Reform des Datenschutzgesetzes der EKD: Wichtige Änderungen ab Mai 2025 und Handlungsempfehlungen für kirchliche Einrichtungen

Am 13. November 2024 hat die Synode der Evangelischen Kirche in Deutschland (EKD) eine umfassende Reform des Datenschutzgesetzes der EKD (DSG-EKD) beschlossen, die am 1. Mai 2025 in Kraft tritt. Diese Anpassungen zielen darauf ab, das kirchliche Datenschutzrecht stärker an die europäische Datenschutz-Grundverordnung (DSGVO) anzupassen und gleichzeitig den spezifischen Anforderungen der kirchlichen Arbeit gerecht zu werden. 

Hintergrund der Reform

Die Novellierung des DSG-EKD verfolgt das Ziel, die kirchlichen Datenschutzregelungen mit den europäischen Standards der DSGVO zu harmonisieren und dabei die besonderen Bedürfnisse kirchlicher Tätigkeiten zu berücksichtigen. Diese Anpassungen sollen Transparenz erhöhen, die Rechte der Betroffenen stärken und die Verwaltung innerhalb der kirchlichen Einrichtungen vereinfachen. 

Wichtige Änderungen im Überblick 

1. Anpassung des "Berechtigten Interesses"

Die bisherige Regelung, die eine Datenverarbeitung aufgrund kirchlicher Interessen erlaubte, wurde gestrichen. Stattdessen wird das "berechtigte Interesse" nun analog zu Art. 6 Abs. 1 lit. f DSGVO gehandhabt, was eine sorgfältige Abwägung zwischen den Interessen der kirchlichen Stelle und den Rechten der betroffenen Person erfordert. 

2. Vereinheitlichung der Einwilligungen Minderjähriger

Frühere Sonderregelungen zur Einwilligungsfähigkeit von Minderjährigen wurden aufgehoben. Nun können Minderjährige ab 16 Jahren eigenständig in die Verarbeitung ihrer Daten einwilligen, was Klarheit schafft und den Regelungen der DSGVO entspricht. 

3. Stärkung der Informationspflichten und Betroffenenrechte

Kirchliche Stellen sind nun verpflichtet, betroffene Personen bereits bei der Erhebung ihrer Daten umfassend zu informieren. Zudem wurden klare Fristen für die Bearbeitung von Anfragen, wie Auskunfts- oder Löschbegehren, festgelegt, um die Rechte der Betroffenen zu stärken. 

4. Einführung zentraler Verfahren

Durch die Möglichkeit, zentrale Verfahren per Kirchengesetz festzulegen, wird die Aufgabenverteilung zwischen verschiedenen kirchlichen Ebenen vereinfacht. Dies reduziert den Bedarf an innerkirchlicher Auftragsverarbeitung und klärt Verantwortlichkeiten. 

5. Neue Regelungen zur Mitgliederkommunikation

Ein neuer Paragraph (§ 50b DSG-EKD) definiert, unter welchen Bedingungen personenbezogene Daten für die Kommunikation mit Kirchenmitgliedern verwendet werden dürfen, beispielsweise für Einladungen zu Veranstaltungen oder Informationsschreiben. 

6. Anpassung der Schwellenwerte für Datenschutzbeauftragte

Die Pflicht zur Bestellung eines örtlichen Datenschutzbeauftragten besteht nun erst, wenn mindestens 20 Personen regelmäßig mit der Verarbeitung personenbezogener Daten betraut sind, anstatt wie zuvor bei 10 Personen. 

7. Erhöhung der Bußgeldobergrenze

Die maximale Bußgeldhöhe wurde auf 6 Millionen Euro angehoben, wobei dies weiterhin nur für wirtschaftliche Tätigkeiten kirchlicher Einrichtungen gilt. Für rein seelsorgerische oder gemeindliche Tätigkeiten sind Bußgelder nicht vorgesehen. 

8. Streichung der Unterwerfungsklausel für Auftragsverarbeiter

Die bisherige Pflicht für externe Auftragsverarbeiter, sich der kirchlichen Datenschutzaufsicht zu unterwerfen, wurde entfernt. Dies erleichtert die Zusammenarbeit mit nicht-kirchlichen Dienstleistern und fördert die Kooperation mit staatlichen Datenschutzaufsichtsbehörden. 

9. Einführung von Regelungen zu automatisierten Entscheidungen

Ein neuer Paragraph (§ 25a DSG-EKD) regelt den Einsatz automatisierter Entscheidungen, einschließlich Profiling, und schafft somit einen rechtlichen Rahmen für den Einsatz solcher Technologien innerhalb der Kirche. 

Handlungsempfehlungen für kirchliche Einrichtungen

Angesichts der bevorstehenden Änderungen sollten kirchliche Einrichtungen folgende Schritte unternehmen:

1. Überprüfung und Anpassung der Datenschutzrichtlinien: Stellen Sie sicher, dass Ihre internen Datenschutzrichtlinien den neuen Anforderungen des DSG-EKD entsprechen.
2. Schulung der Mitarbeiter: Informieren Sie Ihre Mitarbeiter über die Änderungen und schulen Sie sie im Umgang mit den neuen Regelungen, insbesondere hinsichtlich der erweiterten Informationspflichten und Betroffenenrechte.
3. Überprüfung von Einwilligungsprozessen: Passen Sie Ihre Verfahren zur Einholung von Einwilligungen an die neuen Altersgrenzen und Anforderungen an.
4. Evaluierung der Notwendigkeit eines Datenschutzbeauftragten: Überprüfen Sie, ob aufgrund der neuen Schwellenwerte die Bestellung eines Datenschutzbeauftragten erforderlich ist.
5. Anpassung von Verträgen mit Auftragsverarbeitern: Überarbeiten Sie bestehende Verträge mit externen Dienstleistern, um der Streichung der Unterwerfungsklausel Rechnung zu tragen und die Zusammenarbeit zu erleichtern.
6. Implementierung von Verfahren für automatisierte Entscheidungen: Falls in Ihrer Einrichtung automatisierte Entscheidungsprozesse eingesetzt werden, stellen Sie sicher, dass diese den neuen gesetzlichen Anforderungen entsprechen.

Es ist für alle betroffenen Einrichtungen ratsam, sich frühzeitig mit den Änderungen vertraut zu machen und die internen Prozesse entsprechend anzupassen, um den neuen Anforderungen ab dem 1. Mai 2025 gerecht zu werden.

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz