Datenschutz in der Kirche: Zum Einsatz von WhatsApp als Messengerdienst in der Katholischen Kirche
Die Konferenz der Diözesandatenschutzbeauftragen der Katholischen Kirche Deutschlands beschloss in Ihrer Sitzung vom 3./4.5.2017 in Freising, dass die Verwendung von Messengerdiensten zu dienstlichen Zwecken untersagt sei. Dieses konkrete Verbot wurde durch den Beschluss der Diözesandatenschutzbeauftragen im Juli 2018 inzwischen relativiert.
Das Verbot der Nutzung des populären Messengerdienstes WhatsApp wurde im Mai 2017 von den Diözesandatenschutzbeauftragen damit begründet, dass durch den Dienst eine physikalische Datenspeicherung außerhalb des Gebiets des EWR und der Schweiz stattfinde.
Mit dieser Entscheidung war für alle kirchlichen Stellen im organisatorischen Anwendungsbereich des Gesetzes über den Kirchlichen Datenschutz (KDG), eine, wenn auch in der Praxis wenig befriedigende, Klarheit in der „Unsicherheit beim Einsatz des WhatsApp-Messengerdienstes“ gegeben.
Weiter bestand Einigkeit darüber, dass eine Nutzung des im Beschluss namentlich genannten Messengersdienstes WhatsApp für dienstliche Zwecke ausscheide.
Nach einem Jahr solle die Rechtslage erneut geprüft werden.
Aktualisierte Beurteilung von Messenger- und anderen Social Media-Diensten
In der inzwischen veröffentlichten neuen Beschlussfassung der Konferenz der Diözesandatenschutzbeauftragen der Katholischen Kirche Deutschlands vom 26.07.2018 in Frankfurt wird die Beschlusslage aus 2017 nun durch Kriterien für die Bewertung und die Auswahl eines geeigneten Messenger-Produktes unter Datenschutz-Gesichtspunkten konkretisiert.
Serverstandort
Mit Hinweis auf §§ 39-41 KDG wird darauf verwiesen, dass eine Verarbeitung personenbezogener Daten nur dann in einem Drittland, also außerhalb der EU, stattfinden darf, wenn ein Angemessenheitsbeschluss der Europäischen Kommission, geeignete Garantien oder eine explizite Einwilligung der betroffenen Person gegeben seien.
Soweit der zentrale Server nicht nur verschlüsselte Daten zur Weiterleitung erhalte, rät die Konferenz der Diözesandatenschutzbeauftragen von einer Datenverarbeitung in einem Drittland weiterhin ab.
Sicherer Datentransport
Von der Konferenz der Diözesandatenschutzbeauftragen wird als weiteres Kriterium eine Ende-zu-Ende-Verschlüsselung sowohl als Transport- wie auch als Inhaltsverschlüsselung angeführt, um i.S.d. § 26 KDG ein dem Risiko für die Rechte und Freiheiten der Betroffenen angemessenes Schutzniveau zu gewährleisten. Hierbei werden als dem aktuellen Stand der Technik (im Jahr 2018) entsprechende Transport- und Inhaltsverschlüsselungen nach den Standards TLS 1.2 oder AES 256 bzw. 512-Bit ECC angeführt.
Datenminimierung
Die baldmöglichste Löschung aller Inhalte und Verbindungsdaten sowie eine Beschränkung auf das für den Zweck der Verarbeitung notwendige Maß an personenbezogenen Daten gem. § 7, Abs.1 lit c KDG werden als weiteres Kriterium bei der Auswahl eines geeigneten Messenger-Produktes mit dem Hinweis angeführt, um sicher zu stellen, dass, zusammen mit einer starken Ende-zu-Ende-Verschlüsselung der Provider, selbst unter Zwang (z.B. durch staatliche Behörden) technisch nicht in der Lage sei, Daten herauszugeben.
Respektierung der Rechte Dritter
Im Weiteren solle bei der Auswahl des Messenger-Produktes berücksichtig werden, ob nur die Kontaktdaten der an der Kommunikation Beteiligten verwendet würden und der der Anwender die Kontrolle über sein Telefonbuch / seine auf dem Device verwalteten Kontakte behalte. Die „Ausspähung von Adressen und Kontaktdaten des Telefonbuches durch allzu neugierige Applikationen“ verstoße gegen den Grundsatz des § 7 Abs. 1 KDG, dass personenbezogene Daten rechtmäßig und für den Betroffenen in nachvollziehbarer Weise zu verarbeiten seien.
Weitere Kriterien
In einem „erweiterten Kriterienkreis“ solle der Entscheider prüfen, ob die Nutzung des Messenger-Produktes idealerweise für den privaten Nutzer kostenfrei und für die nicht-private Nutzung, also z.B. durch eine kirchliche Einrichtung, relativ erschwinglich sei.
Im Weiteren rät die Konferenz der Diözesandatenschutzbeauftragen die Lizenzvergabe des jeweiligen Anbieters zu prüfen und hierbei insbesondere auf die Art der Nutzung (privat, nicht-privat, kommerziell) und das vom Anbieter geforderte Mindestalter der Nutzer im Entscheidungsprozess zu berücksichtigen.
Fazit
Die konkrete und strenge Vorgabe der Konferenz der Diözesandatenschutzbeauftragen der Katholischen Kirche Deutschlands, dass eine Nutzung des Messengers WhatsApp für dienstliche Zwecke ausscheide, ist inzwischen zwar „relativiert“, an dem grundlegenden Verbot der Nutzung dürfte sich bei kritischer Durchsicht und Bewertung der von den Diözesandatenschutzbeauftragen Prüfkriterien jedoch in der Praxis kaum etwas ändern.
Überraschend ist in diesem Kontext vor allem, dass sich weder die von den Diözesandatenschutzbeauftragen bereits in ihrem Beschluss Mitte 2017 benannten Alternativen Threema und FreeMessage, als auch Produkte wie der von „Star- Whistleblower“ Edward Snowden empfohlene Messengerdienst Signal bislang kaum durchsetzen.
Bei aller Sensibilität beim Schutz personenbezogener Daten – im Bereich der Messengerdienste scheint der Weg ans Ziel noch von manchen Bedenken erschwert zu werden.
Autor: Matthias Herkert, Leiter Fachbereich Consulting und externer Datenschutzbeauftragter