Ulm (epd). Mit Blick auf Meldungen über mögliche hohe Geldstrafen bei Missachtung der neuen europäischen Datenschutz-Grundverordnung (DSGVO) hat der Datenschutzbeauftragte der Evangelischen Kirche in Deutschland (EKD) für die Region Süd, Axel Gutenkunst, vor Panikmache gewarnt. "Da sind geschäftstüchtige Firmen unterwegs, die Angst machen", sagte Gutenkunst dem Evangelischen Pressedienst (epd) am 25. April in Ulm. Die DSGVO gilt ab dem 25. Mai.

Gleichwohl sieht der Datenschützer Handlungsbedarf bei Unternehmen, auch in der Kirche. "Wer das Thema bislang ignoriert hat, muss in die Gänge kommen", betont er. So erfüllten immer noch nicht alle Betreiber einer Internetseite die Pflicht, dort eine Datenschutzerklärung zu veröffentlichen. Gutenkunst warnt davor, sich auf eine Erklärung aus dem Internet zu verlassen, die von Generatoren automatisch erzeugt wird. Diese Texte seien oft zu lange und schwer zu begreifen - eine Datenschutzerklärung müsse von Rechts wegen aber gut verständlich sein.

Eigenes Datenschutzgesetz

Die evangelische Kirche hat wie die katholische Kirche ein eigenes Datenschutzgesetz. Eine novellierte Fassung tritt am 24. Mai inkraft - einen Tag, bevor die Sanktionen der DSGVO greifen. Das Datenschutzniveau sei aber dasselbe, so Gutenkunst. Einrichtungen, in denen mehr als neun haupt- oder ehrenamtliche Mitarbeiter Zugang zu privaten Daten haben, müssen einen Datenschutzbeauftragten ernennen.

Gutenkunst empfiehlt kleineren Organisationen, sich zusammenzutun und gemeinsam einen Datenschutzbeauftragten zu bestellen. In der Evangelische Landeskirche in Württemberg gebe es künftig pro Kirchenbezirk zumindest in Teilzeit einen entsprechenden Beauftragten, ein ähnliches Konstrukt plane die Evangelisch-Lutherische Kirche in Bayern. Die badische Landeskirche habe die Aufgabe den Verwaltungsserviceämtern zugeschlagen.

Neu ist laut Gutenkunst auch die Dokumentationspflicht. Jede Organisation, die mit Daten Dritter umgeht, muss künftig schriftlich nachweisen können, dass sie datenschutzkonform arbeitet. Zu belegen ist, welche Daten man auf welcher Rechtsgrundlage sammelt und nach welchem Zeitraum man sie wieder löscht. Formal sei das eher anspruchslos - es reiche eine einfache Tabelle, in der die entsprechenden Vorgaben beantwortet werden müssen.

"Harte Verschlüsselung"

Daten aus der Seelsorge - etwa eingetippte Notizen über ein Gespräch - müssen laut Gutenkunst so gespeichert werden, dass sie Dritten nicht zugänglich sind. Das könne eine "harte Verschlüsselung" sein oder die Nutzung eines separaten Computers. Der Datenschützer erinnert daran, dass PCs manchmal zur Reparatur eingeschickt werden und ein Techniker dann auf keinen Fall Einblick in das Seelsorgeprotokoll bekommen dürfe.

Sollten Einrichtungen in Kirche und Diakonie den Datenschutzbestimmungen nicht nachkommen, dann seien Bußgelder nur die "ultima ratio". Zuvor gebe es offizielle Beanstandungen und die Möglichkeit, Fehler zu korrigieren. Und selbst wenn doch einmal bestraft werden muss, zeigt sich das kirchliche Recht etwas gnädiger als das weltliche: Die Obergrenze liegt laut Gutenkunst bei 500.000 Euro - und nicht bei 20 Millionen.