NIS2 und Datenschutz für Wohlfahrt und NGOs: Vertrauen schützen

Im gemeinnützigen Sektor führt die Frage nach NIS2 fast immer zu einer Antwort über die Rechtsform, und die ist die falsche Spur. Das Gesetz fragt nach Tätigkeit und Größe, und es benutzt dabei zwei Begriffe, die für Vereine, Stiftungen und Träger anders ausfallen als für ein Unternehmen. Beim Datenschutz kommt eine dritte Besonderheit hinzu.

Wen erfasst NIS2 und Datenschutz für Wohlfahrt und NGOs, und wen nicht?

Entscheidend ist ein Wort im Gesetz, das selten gelesen wird. § 28 Absatz 1 Nummer 4 und Absatz 2 Nummer 3 BSIG sprechen von Personen, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten. Gemeinnützig ist aber nicht dasselbe wie unentgeltlich. Ein Träger, der Pflege, Eingliederungshilfe oder Krankenhausleistungen erbringt und dafür von Kranken- oder Pflegekassen vergütet wird, handelt entgeltlich, auch wenn die betreute Person selbst nichts zahlt.

Daraus ergeben sich zwei Wege. Wer Krankenhäuser oder Pflegeeinrichtungen betreibt, liegt im Sektor Gesundheitswesen und damit in der Anlage 1 des BSIG, wo der Aufstieg zur besonders wichtigen Einrichtung möglich ist. Wer dagegen ausschließlich unentgeltliche Beratung, Advocacy oder Bildungsarbeit leistet, erfüllt das Entgeltlichkeitsmerkmal nicht und ist über den Sektor nicht erfasst. Gebunden wird eine solche Organisation dann über die Lieferkette ihrer regulierten Partner oder über die Anforderungen ihrer Zuwendungsgeber, also vertraglich statt gesetzlich.

Wie wird die Größe bei NIS2 und Datenschutz für Wohlfahrt und NGOs gezählt?

Nicht nach Köpfen. § 28 Absatz 4 BSIG verweist für Beschäftigtenzahl, Umsatz und Bilanzsumme auf die Empfehlung 2003/361/EG der Kommission. Artikel 5 ihres Anhangs rechnet in Jahresarbeitseinheiten und zählt dazu Lohn- und Gehaltsempfänger, ihnen nach nationalem Recht gleichgestellte Personen, mitarbeitende Eigentümer und regelmäßig tätige Gesellschafter.

Zwei Ausnahmen stehen ausdrücklich dort: Auszubildende und Personen in Berufsausbildung mit einem Ausbildungsvertrag zählen nicht, ebenso nicht die Zeiten des Mutterschafts- und Elternurlaubs. Teilzeit- und Saisonarbeit gehen nur mit dem entsprechenden Bruchteil ein. Für diesen Sektor ist die Folge groß: Ehrenamtliche sind keine Lohn- und Gehaltsempfänger. Ein Träger mit 40 Angestellten und 400 Ehrenamtlichen misst sich an den Jahresarbeitseinheiten der 40 und nicht an 440. Diese Rechnung gehört schriftlich festgehalten, weil sie die Einstufung trägt und sich mit jeder Teilzeitstelle verschiebt.

Welche Aufsicht ist bei NIS2 und Datenschutz für Wohlfahrt und NGOs zuständig?

Auf der NIS2-Seite das BSI. Beim Datenschutz kann es eine andere Behörde sein als die, an die alle zuerst denken. Artikel 91 DSGVO erlaubt Kirchen und Religionsgemeinschaften, eigene umfassende Datenschutzregeln weiter anzuwenden. In Deutschland sind das das Gesetz über den Kirchlichen Datenschutz auf katholischer und das Datenschutzgesetz der EKD auf evangelischer Seite, jeweils mit eigener Durchführungsverordnung.

Der Anwendungsbereich reicht weit in die Wohlfahrt hinein. § 4 KDG nennt den Deutschen Caritasverband, die Diözesan-Caritasverbände, ihre Untergliederungen und Fachverbände ausdrücklich, und das evangelische Recht erfasst die diakonischen Werke und Einrichtungen entsprechend. Für diese Träger sind die kirchlichen Datenschutzaufsichten zuständig, nicht die Landesbehörden. Praktisch bedeutet ein Vorfall damit zwei Meldungen an zwei Adressaten: die Frühwarnung binnen 24 Stunden an das BSI nach § 32 BSIG und die Meldung der Datenschutzverletzung an die kirchliche Aufsicht. Wer im Ernstfall die falsche Behörde anschreibt, verliert die erste Stunde.

Warum lohnt bei NIS2 und Datenschutz für Wohlfahrt und NGOs ein gemeinsamer Aufbau?

Weil beide Regelwerke dieselbe Substanz verlangen. Die zehn Maßnahmenbereiche des § 30 Absatz 2 BSIG und die technischen und organisatorischen Maßnahmen des Datenschutzrechts überlappen weitgehend: Zugriffskontrolle, Kryptografie, Backup und Wiederherstellung, Vorfallbehandlung, Schulungen und die Bewertung der Wirksamkeit.

Dazu kommt der Schutzbedarf. Gesundheitsdaten, religiöse Überzeugungen und Angaben über Hilfebedarf gehören zu den besonderen Kategorien nach Artikel 9 DSGVO, und im gemeinnützigen Sektor sind sie der Normalfall und nicht die Ausnahme. Beim Budget hilft § 30 Absatz 1 BSIG: Verlangt sind geeignete, verhältnismäßige und wirksame Maßnahmen, bemessen an Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle. Ein Verzeichnis, ein Risikoregister, ein Schulungsplan und ein Meldeprozess mit zwei Adressaten reichen weiter als vier getrennte Projekte.

Welche Punkte werden bei NIS2 und Datenschutz für Wohlfahrt und NGOs am häufigsten unterschätzt?

Drei. Erstens die Zugriffsrechte im Ehrenamt. Hohe Fluktuation, private Geräte und geteilte Zugänge sind hier die Regel. Verlangt sind namentliche Konten und eine Festlegung, wer bei Eintritt und Austritt welche Rechte erteilt und entzieht.

Zweitens die dezentralen Standorte. Kitas, Beratungsstellen und Wohngruppen haben eigene Technik und eigene Gewohnheiten, sind im Sinne des Gesetzes aber Teil derselben Einrichtung. Ein Vorfall am kleinsten Standort ist der Vorfall des Trägers. Drittens die Zuwendungsgeber und Kostenträger. Nachweise zu Datenschutz und Informationssicherheit wandern zunehmend in Förderbescheide und Leistungsverträge, und dort sind sie keine Verhandlungsfrage, sondern Voraussetzung für die Mittel.

Was steht im Whitepaper?

• Warum Vertrauen im gemeinnützigen Sektor die eigentliche Existenzgrundlage ist
• Sechs Eigenheiten des Sektors, von knappen Mitteln und dünner IT-Decke bis zu Haupt- und Ehrenamt in gemischten Teams
• Fünf Angriffsszenarien aus der Praxis, von Ransomware im Dienstplan bis zu Betrug und CEO-Fraud
• Was NIS2 und das Datenschutzrecht konkret verlangen, entlang der Paragraphen zu Betroffenheit, Risikomanagement, Meldepflichten, Leitungspflichten und Sanktionen
• Eine Roadmap in sechs Schritten mit kleinem Budget, die vorhandene Strukturen nutzt

Das Whitepaper richtet sich an Vorstände und Geschäftsführungen, IT- und Datenschutzverantwortliche sowie Qualitäts- und Sicherheitsverantwortliche in Wohlfahrtsverbänden, sozialen Trägern, Stiftungen und NGOs. Laden Sie es kostenfrei herunter.