905. Kirchliche Verordnung
zur Durchführung und Ergänzung
des EKD-Datenschutzrechts
(Datenschutzdurchführungs- und
-ergänzungsverordnung – DSDEVO)

Zuständig für die Führung der Übersicht nach § 2 Absatz 1 Satz 3 EKD-Datenschutzgesetz ist der Oberkirchenrat.

( 1 ) Für den Bereich mehrerer, durch Verordnung des Oberkirchenrats²# festzulegender Kirchenbezirke wird eine örtlich Beauftragte oder ein örtlich Beauftragter gemeinsam für die Kirchenbezirke, Kirchengemeinden und Pfarrämter sowie die kirchlichen Verbände, Anstalten und Körperschaften des öffentlichen Rechts mit Sitz in den festgelegten Kirchenbezirken bestellt. Eine Verhinderungsstellvertretung ist vorzusehen.

( 2 ) Die Bestellung erfolgt durch einen Ausschuss, dem je zwei von den Kirchenbezirksausschüssen und Diakonischen Bezirksausschüssen der festgelegten Kirchenbezirke entsandte Mitglieder angehören, nach den Bestimmungen des § 36 Absatz 5 EKD-Datenschutzgesetz. Mit Zustimmung des Oberkirchenrats kann im Einzelfall eine abweichende Regelung für die Bestellung getroffen werden.

( 1 ) Den Wortlaut der Verpflichtung nach § 26 Satz 2 und § 30 Absatz 3 Satz 2 Nummer 5 EKD-Datenschutzgesetz legt der Oberkirchenrat fest.

( 2 ) Das Original der Verpflichtung ist zu den Personalakten zu nehmen; bei ehrenamtlichen Mitarbeiterinnen und Mitarbeitern sind die Originale gesammelt aufzubewahren.

( 1 ) Werden personenbezogene Daten im Auftrag verarbeitet, so ist die hierfür vom Oberkirchenrat festgelegte Mustervereinbarung zu verwenden. Auf schriftlichen Antrag der auftraggebenden kirchlichen Stelle kann im Einzelfall mit Genehmigung des Oberkirchenrats von der Mustervereinbarung abgesehen werden.

( 2 ) Bei der Beauftragung anderer kirchlicher Stellen wird von § 30 Absatz 3 Satz 2 Nummer 3, 5, 7 und 9 und Satz 4 EKD-Datenschutzgesetz abgesehen.

Für einheitliche Verfahren gemäß § 31 Absatz 6 EKD-Datenschutzgesetz führt der Oberkirchenrat das Verzeichnis zentral.

( 1 ) Den IT-Sicherheitskonzepten sind die Muster-IT-Sicherheitskonzepte der Evangelischen Kirche in Deutschland zugrunde zu legen. Es dürfen nur die vom Oberkirchenrat geprüften und freigegebenen Verfahren und Programme eingesetzt werden.

( 2 ) Für Vereinbarungen nach § 2 Absatz 2 Satz 2 IT-Sicherheitsverordnung ist die vom Oberkirchenrat festgelegte Mustervereinbarung zugrunde zu legen.

( 1 ) Der Oberkirchenrat bestellt eine IT-Sicherheitsbeauftragte oder einen IT-Sicherheitsbeauftragten für die Landeskirche. Eine Verhinderungsstellvertretung ist vorzusehen.

( 2 ) Für den Bereich mehrerer, durch Verordnung des Oberkirchenrats³# festzulegender Kirchenbezirke wird eine örtlich Beauftragte oder ein örtlich Beauftragter für IT-Sicherheit gemeinsam für die Kirchenbezirke, Kirchengemeinden und Pfarrämter sowie die kirchlichen Verbände, Anstalten und Körperschaften des öffentlichen Rechts mit Sitz in den festgelegten Kirchenbezirken bestellt. Eine Verhinderungsstellvertretung ist vorzusehen. Für die Bestellung findet § 2 Absatz 2 entsprechende Anwendung.

Der Oberkirchenrat kann zur Durchführung und Ergänzung des EKD-Datenschutzrechts weitere Verordnungen⁴# und Richtlinien erlassen.

Diese Kirchliche Verordnung tritt am 24. Mai 2018 in Kraft. Zugleich treten die Kirchliche Verordnung zur Durchführung und Ergänzung des Kirchengesetzes über den Datenschutz vom 14. Februar 1995 (Abl. 56 S. 371), geändert durch Kirchliche Verordnung vom 26. Mai 2014 (Abl. 66 S. 103), die Computervirenschutzverordnung vom 20. Dezember 2000 (Abl. 59 S. 201), die Datenverschlüsselungsverordnung vom 20. Dezember 2000 (Abl. 59 S. 352), geändert durch Verordnung vom 18. November 2003 (Abl. 60 S. 352), die Datensicherungsverordnung vom 20. Dezember 2000 (Abl. 59 S. 203) sowie die EDV-Richtlinien vom 25. März 1997 (Abl. 57 S. 288) außer Kraft.