DSGVO in der Gemeinde: Was du wirklich tun musst

Für Gemeinden in Portugal. Deine Gemeinde muss die DSGVO einhalten, auch wenn sie klein ist: Eine Mitgliederliste verrät religiöse Überzeugungen, und Artikel 9 der Verordnung behandelt das als besondere Datenkategorie. Die gute Nachricht: Das Wesentliche lässt sich auf sieben konkrete Schritte bringen, die wir unten erklären. Die Datenpannen meldest du in Portugal an die Datenschutzbehörde CNPD. Dieser Text sind allgemeine Informationen und ersetzt keine rechtliche Beratung.

Was die DSGVO von einer Gemeinde verlangt, in zwei Gedanken

Erster Gedanke: Daten, die religiöse Überzeugungen verraten, zu verarbeiten ist grundsätzlich verboten (Artikel 9, Absatz 1), außer es greift eine Ausnahme. Zweiter Gedanke: Die Verordnung kennt eine Ausnahme, die für dich gemacht ist. Eine Organisation ohne Gewinnerzielungsabsicht mit religiöser Ausrichtung darf Daten ihrer Mitglieder, ehemaligen Mitglieder und von Menschen mit regelmäßigem Kontakt verarbeiten, mit angemessenen Garantien, solange sie diese nicht ohne Einwilligung der Betroffenen an Dritte weitergibt (Artikel 9, Absatz 2, Buchstabe d).

Artikel 91 ergänzt: Kirchen und religiöse Vereinigungen, die beim Inkrafttreten der DSGVO bereits umfassende Datenschutzregeln anwendeten, dürfen diese beibehalten, wenn sie sie mit der Verordnung in Einklang bringen.

Alles Weitere ist Methode. Hier eine Reihenfolge für die Arbeit.

Die sieben wichtigsten Schritte

1. Erstelle ein Verzeichnis deiner Daten

Schreib auf, was du speicherst, wofür, wer es sieht, wo es liegt und wie lange. Eine einfache Tabelle genügt. Die DSGVO nennt das Verzeichnis von Verarbeitungstätigkeiten (Artikel 30). Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten gilt nicht für alle, die besondere Datenkategorien verarbeiten.

Datum	Wofür	Wer sieht es	Wo liegt es	Bis wann
Mitgliedsprofil	Kontakt und Begleitung	Gemeindebüro, Pastoren	System der Gemeinde	Solange die Person Mitglied ist
Spenden und NIF	Belege und Meldung an die Behörde	Kasse	System der Gemeinde	Gesetzliche Frist
Gebetsanliegen	Beten und Begleiten	Seelsorgeteam	System der Gemeinde	Bis zur Beantwortung
Fotos aus Gottesdiensten	Öffentlichkeitsarbeit	Kommunikation	Geteilter Ordner	Noch festzulegen

Hat die Spalte „Wo liegt es“ fünf verschiedene Orte, hast du das erste Problem schon gefunden.

2. Begrenze, wer was sieht

Die Kasse muss keine Gebetsanliegen sehen. Die Zellgruppenleitung muss keine Spenden sehen. Gib jeder Person das Minimum für ihre Aufgabe, und schick die vollständige Liste nicht in eine Nachrichtengruppe. Prüfe die Zugriffe zweimal im Jahr oder immer dann, wenn jemand in ein Team kommt oder es verlässt.

3. Wähle die richtige Grundlage für jede Gruppe

Es gibt nicht eine Grundlage für alle. Grob gilt:

• Mitglieder, ehemalige Mitglieder und regelmäßige Kontakte: die Ausnahme aus Artikel 9, Absatz 2, Buchstabe d, mit Garantien.
• Besucher: ausdrückliche Einwilligung, einfach und gesondert, für einen klaren Zweck (zum Beispiel, sie nach dem Besuch zu kontaktieren).
• Spender: die gesetzliche Pflicht, festzuhalten, wer gibt, für den Beleg und die Meldung an die Steuerbehörde. Siehe den Ratgeber zum Modelo 25.
• Gesundheitsdaten in Gebetsanliegen: ausdrückliche Einwilligung der Person, die schreibt, mit eingeschränkter Sichtbarkeit.

Der Ratgeber zur DSGVO in der Gemeinde geht auf jeden Fall und die Bedingungen jeder Ausnahme ein.

4. Informiere die Menschen

Schreib einen Datenschutzhinweis in einfacher Sprache. Sag, wer du bist, welche Daten du speicherst, wofür, wie lange, mit wem du sie teilst (zum Beispiel mit dem Anbieter der Verwaltungssoftware) und an wen sich Menschen wenden, um ihre Rechte auszuüben. Eine Seite reicht. Leg sie auf die Besucherkarte, auf die Website und in die App.

5. Wähle Dienstleister mit Sorgfalt

Die Verwaltungssoftware, der E-Mail-Dienst und der Dateispeicher verarbeiten Daten in deinem Auftrag. Artikel 28 verlangt einen Vertrag, der festlegt, was sie damit tun dürfen. Frag vor der Unterschrift, wo die Daten liegen, wer sonst Zugriff hat und ob du alles exportieren kannst, wenn du wechseln willst. Der Ratgeber zur Auswahl von Gemeindesoftware enthält diese und weitere Fragen.

6. Geh mit Kindern besonders sorgfältig um

Kinderprofile, Erlaubnisse, Allergien und Fotos brauchen die Zustimmung der Sorgeberechtigten. Erfasse nur, was der Kinderdienst braucht, und gib nur denen Zugriff, die mit den Kindern arbeiten.

7. Bereite die Antwort auf eine Datenpanne vor

Ein verlorenes Handy mit der Liste, ein Blatt an die falsche Person geschickt, ein geteiltes Konto, auf das jemand zugegriffen hat, der es nicht sollte: All das kann eine Datenpanne sein. Besteht ein Risiko für die Betroffenen, erfolgt die Meldung an die CNPD ohne unangemessene Verzögerung und möglichst binnen 72 Stunden, nachdem du davon erfahren hast (Artikel 33). Ist das Risiko hoch, informiere auch die betroffenen Personen. Halte jede Panne schriftlich fest, auch die, die du nicht meldest.

Entscheide heute, wer was tut. Im Ernstfall ist es zu spät, die Regel erst zu suchen.

Brauche ich einen Datenschutzbeauftragten?

Der Datenschutzbeauftragte (DSB, englisch DPO) ist Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht (Artikel 37, Absatz 1, Buchstabe c). Die Verordnung sagt nicht, ab wie vielen Menschen „umfangreich“ gilt. In einer kleinen Ortsgemeinde trifft das in der Regel nicht zu. In einem Verband mit vielen tausend Menschen sieht das anders aus.

Auch wenn er nicht Pflicht ist, lohnt es sich, intern eine verantwortliche Person zu benennen. Jemand, der weiß, wo das Verzeichnis liegt, die Anfragen der Menschen entgegennimmt und weiß, wen man bei einer Panne anruft. Wenn du unsicher bist, ob du einen Datenschutzbeauftragten brauchst, hat die CNPD eine Orientierungsseite dazu.

Was du nicht tun musst

Manche Sorgen führen dazu, dass Gemeinden zu viel tun oder gar nichts.

• Von allen Mitgliedern eine Einwilligung für die interne Liste einholen. Für Mitglieder, ehemalige Mitglieder und regelmäßige Kontakte lässt die Verordnung die Ausnahme aus Artikel 9, Absatz 2, Buchstabe d, mit Garantien zu.
• Vorsichtshalber alles löschen. Manche Daten muss das Gesetz aufbewahren lassen, etwa das Spenderverzeichnis. Zu löschen, was du behalten müsstest, ist ebenfalls ein Problem.
• Eine teure Lösung kaufen. Deine Mitglieder schützen klare Regeln, begrenzte Zugriffe und Disziplin. Ein Werkzeug hilft, ersetzt das aber nicht.

Wann du Hilfe holen solltest

Hol dir eine Juristin oder einen Juristen, den Datenschutzbeauftragten deines Verbands (falls es ihn gibt) oder die CNPD, wenn:

• du Zweifel an der Rechtsgrundlage einer neuen Verarbeitung hast;
• du Daten mit dem Verband, einer anderen Gemeinde oder einer externen Stelle teilen willst;
• du Gesundheitsdaten, Daten von Kindern oder Videoaufnahmen in großem Umfang verarbeitest;
• es eine Panne mit Risiko für die Betroffenen gab.

Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro bei den schwersten Verstößen vor (Artikel 83, Absatz 5). Artikel 83, Absatz 2, verlangt, unter anderem die Schwere des Verstoßes und die Maßnahmen zur Schadensminderung zu berücksichtigen. Sorgfalt zu zeigen ist mehr wert, als zu hoffen, dass es niemand merkt.

Wie Brado hilft

Die DSGVO bleibt Sache der Gemeinde, aber ein gutes Werkzeug hilft bei der Umsetzung. Brado bietet Zugriff nach Rolle, speichert die Einwilligungen, lässt dich die Daten einer Person exportieren, wenn sie danach fragt, und hat eine Gebetswand mit anonymen Anliegen. Die Daten liegen in der EU. Auf der Seite zum Datenschutz sagen wir, was wir tun und was noch fehlt.

Wenn du gerade die Mitgliederliste ordnest, zeigt dir der Artikel Gemeindemitglieder verwalten ohne Excel den Weg. Den Rest siehst du auf der Seite zur Plattform.

Das sind allgemeine Informationen und ersetzen keine rechtliche Beratung.