Grundrecht auf Datenschutz

Am 15. Dezember 1983 wurde vom Bundesverfassungsgericht ein wegweisendes Urteil getroffen. Die Bürgerinnen und Bürger hätten ein "Recht auf informationelle Selbstbestimmung".

Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des GG Art 2 Abs. 1 in Verbindung mit GG Art 1 Abs. 1 umfaßt. Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.

Mit diesem "Grundrecht auf Datenschutz" sei eine Rechts- und Gesellschaftsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß, so das Bundesverfassungsgericht. Oder, wie das Gericht es formulierte:

Wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen. (…) Hieraus folgt: Freie Entfaltung der Persönlichkeit setzt unter den modernen Bedingungen der Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten voraus. (…) Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. 

Seit 40 Jahren steht es also fest: die Bürgerinnen und Bürger haben einen (aus den Grundrechten der Menschenwürde und des Persönlichkeitsrechts in den Artikeln 1 und 2 des Grundgesetzes abgeleiteten, also) verfassungsrechtlich gewährleisteten Anspruch darauf, dass sie selbst über die Erhebung, Soecherung, Verwendung und Weitergabe der persönlichen Daten bestimmen können.
Allerdings fehlte seit Jahren eine gesetzliche Regelung.

Das damaligen Bundesdatenschutzgesetz unterschied zwischen Datenverarbeitung im öffentlichen und im nicht-öffentlichen Bereich. Die Kirchen als öffentlich-rechtliche, aber nicht staatliche Körperschaften passten in diese Kategorien nicht recht hinein, und in diese Regelungslücke setzten sie ihr eigenes Datenschutzrecht. "Der Datenschutz hat für Kirchen und Religionsgemeinschaften große praktische Relevanz, denn sie gehören in Deutschland mit zu den größten Verarbeitern personenbezogener Daten", erläutert ein Sprecher der Deutschen Bischofskonferenz (DBK) auf Anfrage, warum sich die Kirche überhaupt um das Thema kümmert.
In der Rechtswissenschaft wurde diese Begründung unter das Schlagwort "beredtes Schweigen" gefasst: Weil der staatliche Gesetzgeber zum Datenschutz in den Kirchen schweigt, will er damit sagen, dass sie ihn selbst regeln sollen. Mit der europäischen Datenschutzgrundverordnung verstummte das beredte Schweigen. Am 25. Mai 2018 wurde die EU-Verordnung wirksam, die erstmals ein einheitliches Datenschutzrecht für alle Staaten im europäischen Wirtschaftsraum festlegte. Der Datenschutz in Kirchen und Religionsgemeinschaften wurde in einem eigenen Artikel 91 geregelt.

so berichtete Felix Neumann am 24. Mai dieses Jahres über die Entstehung der kirchlichen Datenschutzgesetze am 24. Mai 2018.
Unsere Kritik an den kirchlichen Regelungen haben wir immer wieder vorgebracht. Warum wir diese "kirchlichen Datenschutzgesetze" für nicht tragfähig halten, hatten wir dann auch schon am 25. Mai 2018 unter der Überschrift

"EU - Datenschutz-Grundverordnung" (DSGVO) vrs. "Gesetz über den kirchlichen Datenschutz" (KDG)

ausführlich begründet. Die Kritik bezog sich im Wesentlichen auf zwei Punkte:

1. Die kirchlichen Datenschutzgesetze sind zwei Jahre nach dem Inkrafttreten der Datenschutzgrundverordnung (DSGV) und damit zwei Jahre zu spät erstellt worden, so daßß die Voraussetzung aus Art. 91 fehlt, und
2. die geschützten Daten sind die Daten der Beschäftigten oder Patient*Innen, die vielfach der jeweiligen Kirche gar nicht angehören. Es sind nicht die eigenen Daten der Kirchen. Damit entfällt für die Kirchen jede Rechtsetzungsbefugnis.

Felix Neumann hebt in seinem zitierten Artikel darauf ab, dass die betroffenen Personen der Datenverarbeitung ausdrücklich schriftlich zustimmen müssen - sich damit also den kirchlichen Datenschutzgesetzen freiwillig vertraglich unterwerfen.

In wenigen Fällen ist das kirchliche Recht strenger – so müssen Einwilligungen zur Datenverarbeitung anders als in der DSGVO grundsätzlich schriftlich abgegeben werden –, an anderen Stellen deutlich laxer: Die Geldbußen, die Diözesandatenschutzbeauftragte verhängen können, sind bei 500.000 Euro gedeckelt, während sie im staatlichen Bereich abhängig vom Konzernumsatz mehrstellige Millionenbeträge erreichen können.

Was ist aber, wenn eine demente Person oder ein*e Notfallpatient*in bewusstlos oder schwer traumatisiert in ein kirchliches Altenheim oder Krankenhaus eingeliefert wird? Darf dann keine Betreuung oder Behandlung stattfinden, bis der Patient der Anwendung der kirchlichen Datenschutzregelungen zustimmt? Wie rechtswirksam wäre eine solche in der Not getroffene Erklärung? Und was ist, wenn ein Patient sich dann weigert? Müssen die kirchlichen Altenheime und Krankenhäuser für diesen Fall zwei verschiedene Datenschutznormen beachten, auch wenn sich diese nur unwesentlich unterscheiden?
Oder wird mit den angesprochenen Geldbußen auch die Begründung dafür sichtbar, dass kirchliche Einrichtungen ein "eigenes Datenschutzrecht" beanspruchen. Wie soll das überhaupt gehen, ein Bußgeld zu vollstrecken, das von einer kirchlichen Stelle festgesetzt wird. Als "bayerischer Blog" erlauben wir uns einen Blick auf Art. 25 ff des Bayerischen Verwaltungszustellungs- und Vollstreckungsgesetzes (VwZVG)

Art. 25 Vollstreckung von Geldforderungen des Staates
(1) Vollstreckungsbehörden für Leistungsbescheide des Staates sind die Finanzämter. ...

Art. 26 Vollstreckung von Geldforderungen der Gemeinden, Landkreise, Bezirke und Zweckverbände
(1) Gemeinden, Landkreise, Bezirke und Zweckverbände sind berechtigt, zur Beitreibung von Geldforderungen, die sie durch einen Leistungsbescheid geltend machen, eine Vollstreckungsanordnung zu erteilen. ...

Art. 27 Vollstreckung von Geldforderungen sonstiger juristischer Personen des öffentlichen Rechts
(1) 1Für die Vollstreckung von Geldforderungen sonstiger juristischer Personen des öffentlichen Rechts gilt Art. 26 entsprechend, soweit sie Verwaltungsakte erlassen können und zur Anbringung der Vollstreckungsklausel befugt sind. ...

Daran fehlt's halt - die Kirchen sind selbst in Bayern nicht "zur Anbringung der Vollstreckungsklausel" befugt. Und - seit wann haben kirchliche Einrichtungen die Befugnis, Bußgeldbescheide zu erlassen, die dann vom Staat zu vollstrecken sind?
Die kirchlichen Datenschutzregelungen weichen somit in entscheidenden Punkten von den Vorgaben des staatlichen Rechts ab.