DSGVO: Religionsgemeinschaften und ihre Datenschutzverpflichtungen

Wie steht es um IHRE DSGVO-Konformität?

Vier Jahre sind vergangen, seit das Generaldekret der Italienischen Bischofskonferenz ("Bestimmungen zum Schutz des Rechts auf guten Ruf und Vertraulichkeit") (das "Generaldekret"), welches die DSGVO (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates) umsetzt, verabschiedet wurde und für alle religiösen Einrichtungen (katholische Religionsgemeinschaften und Orden, Kongregationen, Institute des geweihten Lebens und die Gesellschaften des apostolischen Lebens) hinsichtlich der Verarbeitung personenbezogener Daten verbindlich wurde.

Wie andere religiöse Einrichtungen und Kongregationen haben Sie sich sicherlich beeilt, die neuen Datenschutzbestimmungen einzuhalten und haben:

• eine Datenschutzpolitik verabschiedet
• ein Verzeichnis von Verarbeitungstätigkeiten erstellt
•  einen Datenschutzbeauftragten ernannt
• Verfahren für die Meldung von und den Umgang mit Datenschutzverletzungen (data breach) geschaffen
• Richtlinien für die Datensicherung und Handbücher für die Nutzung von Archiven erstellt
• Datenverarbeitungsverträge mit externen Auftragsverarbeitern geschlossen, usw.

Aber was ist seither passiert?

• ... haben Sie jemals überprüft, ob diese Dokumente noch auf dem neuesten Stand sind?
• ... wissen Sie noch, wer der für die Datenverarbeitung Verantwortliche und wer der Auftragsverarbeiter ist? Was sind ihre jeweiligen Verantwortlichkeiten?
• ... haben Sie sich jemals gefragt, ob die technischen und organisatorischen Maßnahmen, die Sie damals ergriffen haben, immer noch geeignet sind und ausreichen, Ihre personenbezogenen Daten vor unbefugter oder unrechtmäßiger Nutzung, vor Verlust, Zerstörung oder zufälliger Beschädigung zu schützen?
•  ... sind Sie sicher, dass Ihre Mitglieder und Laienmitarbeiter, die mit der Datenverarbeitung befasst sind, Ihre Datenschutzpolitik stets einhalten, dass sie sich an die internen Verfahren und Sicherheitsmaßnahmen halten?

Wenn Sie nicht sicher sind, alle oben gestellten Fragen mit JA beantworten zu können, ist es an der Zeit, einige der wichtigsten Grundsätze und verbindlichen Bestimmungen der DSGVO und des Generaldekrets zu rekapitulieren.

Beginnend mit dem A – „Accountability“

Wie Sie sich vielleicht erinnern, ist eines der Hauptprinzipien, das durch die DSGVO und das Generaldekret eingeführt wurde, das "Prinzip der Rechenschaftspflicht", das im Großen und Ganzen als Verpflichtung der Verantwortlichen beschrieben werden kann - d. h. Ihrer Kongregation, Ihres Instituts, Ihres Generalats oder Mutterhauses in Rom oder Ihrer Provinz usw. - für die Einhaltung der Datenschutzgrundsätze Rechnung zu tragen und dies auch nachweisen können müssen.

In dieser Hinsicht ist es von größter Wichtigkeit, die Datenschutzdokumente auf dem neuesten Stand zu halten und Ihre Mitglieder und Ihr Personal, die mit der Datenverarbeitung befasst sind, regelmäßig - mindestens einmal im Jahr - zu schulen und weiterzubilden.

Art. 29 DSGVO und Artikel 13 § 2 des Generaldekrets verlangen, dass der Verantwortliche und der Auftragsverarbeiter die Personen, die Zugang zu personenbezogenen Daten haben, durch einen (ersten) schriftlichen Akt anweisen, damit diese Personen befugt sind, personenbezogene Daten in den verschiedenen Büros und Abteilungen Ihrer Institution zu verarbeiten.

Ferner muss der für die Verarbeitung Verantwortliche eine angemessene Schulung und Ausbildung der Mitglieder und des Personals in Sachen Datenschutz durchführen. Die Schulung ist eine Sicherheitsmaßnahme, eine Verpflichtung des Verantwortlichen und ein Recht und eine Pflicht der Mitglieder, Mitarbeiter und Auftragnehmer, die personenbezogene Daten verarbeiten.

Daher sollten Sie einen Schulungs- und Weiterbildungsplan erstellen, vorrangig für neue Mitglieder und weltliche Mitarbeiter, sowie für die wichtigsten Personen in der Datenverarbeitung.

Die Quintessenz des Grundsatzes der Rechenschaftspflicht besteht darin, dass Sie in der Lage sein müssen, nachzuweisen, dass Sie Ihren Mitgliedern und Mitarbeitern tatsächlich Fortbildungsmaßnahmen anbieten.

Zu diesem Zweck bietet reliaLex Schulungen - vor Ort und auch online per Internetmeeting - an, die auf die Gegebenheiten und spezifischen Bedürfnisse Ihrer Kongregation, Ihres Ordens oder Instituts zugeschnitten sind.

reliaLex führt gerne, gemeinsam mit Ihnen und Ihren Einrichtungen, eine DSGVO - Compliance Überprüfung und eine GAP-Analyse mit Empfehlungen zu den erforderlichen Maßnahmen gemäß des Generaldekrets der italienischen Bischofskonferenz durch.