Kirchlicher Datenschutz

Ausgehend vom Beichtgeheimnis hat sich das Datenschutzrecht innerhalb der katholischen und evangelischen Kirche zu eigenständigen Sondervorschriften weiterentwickelt. Gestützt auf das Selbstbestimmungsrecht der Religionsgemeinschaften, nach dem diese das Recht haben, ihre eigenen Angelegenheiten selbständig zu verwalten, wurde innerhalb der katholischen Kirche die „Anordnung über den kirchlichen Datenschutz“ (KDO) von der Vollversammlung des Verbandes der Diözesen Deutschlands und in der evangelischen Kirche das „Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland“ (DSG-EKD) durch die Synode der Evangelischen Kirche beschlossen.

Die bisherige Rechtslage war jedoch geprägt von einem mehr oder weniger strukturierten Nebeneinander von kirchlichen und staatlichen Datenschutzgesetzen, ohne konkrete Abgrenzungsvorgaben.

Durch die DSGVO wird erstmals das Zusammenspiel zwischen den bestehenden Datenschutzvorschriften der Kirchen und religiösen Vereinigungen oder Gemeinschaften und den staatlichen Datenschutzbestimmungen gesetzlich geregelt. Dies stellt für das Datenschutzrecht ein vollständiges Novum dar.

Demnach dürfen Kirchen ihre bisherigen Datenschutzregeln weiterhin anwenden, sofern diese Regeln mit der DSGVO in Einklang gebracht werden. Ein Nebeneinander kirchlicher Datenschutzgesetze und der DSGVO ist somit grundsätzlich möglich. Die katholische und evangelische Kirche haben hiervon Gebrauch gemacht und ihre bisherigen Datenschutzregelungen an die Anforderungen der DSGVO angepasst. 

• Einwilligung in Datenverarbeitung bedarf der Schriftform
  Nach katholischem Datenschutzrecht muss die Einwilligung in die Datenverarbeitung in der Regel schriftlich erfolgen, die DSGVO schreibt hingegen keine Form vor. Zwar scheint es sich beim strengen Schriftformerfordernis um einen unbeabsichtigten Fehler zu handeln, bis zu einer Korrektur sind die katholischen Stellen jedoch an diese Vorgabe gebunden.
• Verpflichtung auf das Datengeheimnis in der Kirche
  Im KDG sowie DSG-EKD ist ausdrücklich geregelt, dass Personen, die mit der Verarbeitung von personenbezogenen Daten betraut werden, vor Beginn der Tätigkeit auf das Datengeheimnis zu verpflichten sind. Auch wenn die DSGVO keine derartige explizite Regelung kennt, ist auch für nicht konfessionelle Organisationen zu empfehlen, ihre Mitarbeiter vor der Datenverarbeitung auf die Vertraulichkeit zu verpflichten und hierdurch für den Datenschutz zu sensibilisieren.
• Informationspflicht bei unmittelbarer Datenerhebung
  Als Ausdruck einer fairen und transparenten Verarbeitung von personenbezogenen Daten ist der Verantwortliche einer Datenverarbeitung verpflichtet, den Betroffenen aktiv, d.h. ohne besondere Aufforderung, Informationen über die Datenverarbeitung zur Verfügung zu stellen.
  
  Grundsätzlich besteht diese Informationspflicht auch nach dem KDG und DSG-EKD. Wesentlicher Unterschied des DSG-EKD zur DSGVO ist aber, dass evangelische Einrichtungen die Informationen lediglich auf Verlangen des Betroffenen mitteilen müssen. Auch wenn dieser Sonderweg eine Erleichterung für die evangelischen Stellen darstellt, ist dieser aus Datenschutzsicht nicht verständlich und steht wohl nicht in Einklang mit den Vorgaben der DSGVO, die eine Information bei Erhebung fordert.
• Kirchliche Datenschutzbeauftragte
  Im Unterschied zur DSGVO sind gemäß KDG alle kirchlichen Diözesen, Kirchengemeinden, Kirchenstiftungen und Kirchengemeindeverbände unabhängig von der Zahl ihrer Mitarbeiter verpflichtet, einen betrieblichen Datenschutzbeauftragten schriftlich zu benennen. Für andere katholische Kirchenstellen, z.B. den Deutschen Caritasverband, ist eine Benennung nur bei Vorliegen bestimmter Voraussetzungen vorgeschrieben.
  
  Im Bereich der evangelischen Kirche gilt, dass eine Bestellung sog. örtlich Beauftragter für den Datenschutz nur dann erforderlich ist, wenn in der Regel mehr als zehn Personen ständig mit der Verarbeitung personenbezogener Daten betraut sind.
• Datenschutzaufsicht
  Für die Überwachung der Einhaltung der kirchlichen Datenschutzgesetze sehen das KDG sowie das DSG-EKD die Errichtung unabhängiger kirchlicher Aufsichtsbehörden vor. Als Leiter der Datenschutzaufsicht agieren hierbei die sog. Diözesandatenschutzbeauftragten bei der katholischen Kirche und die Beauftragten für den Datenschutz bei der evangelischen Kirche. Hierdurch soll eine datenschutzrechtliche Aufsicht ermöglicht werden, ohne dass eine staatliche Behörde in die internen Angelegenheiten der beiden großen Kirchen eingreift. Die Diözesandatenschutzbeauftragten werden vom Diözesanbischof als Leiter der Datenschutzaufsicht bestellt. Der Rat der Evangelischen Kirche in Deutschland bestellt den Beauftragten für den Datenschutz.
  
  Im Unterschied zum bisherigen kirchlichen Datenschutzrecht stellen KDG sowie DSG-EKD den jeweiligen Aufsichtsbehörden einen wesentlich größeren Umfang an Untersuchungs- und Abhilfebefugnissen zur Verfügung. Zudem können die Aufsichtsbehörden zukünftig Geldbußen verhängen.
• Höhe der Geldbuße bei Datenschutzverstößen in der Kirche
  Weiterhin unterscheiden sich die DSGVO und die kirchlichen Datenschutzgesetze in der Höhe der maximalen Geldbuße. Beträgt die maximale Höhe der zu verhängenden Bußgelder nach der DSGVO 20 Mio. Euro, ist diese im KDG sowie im DSG-EKD auf 500.000 Euro begrenzt. Des Weiteren sieht das KDG eine Beschränkung des Kreises derer, gegen die eine Geldbuße verhängt werden kann, vor. Demnach werden keine Geldbußen gegen die Diözese, Kirchengemeinden, Kirchenstiftungen und Kirchengemeindeverbände verhängt, soweit sie nicht als Unternehmen am Markt teilnehmen.
• Gerichtliche Überprüfung
  Im KDG wurde erstmals die Möglichkeit eines gerichtlichen Rechtbehelfs gegen Entscheidungen der Datenschutzaufsicht oder einen Verantwortlichen der Datenverarbeitung geschaffen. Zuständig ist das kirchliche Gericht in Datenschutzangelegenheiten. Ergänzend zum KDG wurde die Kirchliche Datenschutzgerichtsordnung (KDSGO) erlassen. 

Durch die Reform des kirchlichen Datenschutzrechts wurde ein wesentlicher Beitrag geleistet, das Datenschutzniveau innerhalb der katholischen und evangelischen Kirche zu erhöhen. Zugleich stellt die Umsetzung der neuen Gesetzeslage eine enorme Herausforderung für kirchliche Einrichtungen dar. Gern unterstützen unsere erfahrenen Anwälte für Datenschutzrecht Sie u.a. bei

• der Erstellung von kirchlichen Datenschutzkonzepten, inklusive des Beschäftigtendatenschutzes,
• der rechtssicheren Durchführung von Fundraising-Maßnahmen,
• der datenschutzkonformen Gestaltung von Pfarr- bzw. Gemeindebriefen oder
• der Stellung und Schulung von Datenschutzbeauftragten.