Geltung der DSGVO auch für Kirchen

1. Bedeutung des kirchlichen Datenschutzes auch außerhalb der Kirchen

Der Datenschutz bei den Kirchen ist durchaus auch außerhalb des kirchlichen Bereichs von Interesse. So setzen die nach § 42 Bundesmeldegesetz zulässigen Datenübermittlungen der Meldebehörden an öffentlich-rechtliche Religionsgesellschaften voraus, dass beim Datenempfänger ausreichende Maßnahmen zum Datenschutz getroffen sind.

2. Geltung der DSGVO auch für Kirchen

Die DSGVO gilt auch für Religionsgemeinschaften und weltanschauliche Gemeinschaften, gleich ob sie öffentlich-rechtlichen Charakter haben oder nicht.

3. Anerkennung kirchlicher Datenschutzvorschriften durch die DSGVO

Die DSGVO enthält mit Art. 91 eine Öffnungsklausel für die Mitgliedstaaten, die Sonderregelungen für „Kirchen und sonstige religiöse Vereinigungen oder Gemeinschaften“ ermöglicht. Art. 91 Abs. 1 DSGVO enthält zum einen eine grundsätzliche Anerkennung eigenständiger umfassender kirchlicher Datenschutzvorschriften, wenn das Staatskirchenrecht des Mitgliedstaates solche eigenständigen Regelungen erlaubt. Dies ist in Deutschland für öffentlich-rechtliche Religionsgesellschaften der Fall (Art. 137 Abs. 3 und 5 Weimarer Reichsverfassung i. V. m. Art. 140 GG).

Zum anderen enthält Art. 91 Abs. 1 DSGVO ein Anpassungsgebot. Eigenständige kirchliche Datenschutzvorschriften sind nur dann relevant, wenn sie „in Einklang“ mit der DSGVO gebracht worden sind.

4. Spezielle Datenschutzaufsicht

Art. 91 Abs. 2 DSGVO ermöglicht eine spezielle Datenschutzaufsicht. Verfügen die Religionsgemeinschaften über umfassende Datenschutzregeln, dann unterliegen sie „der Aufsicht durch eine unabhängige Aufsichtsbehörde, die spezifischer Art sein kann, sofern sie die in Kapitel VI niedergelegten Bedingungen erfüllt“.

Es hängt vom Staatskirchenrecht des jeweiligen Mitgliedstaates ab, ob eine Datenschutzaufsicht durch kircheneigene unabhängige Datenschutzaufsichtsbehörden zugelassen wird. Damit kann in Deutschland die besondere Datenschutzaufsicht durch kircheneigene unabhängige Datenschutzbeauftragte grundsätzlich beibehalten werden.

5. Hauptanwendungsfälle kirchlicher Datenschutzvorschriften

Art. 91 DSGVO betrifft vor allem

• die (Erz-)Diözesen der Katholischen Kirche sowie
  
  

• die Evangelische Kirche in Deutschland und ihre Gliedkirchen (wie die Evangelisch-Lutherische Kirche in Bayern und die Evangelisch-Reformierte Kirche in Bayern).

Diese Kirchen verfügen schon seit Jahren über umfassende Datenschutzvorschriften. In diesen Vorschriften war schon bisher eine Datenschutzkontrolle durch unabhängige Datenschutzbeauftragte bestimmt. Diese Kirchen haben ihre Datenschutzvorschriften rechtzeitig an die DSGVO angepasst:

a) Katholische Kirche

Für die (Erz-)Diözesen der Katholischen Kirche gilt seit 25. Mai 2018 das am 20. 11. 2017 von der Vollversammlung des Verbandes der Diözesen Deutschlands beschlossene Kirchliche Datenschutzgesetz (KDG), zu finden unter https://www.datenschutz-kirche.de/20171122. Das KDG wurde im jeweiligen Amtsblatt der Diözesen veröffentlicht.

In §§ 42 ff. KDG sind unabhängige Diözesandatenschutzbeauftragte vorgesehen. Diese Diözesandatenschutzbeauftragten sind Aufsichtsbehörden im Sinn von Art. 91 Abs. 2 DSGVO. Der Diözesandatenschutzbeauftragte für die bayerischen (Erz-)Diözesen (Herr Jupp Joachimski) ist wie folgt erreichbar: Datenschutzstelle der Erzdiözese München und Freising, 80333 München, Kapellenstr. 4, Tel. 089 2137-1796, JJoachimski@eomuc.de.

Die Beschlüsse der Konferenz der Diözesandatenschutzbeauftragten findet man hier.

In den einzelnen Dienststellen (ggf. auch für mehrere) gibt es gemäß §§ 36 ff. KDG betriebliche Datenschutzbeauftragte, die sich vor Ort des Datenschutzmanagements für die jeweiligen Einrichtungen annehmen. In Bayern wird durch zentral zuständige betriebliche Datenschutzbeauftragte in jeder Diözese eine sachgerechte Führung des Datenschutzmanagements gewährleistet.

Für alle Rechtsstreitigkeiten und das Verfahren nach Einspruch gegen einen Bußgeldbescheid im Bereich des KDG ist nach der Kirchlichen Datenschutzgerichtsordnung (KDSGO) ein kirchliches Datenschutzgericht vorgesehen, und zwar mit einem Interdiözesangericht in Köln als erster sowie dem Datenschutzgericht der Deutschen Bischofskonferenz in Bonn als Berufungsinstanz. Deren Entscheidungen sind für die Verfahrensbeteiligten bindend. Der Text der KDSGO ist zu finden unter: https://www.erzbistum-muenchen.de/cms-media/media-42967520.pdf.

b) Evangelische Kirche

Für die Evangelische Kirche in Deutschland, ihre Gliedkirchen, ihre gliedkirchlichen Zusammenschlüsse und sonstige kirchliche Stellen gilt seit 24. Mai 2018 das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz – DSG-EKD) vom 15. November 2017 (ABl. EKD S. 353), zu finden unter https://www.kirchenrecht-ekd.de/document/41335.

Über die Einhaltung des EKD-Datenschutzgesetzes in der Evangelischen Kirche in Deutschland, in den Gliedkirchen und in den gliedkirchlichen Zusammenschlüssen wachen gemäß §§ 39 und 40 DSG-EKD unabhängige kirchliche Aufsichtsbehörden für den Datenschutz. Sie sind Aufsichtsbehörden im Sinn von Art. 91 Abs. 2 DSGVO.

Für die Evangelisch-Lutherische Kirche in Bayern und die Evangelisch-reformierte Kirche in Bayern ist die Aufgabe der unabhängigen Datenschutzkontrolle dem Beauftragten für den Datenschutz der Evangelischen Kirche in Deutschland übertragen worden (Übertragung gemäß § 39 Abs. 3 Satz 1 DSG-EKD). Die Behörde des Beauftragten für den Datenschutz der Evangelischen Kirche in Deutschland (Herr Michael Jacob) hat ihren Sitz in Hannover, 30419 Hannover, Böttcherstr. 7, Tel. 0511 768128-0, https://datenschutz.ekd.de. Neben dem Hauptsitz sind vier Außenstellen mit regionaler Zuständigkeit eingerichtet worden („Mitte-West“ in Dortmund, „Nord“ in Hannover, „Ost“ in Berlin und „Süd“ in Ulm).

In den einzelnen Dienststellen (ggf. auch für mehrere) gibt es gemäß §§ 36 ff. DSG-EKD örtlich Beauftragte für den Datenschutz, die sich vor Ort des Datenschutzes annehmen.

Der Rechtschutz wird durch die Verwaltungsgerichte der evangelischen Kirche gewährleistet (§ 47 Abs. 1 DSG-EKD).

c) Anforderungen der DSGVO erfüllt

Im Ergebnis wird man sagen können, dass die genannten Kirchen die Anforderungen des DSGVO an „eigenständige umfassende kirchliche Datenschutzvorschriften“, die „in Einklang“ mit der DSGVO stehen, erfüllen.

Christian Peter Wilde
Mitautor Datenschutz in Bayern