Unsere WebSeite verwendet Cookies (kleine Textdateien, die sie auf Ihrem Rechner ablegt); dadurch bleibt bistum-trier.de für Sie möglichst leicht zugänglich und komfortabel. Näheres finden Sie in unserer Datenschutzerklärung . Sie können in den Einstellungen Ihres Browsers bestimmen, ob er Cookies akzeptiert oder nicht. Wenn Sie auf unserer Seite weitersurfen, stimmen Sie der Cookie-Nutzung zu.

Verordnungen und Bekanntmachungen - Samstag, 1. März 2014 - Jahrgang: 158 - Artikel: 59

Anordnung über den Kirchlichen Datenschutz (KDO)

Präambel

Aufgabe der Datenverarbeitung im kirchlichen Bereich ist es, die Tätigkeit der Dienststellen und Einrichtungen der Ka­tho­li­schen Kirche zu fördern. Dabei muss gewährleistet sein, dass der einzelne durch den Umgang mit seinen personenbe­zogenen Daten in seinem Persönlichkeitsrecht geschützt wird. Aufgrund des Rechtes der Ka­tho­lischen Kirche, ihre Angele­gen­heiten selbst zu regeln, wird zu diesem Zweck die folgen­de Anord­nung erlassen:

§ 1 Zweck und Anwendungsbereich

(1) Zweck dieser Anordnung ist es, den einzelnen davor zu schüt­zen, dass er durch den Umgang mit seinen perso­nen­­be­zogenen Daten in seinem Persönlichkeitsrecht beein­träch­­tigt wird.
(2) Diese Anordnung gilt für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch:
1. das Bistum, die Kirchengemeinden, die Kirchenstif­tun­­gen und die Kirchengemeindeverbände,
2. den Deutschen Caritasverband, die Diözesan-Cari­tas­verbän­de, ihre Untergliederungen und ihre Fach­ver­bän­­de ohne Rück­sicht auf ihre Rechtsform,
3. die kirchlichen Körperschaften, Stiftungen, Anstal­ten, Wer­ke, Einrichtungen und die sonstigen kirchli­chen Rechts­­­­trä­ger ohne Rücksicht auf ihre Rechts­form.
(3) Soweit besondere kirchliche oder staatliche Rechtsvor­schrif­ten auf personenbezogene Daten einschließlich de­ren Veröffentlichung anzuwenden sind, gehen sie den Vor­­­schriften dieser Anordnung vor. Die Verpflichtung zur Wah­­rung des Beicht- und Seelsorgegeheimnisses, an­derer gesetzlicher Geheimhaltungspflichten oder von an­deren Be­­rufs- oder besonderen Amtsgeheimnissen, die nicht auf ge­setzlichen Vorschriften beruhen, bleibt un­berührt.

§ 2 Begriffsbestimmungen

(1) Personenbezogene Daten sind Einzelangaben über per­sön­­li­che oder sachliche Verhältnisse einer bestimmten oder be­stimmbaren natürlichen Person (Betroffener).
(2) Automatisierte Verarbeitung ist die Erhebung, Verarbei­tung oder Nutzung personenbezogener Daten unter Ein­satz von Datenverarbeitungsanlagen. Eine nicht auto­ma­­tisierte Datei ist jede nicht automatisierte Sammlung per­sonenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und aus­ge­wer­­tet werden kann.
(3) Erheben ist das Beschaffen von Daten über den Betrof­fe­nen.
(4) Verarbeiten ist das Speichern, Verändern, Übermitteln, Sper­­­ren und Löschen personenbezogener Daten. Im Ein­­zel­nen ist, ungeachtet der dabei angewendeten Ver­fahren,
1. Speichern das Erfassen, Aufnehmen oder Aufbe­wah­ren personenbezogener Daten auf einem Daten­träger zum Zwecke ihrer weiteren Verarbeitung oder Nut­zung,
2. Verändern das inhaltliche Umgestalten gespeicher­ter per­­sonenbezogener Daten,
3. Übermitteln das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener personenbe­zo­­ge­­ner Da­ten an einen Dritten in der Weise, dass
a) die Daten an den Dritten weitergegeben werden oder
b) der Dritte zur Einsicht oder zum Abruf bereit­ge­hal­tene Daten einsieht oder abruft,
4. Sperren das Kennzeichnen gespeicherter personen­be­zo­gener Daten, um ihre weitere Verarbeitung oder Nut­­zung einzuschränken,
5. Löschen das Unkenntlichmachen gespeicherter per­so­nenbezogener Daten.
(5) Nutzen ist jede Verwendung personenbezogener Daten, so­­weit es sich nicht um Verarbeitung handelt.
(6) Anonymisieren ist das Verändern personenbezogener Da­­ten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem un­verhältnismäßig großen Aufwand an Zeit, Kos­ten und Ar­beitskraft einer bestimmten oder be­stimm­baren natürli­chen Person zugeordnet werden kön­nen.
(7) Pseudonymisieren ist das Ersetzen des Namens und an­de­rer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszu­schlie­­­ßen oder wesentlich zu erschweren.
(8) Verantwortliche Stelle ist jede Person oder Stelle, die per­­sonenbezogene Daten für sich selbst erhebt, ver­ar­bei­tet oder nutzt oder dies durch andere im Auftrag vor­nehmen lässt.
(9) Empfänger ist jede Person oder Stelle, die Daten erhält. Drit­ter ist jede Person oder Stelle außerhalb der verant­wort­­lichen Stelle. Dritte sind nicht der Betroffene sowie diejenigen Personen und Stellen, die im Geltungs­be­reich dieser Anordnung personenbezogene Daten im Auf­trag er­heben, verarbeiten oder nutzen.
(10) Besondere Arten personenbezogener Daten sind Anga­ben über die rassische und ethnische Herkunft, poli­ti­sche Mei­nungen, religiöse oder philosophische Über­zeu­gun­gen, Ge­werkschaftszugehörigkeit, Gesundheit oder Sexualle­ben. Dazu gehört nicht die Zugehörigkeit zu einer Kirche oder sonstigen Religionsgemeinschaft.
(11) Mobile personenbezogene Speicher- und Verarbeitungs­medien sind Datenträger,
1. die an den Betroffenen ausgegeben werden,
2. auf denen personenbezogene Daten über die Spei­che­rung hinaus durch die ausgebende oder eine an­dere Stel­le automatisiert verarbeitet werden können und
3. bei denen der Betroffene diese Verarbeitung nur durch den Gebrauch des Mediums beeinflussen kann.
(12) Beschäftigte sind insbesondere
1. Kleriker, Kandidaten für das Priesteramt oder in ei­nem kirchlichen Beamtenverhältnis stehende Perso­nen,
2. Ordensangehörige, soweit sie auf einer Planstelle in ei­ner Einrichtung der eigenen Ordensgemeinschaft oder aufgrund eines Gestellungsvertrages tätig sind,
3. in einem Arbeitsverhältnis stehende Personen,
4. zu ihrer Berufsbildung tätige Personen mit Ausnahme der Postulanten und Novizen,
5. Teilnehmende an Leistungen zur Teilhabe am Arbeits­le­ben sowie an Abklärungen der beruflichen Eignung oder Arbeitserprobungen (Rehabilitationen),
6. in anerkannten Werkstätten für behinderte Menschen tä­tige Personen,
7. nach dem Bundesfreiwilligendienstgesetz oder in ver­gleichbaren Diensten tätige Personen,
8. Personen, die wegen ihrer wirtschaftlichen Unselbst­stän­digkeit als arbeitnehmerähnliche Personen anzu­se­hen sind; zu diesen gehören auch die in Heimarbeit Be­schäftigten und die ihnen Gleichgestellten,
9. sich für ein Beschäftigungsverhältnis Bewerbende so­wie Personen, deren Beschäftigungsverhältnis be­en­det ist.

§ 2a Datenvermeidung und Datensparsamkeit

Die Erhebung, Verarbeitung und Nutzung personenbezogener Da­ten und die Auswahl und Gestaltung von Datenverar­bei­tungs­systemen sind an dem Ziel auszurichten, so wenig perso­nen­bezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu ano­ny­mi­sieren oder zu pseudonymisieren, soweit dies nach dem Ver­wendungszweck möglich ist und der Aufwand nicht außer Ver­hältnis zum angestrebten Schutzzweck steht.

§ 3 Zulässigkeit der Datenerhebung, -verarbeitung oder -nutzung

(1) Die Erhebung, Verarbeitung oder Nutzung personenbe­zo­ge­­ner Daten ist nur zulässig, soweit
1. diese Anordnung oder eine andere kirchliche oder eine staatliche Rechtsvorschrift sie erlaubt oder an­ordnet oder
2. der Betroffene eingewilligt hat.
(2) Wird die Einwilligung bei dem Betroffenen eingeholt, ist er auf den Zweck der Erhebung, Verarbeitung oder Nut­zung sowie, soweit nach den Umständen des Ein­zel­falles er­forderlich oder auf Verlangen, auf die Folgen der Ver­wei­­gerung der Einwilligung hinzuweisen. Die Ein­­willi­gung ist nur wirksam, wenn sie auf der freien Ent­schei­dung des Be­troffenen beruht. Sie bedarf der Schrift­form, so­weit nicht wegen besonderer Umstände eine ande­re Form an­ge­messen ist. Soll die Einwilligung zusammen mit ande­ren Erklärungen schriftlich erteilt wer­den, ist die Ein­willi­gungserklärung im äußeren Er­scheinungsbild der Erklä­rung hervorzuheben.
(3) Im Bereich der wissenschaftlichen Forschung liegt ein be­son­derer Umstand im Sinne von Abs. 2 Satz 3 auch dann vor, wenn durch die Schriftform der bestimmte For­schungs­zweck erheblich beeinträchtigt würde. In die­sem Fall sind der Hinweis nach Abs. 2 Satz 1 und die Gründe, aus denen sich die erhebliche Beein­träch­ti­gung des be­stimmten For­schungs­zweckes ergibt, schrift­lich festzu­hal­­ten.
(4) Soweit besondere Arten personenbezogener Daten (§ 2 Abs. 10) erhoben, verarbeitet oder genutzt werden, muss sich die Einwilligung darüber hinaus ausdrücklich auf die­se Daten beziehen.
(5) Soweit automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, unterliegen sie der Prüfung vor Beginn der Verarbeitung (Vor­abkontrolle). Eine Vorabkontrolle ist insbesondere durch­­zuführen, wenn
1. besondere Arten personenbezogener Daten (§ 2 Abs. 10) verarbeitet werden oder
2. die Verarbeitung personenbezogener Daten dazu be­stimmt ist, die Persönlichkeit des Betroffenen zu be­wer­ten einschließlich seiner Fähigkeiten, seiner Leis­tung oder seines Verhaltens, es sei denn, dass eine gesetzliche Verpflichtung oder eine Einwilligung des Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung für die Begründung, Durch­füh­rung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Be­troffenen erforderlich ist.
(6) Zuständig für die Vorabkontrolle ist der betriebliche Da­ten schutzbeauftragte; soweit kein betrieblicher Daten­schutz­­beauftragter bestellt ist, ist für die Vorabkontrolle der Diö­zesandatenschutzbeauftragte zuständig.

§ 3a Meldepflicht und Verzeichnis

(1) Die in § 1 Abs. 2 genannten Stellen sind verpflichtet, Ver­­fah­ren automatisierter Verarbeitung vor Inbetrieb­nah­me dem Diözesandatenschutzbeauftragten zu melden.
(2) Die Meldung hat folgende Angaben zu enthalten
1. Name und Anschrift der verantwortlichen Stelle,
2. Vorstände, Geschäftsführer oder sonstige gesetz­li­che oder nach der Verfassung der Stelle berufene Lei­ter und die mit der Leitung der Daten­ver­ar­bei­tung be­auf­tragten Personen,
3. Zweckbestimmungen der Datenerhebung, -verarbei­tung oder -nutzung,
4. eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkate­go­ri­en,
5. Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können,
6. Regelfristen für die Löschung der Daten
7. eine geplante Datenübermittlung ins Ausland,
8. eine allgemeine Beschreibung, die es ermöglicht, vor­­läufig zu beurteilen, ob die Maßnahmen nach § 6 KDO zur Gewährleistung der Sicherheit der Bear­bei­tung an­ge­messen sind,
9. zugriffsberechtigte Personen.
(3) Die Meldepflicht entfällt, wenn für die verantwortliche Stel­le ein betrieblicher Datenschutzbeauftragter nach § 20 be­stellt wurde. Sie entfällt ferner, wenn die verantwortliche Stelle personenbezogene Daten für eigene Zwecke erhebt, verarbeitet oder nutzt, hierbei in der Regel höchstens zehn Personen ständig mit der Erhebung, Verarbeitung oder Nut­­zung personenbezogener Daten beschäftigt und entweder eine Einwilligung des Betroffenen vorliegt oder die Erhe­bung, Verarbeitung oder Nutzung für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist.
(4) Die Angaben nach Abs. 2 sind von der kirchlichen Stel­le in einem Verzeichnis vorzuhalten. Sie macht die An­ga­ben nach Abs. 2 Nr. 1 bis 7 auf Antrag jedermann in ge­eigne­ter Weise verfügbar, der ein berechtigtes Inte­r­es­se nach­weist.

§ 4 Datengeheimnis

Den bei der Datenverarbeitung tätigen Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis schrift­lich zu verpflichten. Das Datengeheimnis besteht auch nach Be­en­di­gung ihrer Tätigkeit fort.

§ 5 Unabdingbare Rechte des Betroffenen

(1) Die Rechte des Betroffenen auf Auskunft (§ 13) und auf Be­richtigung, Löschung oder Sperrung (§ 14) können nicht durch Rechtsgeschäft ausgeschlossen oder be­schränkt werden.
(2) Sind die Daten des Betroffenenautomatisiert in einer Wei­se gespeichert, dass mehrere Stellen speicherungs­be­rech­tigt sind, und ist der Betroffene nicht in der Lage, fest­zu­stellen, welche Stelle die Daten gespeichert hat, so kann er sich an jede dieser Stellen wenden. Diese ist verpflichtet, das Vorbringen des Betroffenen an die Stel­le, die die Da­ten gespeichert hat, weiterzuleiten. Der Betroffene ist über die Weiterleitung und jene zu un­terrichten.

§ 5a Beobachtung öffentlich zugänglicher Räume mit optischelektronischen Einrichtungen

(1) Die Beobachtung öffentlich zugänglicher Räume mit op­tisch-elektronischen Einrichtungen (Videoüberwa­chung) ist nur zulässig, soweit sie
1. zur Aufgabenerfüllung oder zur Wahrnehmung des Hausrechts oder
2. zur Wahrnehmung berechtigter Interessen für kon­kret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutz­würdige Interessen der Betroffenen überwiegen.
(2) Der Umstand der Beobachtung und die verantwortliche Stel­­le sind durch geeignete Maßnahmen erkennbar zu ma­chen.
(3) Die Verarbeitung oder Nutzung von nach Absatz 1 erho­be­nen Daten ist zulässig, wenn sie zum Erreichen des ver­­folgten Zwecks erforderlich ist und keine Anhalts­punk­te be­­stehen, dass schutzwürdige Interessen der Be­trof­fenen überwiegen.
(4) Werden durch Videoüberwachung erhobene Daten einer be­stimmten Person zugeordnet, ist diese über eine Verar­bei­tung oder Nutzung entsprechend § 13a zu benach­rich­­tigen.
(5) Die Daten sind unverzüglich zu löschen, wenn sie zur Er­reichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.

§ 5b Mobile personenbezogene Speicher- und Verarbeitungsmedien

(1) Die Stelle, die ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium ausgibt oder ein Verfahren zur automatisierten Verarbeitung personenbezogener Da­ten, das ganz oder teilweise auf einem solchen Medium ab­läuft, auf das Medium aufbringt, ändert oder hierzu be­reit­hält, muss den Betroffenen
1. über ihre Identität und Anschrift,
2. in allgemein verständlicher Form über die Funkti­ons­­weise des Mediums einschließlich der Art der zu ver­ar­­beitenden personenbezogenen Daten,
3. darüber, wie er seine Rechte nach den §§ 13 und 14 aus­üben kann und über die bei Verlust oder Zer­stö­rung des Mediums zu treffenden Maßnahmen unterrichten, soweit der Betroffene nicht bereits Kenntnis erlangt hat.
(2) Die nach Absatz 1 verpflichtete Stelle hat dafür Sorge zu tragen, dass die zur Wahrnehmung des Auskunftsrechts er­forderlichen Geräte oder Einrichtungen in angemesse­nem Umfang zum unentgeltlichen Gebrauch zur Verfü­gung ste­hen.
(3) Kommunikationsvorgänge, die auf dem Medium eine Da­­tenverarbeitung auslösen, müssen für den Betroffenen ein­deutig erkennbar sein.

§ 6 Technische und organisatorische Maßnahmen

Kirchliche Stellen im Geltungsbereich des § 1 Abs. 2, die selbst oder im Auftrag personenbezogene Daten erheben, verar­beiten oder nutzen, haben die technischen und organisa­torischen Maß­nahmen zu treffen, die erforderlich sind, um die Ausfüh­rung der Vorschriften dieser Anordnung, ins­be­son­dere die in der Anlage zu dieser Anordnung genannten Anforderungen zu gewähr­leis­ten. Erforderlich sind Maßnah­men nur, wenn ihr Auf­­wand in ei­nem angemessenen Ver­hält­nis zu dem angestreb­ten Schutz­zweck steht.

§ 7 Einrichtung automatisierter Abrufverfahren

(1) Die Einrichtung eines automatisierten Verfahrens, das die Übermittlung personenbezogener Daten durch Abruf er­möglicht, ist zulässig, soweit dieses Verfahren unter Be­rücksichtigung der schutzwürdigen Interessen der Betrof­fenen und der Aufgaben oder Geschäftszwecke der be­tei­ligten Stellen angemessen ist. Die Vorschriften über die Zu­­lässigkeit des einzelnen Abrufes bleiben unberührt.
(2) Die beteiligten Stellen haben zu gewährleisten, dass die Zu­lässigkeit des Abrufverfahrens kontrolliert werden kann. Hier­zu haben sie schriftlich festzulegen:
1. Anlass und Zweck des Abrufverfahrens,
2. Dritte, an die übermittelt wird,
3. Art der zu übermittelnden Daten,
4. nach § 6 erforderliche technische und organisato­ri­sche Maßnahmen.
(3) Über die Einrichtung von Abrufverfahren ist der Diöze­san­datenschutzbeauftragte unter Mitteilung der Festle­gun­­gen des Abs. 2 zu unterrichten.
(4) Die Verantwortung für die Zulässigkeit des einzelnen Ab­rufs trägt der Dritte, an den übermittelt wird. Die spei­chernde Stelle prüft die Zulässigkeit der Abrufe nur, wenn dazu Anlass besteht. Die speichernde Stelle hat zu ge­währ­leisten, dass die Übermittlung personenbezogener Daten zu­­mindest durch geeignete Stichprobenverfahren festge­stellt und überprüft werden kann. Wird ein Ge­samt­­bestand personenbezogener Daten abgerufen oder über­mittelt (Sta­pelverarbeitung), so bezieht sich die Ge­währ­leistung der Feststellung und Überprüfung nur auf die Zu­lässigkeit des Abrufes oder der Übermittlung des Ge­samt­bestandes.
(5) Die Absätze 1 bis 4 gelten nicht für den Abruf allgemein zugänglicher Daten. Allgemein zugänglich sind Daten, die jedermann, sei es ohne oder nach vorheriger Anmel­dung, Zulassung oder Entrichtung eines Entgelts nutzen kann.

§ 8 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag

(1) Werden personenbezogene Daten im Auftrag durch an­de­re Stellen erhoben, verarbeitet oder genutzt, ist der Auf­trag­ge­ber für die Einhaltung der Vorschriften dieser An­ord­­nung und anderer Vorschriften über den Datenschutz verant­wort­lich. Die in § 5 genannten Rechte sind ihm ge­genüber gel­tend zu machen.
(2) Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und or­ga­­ni­sa­torischen Maßnahmen sorgfältig auszuwählen. Der Auf­­trag ist schriftlich zu erteilen, wobei insbesondere im Ein­zel­nen festzulegen sind:
1. der Gegenstand und die Dauer des Auftrags,
2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen,
3. die nach § 6 zu treffenden technischen und organisa­to­ri­schen Maßnahmen,
4. die Berichtigung, Löschung und Sperrung von Daten,
5. die Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen,
6. die etwaige Berechtigung zur Begründung von Unter­auf­tragsverhältnissen,
7. die Kontrollrechte des Auftraggebers und die entspre­chen­den Duldungs- und Mitwirkungspflichten des Auf­trag­nehmers,
8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auf­trag getroffenen Festlegungen,
9. der Umfang der Weisungsbefugnisse, die sich der Auf­­traggeber gegenüber dem Auftragnehmer vorbehält,
10. die Rückgabe überlassener Datenträger und die Lö­schung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags. Der Auftraggeber hat sich vor Beginn der Daten­verar­bei­tung und sodann regelmäßigvon der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatori­schen Maßnahmen zu überzeugen. Das Ergebnis ist zu do­ku­mentieren.
(3) Der Auftragnehmer darf die Daten nur im Rahmen der Wei­sungen des Auftraggebers erheben, verarbeiten oder nutzen. Ist er der Ansicht, dass eine Weisung des Auf­trag­­gebers ge­gen diese Anordnung oder andere Vor­schrif­ten über den Da­tenschutz verstößt, hat er den Auf­trag­geber unverzüglich darauf hinzuweisen.
(4) Die Absätze 1 bis 3 gelten entsprechend, wenn die Prü­fung oder Wartung automatisierter Verfahren oder von Da­ten­ver­arbeitungsanlagen durch andere Stellen im Auf­trag vor­genommen wird und dabei ein Zugriff auf perso­nenbezo­ge­ne Daten nicht ausgeschlossen werden kann.

§ 9 Datenerhebung

(1) Das Erheben personenbezogener Daten ist zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der verant­wort­­lichen Stellen erforderlich ist.
(2) Personenbezogene Daten sind beim Betroffenen zu erhe­ben. Ohne seine Mitwirkung dürfen sie nur erhoben wer­den, wenn
1. eine Rechtsvorschrift dies vorsieht oder zwingend vor­aussetzt oder
2. a) die zu erfüllende Aufgabe ihrer Art nach eine Er­hebung bei anderen Personen oder Stellen er­for­derlich macht oder
b) die Erhebung beim Betroffenen einen un­ver­hält­­nismäßigen Aufwand erfordern würde und keine Anhaltspunkte dafür bestehen, dass überwie­gen­de schutzwürdige Interessen des Betroffenen beein­trächtigt werden.
(3) Werden personenbezogene Daten beim Betroffenen erho­ben, so ist er, sofern er nicht bereits auf andere Weise Kennt­nis erlangt hat, von der verantwortlichen Stelle über
1. die Identität der verantwortlichen Stelle,
2. die Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung und
3. die Kategorien von Empfängern nur, soweit der Be­trof­fene nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss, zu unterrichten. Werden sie beim Betroffenen aufgrund ei­ner Rechtsvorschrift erhoben, die zur Auskunft ver­pflich­tet, oder ist die Erteilung der Auskunft Voraus­setzung für die Gewährung von Rechtsvorteilen, so ist der Be­troffene hie­r­auf, sonst auf die Freiwilligkeit seiner Angaben hin­zu­wei­sen. Soweit nach den Umständen des Einzelfalles er­for­­der­lich oder auf Verlangen ist er über die Rechtsvo­r­schrift und über die Folgen der Verwei­gerung von An­ga­ben auf­zu­klä­ren.
(4) Werden personenbezogene Daten statt beim Betroffenen bei einer nichtkirchlichen Stelle erhoben, so ist die Stelle auf die Rechtsvorschrift, die zur Auskunft ermächtigt, sonst auf die Freiwilligkeit ihrer Angaben, hinzuweisen.
(5) Das Erheben besonderer Arten personenbezogener Daten (§ 2 Abs. 10) ist nur zulässig, soweit
1. eine Rechtsvorschrift dies vorsieht oder dies aus Grün­­­den eines wichtigen öffentlichen Interesses zwin­gend erforderlich ist,
2. der Betroffene nach Maßgabe des § 3 Abs. 4 ein­ge­wil­ligt hat,
3. dies zum Schutz lebenswichtiger Interessen des Be­trof­fenen oder eines Dritten erforderlich ist, sofern der Be­troffene aus physischen oder rechtlichen Grün­den außerstande ist, seine Einwilligung zu ge­ben,
4. es sich um Daten handelt, die der Betroffene offen­kun­dig öffentlich gemacht hat oder es zur Geltend­ma­chung, Ausübung oder Verteidigung rechtlicher An­­­­sprü­che vor Gericht erforderlich ist,
5. dies zur Abwehr einer erheblichen Gefahr für die öf­fentliche Sicherheit erforderlich ist oder dies zur Ab­­wehr erheblicher Nachteile für das Gemeinwohl oder zur Wahrung erheblicher Belange des Gemein­wohls zwingend erforderlich ist,
6. der Auftrag der Kirche oder die Glaubwürdigkeit ihres Dienstes dies erfordert,
7. dies zum Zweck der Gesundheitsvorsorge, der me­di­zi­nischen Diagnostik, der Gesundheits­versor­gung oder Behandlung oder für die Verwaltung von Ge­sund­heits­­diensten erforderlich ist und die Verarbei­tung die­­ser Daten durch ärztliches Personal oder durch son­sti­ge Personen erfolgt, die einer entspre­chen­den Ge­heim­­hal­tungspflicht unterliegen,
8. dies zur Durchführung wissenschaftlicher For­schung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das In­te­r­esse des Betroffenen an dem Ausschluss der Er­hebung er­heb­lich überwiegt und der Zweck der For­schung auf andere Weise nicht oder nur mit unver­hältnismäßigem Aufwand erreicht werden kann,
9. dies zur Eingehung, Durchführung, Beendigung oder Ab­wicklung des Dienst- oder Arbeitsverhält­nis­ses er­forderlich ist.

§ 10 Datenspeicherung, -veränderung und -nutzung

(1) Das Speichern, Verändern oder Nutzen personenbezo­ge­ner Da­ten ist zulässig, wenn es zur Erfüllung der in der Zu­ständigkeit der verantwortlichen Stelle liegenden Auf­gaben erforderlich ist und es für die Zwecke erfolgt für die die Da­ten erhoben worden sind. Ist keine Erhebung vo­r­aus­ge­gangen, dürfen die Daten nur für die Zwecke ge­än­dert oder ge­nutzt werden, für die sie gespeichert wor­den sind.
(2) Das Speichern, Verändern oder Nutzen für andere Zwe­cke ist nur zulässig, wenn
1. eine Rechtsvorschrift dies vorsieht oder zwingend vo­r­aussetzt und kirchliche Interessen nicht entge­gen­ste­hen,
2. der Betroffene eingewilligt hat,
3. offensichtlich ist, dass es im Interesse des Betrof­fe­nen liegt, und kein Grund zu der Annahme besteht, dass er in Kenntnis des anderen Zwecks seine Ein­willigung verweigern würde,
4. Angaben des Betroffenen überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrich­tig­keit bestehen,
5. die Daten allgemein zugänglich sind oder die ver­ant­­wortliche Stelle sie veröffentlichen dürfte, es sei den, dass das schutzwürdige Interesse des Betroffe­nen an dem Ausschluss der Zweckänderung offen­sicht­lich über­­wiegt,
6. es zur Abwehr einer Gefahr für die öffentliche Si­cher­heit oder erheblicher Nachteile für das Gemein­wohl oder zur Wahrung erheblicher Belange des Ge­mein­wohls erforderlich ist,
7. es zur Verfolgung von Straftaten oder Ordnungswi­drigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Abs. 1 Nr. 8 des Strafgesetzbuches oder von Erziehungs­maß­re­geln oder Zuchtmitteln im Sinne des Jugend­ge­richts­ge­setzes oder zur Vollstreckung von Buß­geld­ent­schei­dungen er­forderlich ist,
8. es zur Abwehr einer schwerwiegenden Beeinträchti­gung der Rechte einer anderen Person erforderlich ist oder
9. es zur Durchführung wissenschaftlicher Forschung er­for­derlich ist, das wissenschaftliche Interesse an der Durch­­führung des Forschungsvorhabens das In­teresse des Be­troffenen an dem Ausschluss der Zweck­än­de­rung er­heb­lich überwiegt und der Zweck der For­schung auf andere Weise nicht oder nur mit unver­hält­nis­mä­ßi­gem Aufwand erreicht werden kann.
10. der Auftrag der Kirche oder die Glaubwürdigkeit ihres Dienstes dies erfordert.
(3) Eine Verarbeitung oder Nutzung für andere Zwecke liegt nicht vor, wenn sie der Wahrnehmung von Aufsichts- und Kon­trollbefugnissen, der Rechnungsprüfung oder der Durch­­­­führung von Organisationsuntersuchungen für die ver­antwortliche Stelle dient. Das gilt auch für die Ver­ar­­bei­tung oder Nutzung zu Ausbildungs- und Prü­fungs­­zwe­cken durch die verantwortliche Stelle, soweit nicht über­wie­­gen­de schutzwürdige Interessen des Betrof­fenen ent­ge­gen­ste­hen.
(4) Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Si­cherstellung eines ordnungsgemäßen Betriebes einer Da­ten­­verarbeitungsanlage gespeichert werden, dürfen nur für diese Zwecke verwendet werden.
(5) Das Speichern, Verändern oder Nutzen von besonderen Ar­ten personenbezogener Daten (§ 2 Abs.10) für andere Zwe­cke ist nur zulässig, wenn
1. die Voraussetzungen vorliegen, die eine Erhebung nach § 9 Abs. 5 Nr. 1 bis 6 oder 9 zulassen würden oder
2. dies zur Durchführung wissenschaftlicher For­schung erforderlich ist, das kirchliche Interesse an der Durch­führung des Forschungsvorhabens das Interes­se des Be­troffenen an dem Ausschluss der Zweck­än­de­rung er­heblich überwiegt und der Zweck der For­schung auf andere Weise nicht oder nur mit unver­hältnismäßigem Aufwand erreicht werden kann. Bei der Abwägung nach Satz 1 Nr. 2 ist im Rahmen des kirchlichen Interesses das wissenschaftliche Interesse an dem Forschungsvorhaben besonders zu berücksich­ti­gen.
(6) Die Speicherung, Veränderung oder Nutzung von beson­deren Arten personenbezogener Daten (§ 2 Abs. 10) zu den in § 9 Abs. 5 Nr. 7 genannten Zwecken richtet sich nach den für die in § 9 Abs. 5 Nr. 7 genannten Personen gel­ten­den Geheimhaltungspflichten.

§ 10a Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses

(1) Personenbezogene Daten eines Beschäftigten ein­schließ­lich der Daten über die Religionszugehörigkeit, die religi­ö­se Überzeugung und die Erfüllung von Loyalitätsoblie­gen­heiten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäfti­gungs­verhältnisses oder nach Begründung des Beschäfti­gungs­verhältnisses für dessen Durchführung oder Beendi­gung erforderlich ist. Zur Aufdeckung von Straftaten dür­fen personenbezogene Daten eines Beschäftigten dann er­ho­ben, verarbeitet oder genutzt werden, wenn zu doku­men­tierende tatsächliche Anhaltspunkte den Verdacht be­grün­den, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutz­wür­dige Interesse des Beschäftigten an dem Aus­schluss der Erhebung, Verarbeitung oder Nutzung nicht über­wiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind oder eine Rechts­vorschrift dies vorsieht.
(2) Absatz 1 ist auch anzuwenden, wenn personenbezogene Da­­ten erhoben, verarbeitet oder genutzt werden, ohne dass sie automatisiert verarbeitet oder in oder aus einer nicht automatisierten Datei verarbeitet, genutzt oder für die Ver­arbeitung oder Nutzung in einer solchen Datei erhoben wer­den.
(3) Die Beteiligungsrechte nach der jeweils geltenden Mitar­bei­tervertretungsordnung bleiben unberührt.

§ 11 Datenübermittlung an kirchliche und öffentliche Stellen

(1) Die Übermittlung personenbezogener Daten an Stellen im Geltungsbereich des § 1 ist zulässig, wenn
1. sie zur Erfüllung der in der Zuständigkeit der über­mit­­teln­den Stelle oder der empfangenden kirchli­chen Stel­le liegenden Aufgaben erforderlich ist und
2. die Voraussetzungen vorliegen, die eine Nutzung nach § 10 zulassen würden.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Erfolgt die Übermittlung auf Ersuchen der empfangenden kirchlichen Stelle, trägt diese die Verantwortung. In diesem Falle prüft die über­mittelnde Stelle nur, ob das Übermittlungsersuchen im Rah­men der Aufgaben der empfangenden kirchlichen Stel­le liegt, es sei denn, dass besonderer Anlass zur Prü­fung der Zulässigkeit der Übermittlung besteht. § 7 Abs. 4 bleibt unberührt.
(3) Die empfangende kirchliche Stelle darf die übermittelten Daten für den Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie ihr übermittelt werden. Eine Verarbeitung oder Nutzung für andere Zwecke ist nur unter den Vor­aus­setzungen des § 10 Abs. 2 zulässig
(4) Für die Übermittlung personenbezogener Daten an öf­fent­liche Stellen und an kirchliche Stellen außerhalb des Gel­tungsbereichs des § 1 gelten die Abs. 1–3 ent­spre­chend, sofern sichergestellt ist, dass bei dem Emp­fänger aus­rei­chende Datenschutzmaßnahmen getroffen werden.
(5) Sind mit personenbezogenen Daten, die nach Abs. 1 über­­mittelt werden dürfen, weitere personenbezogene Da­ten des Betroffenen oder eines Dritten in Akten so ver­bunden, dass eine Trennung nicht oder nur mit un­ver­tretbarem Aufwand möglich ist, so ist die Übermittlung auch dieser Daten zu­läs­sig, soweit nicht berechtigte In­teressen des Betroffe­nen oder eines Dritten an deren Ge­heimhaltung offensicht­lich überwiegen; eine Nutzung die­ser Daten ist unzulässig.
(6) Abs. 5 gilt entsprechend, wenn personenbezogene Daten in­­­nerhalb einer kirchlichen Stelle weitergegeben werden.

§ 12 Datenübermittlung an nicht kirchliche und nicht öffentliche Stellen

(1) Die Übermittlung personenbezogener Daten an nicht kirch­­­­li­che Stellen, nicht öffentliche Stellen oder Personen ist zu­­läs­sig, wenn
1. sie zur Erfüllung der in der Zuständigkeit der über­mit­­telnden Stelle liegenden Aufgaben erforderlich ist und die Voraussetzungen vorliegen, die eine Nut­zung nach § 10 zulassen würden, oder
2. der Dritte, an den die Daten übermittelt werden, ein berechtigtes Interesse an der Kenntnis der zu über­mit­teln­den Daten glaubhaft darlegt und der Betrof­fe­ne kein schutzwürdiges Interesse an dem Aus­schluss der Über­mittlung hat. Das Übermitteln von besonderen Ar­­­ten personenbezogener Daten (§ 2 Abs. 10) ist ab­wei­chend von Satz 1 Nr. 2 nur zu­läs­sig, wenn die Vo­r­­aus­setzungen vorliegen, die eine Nut­zung nach § 10 Abs. 5 und 6 zulassen würden oder soweit dies zur Gel­­tend­machung, Ausübung oder Verteidigung recht­li­cher An­sprüche erforder­lich ist.
(2) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.
(3) In den Fällen der Übermittlung nach Abs.1 Nr. 2 unter­richtet die übermittelnde Stelle den Betroffenen von der Übermittlung seiner Daten. Dies gilt nicht, wenn damit zu rechnen ist, dass er davon auf andere Weise Kenntnis er­langt, wenn die Unterrichtung wegen der Art der perso­nen­be­zogenen Daten unter Berücksichtigung der schutz­würdi­gen Interessen des Betroffenen nicht geboten er­scheint, wenn die Unterrichtung die öffentliche Sicher­heit gefähr­den oder dem kirchlichen Wohl Nachteile be­reiten würde.
(4) Der Dritte, an den die Daten übermittelt werden, darf die­se nur für den Zweck verarbeiten oder nutzen, zu des­sen Er­fül­lung sie ihm übermittelt werden. Die über­mit­teln­de Stel­le hat ihn darauf hinzuweisen. Eine Verar­bei­tung oder Nut­zung für andere Zwecke ist zulässig, wenn eine Über­mitt­lung nach Absatz 1 zulässig wäre und die über­mittelnde Stel­le zugestimmt hat.

§ 13 Auskunft an den Betroffenen

(1) Dem Betroffenen ist auf Antrag Auskunft zu erteilen über:
1. die zu seiner Person gespeicherten Daten, auch so­weit sie sich auf die Herkunft dieser Daten be­zie­hen,
2. die Empfänger oder Kategorien von Empfängern, an die die Daten weitergegeben werden, und
3. den Zweck der Speicherung.
In dem Antrag soll die Art der personenbezogenen Da­ten, über die Auskunft erteilt werden soll, näher be­zeich­net wer­den. Sind die personenbezogenen Daten we­der auto­ma­tisiert noch in nicht automatisierten Da­teien gespei­chert, wird die Auskunft nur erteilt, soweit der Betroffene An­gaben macht, die das Auffinden der Daten ermöglichen und der für die Erteilung der Aus­kunft erforderliche Auf­wand nicht außer Verhältnis zu dem vom Betroffenen gel­tend gemachten Informations­interesse steht. Das Bistum be­stimmt das Verfahren, ins­besondere die Form der Aus­kunftserteilung.
(2) Abs.1 gilt nicht für personenbezogene Daten, die nur des­halb gespeichert sind, weil sie aufgrund gesetzlicher, sat­zungs­gemäßer oder vertraglicher Aufbewahrungsvor­schrif­ten nicht gelöscht werden dürfen oder ausschließ­lich Zwe­cken der Datensicherung oder der Datenschutz­kon­­trolle die­nen und eine Auskunftserteilung einen un­ver­hältnis­mä­ßi­gen Aufwand erfordern würde.
(3) Die Auskunftserteilung unterbleibt soweit,
1. die Auskunft die ordnungsgemäße Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegen­den Auf­gaben gefährden würde,
2. die Auskunft dem kirchlichen Wohl Nachteile be­rei­ten würde,
3. die Auskunft die öffentliche Sicherheit oder Ord­nung gefährden würde,
4. die Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder ihrem Wesen nach, ins­be­son­dere wegen der überwiegenden berechtigten In­ter­es­sen eines Dritten, geheim gehalten werden müssen und deswegen das Interesse des Betroffenen an der Aus­­kunftserteilung zurücktreten muss.
(4) Die Ablehnung der Auskunftserteilung bedarf einer Be­grün­dung nicht, soweit durch die Mitteilung der tatsäch­li­chen oder rechtlichen Gründe auf die die Entscheidung ge­stützt wird, der mit der Auskunftsverweigerung ver­folgte Zweck gefährdet würde. In diesem Fall ist der Be­troffene da­rauf hinzuweisen, dass er sich an den Diöze­san­daten­schutz­beauftragten wenden kann.
(5) Wird dem Betroffenen keine Auskunft erteilt, so ist sie auf sein Verlangen dem Diözesandatenschutzbeauf­trag­ten zu erteilen, soweit nicht das Bistum im Einzelfall fest­stellt, dass dadurch das kirchliche Wohl beeinträch­tigt wird. Die Mit­teilung des Diözesandatenschutzbeauf­trag­ten an den Be­trof­fenen darf keine Rückschlüsse auf den Erkenntnis­stand der verantwortlichen Stelle zulas­sen, sofern diese nicht einer weitergehenden Auskunft zu­stimmt.
(6) Die Auskunft ist unentgeltlich.

§ 13a Benachrichtigung

(1) Werden Daten ohne Kenntnis des Betroffenen erhoben, so ist er von der Speicherung, der Identität der verant­wort­li­chen Stelle sowie über die Zweckbestimmungen der Er­he­bung, Verarbeitung oder Nutzung zu unterrich­ten. Der Be­trof­fene ist auch über die Empfänger oder Ka­te­­gorien von Emp­fängern von Daten zu unterrichten, soweit er nicht mit der Übermittlung an diese rechnen muss. Sofern eine Über­mitt­lung vorgesehen ist, hat die Un­ter­richtung spätestens bei der ersten Übermittlung zu erfolgen.
(2) Eine Pflicht zur Benachrichtigung besteht nicht, wenn
1. der Betroffene auf andere Weise Kenntnis von der Spei­­­­cherung oder der Übermittlung erlangt hat,

2. die Unterrichtung des Betroffenen einen unverhält­nis­­mä­ßigen Aufwand erfordert oder

3. die Speicherung oder Übermittlung der personen­be­zo­genen Daten durch eine Rechtsvorschrift aus­drück­­lich vorgesehen ist.

(3) § 13 Abs. 2 und 3 gelten entsprechend.

§ 14 Berichtigung, Löschung oder Sperrung von Daten; Widerspruchsrecht

(1) Personenbezogene Daten sind zu berichtigen, wenn sie un­rich­tig sind. Wird festgestellt, dass personenbezogene Da­ten, die weder automatisiert verarbeitet noch in nicht auto­matisierten Dateien gespeichert sind, unrichtig sind, oder wird ihre Richtigkeit von dem Betroffenen bestrit­ten, so ist dies in geeigneter Weise festzuhalten.

(2) Personenbezogene Daten, die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind, sind zu löschen, wenn
1. ihre Speicherung unzulässig ist oder
2. ihre Kenntnis für die verantwortliche Stelle zur Er­fül­lung der in ihrer Zuständigkeit liegenden Auf­ga­ben nicht mehr erforderlich ist.
(3) An die Stelle einer Löschung tritt eine Sperrung, soweit
1. einer Löschung gesetzliche, satzungsmäßige oder ver­trag­liche Aufbewahrungsfristen entgegenstehen,
2. Grund zu der Annahme besteht, dass durch eine Lö­schung schutzwürdige Interessen des Betroffenen be­einträchtigt würden oder
3. eine Löschung wegen der besonderen Art der Spei­che­rung nicht oder nur mit unverhältnismäßig hohem Auf­­wand möglich ist.
(4) Personenbezogene Daten, die automatisiert verarbeitet oder in nicht automatisierten Dateien gespeichert sind, sind fer­ner zu sperren, soweit ihre Richtigkeit vom Be­troffenen be­stritten wird und sich weder die Richtigkeit noch die Un­richtigkeit feststellen lässt.
(5) Personenbezogene Daten dürfen nicht für eine automa­ti­sier­te Verarbeitung oder Verarbeitung in nicht automati­sier­ten Dateien erhoben, verarbeitet oder genutzt werden, so­­­weit der Betroffene dieser bei der verantwortlichen Stel­­le widerspricht und eine Prüfung ergibt, dass das schutz­­wür­di­ge Interesse des Betroffenen wegen seiner be­sonde­ren per­sön­lichen Situation das Interesse der ver­antwort­lichen Stel­le an dieser Erhebung, Verarbeitung oder Nutzung über­wiegt. Satz 1 gilt nicht, wenn eine Rechts­­vorschrift zur Er­he­bung, Verarbeitung oder Nut­zung ver­pflichtet.
(6) Personenbezogene Daten, die weder automatisiert ver­ar­bei­tet noch in einer nicht automatisierten Datei ge­spei­chert sind, sind zu sperren, wenn die verantwortliche Stel­le im Ein­zelfall feststellt, dass ohne die Sperrung schutz­würdige In­teressen des Betroffenen beeinträchtigt wür­den und die Daten für die Aufgabenerfüllung der Be­hörde nicht mehr er­forderlich sind.
(7) Gesperrte Daten dürfen ohne Einwilligung des Betrof­fe­nen nur übermittelt oder genutzt werden, wenn
1. es zu wissenschaftlichen Zwecken, zur Behebung ei­ner bestehenden Beweisnot oder aus sonstigen, im über­­­wiegenden Interesse der verantwortlichen Stelle oder eines Dritten liegenden Gründen unerlässlich ist und
2. die Daten hierfür übermittelt oder genutzt werden dürf­­­­ten, wenn sie nicht gesperrt wären.
(8) Von der Berichtigung unrichtiger Daten, der Sperrung be­­strittener Daten sowie der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung sind die Stellen zu ver­ständigen, denen im Rahmen einer Datenüber­mitt­lung die­se Daten zur Speicherung weitergegeben wur­den, wenn dies keinen unverhältnismäßigen Aufwand er­fordert und schutz­wür­dige Interessen des Betroffenen nicht entgegen­stehen.

§ 15 Anrufung des Diözesandatenschutzbeauftragten

(1) Wer der Ansicht ist, dass bei der Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten durch Stel­len gemäß § 1 Abs. 2 gegen Vorschriften dieser Anord­nung oder gegen andere Datenschutzvorschriften versto­ßen wor­den ist oder ein solcher Verstoß bevorsteht, kann sich un­mit­telbar an den Diözesandatenschutzbeauftragten wenden.
(2) Auf ein solches Vorbringen hin prüft der Diözesan­daten­schutzbeauftragte den Sachverhalt. Er fordert die betrof­fe­ne kirchliche Dienststelle zur Stellungnahme auf, soweit der Inhalt des Vorbringens den Tatbestand einer Daten­schutz­­ver­letzung erfüllt.
(3) Niemand darf gemaßregelt oder benachteiligt werden, weil er sich im Sinne des Abs. 1 an den Diözesandaten­schutz­be­auftragten gewendet hat.

§ 16 Bestellung des Diözesandatenschutzbeauftragten

(1) Der Bischof bestellt für den Bereich seines Bistums einen Diözesandatenschutzbeauftragten; die Bestellung erfolgt für die Dauer von mindestens vier, höchstens acht Jahren. Die mehrmalige erneute Bestellung ist zulässig. Die Be­stel­lung als Datenschutzbeauftragter für mehrere Diözesen und/oder Ordensgemeinschaften  ist zulässig.
(2) Zum Diözesandatenschutzbeauftragten darf nur bestellt wer­­den, wer die zur Erfüllung seiner Aufgaben erforderliche Fach­kunde und Zuverlässigkeit besitzt. Er soll die Befähi­gung zum Richteramt gemäß § 5 Deutsches Richtergesetz haben und muss der Katholischen Kirche angehören. Der Diözesandatenschutzbeauftragte ist auf die gewissenhafte Er­füllung seiner Pflichten und die Einhaltung des kirchli­chen und des für die Kirchen verbindlichen staatlichen Rechts zu verpflichten. Anderweitige Tätigkeiten dürfen das Vertrauen in die Unabhängigkeit und Unparteilichkeit des Diözesandatenschutzbeauftragten nicht gefährden. Dem steht eine Bestellung als Diözesandatenschutzbeauftragter für meh­re­re Diözesen und/oder Ordensgemeinschaften nicht ent­gegen.
(3) Die Bestellung kann vor Ablauf der Amtszeit widerrufen werden, wenn Gründe nach § 24 Deutsches Richtergesetz vorliegen, die bei einem Richter auf Lebenszeit dessen Ent­lassung aus dem Dienst rechtfertigen, oder Gründe vorlie­gen, die nach der Grundordnung des kirchlichen Dienstes im Rahmen kirchlicher Arbeitsverhältnisse in der jeweils gel­tenden Fassung eine Kündigung rechtfertigen. Auf An­trag des Beauftragten nimmt der Bischof die Bestellung zu­rück.

§ 17 Rechtsstellung des Diözesandatenschutzbeauftragten

(1) Der Diözesandatenschutzbeauftragte ist in Ausübung seiner Tätigkeit an Weisungen nicht gebunden und nur dem kirch­li­chen Recht und dem für die Kirchen verbind­li­chen staat­li­chen Recht unterworfen. Die Ausübung seiner Tätigkeit geschieht in organisato­ri­scher und sachlicher Unabhängigkeit. Die Dienstaufsicht ist so zu regeln, dass dadurch die Unabhängigkeit nicht beein­trächtigt wird.
(2) Das der Bestellung zum Diözesandatenschutzbeauftragten zugrunde liegende Dienstverhältnis kann während der Amts­zeit nur unter den Voraussetzungen des § 16 Abs. 3 beendet werden. Dieser Kündigungsschutz wirkt für den Zeitraum von einem Jahr nach der Beendigung der Amts­zeit entspre­chend fort, soweit ein kirchliches Beschäfti­gungs­verhältnis fortgeführt wird oder sich anschließt.
(3) Dem Diözesandatenschutzbeauftragten wird die für die Er­fül­lung seiner Aufgaben angemessene Personal- und Sach­­aus­stattung zur Verfügung gestellt. Er verfügt über ei­nen ei­­genen jährlichen Haushalt, der gesondert auszu­wei­sen ist und veröffentlicht wird.
(4) Der Diözesandatenschutzbeauftragte wählt das notwen­di­ge Personal aus, das von einer kirchlichen Stelle angestellt wird. Die vom Diözesandatenschutzbeauftragten ausge­wähl­ten und von dieser kirchlichen Stelle angestellten Mit­ar­bei­ter un­terstehen der Dienst- und Fachaufsicht des Diö­zesan­da­ten­schutzbeauftragten und können nur mit seinem Ein­ver­ständnis von der kirchlichen Stelle gekündigt, ver­setzt oder abgeordnet werden.
(5) Der Diözesandatenschutzbeauftragte ist oberste Dienstbe­hör­de im Sinne des § 96 Strafprozessordnung. Er trifft die Entscheidung über Aussagegenehmigungen für seinen Be­reich in eigener Verantwortung. Der Diözesandaten­schutz­­be­­auftragte ist oberste Aufsichtsbehörde im Sinne des § 99 Verwaltungsgerichtsordnung.
(6) Der Diözesandatenschutzbeauftragte bestellt im Einver­neh­men mit dem Diözesanbischof einen Vertreter, der im Fall seiner Verhinderung die unaufschiebbaren Entschei­dun­gen trifft. Für den Vertreter gilt § 16 Abs. 2 ent­spre­chend.
(7) Der Diözesandatenschutzbeauftragte ist, auch nach Been­di­gung seines Auftrages, verpflichtet, über die ihm in sei­ner Eigenschaft als Diözesandatenschutzbeauftragtem be­kannt gewordenen Angelegenheiten Verschwiegenheit zu bewah­ren. Dies gilt nicht für Mitteilungen im dienstlichen Ver­kehr oder über Tatsachen, die offenkundig sind oder ihrer Be­deutung nach keiner Geheimhaltung bedürfen.
(8) Der Diözesandatenschutzbeauftragte darf, auch wenn sein Auftrag beendet ist, über solche Angelegenheiten ohne Ge­­nehmigung des Bischofs weder vor Gericht noch außer­ge­richtlich Aussagen oder Erklärungen abgeben. Die Geneh­mi­gung, als Zeuge auszusagen, wird in der Regel erteilt. Un­­berührt bleibt die gesetzlich begründete Pflicht, Straf­ta­ten anzuzeigen.

§ 18 Aufgaben des Diözesandatenschutzbeauftragten

(1) Der Diözesandatenschutzbeauftragte wacht über die Ein­hal­­tung der Vorschriften dieser Anordnung sowie ande­rer Vorschriften über den Datenschutz. Er kann Empfeh­lungen zur Verbesserung des Datenschutzes geben. Des Weiteren kann er die bischöfliche Behörde und sonstige kirchliche Dienststellen in seinem Bereich in Fragen des Datenschut­zes beraten. Auf Anforderung der bischöf­li­chen Behörde hat der Diözesandatenschutzbeauftragte Gut­achten zu er­stel­len und Berichte zu erstatten.
(2) Die in § 1 Abs. 2 genannten Stellen sind verpflichtet, den Diözesandatenschutzbeauftragten bei der Erfüllung sei­ner Aufgaben zur unterstützen. Ihm ist dabei insbe­son­de­re
1. Auskunft zu seinen Fragen sowie Einsicht in alle Un­­ter­lagen und Akten zu gewähren, die im Zusam­men­­hang mit der Verarbeitung personenbezogener Daten ste­hen, namentlich in die gespeicherten Da­ten und in die Datenverarbeitungsprogramme,
2. während der Dienstzeit Zutritt zu allen Dienst­räu­men, die der Verarbeitung und Aufbewahrung auto­ma­tisier­ter Dateien dienen, zu gewähren, soweit nicht sonstige kirchliche Vorschriften entgegen­stehen.
(3) Der Diözesandatenschutzbeauftragte erstellt jährlich einen Tätigkeitsbericht, der dem Bischof vorgelegt und der Öf­fentlichkeit zugänglich gemacht wird. Der Tätig­keits­be­richt soll auch eine Darstellung der wesentlichen Ent­wick­lun­­gen des Datenschutzes im nichtkirchlichen Be­reich ent­halten.
(4) Der Diözesandatenschutzbeauftragte wirkt auf die Zu­sam­­menarbeit mit den kirchlichen Stellen, insbesondere mit den anderen Diözesandatenschutzbeauftragten, hin.
(5) Zu seinem Aufgabenbereich gehört die Zusammenarbeit mit den staatlichen Beauftragten für den Datenschutz.

§ 19 Beanstandungen durch den Diözesandatenschutzbeauftragten

(1) Stellt der Diözesandatenschutzbeauftragte Verstöße ge­gen Vorschriften dieser Anordnung oder gegen an­de­re Da­ten­schutzbestimmungen oder sonstige Mängel bei der Ver­ar­beitung personenbezogener Daten fest, so beanstandet er die­se unter Setzung einer angemessenen Frist zur Behe­bung ge­genüber der betroffenen kirchlichen Dienststelle.
(2) Wird die Beanstandung nicht fristgerecht behoben, so ver­stän­digt der Diözesandatenschutzbeauftragte die Aufsicht führende Stelle und fordert sie zu einer Stellungnahme auf.
(3) Der Diözesandatenschutzbeauftragte kann von einer Be­an­standung absehen oder auf eine Stellungnahme der Auf­sicht führenden Stelle verzichten, wenn es sich um uner­heb­liche Mängel handelt, deren Behebung mittlerweile er­folgt ist.
(4) Mit der Beanstandung kann der Diözesandatenschutz­be­auf­tragte Vorschläge zur Beseitigung der Mängel und zur sons­­ti­gen Verbesserung des Datenschutzes verbinden.
(5) Die gemäß Abs. 2 abzugebende Stellungnahme soll auch ei­ne Darstellung der Maßnahmen enthalten, die aufgrund der Beanstandungen des Diözesandatenschutzbeauftrag­ten ge­troffen worden sind.
(6) Zur Gewährleistung der Vorschriften dieser Anordnung und anderer Vorschriften über den Datenschutz kann der Di­­özesandatenschutzbeauftragte gegenüber der betroffe­nen Dienststelle Maßnahmen zur Beseitigung festgestell­ter Verstöße bei der Erhebung, Verarbeitung oder Nutzung per­so­nenbezogener Daten oder technischer und organisa­to­­ri­­scher Mängel anordnen. Wird diese Anordnung nicht frist­ge­mäß umgesetzt, hat sich der Diözesandatenschutz­be­auf­tragte an die Aufsicht führende Stelle zu wenden, die zeit­nah über die notwendigen Maßnahmen entscheidet.

§ 20 Betrieblicher Beauftragter für den Datenschutz

(1) Kirchliche Stellen im Sinne des § 1 Abs. 2, die personen­be­zogene Daten automatisiert erheben, verarbeiten oder nut­zen, können einen betrieblichen Datenschutzbeauf­trag­ten schriftlich bestellen.
(2) Sind mit der automatisierten Datenerhebung, -verar­bei­tung oder -nutzung mehr als zehn Personen befasst, so soll ein betrieblicher Datenschutzbeauftragter bestellt werden.
(3) Zum betrieblichen Datenschutzbeauftragten darf nur be­stellt werden, wer die zur Erfüllung seiner Aufgaben er­for­der­liche Fachkunde und Zuverlässigkeit besitzt. Mit die­ser Aufgabe kann auch eine Person außerhalb der kirch­lichen Stelle betraut werden. Ein betrieblicher Da­ten­­schutz­be­auf­trag­ter kann von mehreren kirchlichen Stel­len bestellt wer­den.
(4) Der betriebliche Datenschutzbeauftragte ist dem Leiter der kirchlichen Stelle unmittelbar zu unterstellen. Er ist in Aus­übung seiner Fachkunde auf dem Gebiet des Da­ten­­schutzes weisungsfrei. Er darf wegen der Erfüllung sei­ner Aufgaben nicht benachteiligt werden.
(5) Die kirchlichen Stellen haben den betrieblichen Daten­schutz­beauftragten bei der Erfüllung seiner Aufgaben zu unterstützen. Betroffene können sich jederzeit an den be­trieblichen Datenschutzbeauftragten wenden.
(6) Ist ein betrieblicher Beauftragter für den Datenschutz be­stellt worden, so ist die Kündigung seines Arbeitsver­hält­nis­ses unzulässig, es sei denn, dass Tatsachen vorliegen, wel­­che die verantwortliche Stelle zur Kündigung aus wich­­ti­gem Grund ohne Einhaltung der Kündigungsfrist berech­ti­gen. Nach der Abberufung als betrieblicher Beauftragter für den Datenschutz ist die Kündigung innerhalb eines Jah­­res nach der Beendigung der Bestellung unzulässig, es sei denn, dass die verantwortliche Stelle zur Kündigung aus wich­tigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist.
(7) Zur Erhaltung der zur Erfüllung seiner Aufgaben erfor­der­li­chen Fachkunde hat die verantwortliche Stelle dem be­trieb­lichen Beauftragten für den Datenschutz die Teilnah­me an Fort- und Weiterbildungsveranstaltungen in ange­mes­senem Umfang zu ermöglichen und deren Kosten zu übernehmen.
(8) Im Übrigen findet § 16 entsprechende Anwendung.
(9) Sind mit der automatisierten Datenerhebung, -verarbei­tung oder -nutzung weniger als elf Personen befasst, kann die Erfüllung der Aufgaben des betrieblichen Datenschut­zes in anderer Weise geregelt werden.

§ 21 Aufgaben des betrieblichen Datenschutzbeauftragten

(1) Der betriebliche Datenschutzbeauftragte wirkt auf die Ein­haltung dieser Anordnung und anderer Vorschriften über den Datenschutz hin. Zu diesem Zweck kann er sich in Zwei­felsfällen an den Diözesandatenschutzbeauf­trag­ten gem. § 16 KDO wenden. Er hat insbesondere
1. die ordnungsgemäße Anwendung der Datenverar­bei­­tungs­programme, mit deren Hilfe personenbezo­ge­ne Daten verarbeitet werden sollen, zu überwa­chen; zu die­­­sem Zweck ist er über Vorhaben der au­toma­ti­sier­ten Verarbeitung personenbezogener Da­ten rechtzeitig zu unterrichten,
2. die bei der Verarbeitung personenbezogener Daten tä­ti­­gen Personen durch geeignete Maßnahmen mit den Vor­schriften dieser Anordnung sowie anderer Vor­­schriften über den Datenschutz und mit den je­weiligen besonderen Erfordernissen des Daten­schut­zes vertraut zu machen.
(2) Dem betrieblichen Datenschutzbeauftragten ist von der ver­antwortlichen Stelle  eine Übersicht nach § 3 a Abs. 2 zur Verfügung zu stellen.
(3) Der betriebliche Datenschutzbeauftragte macht die An­ga­­ben nach § 3 a Abs. 2 Nr. 1 bis 7 auf Antrag je­dermann in geeigneter Weise verfügbar, der ein berech­tig­tes Interesse nachweist.

§ 22 Ermächtigungen

Die zur Durchführung dieser Anordnung erforderlichen Re­gelungen trifft der Generalvikar. Er legt insbesondere fest:
a) den Inhalt der Meldung gemäß § 3a,
b) den Inhalt der schriftlichen Verpflichtungserklärung gemäß § 4 Satz 2,
c) die technischen und organisatorischen Maßnahmen gemäß § 6 Satz 1.
d) die Erfüllung der Aufgaben des betrieblichen Daten­schutzes gemäß § 20 Abs. 9.

§ 23 Schlussbestimmung

Diese Anordnung tritt am 1. März 2014 in Kraft.

Gleichzeitig tritt die Anordnung über den kirchlichen Daten­schutz – KDO vom 20. Oktober 2003 (KA 2003 Nr. 193), zuletzt geändert am 8. Februar 2013 (KA 2013 Nr. 46) außer Kraft.

Die bisher ergangenen Ausführungsbestimmungen gemäß § 22 der bis zum 28. Februar 2014 geltenden KDO behalten ihre Gültigkeit.

Trier, den 14. Februar 2014

Dr. Stephan Ackermann

Bischof von Trier

Weiteres:
 /section>