Datenschutz: Übergangsfrist für AV-Verträge im Geltungsbereich des KDG endet am 31.12.2019

Die Übergangsbestimmung des § 57 Abs. 3 S. 1 KDG sieht eine Fortgeltung der vor dem 24. Mai 2018 unter der Gültigkeit der KDO geschlossenen Verträge zur Auftragsverarbeitung vor, verpflichtet jedoch die Verantwortlichen im zweiten Satz, diese Verträge bis spätestens 31.12.2019 an das KDG anzupassen. In der Praxis zahlreicher Einrichtungen, Werke und Caritativer Dienste zeigt sich, dass trotz (oder gerade wegen?) dieser komfortablen Übergangsfrist von annähernd neunzehn Monaten noch lange nicht alle notwendigen Anpassungen durchgeführt wurden.   

Pflicht zur Prüfung und Anpassung der Altverträge

Sehr deutlich weisen die Verantwortlichen des Referats Datenschutz der Erzdiözese Freiburg in Ihrer Mitteilung darauf hin, dass die Überprüfung der bestehenden (Alt-)Verträge durch den jeweiligen betrieblichen Datenschutzbeauftragten (bDSB) erfolgen solle und dieser den Verantwortlichen in den Einrichtungen auch für mögliche Rückfragen zur Verfügung stünde (HIER geht es zur Mitteilung der Erzdiözese).

Mit der inzwischen gewohnt pragmatisch-realistischen Einschätzung der Situation in vielen Einrichtungen und Diensten endet die Mitteilung der Erzdiözese Freiburg mit der Aufforderung, in Fällen, in denen bislang noch kein AV-Vertag geschlossen sei, die Dienstleister zum Abschluss eines AV-Vertrages auffordern.

Änderungsbedarf sollte nicht unterschätzt werden

Dabei sollte der notwendige Änderungs- und Anpassungsbedarf der Altverträge nicht unterschätzt werden. So hat sich im Übergang von der KDO auf das KDG keinesfalls nur die Terminologie von »Auftragsdatenverarbeitung« auf »Auftragsverarbeitung« geändert.

So ist etwa neben anderen Themen über § 31 Abs. 2 KDG seit dem 24. Mai 2019 (mithin bereits einen Tag länger als über die DSGVO) jeder Auftragsverarbeiter durch den Verantwortlichen vertraglich zu verpflichten, ein Verzeichnis zu allen Kategorien der im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung (»Verzeichnis von Verarbeitungstätigkeiten«) zu führen.

Während unter der KDO die Auswahl des Auftragsverarbeiters »sorgfältig« und »unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen« erfolgen musste (§ 8 abs. 2 S. 1 KDO), fordert § 29 Abs. 1 KDG nun deutlich weiterreichend vom Auftragsverarbeiter hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen des KDG erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet ist. Auch hier sollte, spätestens mit Blick auf die Nachweispflichten, eine Klarstellung in allen Verträgen erfolgen.

Ein wichtiges Thema bei der Neufassung der Verträge ist zudem die Prüfung, ob das bislang zwischen den Vertragsparteien vereinbarte Sicherheitskonzept auch den (neuen) Anforderungen des § 26 KDG entspricht. Anders als unter der DSGVO begegnet einem im Datenschutzrecht der katholischen Kirche zwar noch immer der Terminus der »technische und organisatorische Maßnahmen«, die Anforderungen an die Sicherheit der Verarbeitung sind indes genauso umfangreich wie im Europäischen Datenschutzkontext.

Während der Vertrag zwischen dem Auftragsverarbeiter und dem Verantwortlichen unter der KDO schriftlich zu verfassen war (§ 8 Abs. 2 S. 2 KDO) ist gemäß  § 29 Abs. 9 S.1 KDG nun auch eine Abfassung des Vertrags in einem »elektronische Format« zulässig. Hierbei bleibt offen, ob mit elektronischem Format tatsächlich die elektronische Form des BGB gemeint sein soll.

Auch die in § 50 KDG neu definierte Haftung des Auftragsverarbeiters bei Verstößen sollte, wenn auch wohl abweichend von den Regelungen des Artikel 82 DSGVO, in den Neufassungen beachtet und angepasst werden.

Neue Muster-AV-Verträge für die Erzdiözese und für die Kirchengemeinden

Zur Erleichterung der Anpassungen stellt die Erzdiözese Freiburg auf ihrer Homepage im Bereich Datenschutz unter dem Register Muster und Arbeitshilfe in diesem Kontext ein aktualisiertes Muster eines Vertrags zur Auftragsdatenverarbeitung für die Erzdiözese als auch für Kirchengemeinden zur Verfügung (HIER geht es zu den Mustern der Erzdiözese Freiburg).

Die AVV-Muster sind in der vorliegenden Version 1 bereits sehr umfassend, sollten jedoch vor der Anwendung in den Einrichtungen und Diensten durch den betrieblichen Datenschutzbeauftragten, gegebenenfalls unterstützt durch externe oder möglicherweise interne Rechtsberater, überprüft und angepasst werden. Während die Regelungen bei der Durchführung von Fernzugriffen zur Prüfung  oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen umfangreich sind, bieten sich bei den Regelungen zur Sicherheit der Verarbeitung und zur Beauftragung von Unterauftragnehmern in der Praxis Ergänzungen oder Klarstellungen an, die eine spätere »Handhabung« der Zusammenarbeit erleichtern können.

Fazit

Obwohl der Handlungsbedarf und die Fristen allen betrieblichen Datenschutzbeauftragten in den kirchlichen Einrichtungen, den Caritasverbänden und den Gemeinden spätestens seit Gültigkeit des Gesetzes über den Kirchlichen Datenschutz bekannt waren, dürfte der Hinweis des Referats Datenschutz der Erzdiözese Freiburg wohl längst nicht bei allen Verantwortlichen überflüssig sein.

In diesen Fällen ist nun ein zügiges Handeln notwendig. Denn auch wenn bis zum Ablauf der Übergangsfrist noch beinahe vier Monate verbleiben, sollte der Aufwand für die Anpassung der Verträge, deren Freigabe innerhalb der Einrichtungen, aber auch für die Verhandlung und Abstimmung mit den Auftragsverarbeitern nicht unterschätzt werden.

Autor: Matthias Herkert, Leiter Fachbereich Consulting und externer Datenschutzbeauftragter