin darüber belehrt worden, dass ein Verstoß gegen das Datengeheimnis gleichzeitig einen Verstoß gegen die Schweigepflicht darstellt, der disziplinarrechtliche beziehungsweise arbeitsrechtliche/rechtliche Folgen haben kann.
Diese Erklärung wird zu den Akten genommen.
Vor- und Zuname, Anschrift:
Ort, Datum
Unterschrift
#
Würzburg, den 24. November 2003
Karl Kardinal Lehmann
Vorsitzender der Vollversammlung des
Verbandes der Diözesen Deutschlands