Start/Leistungen/Sonstige Leistungen
Datenschutzaudit und kirchlicher Datenschutz
Zwei Leistungen, die außerhalb des Standardpakets liegen — und in denen wir seit 2011 beraten: das Datenschutzaudit als systematische Prüfung Ihres DSGVO-Stands und die anwaltliche Beratung kirchlicher Einrichtungen nach DSG-EKD und KDG.
Datenschutzaudit: Wo steht Ihr Unternehmen wirklich?
Viele Unternehmen glauben, DSGVO-konform zu sein. Ein Datenschutzaudit prüft systematisch, ob Prozesse, Richtlinien und technische Maßnahmen den Anforderungen tatsächlich entsprechen. Es zeigt konkreten Handlungsbedarf — und schützt Sie im Ernstfall vor dem Vorwurf der Fahrlässigkeit.
Wir führen das Audit durch, dokumentieren die Ergebnisse und übergeben Ihnen einen klaren Maßnahmenkatalog. Auf Wunsch stellen wir einen Bestätigungsvermerk über Ihre technischen und organisatorischen Maßnahmen (TOMs) aus — zur Vorlage beim Auftraggeber einer Auftragsverarbeitung.
Wann ein Datenschutzaudit sinnvoll ist
Wenn Sie eine dieser Fragen nicht eindeutig bejahen können:
Anlassbezogen empfiehlt sich ein Audit außerdem bei Unternehmensverkäufen, bei der Übernahme als Auftragnehmer einer Auftragsverarbeitung und bei begründeten Zweifeln an der bisherigen DSGVO-Umsetzung.
So läuft das Datenschutzaudit ab
Erfassung aller relevanten Verarbeitungsprozesse und Unterscheidung nach gesetzlich besonders geschützten und sonstigen Datenkategorien. So lassen sich Ressourcen gezielt einsetzen.
Überprüfung
Prüfung in drei Bereichen: allgemeiner Datenschutz (Informationspflichten, Betroffenenrechte, DSFA), Datenverarbeitung (Zugangskontrolle, Umgang mit personenbezogenen Daten) und Informationssicherheit. Dazu gehört das TOM-Audit: Sind die ergriffenen Schutzmaßnahmen angemessen — gerade bei besonders sensiblen Daten oder Anhaltspunkten für Hackerangriffe?
Maßnahmenkatalog & Dokumentation
Die Ergebnisse werden in konkrete Maßnahmen übersetzt: überarbeitete Einwilligungserklärungen, Bestellung eines DSB, Aktualisierung des Verarbeitungsverzeichnisses. Der gesamte Prozess wird lückenlos dokumentiert — das stärkt Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Durchführung per Interview und Dokumentenreview, vollständig remote möglich. Für Vor-Ort-Termine sind wir deutschlandweit erreichbar.
Speziell für Kanzleien und warum extern besser prüft
Kanzleien von Steuerberatern, Wirtschaftsprüfern und Rechtsanwälten verarbeiten täglich besonders sensible Mandantendaten und unterliegen zusätzlich beruflichen Verschwiegenheitspflichten. Geprüft werden hier insbesondere die datenschutzkonforme Mandantenbetreuung, der Umgang mit Auftragsverarbeitern, die Sicherung digitaler und analoger Akten sowie interne Zugriffsberechtigungen. Nicole Schmidt, LL.M., ist Autorin von Datenschutz für StB, RA, WP (2. Auflage) und arbeitet seit Jahren mit Kanzleien aller Größenordnungen.
Ein Audit lässt sich grundsätzlich auch intern durchführen. Ein externer Auditor bringt aber keine Betriebsblindheit mit, sieht bestehende Strukturen unvoreingenommen und kommt zu objektiveren Ergebnissen.
Kirchlicher Datenschutz nach DSG-EKD und KDG
Für kirchliche Einrichtungen gilt nicht die DSGVO, sondern eigenes kirchliches Datenschutzrecht: das KDG für die katholische, das DSG-EKD für die evangelische Kirche. Grundlage ist das verfassungsrechtlich garantierte Selbstbestimmungsrecht der Kirchen (Art. 140 GG i. V. m. Art. 137 Abs. 3 WRV; Art. 91 Abs. 1 DSGVO).
Kirchliche Einrichtungen verarbeiten täglich sensible Daten — von Mitgliedern, Beschäftigten, Ehrenamtlichen und Spendern bis zu Kindern in Kitas und Patienten in kirchlichen Krankenhäusern. Als Rechtsanwaltsgesellschaft beraten wir Kirchengemeinden, Caritas, Diakonie und kirchennahe Werke seit 2011 anwaltlich.
KDG und DSG-EKD im Überblick
| Regelwerk | Gilt für | In Kraft seit | Max. Bußgeld |
|---|---|---|---|
| KDG (Gesetz über den Kirchlichen Datenschutz) | Diözesen, Kirchengemeinden, Kirchenstiftungen und -verbände, Deutscher Caritasverband, Diözesan-Caritasverbände und ihre Untergliederungen — unabhängig von der Rechtsform (§ 3 Abs. 1 KDG) | 24.05.2018 | 500.000 € |
| DSG-EKD (Datenschutzgesetz der EKD) | EKD, Gliedkirchen und gliedkirchliche Zusammenschlüsse, weitere kirchliche juristische Personen des öffentlichen Rechts sowie zugeordnete kirchliche und diakonische Dienste, Einrichtungen und Werke — unabhängig von der Rechtsform (§ 2 Abs. 1 S. 1 DSG-EKD) | 24.05.2018 | 500.000 € |
Beide Regelwerke sind strukturell an die DSGVO angelehnt und teilweise sogar strenger, enthalten aber kirchenspezifische Besonderheiten — etwa bei Seelsorgedaten, Mitgliedschaftsdaten und Mitarbeitervertretungsrecht.
Datenschutzbeauftragter im kirchlichen Datenschutz
| DSG-EKD (evangelisch) | KDG (katholisch) | |
|---|---|---|
| Grundsätzliche Pflicht | Ab 10 Personen mit ständiger Datenverarbeitung | Diözesen, Kirchengemeinden, Kirchenstiftungen: immer — unabhängig von der Mitarbeiterzahl |
| Weitere Pflichtfälle | Kerntätigkeit umfasst umfangreiche Verarbeitung besonderer Datenkategorien | Ab 10 Personen mit ständiger Datenverarbeitung; systematische Überwachung; besondere Datenkategorien (§§ 11, 12 KDG) |
| Externer DSB zulässig? | Ja (§ 36 Abs. 5 S. 2 DSG-EKD) | Ja (§ 36 Abs. 5 KDG) |
Aufsicht und Bußgelder
Kirchliche Einrichtungen unterstehen nicht den staatlichen Datenschutzbehörden, sondern eigenen kirchlichen Aufsichtsstellen: den Diözesandatenschutzbeauftragten (§ 42 Abs. 1 KDG) bzw. den Beauftragten für den Datenschutz (§ 39 Abs. 1 DSG-EKD).
Verstöße können mit bis zu 500.000 € geahndet werden (§ 51 Abs. 5 KDG; § 45 Abs. 5 DSG-EKD) — weniger als der DSGVO-Rahmen, aber erheblich. Gegen öffentlich-rechtlich verfasste kirchliche Stellen werden grundsätzlich keine Bußgelder verhängt, es sei denn, sie nehmen als Unternehmen am Wettbewerb teil (§ 51 Abs. 6 KDG; § 45 Abs. 1 S. 2 DSG-EKD).
Was wir für kirchliche Einrichtungen übernehmen
- Anwaltliche Beratung nach DSG-EKD und KDG — auch zu Spezialthemen wie Fundraising, Gemeindebriefen und Seelsorgedaten
- Externer Datenschutzbeauftragter nach kirchlichem Recht — oder rechtliche Unterstützung Ihres internen DSB
- Datenschutzkonzepte, Dokumentationen und Richtlinien, auch für Nicht-Juristen verständlich
- Schulungen für Mitarbeitende und Ehrenamtliche, online oder vor Ort
- Kommunikation mit den kirchlichen Aufsichtsbehörden
- Anwaltliche Verschwiegenheit nach § 43a BRAO
- Pauschale Abrechnung — kalkulierbare Kosten von Anfang an
Häufige Fragen
Was kostet ein Datenschutzaudit bei SüdWest Datenschutz?
Die Kosten hängen von Unternehmensgröße, Komplexität der Datenverarbeitung und Anzahl der Standorte ab. Wir rechnen pauschal ab — fordern Sie ein unverbindliches Angebot an.
Wer ist zur Durchführung eines Datenschutzaudits verpflichtet?
Eine allgemeine gesetzliche Auditpflicht besteht nicht. Auftragnehmer einer Auftragsverarbeitung sind jedoch häufig vertraglich verpflichtet, dem Auftraggeber einen Bestätigungsvermerk über ihre TOMs vorzulegen. Für alle anderen Unternehmen ist das Audit eine sinnvolle Maßnahme zur Risikominimierung — in regelmäßigen Abständen, eine starre Frist gibt es nicht.
Was ist der Unterschied zwischen Datenschutzaudit und Datenschutz-Folgenabschätzung (DSFA)?
Die DSFA nach Art. 35 DSGVO ist eine gesetzlich vorgeschriebene Risikoprüfung für einzelne Verarbeitungsvorgänge mit hohem Risiko. Das Datenschutzaudit ist breiter angelegt und prüft den gesamten Datenschutzstand eines Unternehmens.
Gilt die DSGVO für kirchliche Einrichtungen?
Nur eingeschränkt. Auf Basis von Art. 91 Abs. 1 DSGVO haben katholische und evangelische Kirche mit KDG und DSG-EKD eigene, vorrangige Datenschutzgesetze erlassen. Die DSGVO kommt für kirchliche Einrichtungen daher in der Regel nicht direkt zur Anwendung.
Ab wann braucht eine kirchliche Einrichtung einen Datenschutzbeauftragten?
Diözesen, Kirchengemeinden und Kirchenstiftungen unabhängig von der Mitarbeiterzahl, andere kirchliche Stellen ab zehn Personen mit ständiger Datenverarbeitung. Beide Regelwerke erlauben ausdrücklich einen externen DSB — wir klären den konkreten Fall in einem ersten Gespräch.
Sind die Bußgelder im kirchlichen Datenschutz niedriger als nach der DSGVO?
Ja. Maximal 500.000 € nach KDG und DSG-EKD gegenüber bis zu 20 Mio. € oder 4 % des Jahresumsatzes nach DSGVO.