Datenschutz

Novellierung des kirchlichen Datenschutzrechts und die Auswirkungen auf die Büchereiarbeit

Die Ausführungen möchten dazu beitragen, all denjenigen, die mit der Datenverarbeitung in den Büchereien betraut sind, einen ersten Überblick zu verschaffen, was nach dem neuen Recht zu einem datenschutzfreundlichen Verhalten gehört. Die Wahrung des Persönlichkeitsrechts der betroffenen Person und ihres legitimen Anspruchs auf informationelle Selbstbestimmung, muss für kirchliche Dienststellen und somit auch für katholische öffentliche Büchereien selbstverständlich sein.

Im Folgenden sei beschrieben, worauf Sie in Ihrer Bücherei achten müssen. Allerdings kann dies nur in allgemeiner Form geschehen und stellt keine rechtsverbindliche Beratung dar. Deshalb sollten Sie sich umgehend an den Datenschutzbeauftragten Ihrer Kirchengemeinde bzw. Seelsorgeeinheit wenden und nötige Maßnahmen abstimmen. Am Ende der Seite finden Sie einige Muster zur Ihrer weiteren Verwendung!

Der Datenschutz soll als ein wirksames Mittel zur Durchsetzung einer Verarbeitung angesehen werden, die auf das Persönlichkeitsrecht von Menschen Rücksicht nimmt.

Durch die Europäische Datenschutzgrundverordnung (EU-DSGVO) wird das Datenschutzrecht innerhalb der Europäischen Union vereinheitlicht. Dies ist ein entscheidender Schritt, um das fundamentale Recht aller Bürger auf Erhaltung ihrer Intimsphäre auch im digitalen Zeitalter zu gewährleisten. Es wurde ein modernes und zeitgemäßes Recht geschaffen, das dem Einzelnen eine faire Verwendung seiner Daten und den Schutz seines Persönlichkeitsrechts erhalten soll. Damit das im digitalen Zeitalter noch gelingen kann, sind die Vorschriften zur Einhaltung datenschutzgerechter Verarbeitungen wesentlich verschärft worden. Zugleich wurden auch den Aufsichtsbehörden Maßnahmen an die Hand gegeben, die eine effektive Durchsetzung der Rechte der betroffenen Personen ermöglichen sollen.

Für kirchliche Dienststellen gilt das Kirchliche Datenschutzgesetz (KDG)

Die Kirchen, die sich dem Wohl der Menschen in besonderer Weise verpflichtet fühlen, haben sich diesem Anliegen angeschlossen. Der Art. 91 DSGVO gibt den Religionsgesellschaften die Möglichkeit für ihre Einrichtungen eigene Regelungen zu erstellen, die aber mit der Grundverordnung in Einklang zu bringen sind. In dieser Weise soll auch bei uns die Einheitlichkeit mit dem europäischen Recht hergestellt werden. Aus diesem Grunde wurde eine neue Regelung zum Datenschutz vorbereitet, über welche in der Herbstversammlung 2017 des Verbandes der Deutschen Diözesen (VDD) entschieden wurde. Das neue Kirchliche Datenschutzgesetz (KDG) löst die bisher geltende Anordnung über den kirchlichen Datenschutz (KDO) am 24. Mai 2018 ab. D.h. für Büchereien in kirchlicher Trägerschaft: Die Rechtsgrundlage ist das KDG.

Bestellung des Datenschutzbeauftragten - Ihr Ansprechpartner vor Ort!

Im § 36 Absatz 1 KDG ist vorgeschrieben, dass bestimmte kirchliche Einrichtungen, darunter Kirchengemeinden und Kirchengemeindeverbände, einen Datenschutzbeauftragten bestellen müssen. Nehmen Sie bitte den Datenschutzbeauftragten bzw. Ihren Kirchenvorstand "in die Pflicht". Die gesetzlichen Regelungen gehen die gesamte Pfarrei bzw. Kirchengemeine und Seelsorgeeinheiten an und betreffen somit auch die Bücherei. Der bzw. die bestellte Datenschutzbeauftragte sorgt dafür, dass die Datenschutzbestimmungen eingehalten werden und berät Sie auch bei der Durchführung. Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht werden. Für KÖBs heißt das: diese Angabe gehört in die Datenschutzerklärung der Website und in den Datenschutz-Abschnitt der Benutzungsordnung (Muster finden Sie am Ende der Seite!). Wer Ihr Datenschutzbeauftragter ist, weiß entweder der Pfarrer oder der Kirchenvorstand. Warten Sie bitte nicht ab, bis auf Sie jemand zukommt.

Umfassende Informations- und Dokumentationspflichten

Und da sind wir auch schon bei den Auswirkungen der neuen Gesetzeslage. In welcher Weise müssen Büchereien überhaupt aktiv werden? Wo wirkt sich das KDG auf die Praxis in Büchereien aus?

Die Basis für einen adäquaten Datenschutz bilden allgemeine Grundsätze für die Verarbeitung personenbezogener Daten. Dazu gehört bspw. die Forderung, dass personenbezogene Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. D.h., überall da, wo Daten verarbeitet werden, muss auch erklärt werden, zu welchem Zweck dies geschieht und auf welcher Rechtsgrundlage und das möglichst in einer einfachen und klaren Sprache. Da in KÖBs ständig Daten verarbeitet werden, müssen Sie an geeigneter Stelle über den Datenschutz informieren. Jeder Ausleihvorgang ist eine Datenverarbeitung, jede Anmeldung eines neuen Lesers, jedes Mahnschreiben, ebenso der Aufruf einer Webseite. Dabei spielt es im Übrigen keine Rolle, ob Sie mit einer Bibliothekssoftware oder mit Karteikarten arbeiten.

Bild: ©Pixabay.de

Auf jede Webseite gehören eine Datenschutzerklärung und ein Impressum, wenn die Bücherei eine eigene Webseite betreibt. Dazu gibt es Muster und Generatoren. Sie berücksichtigen jedoch nicht die eigenständige Rechtsgrundlage der Kirche und müssen deshalb angepasst werden. Wenn Sie einen Generator für eine Datenschutzerklärung nutzen, finden sich im fertigen Text Verweise auf die DSGVO als Rechtsgrundlage. Für alle kirchlichen Institutionen ist es wichtig, statt auf die DSGVO auf das Gesetz über den kirchlichen Datenschutz (KDG) zu verweisen.

In den Datenschutzerklärungen wird in der Regel auf folgende Stellen aus der DSGVO verwiesen, daneben haben wir die entsprechende Stelle im KDG notiert. „lit.“ steht in den Verweisen für „Buchstabe“. Ersetzen Sie in der Datenschutzerklärung:

• Art. 6 Abs. 1 lit. a DSGVO durch § 6 Abs. 1 Buchstabe b KDG („die betroffene Person hat in die Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke eingewilligt“),
• Art. 6 Abs. 1 lit. b DSGVO durch § 6 Abs. 1 Buchstabe c KDG („die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen“),
• Art. 6 Abs. 1 lit. f DSGVO durch § 6 Abs. 1 Buchstabe g KDG („die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ...“).

Weil es jede Menge datenschutzrelevante Funktionen von Webseiten gibt (u.a. Cookies, Tools zur Nutzungsanalyse, Facebook- und Twitter-Buttons, Einbinden von Google Maps, Newsletter, Kontaktformulare uvm.) empfiehlt es sich, trotzdem einen entsprechenden Generator zu benutzen und den Text dann auf das KDG anzupassen. Sprechen Sie dazu mit Ihrem Datenschutzbeauftragten.

Grundsätzlich müssen Sie nach §15 KDG über folgende Punkte informieren:

• Wer ist der/die Verantwortliche? - Kontaktdaten des Trägers (Pfarrer)
• Wer ist der/die betriebliche/r Datenschutzbeauftragter? - Kontaktdaten
• Zweck der Datenverarbeitung
• Rechtsgrundlage
• Werden persönliche Daten weitergegeben?
• Wie lange werden diese Daten gespeichert?
• Betroffenenrechte (Auskunftsrecht, Recht auf Berichtigung und Löschung)
• Widerrufsrecht (sofern bspw. eine Einwilligung für einen Newsletter gegeben wurde oder zur Benachrichtigung über Vormerkungen per eMail)
• Beschwerderecht
• Ist die Bereitstellung personenbezogener Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich?

In den meisten Fällen zu begründen mit KDG § 6 Abs. 1, Buchstabe b) Person hat eingewilligt, c) die Verarbeitung ist für die Erfüllung des Vertrages erforderlich oder g) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich [...] um einen Minderjährigen handelt.

Das KDG sieht Änderungen zu den Anforderungen an eine Auftragsdatenverarbeitung vor. Die Pflichten des Auftraggebers (die Bücherei bzw. der Träger, da dieser Verträge unterzeichnet) sowie des Auftragnehmers (bspw. der Dienstleister) werden erweitert. Es ist also zu prüfen, ob alle Prozesse mit einer Auftragsverarbeitung vertraglich erfasst sind und ob die bisherigen Regelungen ausreichend sind. Für derzeit schon abgeschlossene Auftragsverarbeitungen gilt gemäß § 57 Abs. 3 KDG eine Übergangsfrist bis zum 31.12.2019 zu der die Altverträge an die neue Rechtslage angepasst werden müssen. Im Falle unseres Hosting-Anbieters (Provider) und der SSL-Verschlüsselung muss also ein Vertrag zur Auftragsdatenverarbeitung geschlossen werden. Die (meisten) Provider haben bereits entsprechende Formulare zum Download vorbereitet oder schicken sie auf Anfrage zu.

Haben Sie einen Online-Katalog?

Dies gilt auch für Ihren WebOPAC bzw. Internetkatalog (findus, eOPAC, iOPAC, OPEN usw.). Die Anbieter haben in ihren Newslettern entsprechend informiert bzw. auf ihren Seiten Informationen zusammengestellt. Für Kunden von IBTC finden Sie u.a. im Kundenbereich einen "Vertrag zur Auftragsverarbeitung". Sollten Sie einen Newsletter über ein Newslettersystem betreiben, bspw. MailChimp, Newsletter-to-go usw., müssen Sie auch mit diesem Anbieter einen solchen Vertrag schließen. (Mehr zum Newsletter im folgenden Abschnitt unter "Newsletter"

In den Büchereien sind Verfahren zu erarbeiten, welche die Informations- und Betroffenenrechte gewährleisten und sicherstellen, dass die Pflichten umgesetzt und auch eingehalten werden. Zur Identifizierung des Änderungsbedarfs ist es notwendig, dass eine Bestandsaufnahme aller Prozesse durchgeführt wird, in denen personenbezogene Daten verarbeitet werden.

Das Gesetz schreibt in § 31 KDG ein Verzeichnis vor, in dem alle Vorgänge aufgelistet werden. In der Bücherei könnten das sein:

• Büchereiverwaltung (mittels Software und auch Karteikarten),
• Der Betrieb eines Online-Katalogs (WebOPAC etc.),
• Beteiligung an einer Onleihe
• Der Betrieb einer Internetseite,
• Ein Newsletter,
• Bereitstellung von W-LAN,
• ...

Die Beschreibung der einzelnen Vorgänge folgt immer der gleichen Struktur:

1. Bezeichnung der Verarbeitungstätigkeit
2. Beschreibung
3. Rechtliche Grundlage
4. Betroffener Personenkreis
5. Kategorien personenbezogener Daten
6. Datenquelle
7. Informations- und Transparenzpflicht
8. Weitergabe an Dritte (Auftragsverarbeitung)
9. Löschung
   

Das KDG stellt bestimmte Rahmenbedingungen auf, wie die Anforderungen einer Umsetzung zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen zu erfüllen sind. Die bereits genutzten Techniken sind nach diesen Gesichtspunkten zur überprüfen und für den Einsatz neuer Techniken ist sicherzustellen, dass die Anforderungen des Gesetzes berücksichtigt werden.

Technische und organisatorische Maßnahmen (TOM)- Muster vorhanden!

Darin werden alle Maßnahmen dokumentiert, die Sie in Ihrer Bücherei zum Thema Datenschutz getroffen haben. Das kann bspw. die Verpflichtung auf das Datengeheimnis nach § 5 KDG sein. Hier verpflichten sich die Mitarbeitenden (auch die ehrenamtlich tätigen), alle datenschutzrechtlichen Bestimmungen des Bistums bzw. der der Dienststelle einzuhalten und alle personenbezogenen Angaben, die Sie aufgrund Ihres Ehrenamtes erhalten haben oder die Ihnen im Zusammenhang mit Ihrem Ehrenamt zur Kenntnis gelangt sind, während der Tätigkeit und nach ihrer Beendigung vertraulich zu behandeln. Hinweis: bereits unterzeichnete Erklärungen behalten ihre Gültigkeit und müssen nicht noch einmal unterzeichnet werden.!

Daneben betreffen die TOM auch Büchereien, die zur Büchereiverwaltung Karteikarten nutzen. Für Büchereien, die eine Bibliothekssoftware im Einsatz haben, müssen bspw. Dinge geregelt werden, wie die Vergabe von individuellen Benutzerkennungen und Passwörtern für jede/n Mitarbeiter/in, am besten mit unterschiedlichen Rechten, Datensicherungen, Programmaktualisierungen usw. Es wird dringend empfohlen, die Updates für Ihre Büchereisoftware einzuspielen und die Hardwarevoraussetzungen zu erfüllen. Oftmals enthalten veraltete Systeme sowie Software Sicherheitslücken! Wir empfehlen dringend den Abschluss eines Softwarepflege- und Updatevertrags. Dann sind Sie auf der sicheren Seite.

Sie sind verpflichtet, Ihrem Datenschutzbeauftragten bzw. der Aufsichtsbehörde diese Verzeichnisse auf Nachfrage vorzulegen.

Zum Schluss: Transparenz - wirklich so schlimm?

Ist auf die hier beschriebene Art und Weise Klarheit über die Abläufe vorhanden, sind die Informationspflichten gegenüber dem Betroffenen relativ einfach zu erfüllen. Ohne solche Informationen zur Hand zu haben, ist eine Transparenz für den Leser nicht denkbar. Der Begriff Transparenz löst leider oft keine guten Assoziationen aus. Rasch bildet sich im Kopf eine Begriffskette: Transparenz --> Möglichkeit des "Einhakens" für den Betroffenen --> Behinderung der Abläufe. Dabei gerät aus dem Blick, dass auf folgende Begriffsreihe einen Sinn ergibt: Transparenz --> Abbau von Misstrauen beim Betroffenen --> Akzeptanz der Abläufe durch den Betroffenen.

Wichtig ist das Signal, dass Sie sich um die Einhaltung der neuen Bestimmungen bemühen und entsprechende Maßnahmen ergreifen.

Die Ausführungen können selbstverständlich trotz der Ausführlichkeit nicht alle Fragen beantworten, die sich aus Ihrer täglichen Büchereipraxis heraus ergeben. Sie stellt jedoch einen Einstieg dar, der zu einem verstärkten Problembewusstsein und zu weiteren Nachfragen in kritischen Situationen führen soll. So mag der bevorstehende Arbeitsaufwand als lästige Pflicht empfunden werden, aber Ihre Leserinnen und Leser, Besucherinnen und Besucher haben das Recht, dass mit ihren Daten gewissenhaft umgegangen wird.

Wir danken dem Borromäusverein e.V. in Bonn sehr herzlich dafür, dass wir auf die dort im Haus mit viel Mühe und Aufwand erarbeiteten Texte und Vorlagen zurückgreifen dürfen.

• Rücksprache mit Ihrem Träger/Ihren Trägern
• Verarbeitungsverzeichnis anlegen (Das KDG sieht vor, dass nur Daten erhoben werden dürfen, die für die angegebene Verarbeitung notwendig sind  und für die eine rechtliche Grundlage vorliegt. Deshalb werden in diesem Verzeichnis alle in der Bücherei vorkommenden Anwendungen dokumentiert und erklärt, bspw. Sammlung der Benuzuererklärungen, Einverständniserklärungen für Fotos, Medienerwerb, Mitarbeiterverwaltung, Bibliotheksverwaltung, WebOPAC und Online-Dienste, Datenweitergabe und -übernahme, Veranstaltungsorganisation.
• Das Verarbeitungsverzeichnis dient der Dokumentation und gewährt einem Außenstehenden einen transparenten Einblick in die für den Datenschutz relevanten Prozesse. Die Unterlage muss vorgewiesen werden können, sollte die Datenschutzaufsicht der Kirche eine Kontrolle (der Pfarrgemeinde im Ganzen) durchführen oder eine Person Auskunft über die Verwendung ihrer Daten einfordern.
  
  
• Einwilligungserklärungen anpassen oder neu erstellen (für Newsletter, ggf. Ausleihhistorie, Hinweis auf Datenschutzerklärung in der Benutzerordnung)
• Benutzungsordnung überprüfen (Achten Sie darauf, dass alls Datenanwendungen, die im Rahmen des Büchereibetriebes vorkommen, auch genannt sind. Die Datenschutzerklärung kann als eigene Anlage der BO beigefügt werden)
• Falls vorhanden: Einwilligungserklärung für Newsletter etc. anpassen
• Organisatorische und technische Maßnahmen treffen (bspw. SSL-Verschlüsselung der Webseite, aktuelle Büchereisoftware und sicherer Umgang mit personenbezogenen Daten in der Software, Regelungen über Zutritt in die Räumlichkeiten, Regelung zu Zugriff auf Dokumente, sicherer etc.)
• Mitarbeiterbelehrung (bspw. zum Umgang mit Passwörtern, Verpflichtung auf das Datengeheimnis, auch für Ehrenamtliche)
• Löschen von Daten, deren Speicherdauer überschritten wurde (Empfehlung für Daten inaktiver LeserInnen ca. 3 Jahre ab Rückgabe des letzten Mediums für etwaige Schadensersatzforderungen; Löschen von Konten und Zugängen ehemaliger MitarbeiterInnen)
• Datenschutzerklärung auf Webseite anpassen (sofern Sie eine eigene betreiben)
• Recht auf Auskunft: Sind Sie vorbereitet, wenn NutzerInnen  von dem Recht auf Auskunft Gebrauch machen?