"EU - Datenschutz-Grundverordnung" (DSGVO) vrs. "Gesetz über den kirchlichen Datenschutz" (KDG)

Die ZEIT beríchtete am 21. April über die Gefahr des grenzenlosen Datenzugriffs -

In einem ohne jegliche parlamentarische Anhörung durchgeboxten Gesetz (Cloud Act) hat der US-Kongress Ende März den Ermittlern weltweiten Zugriff auf Server verschafft, die US-Firmen gehören.

Dagegen steht das Recht der EU:

Datenschutz ist in der EU ein Grundrecht. "Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten", heißt es in (Anm. d. Red.: Art. 8) der EU-Grundrechtecharta aus dem Jahr 2000.

Quelle: Süddeutsche Zeitung, 24.04.2018

Vor zwei Jahren haben sich EU-Staaten und das Europaparlament nach intensiven Debatten auf die sogenannte Datenschutz-Grundverordnung (DSGV oder DSGVO) geeinigt und diese in Kraft gesetzt. Hintergrund waren ganz reale Missstände aufgrund der uneinheitlichen Regelungen in den EU-Ländern. International tätige Konzerne ("Datenkraken") wie Facebook, Google und Co. haben ihre Europazentralen in den Ländern mit den geringsten Beschränkungen angesiedelt. Diese "windigen Vorschriften" galten dann für alle Kunden aus der EU. Mit der neuen Regelung sollte nicht nur eine Vereinheitlichung, sondern vor allem auch eine vorbildliche Datenschutzregelung geschaffen werden. Die DSGV ist - so der SPIEGEL (print v. 19.05.201, S. 79) - eine Art Qualitätssiegel, mit der die EU auch global eine Vorreiterrolle in Sachen "Datenschutz" übernommen hat (ebenso SÜDDEUTSCHE ZEITUNG vom 24.05.2018 S. 2: "Nach diversen Skandalen sieht sich die EU in ihren strengen Regelungen bestätigt. Sogar US-Experten gelten sie als Vorbild").
Ab 25. Mai sind die neuen Regelungen in allen 28 EU-Staaten anzuwenden. Durch das neue EU-Recht werden unmittelbar das bisherige Bundesdatenschutzgesetz (BDSG a.F.) und die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG), auf der das BDSG basiert, abgelöst. Zeitgleich tritt ein dazu gehöriges, modifiziertes Bundesdatenschutzgesetz neuer Fassung (BDSG n.F.) in Kraft, das die DSGVO zum Teil modifiziert und konkretisiert.

Was regelt die neue Verordnung? Und welche Auswirkungen hat das auf den Kirchenbereich?

Im Kern soll die Verarbeitung personenbezogener Daten durch Unternehmen, Vereine oder Behörden geregelt werden. Dazu gehören etwa Name, Adresse, Email-Adresse, Ausweisnummer oder IP-Adresse. Wie die Daten gespeichert werden - digital, auf Papier oder mittels Videoaufnahme - ist egal. Besonders empfindliche Daten zu religiösen Überzeugungen, Gesundheit oder Sexualleben dürfen nur in Ausnahmefällen verarbeitet werden. Die neuen Regeln gelten auch für Unternehmen, die außerhalb der EU sitzen, ihre Dienste aber hier anbieten. Deshalb sind Internetriesen mit US-Sitz wie Facebook oder Google davon betroffen.

Quelle: Süddeutsche Zeitung, 24.04.2018

Die EU-Datenschutzverordnung soll also überall in der EU für alle gelten, bei Facebook oder Google, bei "Whats-App" oder "E-Bay" - auch bei den Kirchen. Denn wer etwa ein kirchliches Krankenhaus besucht, bewirkt die Erstellung einer Unmenge von Daten, die für die Pharmaindustrie, für Versicherungen oder auch für die Arbeitgeber höchst interessant sind.

Gilt sie wirklich bei den Kirchen?

In den letzten Wochen und Tagen haben die Kirchen eigene Datenschutzregelungen (KDSG bzw. KDG bei der katholischen Kirche) erlassen - wie schon fast reflexhaft üblich mit der Begründung, die eigenen Angelegenheiten selbst regeln zu können 1). Damit wird von den Kirchen ein sehr breites Regelungsfeld als "eigene Angelegenheit" beansprucht. Denn für die katholische Kirche zählt von der Zeugung bis zur Totenruhe nahezu jedes menschliche Handeln auch zu den kirchlichen Angelegenheiten. Damit stehen sich aber kirchliche und staatliche Regelungsansprüche gegenüber. Die beste Möglichkeit, diese Ansprüche in Konkordanz zu bringen, ist eine Vereinbarung - wie diese etwa mit dem Reichskonkordat (RKonk) getroffen wurde (wenn man schon nicht auf Matthäus 22,21 zurück greifen kann).

Danach besteht eine Befugnis der Kirchen zur Selbstordnung und Selbstverwaltung
a) nur für die eigenen Angelegenheiten,
b) nur in den Grenzen der für alle geltenden Gesetze (Schrankenvorbehalt) und
c) nur für die eigenen Mitglieder (Art. 1 Abs. 1 RKonk).

In den folgenden Erörterungen wollen wir uns etwas mit dem Verhältnis von kirchlichen und staatlichen Datenschutzregelungen befassen. Denn eine kirchliche Regelungsbefugnis besteht nur in dem Rahmen, den der Staat den Kirchen zugesteht (Schrankenvorbehalt). Wo also sind die Grenzen, die vom Staat für ein kircheneigenes Datenschutzrecht gesetzt wurden?


A) Eigene Angelegenheit der Kirchen?

Ist der Datenschutz wirklich nur eine eigene Angelegenheit, die nur die jeweilige Kirche etwas angeht?
Wessen Daten werden denn hier verarbeitet?
Ist der Datenschutz also nicht viel mehr eine Angelegenheit der Patienten (auch der Andersgläubigen) in den kirchlichen Krankenhäusern?
Ist der Datenschutz also nicht viel mehr eine Angelegenheit der einzelnen Mitarbeiterinnen und Mitarbeiter, auch wenn diese der jeweiligen Kirche gar nicht angehören?
Ist es nicht primär Angelegenheit der europäischen Staaten, die Einhaltung der Charta der Grundrechte der Europäischen Union 2) (hier von Artikel 8 der Charta) zu gewährleisten?
Und wieso soll es eine besondere Belastung für kirchliche Altenheime, Krankenhäuser oder Kindertagesstätten sein, wenn sie - wie andere öffentliche oder private Einrichtungsträger auch - dem staatlichen Datenschutzrecht unterworfen werden ? 3)

Felix Neumann 1) kommentierte gestern auf "katholisch.de" das neue kirchliche Datenschutz-Gesetz und meint, "es schadet dem eigentlichen Anliegen". Er beklagt die zu große Nähe am staatlichen Recht.
Neumann hat - so scheint es - seine idealistische Brille auf. Denn diese Nähe ist vorgeschrieben, wie ein Blick in das Gesetz zeigt. Die neue, europaweit einheitliche Datenschutzregelung soll eben gerade nicht durch nationale Eigenheiten "zerschossen" werden, sondern - auch bei den Kirchen - einen einheitlich hohen Mindeststandard im Datenschutz sichern.

Art. 91 der Datenschutzgrundverordnung erlaubt  Ausnahmen für Kirchen und religiöse Gemeinschaften oder Vereinigungen nur unter Bedingungen:

(1) Wendet eine Kirche oder eine religiöse Vereinigung oder Gemeinschaft in einem Mitgliedstaat zum Zeitpunkt des Inkrafttretens dieser Verordnung umfassende Regeln zum Schutz natürlicher Personen bei der Verarbeitung an, so dürfen diese Regeln weiter angewandt werden, sofern sie mit dieser Verordnung in Einklang gebracht werden.

(2) Kirchen und religiöse Vereinigungen oder Gemeinschaften, die gemäß Absatz 1 umfassende Datenschutzregeln anwenden, unterliegen der Aufsicht durch eine unabhängige Aufsichtsbehörde, die spezifischer Art sein kann, sofern sie die in Kapitel VI (*) niedergelegten Bedingungen erfüllt.

(*) Kapitel VI (Art. 51 - 59) sieht unabhängige Aufsichtsbehörden vor, die über Untersuchungs-, Abhilfe- und Genehmigungsbefugnisse verfügen sollen (Art. 58). 

Rechtsanwalt Baumann-Czichon 4) weist zurecht darauf hin, dass (Anm. der Redaktion: spätestens) mit der neuen Verordnung (diese gilt direkt und unmittelbar auch für Deutschland), der Datenschutz nicht mehr eine eigene Angelegenheit der Kirchen ist (falls das jemals eine eigene Angelegenheit war).
§ 91 DSGVO legt fest, dass zum Zeitpunkt des Inkrafttretens dieser Verordnung bestehende kirchliche Datenschutzregelungen weiterhin angewendet dürfen, “sofern sie mit dieser Verordnung in Einklang gebracht werden.“ Offenbar ist hier vom Gesetzgeber den Kirchen eine Verpflichtung auferlegt worden, die bestehenden kirchlichen Regelungen bis zum Inkrafttreten der DSGV entsprechend anzupassen (in Einklang zu bringen). Kommen die Kirchen dieser Verpflichtung nicht nach, gilt die DSGVO zwingend und unmittelbar.

Das kirchliche Recht zur Selbstregulierung im Bereich des Datenschutzes nimmt nicht mehr Bezug auf den Glaubensauftrag der Kirche, sondern ist eine besondere Form des Bestandsschutzes, der jedoch davon abhängt dass die kirchlichen Regelungen mit der DSGV >in Einklang gebracht werden<...

(Baumann-Czichon, 4)
Die DSGV und das BDSG n.F. legen somit Mindestanforderungen für einen wirksamen Datenschutz fest. Darüber hinaus ist es natürlich unbenommen, "selbstverpflichtend" noch schärfere Datenschutzregelungen einzuhalten, solange damit das staatliche Datenschutzrecht nicht abgeschwächt oder verwässert wird.
Auf dieser Basis kann dann auch kirchenspezifisches berücksichtigt werden. Neumann (a.a.O.) meint dazu:

"Datenschutz ist auch ein Anliegen der Kirche: "Niemand darf den guten Ruf, den jemand hat, rechtswidrig schädigen und das persönliche Recht eines jeden auf den Schutz der eigenen Intimsphäre verletzen." Das gilt nicht erst ab heute, sondern steht seit 1983 im kirchlichen Gesetzbuch. Immer wieder haben sich die Kirche und katholische Verbände zu Datenschutz geäußert und betont, dass der Schutz der Privatsphäre und der informationellen Selbstbestimmung zum christlichen Menschenbild gehört."

Ein "aus eigenem Selbstverständnis schärferes" Datenschutzrecht würde aber bedeuten, dass zumindest die Regelungen des staatlichen Rechts eingehalten werden - also das, was man gemeinhin unter "Regelungsbefugnis im Rahmen der für alle geltenden Gesetze" (Schrankenvorbehalt) versteht.


B) Schrankenvorbehalt berücksichtigt?

I. Formale Voraussetzungen für ein kircheneigenes Datenschutzrecht:

1. Bestandsschutz - Stichtag:
 Art. 91 DSGVO lautet: 

"Wendet eine Kirche oder eine religiöse Vereinigung oder Gemeinschaft in einem Mitgliedstaat zum Zeitpunkt des Inkrafttretens dieser Verordnung umfassende Regeln zum Schutz natürlicher Personen bei der Verarbeitung an, so dürfen diese Regeln weiter angewandt werden, sofern ...."

Die Datenschutzgrundverordnung enthält in Art. 99 nun zwei verschiedene Daten:

(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
(2) Sie gilt ab dem 25. Mai 2018.

Die DSGV differenziert also zwischen dem "Inkrafttreten" und dem Geltungsdatum. In Kraft getreten ist die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) bereits "am zwanzigsten Tag ihrer Veröffentlichung im Amtsblatt der Europäischen Union." Die EU-Datenschutz-Grundverordnung wurde am 4. Mai 2016 im EU-Amtsblatt veröffentlicht (Originalveröffentlichung). Sie wurde also 20 Tage später - am 24. Mai 2016 - rechtswirksam.
Der europäische Gesetzgeber hat damit eine zweijährige Übergangsfrist vorgesehen, die es allen Betroffenen ermöglichen sollte, die neuen Vorgaben umzusetzen.

Die Anwendung kircheneigener Regelungen setzt somit nicht voraus, dass diese am 25. Mai 2018 - dem Zeitpunkt, zu dem die DSGV "scharf gestellt" wurde, - angewendet werden. Diese kircheneigenen Regelungen mussten vielmehr schon 2 Jahre vorher, nämlich im Mai 2016, angewendet werden.
Kirchliche Regelungen, die eine Befreiung begründen, hätten gem. Art. 91 I i.V. 99 I DSGV spätestens im Mai 2016 angewendet werden müssen.

Das ist aber gerade nicht der Fall. Mit dem neuen KDSG wird eine völlig neue Rechtsnorm geschaffen, mit der die vorher geltenden Regelungen ersetzt werden. Diese bestehenden Regelungen werden also nicht "mit der DSGV in Einklang gebracht", nicht modifiziert, sondern abgeschafft.
Das wird nicht nur aus dem Unterschied in der Benennung zur bisherigen kirchlichen Datenschutzbestimmung deutlich. Diese alte - zuletzt im Februar 2014 neu gefasste - Regelung nannte sich bei der katholischen Kirche "Anordnung über den Kirchlichen Datenschutz" (KDO) und war somit nichts anderes als eine - vom jeweiligen Bischof in Kraft gesetzte - allgemeine Dienstanweisung, die nach § 1 Abs. 3 der Anordnung sämtlichen einschlägigen kirchlichen oder staatlichen Rechtsvorschriften auf personenbezogene Daten gegenüber nachrangig war.
Die neue Bestimmung ist dagegen schon formal als kirchliches Gesetz erlassen. Damit soll wohl - so kann vermutet werden - die in Art. 8 Abs. 2 der "Charta der Grundrechte der Europäischen Union" (s.u.) geforderte "sonstige gesetzlich geregelte Grundlage" geschaffen werden, die anstelle der Einwilligung der betroffenen Person (§ 53 KDG) zur Bearbeitung personenbezogener Daten im Beschäftigungsverhältnis erforderlich wäre.
In dem Zusammenhang ist es nur noch eine Randnotiz, dass durch den dort bestehenden Verweis auf die "Beteiligungsrechte nach der jeweils geltenden Mitarbeitervertretungsordnung" ein innerbetrieblicher Mitwirkungsschutz in Bezug genommen ist, der wohl deutlich unter dem Niveau der staatlichen Gesetze (Betriebsverfassungsgesetz, Personalvertretungsgesetz) bleibt.

Darüber hinaus enthält das neue Gesetz auch erhebliche Änderungen gegenüber der bisher geltenden KDO. Das wird insbesondere in den letzten Kapiteln des (neuen) KDG deutlich. Besonders augenfällig sind die Einführung einer eigenen kirchlichen Gerichtsbarkeit (gerichtlicher Rechtsbehelf, § 49 KDG) und Bußgeldvorschriften (§ 51 KDG), die wohl der "Anpassung an die Vorschriften der DSGV" dienen sollen.

Nach Amtsblattveröffentlichung sollte das kirchliche Datenschutzgesetz (erst) am 24. Mai 2018 in Kraft treten. Zu diesem Zeitpunkt wird auch das Pendant der EKD in Kraft gesetzt.

Daher sind schon formal die Voraussetzungen für kircheneigene Regelungen nicht gegeben. Es handelt sich eben gerade nicht mehr um die Modifikation einer bereits vor zwei Jahren bestehenden Datenschutzregelung, sondern um eine völlig neue Normierung, die sich nicht auf den Bestandsschutz des Art. 91 I i.V. 99 I DSGV stützten kann.

Lassen wir aber vorsorglich einmal diese formale Voraussetzung unberücksichtigt, und tun wir einmal so, als ob die DSGV erst heute, am 25. Mai 2018 in Kraft treten würde.

Allerdings müsste auch dann bezweifelt werden, ob die reine Inkraftsetzung einer kirchlichen Norm zum Vortag den Anforderungen an eine "Anwendung" entspricht. Denn die in Art. 51 ff der DSGV vorgesehen unabhängigen Aufsichtsbehörden sind mit der reinen Inkraftsetzung einer kirchlichen Regelung noch nicht installiert und die entsprechenden Datenschutzbeauftragen auch noch gar nicht bestellt (geschweige denn zur Stellenbesetzung ausgeschrieben). Die entsprechenden Stellen werden erst mit, vielfach erst nach dem Inkrafttreten der entsprechenden kirchlichen Regelungen geschaffen.

2. keine Rechtsetzungsbefugnis für Nichtmitglieder::
Eine Ermächtigung der Kirchen, Regelungen zu erlassen, die für Nichtmitglieder (wie z.B. nichtkatholische Mitarbeiterinnen und Mitarbeiter) verbindlich sein sollen, fehlt (s.u. unter C).

3. Innerkirchliche Rechtsetzungsbefugnis fragwürdig:
Eine kirchenrechtlich Rechtsetzungsbefugnis der Diözesanbischöfe gegenüber den Ordensgemeinschaften päpstlichen Rechts (z.B. die in der Krankenpflege tätigen Franziskanerinnen, Deutscher Orden usw.) besteht nicht. Diese sind von den Diözesanbischöfen unabhängig und die daher auch vom organisatorischen Anwendungsbereich ausgeschlossen. Auch die "Grundordnung" wird ja erst aufgrund der ausdrücklichen (!) Übernahme durch solche Orden für die Ordenseinrichtungen rechtsverbindlich. Dies kann bei den diözesanen Datenschutzregelungen nicht anders sein (* Anmerkung).
Auch Neumann (katholisch.de) weist auf die kirchenrechtliche Problematik hin.

Eine große Problematik ist die Frage, wer denn nun unter kirchliches Datenschutzrecht fällt. Nur scheinbar genau regelt das das KDG mit der Formulierung, es gelte für "die kirchlichen Körperschaften, Stiftungen, Anstalten, Werke, Einrichtungen und die sonstigen kirchlichen Rechtsträger ohne Rücksicht auf ihre Rechtsform".
Unklar bleibt, was mit "Rechtsform" gemeint ist: Nur die Rechtsformen staatlichen Rechts, oder auch die kirchlichen Rechts? Nach Auskunft der kirchlichen Aufsichtsbehörden unterliegen auch Gruppen dem kirchlichen Recht, die nach staatlichem nicht rechtsfähig sind. Dazu gehören etwa viele katholische Verbände, die als nichteingetragene Vereine organisiert sind. Gilt das auch für eine lose organisierte Gebetsgruppe oder die ehrenamtliche Redaktion eines christlichen Blogs, die nach kirchenrechtlichen Kriterien ebenso "freie Zusammenschlüsse von Gläubigen" sind? Ob diese Form des kirchlichen Vereinsrechts überhaupt als Rechtsform im kanonistischen Sinn zu verstehen ist, ist unter Kirchenrechtlern umstritten. Genügt es, dass solche Gruppen nach staatlichem Recht nichteingetragene Vereine oder "Gesellschaften bürgerlichen Rechts" sind, um von der Formulierung im KDG erfasst zu werden? Will der kirchliche Gesetzgeber wirklich seine Zuständigkeit so weit fassen? Woher sollen die Betroffenen wissen, welchem Recht sie unterliegen?
...
Das große Feld der kirchlichen Vereine und Verbände ist nicht im Blick des kirchlichen Datenschutzrechts, das Kirche strukturell als Behördenapparat begreift und kaum auf ehrenamtlich getragene Strukturen passt. ...

Ob tatsächlich die formalen Voraussetzungen für ein eigenes kirchliches Datenschutzrecht vorliegen, und für welche Einrichtungen dieses eigene Recht denn gelten soll, kann also hinterfragt werden.
Solange die Kirchen aber wenigstens materiell den gleichen Datenschutz gewährleisten - und auch den gleichen Rechtsschutz, den der Staat gewährleistet - soll es uns auf reine Formalismen nicht unbedingt ankommen. Wir wollen hier nicht "päpstlicher sein als der Papst."


II. Materielle Vorgaben - Übereinstimmung mit den in Kapitel VI. niedergelegten Bedingungen:

Baumann-Czichon führt in dem o.g. Beitrag 4) an Hand von acht konkreten Punkten aus, dass weder die evangelischen, noch die katholischen Regelungen das Datenschutzniveau der DSGVO garantieren.

Wir möchten hier auf zwei Aspekte besonders eingehen:

1. Bildung unabhängiger Stellen (kirchengerichtlicher Rechtsbehelf):Vorab zitieren wir den Text des bereits genannten Artikel 8 der CHARTA DER GRUNDRECHTE DER EUROPÄISCHEN UNION, weil das Interesse der Normerhaltung einer untergeordneten Norm die grundrechtskonforme Interpretation verlangt:

Schutz personenbezogener Daten
(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.
(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.
(3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.

(Hervorhebung durch den Autor)

Wie unabhängig wäre eine Stelle, die etwa bei einem großen Automobilkonzern errichtet würde, selbst wenn diese Stelle unmittelbar dem Vorstandsvorsitzenden zugordnet wäre?

Die Kirchliche Datenschutzgerichtsordnung wurde auf der Vollversammlung des Verbandes der Diözesen Deutschlands am 20. November 2017 beschlossen. Damit aber ist die Ordnung noch nicht in Kraft gesetzt. Es verlangt vielmehr einen eigenen Rechtsetzungsakt, den jeder Bischof in seinem Bistum mit einem eigenen Gerichtsordnungsgesetz durchführt (Promulgation).
Dieses sieht mit der kleinen Datenschutzkammer und der großen Datenschutzkammer zwei Instanzen vor. Deren Entscheidungen sollen für die Verfahrensbeteiligten bindend sein.
Was auf weltlicher Ebene die Landesdatenschutzbeauftragten als Aufsichtsbehörden sind, sind bei den Katholiken "Diözesandatenschutzbeauftragte". Diese sind Teil der ortskirchlichen (diözesanen) Kurie, also der Diözesanverwaltung, die unter der Leitung eines Generalvikars ("alter ego" des Bischofs) steht.
Ob damit und mit der Bildung kirchlicher Datenschutzgerichte die Anforderung an eine "unabhängige Behörde" nach Art. 91 DSGVO erfüllt werden?

Tatsächlich wird die Befugnis zur Rechtskontrolle und Rechtsfortbildung kirchlicher Gerichte ausdrücklich zu bestreiten sein 5). Es handelt sich um keine Gerichte mit den Kompetenzen und in dem Sinn, die bei staatlichen Gerichten selbstverständlich sind. Die Befugnis zur Rechtsfortbildung und Normenkontrolle (Prüfung einer Rechntsnorm auf Übereinstimmung mit höherrangigem Recht) fehlt.
Alle diese "Stellen" sind von den Bischöfen errichtet. Sie werden ausschließlich im Namen und im Auftrag der Diözesanbischöfe tätig. Kirchenrechtlich ist der jeweilige Diözesanbischof ein unumschränkter Herrscher. Er ist oberster Ankläger, Richter und Vollstrecker seiner Entscheidungen.
Damit aber muss die "Unabhängigkeit" dieser Stellen hinterfragt werden. Denn Sie können im Zweifel nicht gegen den Bischof (und auch nur mit Zustimmung des Bischofs gegen die in dessen Auftrag tätigen Stellen) vorgehen.

2. Bußgeldvorschriften:
§ 51 des KDG sieht dezidierte Bußgeldvorschriften vor.

Geldbußen

(1) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter vorsätzlich oder fahrlässig gegen Bestimmungen dieses Gesetzes, so kann die Datenschutzaufsicht eine Geldbuße verhängen.
(2) Die Datenschutzaufsicht stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Paragraphen für Verstöße gegen dieses Gesetz in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(3) Geldbußen werden je nach den Umständen des Einzelfalls verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzel-fall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß § 26 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Datenschutzaufsicht, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Datenschutzaufsicht bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) Einhaltung der früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen (§ 47 Absatz 5), wenn solche Maßnahmen angeordnet wurden;
j) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(4) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieses Gesetzes, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
(5) Bei Verstößen werden im Einklang mit Absatz 3 Geldbußen von bis zu 500.000 EUR verhängt.
(6) Gegen kirchliche Stellen im Sinne des § 3 Absatz 1, soweit sie im weltlichen Rechtskreis öffentlich-rechtlich verfasst sind, werden keine Geldbußen verhängt; dies gilt nicht, soweit sie als Unternehmen am Wettbewerb teilnehmen.
(7) Die Datenschutzaufsicht leitet einen Vorgang, in welchem sie einen objektiven Verstoß gegen dieses Gesetz festgestellt hat, einschließlich der von ihr verhängten Höhe der Geldbuße an die nach staatlichem Recht zuständige Vollstreckungsbehörde weiter. Unbeschadet ihrer jeweiligen Rechtsform ist die Datenschutzaufsicht Inhaber der Bußgeldforderung und mithin Vollstreckungsgläubiger. Die nach staatlichem Recht zuständige Vollstreckungsbehörde ist an die Feststellung der Datenschutzaufsicht hinsichtlich des Verstoßes und an die von dieser festgesetzten Höhe der Geldbuße gebunden. Sofern das staatliche Recht die Zuständigkeit einer solchen Vollstreckungsbehörde nicht vorsieht, erfolgt die Vollstreckung auf dem Zivilrechtsweg.

Damit werden nun die Grenzen des "Schrankenvorbehalts" endgültig überschritten.

Die Erhebung von Bußgeldern ist nach §3 35 ff, 65 f Ordnungswidrigkeitsgesetz (OWiG) für Ordnungswidrigkeiten möglich. Zum Erlass entsprechender Bußgeldbescheide sind aber nur die staatlichen oder kommunalen Verwaltungsbehörden (aufgrund einer ausdrücklichen Ermächtigung durch ein förmliches Gesetz, § 36 Abs. 1 Nr. 1 OWiG), die Staatsanwälte oder staatliche Gerichte befugt (§ 35 OWiG). Es handelt sich um eine Maßnahme aus dem Recht des staatlichen Strafverfahrens. Den Kirchen - auch sogenannten "kirchlichen Gerichten" - fehlt eine entsprechende Kompetenz. Denn ein förmliches staatliches Gesetz, das den Kirchen entsprechende Befugnisse einräumt, besteht nicht (Gesetzesvorbehalt).

Kirchliche Gerichte können auch keine entsprechenden Vollstreckungen erwirken. Dies ist nach § 90 Abs. 1 OWiG auf Grundlage der landesrechtlichen Vorschriften (Verwaltungszustellungs- und Vollstreckungsgesetze) zu beurteilen. Beispielhaft sei hier auf das Bayerisches Verwaltungszustellungs- und Vollstreckungsgesetz (VwZVG) in der Fassung der Bekanntmachung vom 11. November 1970 (BayRS II S. 232) BayRS 2010-2-I verwiesen. Maßgeblich sind die Art. 23 ff, insbesondere der Art. 27 des VwZVG (Vollstreckung von Geldforderungen sonstiger juristischer Personen des öffentlichen Rechts).

(1) 1Für die Vollstreckung von Geldforderungen sonstiger juristischer Personen des öffentlichen Rechts gilt Art. 26 entsprechend, soweit sie Verwaltungsakte erlassen können und zur Anbringung der Vollstreckungsklausel befugt

sind. Diese Befugnis kann von der bayerischen Staatsregierung "durch Rechtsverordnung erteilt werden" (Art. 27 II VvZVG) .
Eine entsprechende Rechtsverordnung besteht nicht - und ist soweit bekannt auch in der Vergangenheit kirchlichen Behörden noch nie erteilt worden. Auf Grundlage des Rechtsstaatsprinzips verlangt der Staat vielmehr bisher immer, dass (auch öffentlich-rechtliche Forderungen) der Kirchen in einem Verfahren bei staatlichen Gerichten geltend gemacht werden.

Wenn jetzt in § 51 Abs. 7 KDG die Bindung der staatlichen Vollstreckungsbehörde an die Entscheidung der kirchlichen Stellen festgeschrieben wird (!), dann ist das eine völlig Umkehr des "Schrankenvorbehalts". Nicht mehr der Staat legt die Grenzen der kirchlichen Befugnisse fest, sondern die Kirchen machen den Staat zum "Vollstreckungsbüttel" kirchlicher Entscheidungen.
Jeder Rechtsbehelf, der bei einem staatlichen Gericht gegen einen solchen "Bußgeldbescheid" erhoben wird, dürfte im Rahmen der (den staatlichen Gerichten zustehenden) "inzidenten Normenkontrolle" zur Aufhebung dess KDG führen (das Normverwerfungsrecht liegt bei den Verwaltungsgerichten bzw Landesverfassungsgerichten).


III. Beschäftigtendatenschutz:

Die einschlägige Regelung in Art. 88 der DSGV lautet:

Datenverarbeitung im Beschäftigungskontext

(1) Die Mitgliedstaaten können durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags einschließlich der Erfüllung von durch Rechtsvorschriften oder durch Kollektivvereinbarungen festgelegten Pflichten, des Managements, der Planung und der Organisation der Arbeit, der Gleichheit und Diversität am Arbeitsplatz, der Gesundheit und Sicherheit am Arbeitsplatz, des Schutzes des Eigentums der Arbeitgeber oder der Kunden sowie für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und für Zwecke der Beendigung des Beschäftigungsverhältnisses vorsehen.
(2) Diese Vorschriften umfassen geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.
(3) Jeder Mitgliedstaat teilt der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften, die er aufgrund von Absatz 1 erlässt, sowie unverzüglich alle späteren Änderungen dieser Vorschriften mit.

Auf dieser Grundlage hat Deutschland den § 26 Bundesdatenschutzgesetz (BDSG) neu erlassen. Kirchliche Stellen sind entsprechend Art. 1 Abs.4 des Gesetzes vom Anwendungsbereich nicht ausgenommen. Im BDSG ist geregelt:

(1) 1Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. ...
...
(4) 1Die Verarbeitung personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, ist auf der Grundlage von Kollektivvereinbarungen zulässig. 2Dabei haben die Verhandlungspartner Artikel 88 Absatz 2 der Verordnung (EU) 2016/679 zu beachten.

Kirchliche Regelungen wie die AVR Caritas sind nach ständiger höchstrichterlicher Rechtsprechung lediglich "Allgemeine Geschäftsbedingungen" 6), aber keine Tarifverträge oder Kollektivvereinbarungen. Sie erfüllen also die im BDSG genannten Voraussetzungen nicht.
Der Gesetzgeber ist wohl der Meinung, dass im konsensorientierten "Dritten Weg", in dem massive Abhängigkeitsverhältnisse bestehen, die nötige Unabhängigkeit fehlt. Deshalb hat er lediglich tarifvertragliche Regelungen zugelassen. Das ist aufgrund des "Schrankenvorbehalts", wonach der Staat die Grenzen der kirchlichen Selbstverwaltung festlegt, auch nicht zu beanstanden.

Mit anderen Worten: Wenn die Kirchen von der Ermächtigung Gebrauch machen wollen, durch kollektive Vereinbarungen die Datenverarbeitung für Beschäftigte zu regeln, dann geht das nicht mit "Allgemeinen Geschäftsbedingungen" wie etwa auf dem "Dritten Weg". Auch die Kirchen benötigen dazu Tarifverträge. Diese können nach den Bestimmungen des Tarifvertragsgesetzes, das die Kirchen nicht ausnimmt, aber nur mit den Gewerkschaften abgeschlossen werden.

Der DGB-Bundeskongress mit 400 Delegierten aus allen DGB-Mitgliedergewerkschaften hat vor wenigen Tagen die Bundesregierung aufgefordert, ein entsprechendes Beschäftigtendatenschutzgesetz zu erlassen, das auch für die Kirchen gelten soll (Schrankenvorbehalt).

Es bleibt abzuwarten, ob die kircheneigenen Regelungen wenigstens den eigenen ethischen Anforderungen gerecht werden.

2013 hatte sich das Zentralkomitee der Deutschen Katholiken mit der Stellungnahme "Partizipationsmöglichkeiten und Beteiligungsgerechtigkeit in der digital vernetzten Gesellschaft" zu Wort gemeldet, 2016 veröffentlichte die Deutsche Bischofskonferenz die Arbeitshilfe "Medienbildung und Teilhabegerechtigkeit".

Bereits Anfang des 21. Jahrhunderts hatte der Päpstliche Rat für die sozialen Kommunikationsmittel die Dokumente "Kirche und Internet" und "Ethik im Internet" veröffentlicht. Immer wieder äußern sich die Päpste im Rahmen des "Welttags der sozialen Kommunikationsmittel" zu sozialethischen Fragen der Mediengesellschaft. ...

Quelle: Bayerische Katholiken zu Arbeit 4.0 und "Fake News"


C) Rechtsetzungsbefugnis für Anders- und Nichtgläubige?

An dieser Stelle genügt die Bemerkungen, dass den Kirchen - wie bereits ausgeführt - die Rechtsetzungsbefugnis für Anders- und Nichtgläubige fehlt (Art. 1 Abs. 1 RKonk; BVerfG Urt. v. vom 14. Dezember 1965 auf die mündliche Verhandlung vom 13. und 14. Juli 1965, Az. 1 BvR 413/60; siehe auch die Anmerkung 7). Kircheneigene Regelungen können für Nichtmitglieder somit keine Wirkung entfalten.

Das Grundgesetz verbietet dem Staat, einer Religionsgesellschaft hoheitliche Befugnisse gegenüber Personen zu verleihen, die ihr nicht angehören"

(BVerfG, 1 BvR 413/60 - ebenso Art. 1 Abs. 1 Reichskonkordat - 7). Dementsprechend gelten auch Loyalitätspflichten nur aufgrund der ausdrücklichen vertraglichen Vereinbarung (Bundesverfassungsgericht, Beschluss vom 22. Oktober 2014 - 2 BvR 661/12).

Damit stellt sich die Frage, wie die kirchlichen Datenschutzbestimmungen ohne ausdrückliche vertragliche Vereinbarung gegenüber allen Beschäftigten rechtswirksam werden sollen. Eine einseitige, hoheitliche Regelung scheidet offenbar aus. Dementsprechend verbleibt nur die Möglichkeit einer vertraglichen Vereinbarung. Soweit diese nicht nur in Einzelfällen sondern für eine Mehrzahl von Personen gelten sollen, wird vom Gesetzgeber eine tarifvertragliche Regelung verlangt. Das entspräche auch den Vorgaben des universal geltenden Kirchenrechts (c. 1286 1° CIC i.V. z.B. mit Mater et Magistra, 97) .


D) Zusammenfassung und Vorschlag:

Ob die in Art. 91 der Datenschutzgrundverordnung verlangten Voraussetzungen für ein kircheneigenes Datenschutzrecht gegeben sind, kann sowohl aus formalen wie aus materiellen Gründen bezweifelt werden.
Das kirchliche Datenschutzgesetz (KDSG) erfüllt nicht die Anforderungen, die nach Art. 91 DSGV für den Bestand kirchlicher Regelungen erfüllt werden müssen. Das KDSG kann kirchliche Mitarbeiterinnen und Mitarbeiter nicht binden.
Im Zweifel ist das DSGV vorrangig gegenüber den Regelungen, die das Schutzniveau der DSGV nicht erreichen.

Im Umgang mit Daten werden auch die Kirchen von ihren Beschäftigten (und wohl auch den Patienten) entsprechende Erklärungen zum Umgang mit den persönlichen Daten abfordern. Darin wird dann wohl auch eine Erklärung enthalten sein, die eine Datenverarbeitung ermöglicht.
Wenn solche datenschutzrechtliche Erklärungen gefordert werden, empfiehlt es sich, diese unter ausdrücklichem Bezug auf die DSGV abzugeben. Denn die DSGV schließt auch den Artikel 91 mit ein. Es liegt dann im Konfliktfall an den kirchlichen Arbeitgebern, darzulegen, dass mit dieser Erklärung aus Art. 91 DSGV auch das KDSG der eine andere kirchliche Regelung wirksam eingeschlossen wäre. Wenn das nicht gelingt - und dafür sprechen einige Erwägungen - dann gilt nicht eine kirchenrechtliche Regelung, sondern die DSGV unmittelbar.

Es liegt im Interesse der Kirchen, die eigenen Bedürfnisse möglichst umfassend zu sichern. Das kann nicht durch Überschreitung des verfassungsrechtlichen Schrankenvorbehalts geschehen. Es wäre - insbesondere hinsichtlich des Beschäftigtendatenschutzes - den Kirchen dringend anzuraten, mit den zuständigen DGB-Gewerkschaften (insbesondere der im DGB für die Kirchen zuständigen Gewerkschaft ver.di) zu den im BDSG geforderten kollektivvertraglichen Regelungen zu kommen.



Anmerkungen:
1) Präambel zum "Gesetz über den Kirchlichen Datenschutz" (KDG) i.d.F. des einstimmigen Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 20. November 2017 - jeweils durch eigenes bischöfliches Gesetz in allen deutschen (Erz-)Diözese in Kraft gesetzt;
Ebenso der Publizist und studierte Politikwissenschaftler und Philosoph Felix Neumann auf katholisch.de "Bei der Lektüre des KDG fällt auf, wie wenig kirchlich es ist: So gibt es beispielsweise keine Verankerung in der kirchlichen Rechtstradition. In der Präambel wird nur auf den staatskirchenrechtlichen Rahmen hingewiesen. Dass auch der Codex Iuris Canonici (CIC) eine datenschutzrechtliche Bestimmung enthält, dass dies vielleicht sogar eine Motivation sein könnte, warum der kirchliche Gesetzgeber überhaupt in diesem Feld tätig wird, wird nicht erwähnt. Entlarvend ist dazu die Begründung eines eigenen Datenschutzrechts aus dem Jahresbericht 2017 des bayerischen Diözesandatenschutzbeauftragten: "Sicher wäre es auch für die Bundesregierung eine Zumutung, wenn ihr mitgeteilt würde, sie habe sich wohl umsonst vier Jahre für die Regelung" eingesetzt. Selbstverwaltung nicht aus Notwendigkeit, sondern aus Prinzip."
Zur Definition der "eigenen Angelegenheiten" verwenden wir die neuere Literatur z.B. bei Prof. Dr. Schubert in AuK 4/2011 S. 110 ff (3. Leitsatz), vgl. auch Sczepanski in KuR 1/2018 S.24 m.w.N.

2) Charta der Grundrechte der Europäischen Union, Amtsblatt der Europäischen Union C 83/389 vom 30.03.2010

3) Zu den schrankenziehenden Gesetzen des Art. 137 Abs. 3 WRV sollen nach Armin Pahlke (Kirche und Koalitionsrecht, Mohr-Verlag, Tübingen, 1983) nur solche zählen, "die für die Kirche dieselbe Bedeutung haben wie für Jedermann" (Pahlke, S. 86 m.w.N.)
"Betrifft das Gesetz die Kirche nicht wie den Jedermann, sondern in ihrer Besonderheit als Kirche härter, ihr Selbstverständnis, insbesondere ihren geistig-religiösen Auftrag beschränkend, also anders als den normalen Adressaten, dann bildet es insoweit keine Schranke".
Es ist nicht ersichtlich, wieso die DSGV beispielhaft den Träger einer kirchliche Kindertagesstätte mehr belasten soll als den Träger einer kommunalen KiTA oder der KiTA eines anderen freigemeinnützigen Trägers.
Soweit für kirchenspezifische Handlungen - also etwa das Aufgebotsverfahren vor der Eheschließung - eine Datenverarbeitung erforderlich ist, kann die Zustimmung der Beteiligten durch eine entsprechende Erklärung eigens erteilt werden.

4) AuK 1/2018 S. 26 ff

5) vgl. Dr. Andelewski und Dr. Wiencke in ZAT 1_1018 S. 2 ff "Haben Kirchengerichte die Kompetenz zur Rechtsfortbildung"

6) vgl. z.B. BAG, Urteil vom 17. 11. 2005 – 6 AZR 160/05; LAG Düsseldorf · Urteil vom 5. Dezember 2008 · Az. 9 Sa 1008/08; LAG Düsseldorf, Urteil vom 23. Februar 2012 - Az. 15 Sa 1284/11; LAG Nürnberg, 4 Sa 96/14 vom 20.08.2014

7) ausführlich Sczepanski in AuK 1/2018 S. 22 ff m.w.N.

*)
Ein aufmerksamer Leser des Blogbeitrags hat uns in dem Zusammenhang mit den Orden folgende Zeilen übermmittelt:

Hinsichtlich der Orden päpstlichen Rechts sehen das die Diözesangesetzgeber wie die Deutsche Ordensoberenkonferenz so wie Sie, daher hat der DOK-Vorstand die "Kirchliche Datenschutzregelung der Ordensgemeinschaft päpstlichen Rechts" (KDR-OG) erlassen; die betroffenen Orden müssen sie noch selbst anerkennen. (z. B. hier: https://smmp.de/download/ordnungen/KDR-OG-DOK-2018-01-30.pdf, vgl. dazu auch Jupp Joachimski: Änderungen im Datenschutzrecht 2018, in: Ordenskorrespondenz 1/2018, S. 84–92.)

Herzlichen Dank hierfür. Allerdings muss dann auf die Problematik hingewiesen werden, dass den Ordensoberen kirchenrechtlich lediglich eine Rechtsetzungsbefugnis für die Mitglieder der jeweiligen Ordensgemeinschaft eingeräumt ist. Dritte, die dem Orden nur vorübergehend über Dienst- oder Werkverträge verbunden sind, unterliegen dieser Ordenshoheit nicht.
Darüber hinaus sind viele Ordenseinrichtungen nicht als "juristische Personen des öffentlichen Rechts", sondern als "eingetragene Vereine" konstituiert. Sie sind nur in dieser Konstituierung auch Teil der weltlichen Gemeinschaft. Diesen Vereinen fehlt dann auch nach weltlichem Recht die öffentlich-rechtliche Rechtsetzungsbefugnis, die mit der Konstituierung in der Rechtsform einer juristischen Person des öffentlichen Rechts (z.B einer Körperschaft oder Stiftung) verbunden sein soll.