Wann ist eine Datenverarbeitung rechtmäßig?

Es gibt sieben Voraussetzungen, unter denen eine Datenverarbeitung rechtmäßig ist:

1. Ein Gesetz oder eine andere Rechtsvorschrift (egal ob kirchlich oder staatlich) erlaubt die Datenverarbeitung oder ordnet sie sogar an. Hier sind beispielhaft das KDG selbst oder die seitens des Bischofs erlassene Präventionsordnung zu nennen.
2. Es liegt eine Einwilligung der betroffenen Person (bei Kindern und Jugendlichen des/der Personensorgeberechtigten) vor. Genaueres zur Einwilligung siehe unten.
3. Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich. Unter diesen Rechtfertigungsgrund fällt z. B. die Verarbeitung von Mitgliederdaten bei einem Verein. Dazu gehört beispielsweise der Versand der Mitgliederzeitschrift oder der Einladung zur Weihnachtsfeier an die Vereinsmitglieder.
4. Die Verarbeitung ist zur Erfüllung einer rechtlichen (gesetzlichen, nicht vertraglichen) Verpflichtung erforderlich, der der Verantwortliche unterliegt. Hierzu zählen z. B. bestimmte gesetzliche Dokumentations- und Aufbewahrungspflichten im Handels- und Steuerrecht.
5. Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. Gedacht ist hier beispielsweise an die Bewältigung von Epidemien oder Natur- und ähnlichen Katastrophen sowie an die Abwehr von Seuchengefahren oder von Tötungs- und Körperverletzungsdelikten im Wege vorbeugender Datenverarbeitung. Für besondere Kategorien personenbezogener Daten, z. B. Gesundheitsdaten, ist hier eine Ausnahme vorgesehen: Zum Schutz lebenswichtiger Interessen dürfen diese Daten nur verarbeitet werden, wenn die betroffene Person aus körperlichen Gründen (z. B. Bewusstlosigkeit) oder rechtlichen Gründen (Kinder unter 16 Jahren) außerstande ist, ihre Einwilligung zu geben, vgl. § 11 Abs. 2 lit. c) KDG.
6. Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im kirchlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Hier reicht es nicht aus, dass irgendein kirchliches Interesse besteht. Es muss sich um eine Aufgabe handeln, die dem Verantwortlichen tatsächlich übertragen wurde und die durch eine Rechtsvorschrift (z. B. das kirchliche Recht im Codex Iuris Canonici) definiert ist. Diese Voraussetzung wird bei Jugendverbänden wohl eher nicht greifen.
7. Die Verarbeitung ist zur Wahrung der berechtigten Interessen der/des Verantwortlichen oder einer/eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um eine/-n Minderjährige/-n handelt.