DSGVO in der Gemeinde: religiöse Daten (Art. 9) ohne Angst
- DSGVO
- Datenschutz
Kurz erklärt in 30 Sekunden
- Zu wissen, dass jemand Mitglied einer Gemeinde ist, verrät seine religiösen Überzeugungen. Die DSGVO behandelt das als besondere Datenkategorie (Artikel 9).
- Die DSGVO sieht deinen Fall vor: Eine religiöse Organisation ohne Gewinnerzielungsabsicht darf Daten ihrer Mitglieder, ehemaligen Mitglieder und von Menschen mit regelmäßigem Kontakt verarbeiten, solange sie sie nicht ohne Einwilligung nach außen weitergibt (Artikel 9, Absatz 2, Buchstabe d).
- Für Besucher und für sensiblere Daten, etwa Gebetsanliegen mit Gesundheitsbezug, hol eine ausdrückliche Einwilligung ein.
- Bei einer Datenpanne erfolgt die Meldung an die CNPD binnen 72 Stunden (Artikel 33).
Ja, deine Gemeinde muss die DSGVO einhalten, und die Mitgliederliste ist ein sensibles Datum. Das ist aber kein Grund zur Angst: Die DSGVO sieht religiöse Organisationen ausdrücklich vor. Verarbeitest du nur Daten von Mitgliedern, ehemaligen Mitgliedern und Menschen mit regelmäßigem Kontakt, gibst sie nicht ohne Einwilligung an Dritte weiter und hast ein paar einfache Regeln, bist du auf einem guten Weg.
Warum Daten einer Gemeinde besonders sind
Artikel 9, Absatz 1, der DSGVO verbietet grundsätzlich, Daten zu verarbeiten, die religiöse oder weltanschauliche Überzeugungen offenbaren. Eine Mitgliederliste sagt schon für sich, woran jeder Mensch glaubt. Ein Gebetsanliegen kann außerdem Gesundheit verraten, eine weitere besondere Kategorie. Was in einem Unternehmen eine einfache Kontaktdatenbank wäre, verlangt in einer Gemeinde deshalb mehr Sorgfalt.
Die Ausnahmen, die dich interessieren
Artikel 9, Absatz 2, sieht Ausnahmen vor. Zwei sind zentral:
- Ausdrückliche Einwilligung (Buchstabe a). Die Person sagt klar, dass sie für einen konkreten Zweck zustimmt.
- Organisationen ohne Gewinnerzielungsabsicht mit religiösem Zweck (Buchstabe d). Du darfst Daten im Rahmen deiner rechtmäßigen Tätigkeiten und mit angemessenen Garantien verarbeiten, wenn sich die Verarbeitung ausschließlich auf Mitglieder, ehemalige Mitglieder oder Menschen bezieht, die regelmäßig Kontakt zu dir haben, und wenn die Daten nicht ohne Einwilligung der Betroffenen an Dritte weitergegeben werden.
Zusätzlich zur Ausnahme aus Artikel 9 brauchst du eine Grundlage aus Artikel 6, etwa die Einwilligung oder das berechtigte Interesse der Gemeinde.
Welche Daten speicherst du eigentlich?
Mach eine Liste, und sei es auf einem Blatt. Die DSGVO nennt das Verzeichnis der Verarbeitungstätigkeiten (Artikel 30). Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten gilt nicht für alle, die besondere Datenkategorien verarbeiten, deshalb sollte eine Gemeinde dieses Verzeichnis führen. Denk an:
- das Mitgliedsprofil (Kontakte, Familie, Daten);
- Anwesenheit, Dienstpläne und Teilnahme an Gruppen;
- Spenden und NIF der Spender;
- Gebetsanliegen und seelsorgerliche Notizen;
- Fotos und Videos aus den Gottesdiensten;
- Kinder und Erlaubnisse der Eltern (Allergien, Gesundheit).
Worauf du dich je nach Fall stützt
| Wer oder was | Passendste Grundlage |
|---|---|
| Mitglieder, ehemalige Mitglieder, regelmäßige Kontakte | Artikel 9, Absatz 2, Buchstabe d, mit Garantien |
| Besucher, die einmal eine Karte ausfüllen | Ausdrückliche Einwilligung, einfach und getrennt |
| Spender (NIF, Beträge) | Gesetzliche Erfassungspflicht (Artikel 66 des EBF) |
| Gebetsanliegen mit Gesundheitsdaten | Ausdrückliche Einwilligung der schreibenden Person, begrenzte Sichtbarkeit |
| Kinder | Erlaubnis der Sorgeberechtigten |
Zu Kindern: Das Alter, ab dem ein Minderjähriger bei Online-Diensten allein einwilligen darf, ist von Land zu Land verschieden: Artikel 8 der DSGVO setzt 16 Jahre an und erlaubt jedem Mitgliedstaat, sie bis auf 13 zu senken. Prüfe bei der CNPD oder mit einem Juristen, welches Alter in Portugal gilt.
Wer was sieht
Gib jedem Menschen das notwendige Minimum. Die Kasse muss keine Gebetsanliegen sehen. Eine Zellgruppenleitung muss keine Spenden sehen. Exportiere die vollständige Liste nicht in eine Nachrichtengruppe. Die Zugriffe zweimal im Jahr zu überprüfen, genügt.
Was du den Menschen sagst
Schreibe eine Datenschutzerklärung in einfacher Sprache: wer du bist, welche Daten du speicherst, wofür, wie lange, mit wem du sie teilst (zum Beispiel mit dem Anbieter der Software) und an wen man sich wendet, um Rechte auszuüben, etwa das Recht auf Auskunft (Artikel 15) und auf Löschung (Artikel 17).
Wenn etwas schiefgeht
Hast du ein Handy mit der Liste verloren? Eine Liste an die falsche Person geschickt? Das ist eine Datenpanne. Die Meldung an die CNPD erfolgt binnen 72 Stunden, nachdem du davon erfahren hast, über das Formular auf der Website der CNPD. Ist das Risiko hoch, informiere auch die Menschen. Und dokumentiere alle Pannen intern, auch die, die du nicht meldest.
Wenn deine Gemeinschaft schon eigene Regeln hat
Artikel 91 erlaubt Kirchen und religiösen Gemeinschaften, die zum Zeitpunkt des Inkrafttretens der DSGVO bereits umfassende Datenschutzregeln anwendeten, diese weiter anzuwenden, sofern sie die Verordnung einhalten und der Aufsicht einer unabhängigen Behörde unterliegen.
Plan in acht Schritten
- Liste die Daten auf, die du speicherst.
- Lege fest, wer was sehen darf.
- Wähle die Grundlage für jede Verarbeitung.
- Schreibe die Datenschutzerklärung.
- Hol für Besucher und sensible Daten eine ausdrückliche Einwilligung ein.
- Schließe einen Auftragsverarbeitungsvertrag mit dem Anbieter der Software (Artikel 28).
- Vereinbare, wie ihr Auskunfts- und Löschanfragen beantwortet.
- Bereite vor, was bei einer Datenpanne zu tun ist und wer die CNPD informiert.
Und Brado?
Brado wurde mit Zugriff nach Rollen entwickelt (die Kasse muss keine Gebetsanliegen sehen), mit Einwilligungsprotokoll und Export der Daten jeder Person. Die DSGVO bleibt Sache der Gemeinde, aber es hilft, Werkzeuge zu haben, die dich nicht in die falsche Richtung führen. Die Daten liegen in der EU. Die Tarife siehst du unter Preise, den Rest unter Plattform. Wenn du Anbieter vergleichst, nutze die Checkliste zur Auswahl von Gemeindesoftware.
Das sind allgemeine Informationen und kein Ersatz für Rechtsberatung.