Diese Datenschutzordnung gilt ergänzend zu den staatlichen Rechtsvorschriften für alle verfassungsmäßigen Stellen gemäß Art. 13 Abs. 2 KV in Verbindung mit Art. 14 Abs. 1 KV sowie ohne Rücksicht auf deren Rechtsform für alle kirchlichen Werke und Einrichtungen gemäß Art. 69 bis Art. 72 Abs. 2 KV.

( 1 ) Aufgabe des Datenschutzes im kirchlichen Bereich ist es, die in kirchlichen Dateien enthaltenen personenbezogenen Daten bei der Datenverarbeitung vor Missbrauch zu schützen.

( 2 ) Die besonderen Bestimmungen über den Schutz des Beicht- und Seelsorgegeheimnisses sowie über die Amtsverschwiegenheit gemäß Art. 12 KV gehen den Vorschriften dieses Kirchengesetzes vor.

( 3 ) Unberührt bleibt das Recht der Pfarrer und der anderen kirchlichen Amtsträger, in Wahrnehmung ihres Seelsorgeauftrages eigene Aufzeichnungen zu führen und zu verwenden.

( 1 ) 1 Die in § 1 bezeichneten kirchlichen Stellen, Werke und Einrichtungen dürfen zur Erfüllung ihrer und der ihnen übertragenen Aufgaben Daten zum Zwecke des automationsunterstützten Datenverkehrs ermitteln und verarbeiten. 2 Allen kirchlichen Amtsträgern und Mitarbeitern ist es untersagt, diese Daten zu einem anderen Zweck zu nutzen.

( 2 ) 1 Die erstmalige Aufnahme einer Datenverarbeitung ist über den Oberkirchenrat A. B. bzw. den Oberkirchenrat H. B., bei Werken und Einrichtungen der Landeskirche direkt dem Oberkirchenrat A. u. H. B. zu melden. 2 Der Oberkirchenrat A. u. H. B. hat die Durchführung der Registrierung unter Angabe der zugeteilten Registernummer schriftlich mitzuteilen.

( 3 ) Die Übermittlung von Daten ist nur nach Maßgabe der geltenden kirchenrechtlichen Bestimmungen gemäß den Anlagen zulässig, wobei

1. die Anlagen 1 bis 4 für die Kirche A. B.,
2. die Anlagen 5 bis 8 für die Kirche H. B. und
3. die Anlage 9 für die Landeskirche und deren Werke und Einrichtungen

gelten. Diese Anlagen sind Bestandteil dieser Datenschutzordnung.

( 4 ) 1 Kirchliche Stellen, Werke und Einrichtungen können für die Datenverarbeitung Dienstleister in Anspruch nehmen, wenn dies aus Gründen der Zweckmäßigkeit und Wirtschaftlichkeit der Verwaltung geboten ist. 2 Die beabsichtigte Heranziehung eines Dienstleisters ist unter Vorlage des Vertragsentwurfes dem zuständigen Superintendentialausschuss, dem Oberkirchenrat A. B., dem Oberkirchenrat H. B. bzw. dem Oberkirchenrat A. u. H. B. mitzuteilen.

( 1 ) 1 Alle kirchlichen Stellen, Werke und Einrichtungen, die Daten verwenden, haben Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. 2 Dabei ist je nach der Art der verwendeten Daten, nach Umfang und Zweck der Verwendung und unter Bedachtnahme auf den Stand der technischen Möglichkeiten sowie auf die wirtschaftliche Vertretbarkeit sicherzustellen, dass die Verwendung der Daten ordnungsgemäß erfolgt und dass die Daten Unbefugten nicht zur Kenntnis gelangen.

( 2 ) 1 Insbesondere sind Maßnahmen zu treffen, die

1. Unbefugten den Zugang zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet werden, verwehren (Zugangskontrolle),
2. Personen, die bei der Verarbeitung personenbezogener Daten tätig sind, daran hindern, dass sie Datenträger unbefugt entfernen (Abgangskontrolle),
3. die unbefugte Eingabe in den Speicher sowie die unbefugte Kenntnisnahme, Veränderung oder Löschung gespeicherter personenbezogener Daten verhindern (Speicherkontrolle),
4. die Benutzung von Datenverarbeitungssystemen durch unbefugte Personen verhindern (Benutzerkontrolle),
5. gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können (Zugriffskontrolle),
6. gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten übermittelt worden sind (Übermittlungskontrolle),
7. gewährleisten, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogene Daten zu welcher Zeit von wem in Datenverarbeitungssysteme eingegeben worden sind (Eingabekontrolle),
8. gewährleisten, dass personenbezogene Daten, die durch Dienstleister verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
9. gewährleisten, dass bei der Übermittlung personenbezogener Daten sowie beim Transport entsprechender Datenträger diese nicht unbefugt gelesen, verändert oder gelöscht werden können (Transportkontrolle),
10. die Organisation des Dienstbetriebes so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird (Organisationskontrolle). 2 Insbesondere ist zu gewährleisten, dass nicht oder nicht mehr verwendete Ausdrucke personenbezogener Daten so vernichtet werden, dass Daten nicht mehr entnehmbar sind.

( 3 ) 1 Wer im kirchlichen Bereich oder im Auftrag einer der in § 1 bezeichneten kirchlichen Stellen, ortsgebunden oder nicht ortsgebunden, in Büro- oder Heimarbeit, personenbezogene Daten bearbeitet, hat eine Verpflichtungserklärung abzugeben, die alle in Abs. 2 genannten Punkte umfasst; insbesondere dürfen Daten aus Datenverarbeitungen nur auf Grund von Anordnungen der in § 1 bezeichneten, jeweils zuständigen kirchlichen Stellen und gemäß § 3 Abs. 3 übermittelt werden. 2 Das Datengeheimnis ist auch nach Beendigung der Tätigkeit oder des Auftrages einzuhalten. 3 Die Erklärung hat bei der zuständigen kirchlichen Stelle aufzuliegen. 4 Näheres regelt eine Verordnung des Oberkirchenrates A. und H. B.; ein Muster der Verpflichtungserklärung ist im Amtsblatt zu veröffentlichen.

( 4 ) 1 Die das Programm „Die Evangelischen Gemeindedaten Online“ (EGON) anwendenden Stellen haben den Oberkirchenrat A. u. H. B. bei der Erfüllung der ihn nach staatlichen datenschutzrechtlichen Vorschriften treffenden Pflichten bestmöglich zu unterstützen. 2 Werden die entsprechenden Schritte von der ersuchten Stelle nicht fristgerecht gesetzt, ist der Oberkirchenrat A. u. H. B. berechtigt, diese selbst vorzunehmen; darüber ist gleichzeitig der Datenschutzbeauftragte zu informieren. 3 Allfällige Durchführungsregelungen werden vom Oberkirchenrat A. u. H. B. mit Zustimmung der Rechts- und Verfassungsausschüsse erlassen.

( 1 ) Betroffenen Personen ist auf Antrag Auskunft über die zu ihrer Person gespeicherten Daten zu erteilen.

( 2 ) Die Auskunftserteilung hat zu unterbleiben, wenn die personenbezogenen Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen einer dritten Person geheimgehalten werden müssen.

( 1 ) 1 Die Generalsynode hat für ihre Funktionsperiode einen Beauftragten für den Datenschutz zu bestellen. 2 Die Synode A. B., die Synode H. B. und die Superintendentialversammlungen können in gleicher Weise jeweils für ihren Bereich einen Beauftragten bestellen.

( 2 ) 1 Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer weder einem Superintendentialausschuss, noch einem Oberkirchenrat, noch der EDV-Kommission angehört und die zur Erfüllung dieser Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. 2 Die Wiederbestellung ist zulässig.

( 3 ) 1 Der Beauftragte für den Datenschutz unterliegt der Verschwiegenheitspflicht gemäß Art. 12 KV. 2 Er ist in Ausübung seines Amtes an Weisungen nicht gebunden.

( 1 ) 1 Der Beauftragte für den Datenschutz wacht über die Einhaltung der Vorschriften über den Datenschutz. 2 Er kann Empfehlungen zur Verbesserung des Datenschutzes geben und die in § 1 bezeichneten kirchlichen Stellen in Fragen des Datenschutzes beraten. 3 Er hat jährlich dem kirchlichen Vertretungskörper, der ihn bestellt hat, über seine Wahrnehmungen zu berichten.

( 2 ) 1 Die in § 1 bezeichneten kirchlichen Stellen sind verpflichtet, den Beauftragten für den Datenschutz bei der Erfüllung seiner Aufgaben zu unterstützen. 2 Ihm ist Auskunft auf alle Fragen sowie Einsicht in alle Unterlagen und Akten über die Verarbeitung personenbezogener Daten zu geben, insbesondere in die gespeicherten Daten und in die Datenverarbeitungsprogramme; ihm ist jederzeit Zutritt zu allen Diensträumen zu gewähren.

( 3 ) 1 Stellt der Beauftragte für den Datenschutz Verstöße gegen Datenschutzbestimmungen oder sonstige Mängel bei der Verarbeitung personenbezogener Daten fest, so hat er dies unverzüglich gegenüber der zuständigen kirchlichen Stelle zu beanstanden. 2 Zieht diese daraus keine Konsequenzen, so ist der Beauftragte für den Datenschutz befugt, die übergeordnete kirchliche Stelle zu informieren und Abhilfe zu verlangen.

Wer behauptet, dass er bei der Verarbeitung seiner personenbezogenen Daten durch eine der in § 1 bezeichneten kirchlichen Stellen in seinen Rechten verletzt worden ist, kann sich an den Beauftragten für den Datenschutz wenden, wenn die zuständige Stelle nicht abhilft.

Verstöße gegen den Datenschutz sind Disziplinarvergehen gemäß § 12 Disziplinarordnung der Evangelischen Kirche A. u. H. B. in Österreich.

Verordnungen hinsichtlich der technischen Durchführung der Datenübertragungen kann

1. für den Bereich der Kirche A. B. der Oberkirchenrat A. B.,
2. für den Bereich der Kirche H. B. der Oberkirchenrat H. B.,
3. für die Landeskirche, ihre Werke und Einrichtungen der Oberkirchenrat A. u. H. B.

erlassen.

( 1 ) Die Datenschutzordnung tritt mit sofortiger Wirkung in Kraft.

( 2 ) Die Anlagen zur Datenschutzordnung, ABl. Nr. 195/1994, gemäß § 3 leg. cit. werden unbefristet in Geltung gesetzt.

( 3 ) Änderungen der §§ 3 Abs. 2, Abs. 3 Z. 2, 6 Abs. 1 und 10 Z. 2 sind nur mit Zustimmung der Synode H. B. zulässig.