Was ist das DSG-EKD?
Das DSG-EKD — das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland — ist das eigene Datenschutzrecht der evangelischen Kirche. Es gilt seit Mai 2018 in einer an die DSGVO angeglichenen Fassung. Grundlage ist Art. 91 DSGVO: Kirchen, die umfassende eigene Datenschutzregeln haben, dürfen diese weiter anwenden. Inhaltlich ist das DSG-EKD der DSGVO gleichwertig — mit eigenen Begriffen, eigener Aufsicht und eigener Rechtsprechung.
Für Träger in katholischer Trägerschaft gilt entsprechend das KDG (Gesetz über den Kirchlichen Datenschutz).
Warum gilt es gerade für Beratungsstellen?
Beratungsstellen der Diakonie, der Kirchenkreise und anderer kirchlicher Träger verarbeiten besonders sensible Daten — Gesundheits- und Sozialdaten. Für sie greift das DSG-EKD, und zusätzlich kommen weitere Schutzebenen dazu:
- die Schweigepflicht nach § 203 StGB,
- der Sozialdatenschutz (SGB VIII/X), wo Leistungen der Jugendhilfe betroffen sind.
Datenschutz ist in der Beratung also kein Formularthema, sondern Kern der Vertrauensbeziehung.
Ist die Beratungsstelle in kirchlicher oder diakonischer Trägerschaft, gilt das DSG-EKD — nicht die DSGVO. Für die öffentliche Website eines Anbieters kann daneben die DSGVO relevant sein; das sind zwei getrennte Ebenen.
Die wichtigsten Pflichten — kompakt
- Rechtmäßigkeit & Zweckbindung: Daten nur auf klarer Grundlage und für den Beratungszweck.
- Besondere Kategorien: Gesundheits- und Sozialdaten sind besonders geschützt — Zugriff so eng wie möglich.
- Datensparsamkeit: nur erheben, was die Beratung wirklich braucht.
- Technische und organisatorische Maßnahmen: Zugriffsschutz, Rollen, Protokollierung, Verschlüsselung.
- Verzeichnis der Verarbeitungstätigkeiten führen.
- Betroffenenrechte ermöglichen: Auskunft, Berichtigung, Löschung.
- Meldepflicht bei Datenpannen an die kirchliche Aufsicht.
- Auftragsverarbeitung mit Dienstleistern (Hoster, Software) vertraglich regeln.
- Datenschutzbeauftragte(r): örtlich zu bestellen.
Wer beaufsichtigt den kirchlichen Datenschutz?
Nicht die staatlichen Datenschutzbehörden, sondern die kirchliche Datenschutzaufsicht — der Beauftragte für den Datenschutz der EKD (BfD EKD) bzw. die regional zuständige Stelle. An sie gehen Meldungen von Datenpannen und Beschwerden.
Was heißt das für den Alltag?
- Zugriff begrenzen. Nur wer für einen Fall zuständig ist, sieht ihn — über Rollen und Berechtigungen.
- Verwaltung von Falldaten trennen. Wer Konten verwaltet, braucht keine Einsicht in Klientendaten (§ 203 StGB).
- Alles protokollieren. Wer hat wann was gesehen oder geändert — lückenlos und nachvollziehbar.
- Fristen einhalten. Aufbewahrungsfristen setzen und kontrolliert löschen.
- Verschlüsseln. Im Transport (HTTPS) und im Ruhezustand; Dienstleister sorgfältig wählen — On-Premise senkt das Risiko.
Wie BCases den kirchlichen Datenschutz mitträgt
Die Beratungsstellen-Software BCases ist von Grund auf für diesen Rahmen gebaut: rollenbasierte Sichtbarkeit, eine strikte Trennung von Administration und Falldaten (§ 203 StGB), ein lückenloses Änderungs- und Zugriffsprotokoll, Aufbewahrungsfristen mit kontrollierter Löschung, Betroffenenauskunft, Windows-/Active-Directory-Anmeldung und Verschlüsselung — betrieben On-Premise im eigenen Haus. So wird der kirchliche Datenschutz nicht zur Zusatzaufgabe, sondern ist Teil der täglichen Arbeit.
Datenschutz, der von selbst greift
Sehen Sie in einer kurzen Vorführung, wie BCases Rollen, Protokollierung und Löschfristen im Alltag umsetzt.
Häufige Fragen
Gilt für unsere Beratungsstelle DSG-EKD oder DSGVO?
Bei kirchlicher oder diakonischer Trägerschaft gilt in der Regel das DSG-EKD. Für die öffentliche Website eines Anbieters kann daneben die DSGVO greifen. Die/der örtliche Datenschutzbeauftragte gibt im Zweifel Auskunft.
Brauchen wir eine/n Datenschutzbeauftragte/n?
Ja. Kirchliche Stellen bestellen örtlich eine/n Beauftragte/n für den Datenschutz; die Einzelheiten regelt das DSG-EKD.
Wer ist unsere Aufsichtsbehörde?
Die kirchliche Datenschutzaufsicht (Beauftragter für den Datenschutz der EKD bzw. die regional zuständige Stelle), nicht die staatliche Landesbehörde.
Muss die eingesetzte Software zertifiziert sein?
Eine verpflichtende Zertifizierung gibt es nicht. Entscheidend sind geeignete technische und organisatorische Maßnahmen (Rollen, Protokollierung, Verschlüsselung) und ein Vertrag zur Auftragsverarbeitung.
Was tun bei einer Datenpanne?
Intern dokumentieren und der kirchlichen Aufsicht melden (Fristen beachten); betroffene Personen sind bei hohem Risiko zu informieren.
Dieser Beitrag gibt einen praxisorientierten Überblick und ersetzt keine Rechtsberatung. Maßgeblich sind das DSG-EKD und die Durchführungsbestimmungen der jeweiligen Landeskirche; die/der örtliche Datenschutzbeauftragte berät im Einzelfall.