Werden URAKs von Landeskirchen und diakonischen Landesverbänden als unselbstständige Einrichtungen bei einer der beteiligten juristischen Personen errichtet, ist der Anwendungsbereich des kirchlichen Datenschutzrechts gemäß § 2 Abs. 1 DSG-EKD eröffnet. Sofern URAKs von den Landeskirchen und den diakonischen Landesverbänden in anderen Rechtsformen errichtet werden, muss eine Zuordnung die Anwendung des kirchlichen Datenschutzrechts sicherstellen.

Die URAKs handeln unabhängig, eigenständig und nicht weisungsgebunden. Sie entscheiden somit allein über die Zwecke und Mittel der Verarbeitung personenbezogener Daten und sind deswegen datenschutzrechtlich als verantwortliche Stellen gemäß § 4 Ziff. 9 DSG-EKD einzuordnen.

Die Mitglieder einer URAK sind als Ehrenamtliche gemäß § 26 DSG-EKD auf das Datengeheimnis zu verpflichten. Der BfD EKD stellt auf seiner Homepage ein entsprechendes Muster zur Verfügung. Andere angepasste Muster können ebenfalls genutzt werden.

An der institutionellen Aufarbeitung sexualisierter Gewalt besteht ein überragendes Interesse. Personenbezogene Daten dürfen zu diesem Zwecke nach § 50a DSG-EKD verarbeitet werden. Daten, die Informationen über Vorgänge sexualisierter Gewalt enthalten oder von denen dieses aufgrund tatsächlicher Anhaltspunkte anzunehmen ist, dürfen den URAKs ohne Einwilligung der betroffenen Personen offengelegt werden. Voraussetzung dafür ist die Verpflichtung auf das Datengeheimnis gemäß § 26 DSG-EKD und der Umstand, dass die Daten nur für die bestimmten Zwecke verarbeitet werden dürfen. Außerdem muss die URAK als datenempfangende Stelle ein Datenschutzkonzept erstellen. Außerhalb der rein institutionellen Aufarbeitung und im Rahmen der weiteren Aufgaben der URAKs kommt grundsätzlich auch eine Datenverarbeitung nach §§ 6, 7, 13 DSG-EKD in Betracht.

Sofern eine URAK personenbezogene Daten zur weisungsgebundenen Verarbeitung an Dritte offenlegt, ist gemäß § 30 DSG-EKD ein Vertrag zur Auftragsverarbeitung (AVV) mit dem Auftragsverarbeiter (Auftragnehmer) abzuschließen. Ein entsprechendes Muster wird auf der Homepage des BfD EKD zur Verfügung gestellt.

Ja, jede verantwortliche Stelle muss unter den Voraussetzungen von § 36 Abs. 1 DSG-EKD eine(n) örtlich Beauftragte(n) bestellen. Diese Verpflichtung ergibt sich für die URAKs daraus, dass die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht. Die gemeinsame Bestellung einer oder eines örtlich Beauftragten für mehrere verantwortliche Stellen ist zulässig. Entsprechende Muster können der Homepage des BfD EKD entnommen werden.