Seit gut vier Jahren: Datenschutz - warum manche die kircheneigenen Regelungen für sich entdecken

Vor vier Jahren haben wir am 25. Mai unter der Überschrift:

"EU - Datenschutz-Grundverordnung" (DSGVO) vrs. "Gesetz über den kirchlichen Datenschutz" (KDG)

geschrieben, warum wir überzeugt sind, dass das "KDG" eine nicht anwendbare Regelung auch für kirchliche Einrichtungen sein würde.
Heute müssen wir feststellen: das KDG wird angewendet, trotz einiger Urteile insbesondere auf europäischer Ebene, mit denen die Rechtswirksamkeit seperater kirchlicher Regelungen hinterfragt wird.
Wenn das so ist, dann stellt sich die Frage - warum? Warum beharrem die Kirchen auf ein eigenes Datenschutzrecht, dessen Wirksamkeit auf "tönernen Füßen" steht?
Der Artikel-91 Blog bringt die Antwort.

Die Angst vor Geldbußen prägte die Einführung des neuen Datenschutzrechts – vier Jahre danach hat sie sich gelegt. Im kirchlichen Datenschutz ist das Bußgeld-Risiko noch einmal deutlich niedriger, zeigt ein Blick in KDG und DSG-EKD.

(Twitter-Meldung)

Oder - um den Blog richtig zu zitieren:

Die Lage nach der DSGVO
Eines der Markenzeichen der DSGVO ist die enorme mögliche Bußgeldhöhe, die dem Datenschutz Zähne verleihen soll: Geldbußen sollen »wirksam, verhältnismäßig und abschreckend« sein und gerade kein Knöllchen aus der Portokasse.
Je nach Verstoß liegt die Obergrenze bei 10 oder 20 Millionen respektive 2 Prozent oder 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, was höher ist (Art. 83 Abs. 4f. DSGVO). In Deutschland sind nur Behörden und sonstige öffentliche Stellen fein raus: Gegen sie kann kein Bußgeld verhängt werden (§ 43 Abs. 3 BDSG).

Die Lage nach dem KDG
Dem katholischen Datenschutzrecht unterliegende Verantwortliche können schon bei der Maximalhöhe aufatmen: § 51 Abs. 5 deckelt die Höhe auf maximal eine halbe Million Euro. Analog zu staatlichen Behörden sieht das KDG auch für kirchliche Stellen, die öffentlich-rechtlich verfasst sind, keine Bußgelder vor, sofern sie nicht als Unternehmen am Wettbewerb teilnehmen (§ 51 Abs. 6 KDG).
Im Ergebnis führt das dazu, dass ein großer der katholischen Verantwortlichen, nämlich unter anderem alle Bistümer und Pfarreien, keine Bußgelder zu fürchten haben – dabei ist gerade dort besonders hohes Potential für Datenschutzverstöße angesichts des Zugriffs auf Meldedaten. In ihren Berichten beklagen die Aufsichten – etwa die KDSA Nord – folgerichtig auch regelmäßig, dass es für Bußgelder zwar Anlässe gegeben hätte, aber keine Rechtsgrundlage für die Verhängung. Generell scheinen die katholischen Aufsichten sehr zurückhaltend mit Geldbußen zu sein. Die höchste liegt laut der Südwest-Aufsicht im fünfstelligen Bereich, ohne dass mehr bekannt war; in einem Fall, in dem durch eine Entscheidung des IDSG die Höhe bekannt wurde – 2100 Euro wegen eines fehlgelaufenen Arztbriefes gegen ein katholisches Krankenhaus mit 88 Millionen Euro Umsatz –, bezeichnete das Gericht die Höhe als sehr moderat.

Die Lage nach dem DSG-EKD
Im Vergleich zum KDG hat das evangelische Datenschutzgesetz noch weniger Zähne: ...

Warum das Rad übernehmen, wenn man es noch mal nacherfinden darf ...

so ähnlich kommt mir die aktuelle Nachricht auf katholisch.de vor:

Reform des Gesetzes über den kirchlichen Datenschutz beschlossen
Neues KDG kommt: Katholische Kirche reformiert ihr Datenschutzrecht
Veröffentlicht am 27.11.2025 um 16:04 Uhr

Bonn ‐ Die deutschen Bischöfe haben das Gesetz über den kirchlichen Datenschutz überarbeitet. Der Termin steht schon – angekündigt sind Regelungen zur Missbrauchsaufarbeitung, zur Übertragung von Gottesdiensten und zu Taufbüchern.

Die katholische Kirche in Deutschland bekommt 2026 ein reformiertes Datenschutzrecht. Am 1. März soll das novellierte Gesetz über den kirchlichen Datenschutz (KDG) in Kraft treten, wie die Deutsche Bischofskonferenz (DBK) auf Anfrage von katholisch.de am Donnerstag bestätigte. Der Verband der Diözesen Deutschlands (VDD) hat auf seiner Vollversammlung Anfang der Woche das KDG und seine Durchführungsverordnung (KDG-DVO) beschlossen. Da der VDD keine Gesetzgebungskompetenz hat, müssen die einzelnen Diözesanbischöfe die Regelwerke noch für ihre Diözese in Kraft setzen.
..

Rechtstexte noch nicht verfügbar

Die novellierten Rechtstexte sind noch nicht öffentlich verfügbar. Eine Veröffentlichung stellte die DBK gegenüber katholisch.de frühestens vor Weihnachten in Aussicht. Im vergangenen Jahr hatte der VDD einen Gesetzesentwurf veröffentlicht und Rückmeldungen ausgewählter kirchlicher Institutionen in einem Beteiligungsverfahren eingeholt. Dem Entwurf zufolge sollten vor allem kirchliche Besonderheiten besser hervorgehoben werden. So war erstmals eine ausdrückliche Ausnahme vom Recht auf Löschung für Taufregister und andere Kirchenbücher geplant, eine neue Regelung sollte die rechtssichere Übertragung von Gottesdiensten im Internet ermöglichen. Ein eigener Paragraph sollte festschreiben, dass an der Aufarbeitung von sexualisierter Gewalt ein "überragendes kirchliches Interesse" besteht und daher personenbezogene Daten zu diesem Zweck verarbeitet werden dürfen. Zugleich sollte sich das kirchliche Recht dem staatlichen Datenschutzrecht weiter annähern.
...

wir haben uns mit dem Thema "Datenschutz" und eines "kircheneigenen Datenschutzrechtes" schon mehrfach befasst. Wieso benötigt die Kirche in Deutschland eigene Normen, wo das in vielen anderen - sogar sehr katholisch geprägten - Mitgliedsstaaten der EU nicht der Fall ist? Wenn man wirklich kirchenspezifische Regelungen benötigt, dann sollte es genügen, ergänzende Ausführungsbestimmungen zum staatlichen Datenschutzrecht vorzunehmen. Aber man geht lieber das Risiko ein, umfassend eigene Normen zu schaffen, die konträr zum zwingenden staatlichen Recht stehen können und damit das Risiko der Rechtswidrigkeit und Unwirksamkeit in sich tragen.
Wir verstehen auch nicht, warum die Kirche beansprucht, Daten von Personen, die ihr gar nicht (mehr) angehören, als "eigene Daten" zu bezeichnen. Das sind - mit Verlaub - die Daten von Menschen, die lediglich von kirchlichen Institutionen verwaltet werden.
Die katholische Kirche in Deutschland erweist sich beim modifizierten Abschreiben staatliche Regelungen wieder einmal in absoluter Treue zu protestantischen Kirchen als "teuerste Kopieranstalt Deutschlands". Anscheinend geht es den Bistümern in Deutschland finanziell immer noch zu gut.

"EU - Datenschutz-Grundverordnung" (DSGVO) vrs. "Gesetz über den kirchlichen Datenschutz" (KDG)

Die ZEIT beríchtete am 21. April über die Gefahr des grenzenlosen Datenzugriffs -

In einem ohne jegliche parlamentarische Anhörung durchgeboxten Gesetz (Cloud Act) hat der US-Kongress Ende März den Ermittlern weltweiten Zugriff auf Server verschafft, die US-Firmen gehören.

Dagegen steht das Recht der EU:

Datenschutz ist in der EU ein Grundrecht. "Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten", heißt es in (Anm. d. Red.: Art. 8) der EU-Grundrechtecharta aus dem Jahr 2000.

Quelle: Süddeutsche Zeitung, 24.04.2018

Vor zwei Jahren haben sich EU-Staaten und das Europaparlament nach intensiven Debatten auf die sogenannte Datenschutz-Grundverordnung (DSGV oder DSGVO) geeinigt und diese in Kraft gesetzt. Hintergrund waren ganz reale Missstände aufgrund der uneinheitlichen Regelungen in den EU-Ländern. International tätige Konzerne ("Datenkraken") wie Facebook, Google und Co. haben ihre Europazentralen in den Ländern mit den geringsten Beschränkungen angesiedelt. Diese "windigen Vorschriften" galten dann für alle Kunden aus der EU. Mit der neuen Regelung sollte nicht nur eine Vereinheitlichung, sondern vor allem auch eine vorbildliche Datenschutzregelung geschaffen werden. Die DSGV ist - so der SPIEGEL (print v. 19.05.201, S. 79) - eine Art Qualitätssiegel, mit der die EU auch global eine Vorreiterrolle in Sachen "Datenschutz" übernommen hat (ebenso SÜDDEUTSCHE ZEITUNG vom 24.05.2018 S. 2: "Nach diversen Skandalen sieht sich die EU in ihren strengen Regelungen bestätigt. Sogar US-Experten gelten sie als Vorbild").
Ab 25. Mai sind die neuen Regelungen in allen 28 EU-Staaten anzuwenden. Durch das neue EU-Recht werden unmittelbar das bisherige Bundesdatenschutzgesetz (BDSG a.F.) und die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG), auf der das BDSG basiert, abgelöst. Zeitgleich tritt ein dazu gehöriges, modifiziertes Bundesdatenschutzgesetz neuer Fassung (BDSG n.F.) in Kraft, das die DSGVO zum Teil modifiziert und konkretisiert.

Was regelt die neue Verordnung? Und welche Auswirkungen hat das auf den Kirchenbereich?

Im Kern soll die Verarbeitung personenbezogener Daten durch Unternehmen, Vereine oder Behörden geregelt werden. Dazu gehören etwa Name, Adresse, Email-Adresse, Ausweisnummer oder IP-Adresse. Wie die Daten gespeichert werden - digital, auf Papier oder mittels Videoaufnahme - ist egal. Besonders empfindliche Daten zu religiösen Überzeugungen, Gesundheit oder Sexualleben dürfen nur in Ausnahmefällen verarbeitet werden. Die neuen Regeln gelten auch für Unternehmen, die außerhalb der EU sitzen, ihre Dienste aber hier anbieten. Deshalb sind Internetriesen mit US-Sitz wie Facebook oder Google davon betroffen.

Quelle: Süddeutsche Zeitung, 24.04.2018

Die EU-Datenschutzverordnung soll also überall in der EU für alle gelten, bei Facebook oder Google, bei "Whats-App" oder "E-Bay" - auch bei den Kirchen. Denn wer etwa ein kirchliches Krankenhaus besucht, bewirkt die Erstellung einer Unmenge von Daten, die für die Pharmaindustrie, für Versicherungen oder auch für die Arbeitgeber höchst interessant sind.

Gilt sie wirklich bei den Kirchen?

Samstagsnotizen: Abkehr vom kirchlichen Arbeitsrecht - was bedeutet das (2.9.) zum Abschluss: Datenschutz

Wie berichtet, hat sich der DGB erlaubt, den Entwurf für ein "Beschäftigtendatenschutzgesetz" vorzulegen. In der Zeitschrift für Datenschutz (ZD) ist der Entwurf wenige Tage später gewürdigt worden. Im Kontext mit den Empfehlungen des vom Bundesministerium für Arbeit und Soziales (BMAS) eingesetzten Beirat zum Beschäftigtendatenschutz wird ausgeführt:

....
4. DGB-Entwurf eines Beschäftigtendatenschutzgesetzes
Ausführlicher und detaillierter in Einzelfragen als der Abschlussbericht des Beirats stellt sich der 40 Paragrafen und 22 Seiten umfassende, individualrechtlich ausgerichtete Entwurf des DGB dar. Er wurde gemeinsam von DGB, seinen Mitgliedsgewerkschaften und Prof. Peter Wedde, der auch Mitglied des Beirats war, erarbeitet. In vielen Punkten bestehen inhaltliche Überschneidungen zu den Empfehlungen des Beirats, sodass mit dem DGB-Entwurf insoweit konkret ausformulierte Regelungsvorschläge vorliegen.

Warum wir nicht Bischöfe werden könnten ... auch eine Pfingstvorbereitung

Der „Kölner Stadt-Anzeiger“ veröffentlichte einen Fragebogen (auch bei kath.ch) des Papst-Botschafters. Nachdem die FAZ vor gut 20 Jahren einen ähnlichen Fragebogen publizierte, sind vor allem auch die Unterschiede der beiden Fragebogen auf das Interesse der Medien gestoßen.

Der nun bekannt gewordene aktuelle Fragebogen hat auch bei kirchlich engagierten Personen zum Teil heftige Reaktionen hervorgerufen:

Beschäftigtendatenschutz ist im Vatikan ein Fremdwort. Gleich die erste Frage versucht, möglichst viele besondere Kategorien abzuhaken: »Beschreiben Sie die körperliche Erscheinung, den Gesundheitszustand, den Grad der Belastbarkeit, die Verhältnisse der Familie aus zivilrechtlicher, religiöser und vor allem gesundheitlicher Sicht im Hinblick auf mögliche Erbkrankheiten.« (Die Frage nach der datenschutzrechtlichen Zulässigkeit, einen solchen Fragebogen – möglicherweise als kirchliche*r Amtsträger*in – auszufüllen und an den diplomatischen Vertreter des Drittlands ohne angemessenes Datenschutzniveau zu übermitteln, dürfte Stoff für mindestens eine staatskirchenrechtliche Hausarbeit sein.)

(Quelle: Art. 91 Blog - Wochenrückblick KW 20/2022)
Nach dem kirchlichen Datenschutzgesetz (KDG) gilt die Regelung, dass Datenübertragungen in ein Drittland wie den Vatikan auch dann zulässig sind, wenn »der Verantwortliche oder der Auftragsverarbeiter nach Beurteilung aller Umstände, die bei der Übermittlung eine Rolle spielen, davon ausgehen kann, dass geeignete Garantien zum Schutz personenbezogener Daten bestehen.« (§ 40 Abs. 2 lit. b KDG). Ob das mit dem Europarecht in Einlang steht und im Vatikan dann tatsächlich gewährleistet ist, wird aufgrund der dort herrschenden Rechtslage allerdings kritisch gesehen.

Frauen gelten offenbar nichts (Respekt wird nur gegenüber Ordensfrauen abgefragt). Dafür stehen aber Aufopferung und insgesamt Linientreue hoch im Kurs. Die Reihenfolge betrachtend, sind intellektuelle Fähigkeiten (unter denen die Rechtgläubigkeit auch anhand veröffentlichter Werke verhandelt wird!) wichtiger als geistliche und seelsorgliche Eigenschaften.

(aus einem Twitter-Kommentar)

Abgesehen von dem in vieler Hinsicht fragwürdigen Fragekatalog: Wenn man bedenkt, wer alles Bischof ist oder in den Kandidatenpool gehört - ich meine - wer von denen erfüllt diese Kriterien? Und wieso können inkompetente Männer, die kaum Rückhalt im Bistum haben, Bischof bleiben?

(Doris Reisinger auf Twitter)
Wir wissen aus dem Fragebogen, der Kommentierung des Stadt Anzeigers und von katholisch.de, dass wir jedenfalls nicht die Chance hätten, zu Bischofswürden zu gelangen.


weitere Quellen:
Domradio (Köln): Einstellung zum Priesteramt wird abgefragt
Katholisch.de: VERÖFFENTLICHTER FRAGEBOGEN ZEIGT ... UNTERSCHIEDE ZU FRÜHER - Vatikan legt bei Bischofswahl Wert auf Thema Missbrauch
Kirche + Leben (Münster): Missbrauch spielt für Vatikan bei Ernennung von Bischöfen größere Rolle

Grundrecht auf Datenschutz

Am 15. Dezember 1983 wurde vom Bundesverfassungsgericht ein wegweisendes Urteil getroffen. Die Bürgerinnen und Bürger hätten ein "Recht auf informationelle Selbstbestimmung".

Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des GG Art 2 Abs. 1 in Verbindung mit GG Art 1 Abs. 1 umfaßt. Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.

Mit diesem "Grundrecht auf Datenschutz" sei eine Rechts- und Gesellschaftsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß, so das Bundesverfassungsgericht. Oder, wie das Gericht es formulierte:

Wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen. (…) Hieraus folgt: Freie Entfaltung der Persönlichkeit setzt unter den modernen Bedingungen der Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten voraus. (…) Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. 

Seit 40 Jahren steht es also fest: die Bürgerinnen und Bürger haben einen (aus den Grundrechten der Menschenwürde und des Persönlichkeitsrechts in den Artikeln 1 und 2 des Grundgesetzes abgeleiteten, also) verfassungsrechtlich gewährleisteten Anspruch darauf, dass sie selbst über die Erhebung, Soecherung, Verwendung und Weitergabe der persönlichen Daten bestimmen können.

Pressemitteilung EuGH: auch Religionsgemeinschaften unterliegen dem europäischen Datenschutzrecht

… das kann man jedenfalls dem Urteil des EuGH in der Rechtssache C-25/17 entnehmen. Die entsprechende Pressemitteilung Nr. 103/2018 des EuGH vom 10. Juli 2018 lässt hieran keinen Zweifel - und nimmt darüber hinaus die Religionsgemeinschaft auch für ihre Mitglieder in Verantwortung:

Eine Religionsgemeinschaft … ist gemeinsam mit ihren als Verkündiger tätigen Mitgliedern für die Verarbeitung der personenbezogenen Daten verantwortlich, die im Rahmen einer … Verkündigungstätigkeit erhoben werden

Die im Rahmen einer solchen Tätigkeit erfolgenden Verarbeitungen personenbezogener Daten müssen mit den unionsrechtlichen Vorschriften über den Schutz personenbezogener Daten im Einklang stehen

Staatliche Gerichte zum kirchlichen Datenschutz

In unserem Blog wird immer wieder über die kirchliche "Selbstbestimmungsmanie" berichtet und dabei - i.d.R. im Kontext zum Europäischen Datenschutztag am 28. Januar - auch das Thema "Datenschutz" angesprochen. Hier haben wir u.a. zum Urteil des EuGH in der Rechtssache C-25/17 berichtet. Das führen wir natürlich fort.
Eine der zuletzt bekannt gewordenen Entscheidungen stammt vom AG Pankow. Nach den Tweets eines Verfahrensbeteiligten zum Urteil v 10.01.22, Az.4C27/21 (zu Art.15 DSGVO ggü. kirchl. Trägern) soll für Auskünfte aus kirchlichen Datensammlungen gelten:

Eine bloße strukturierte Zusammenfg. genügt […] nicht, da sie den Auskunftsbegehrenden nur unvollständig über die Datenverarbeitg. informiert. (vgl. BGH a.a.O.). Der Anspruch sei auch nicht an Zahlen eines Entgeltes gebunden. Ein solches sieht weder §17 (3) S.1 KDG […] noch Art. 15 (3) S.1 DSGVO vor. Soweit § 630 g BGB ein Entgelt vorsieht, […] ist aufgrund des Vorrangs des Europarechts kein Raum (vgl.LG Dresden, Urteil v 29.05.20 – 6 O 76/20).

Mit anderen Worten: hört auf, fürstbischöfliche weltliche Regelungsbefugnisse zu beanspruchen und unterwerft Euch den ohnehin für alle und damit auch für Kirchens geltenden staatlichen Normen!

Tatsächlich könnte das Münchner Mißbrauchsgutachten einen Erdrutsch zum behaupteten (von den Kirchen beanspruchten) sogenannten "Selbstbestimmungsrecht" der Kirchen und Religionsgemeinschaft auslösen. So berichtet N-TV:

Auch Staat steht in der Kritik
Missbrauch in Bistum - Rufe nach mehr Kontrolle

und führt u.a. aus:

"Beißhemmung" gegen Kirche müsse aufhören
Im Gegensatz zum Papst pochen Kritiker darauf, dass die Kirche in vollem Umfang dem weltlichen Recht unterworfen wird. "Nachdem das eine Never-Ending-Story zu sein scheint, sollte der Staat alle Kindertagesstätten und Schulen unter Beobachtung stellen, bei denen es eine Trägerschaft der katholischen Kirche gibt, oder sogar über einen Entzug der Trägerschaft nachdenken", forderte der Strafrechtsprofessor Holm Putzke. Die Kirchen müssten von Gesetzes wegen genauso behandelt werden wie jede andere Vereinigung. "Für irgendeine besondere Rücksichtnahme, man kann es auch als 'Beißhemmung' bezeichnen, besteht überhaupt kein Anlass", sagte Putzke.

Zum europäischen Datenschutztag

haben wir vor einem Jahr einen weiteren Beitrag aus unserer Reihe "Warum die Kirche kein eigenes Datenschutzrecht haben darf" gepostet. Dennoch schwurbeln immer wieder "Halbwissende" über eine verfassungsrechtliche Sonderstellung der Kirchen, die sich auch im Datenschutz (!) aus den Vorschriften der Weimarer Reichsverfassung (sic !) zu Religionsgemeinschaften und Kirchen ergeben soll. So schreibt etwa intersoft consulting services:

In Deutschland haben die Kirchen seit über 100 Jahren eine rechtliche Sonderstellung, die ihnen auch die Möglichkeit eröffnet, über eigene Datenschutzgesetze abweichende Regelungen festzulegen, die staatliche Vorgaben ersetzen können.

NEIN - NEIN - NEIN und nochmals NEIN !
Die ständige Wiederholung von Irrtümern macht diese nicht zur Wahrheit - die Erde ist keine Scheibe, auch wenn die Kirche das über Jahrhunderte hin behauptet hat. Und sexueller Mißbrauch ist auch dann sexueller Mißbrauch, wenn es nicht zur Berührung von Geschlechtsorganen oder gar zur Penetration kommt.

Die sogenannte "rechtliche Sonderstellung" war nichts anderes als die Eingliederung der Kirchen in das staatliche Rechtssystem, das nach den Wirren des Kulturkampfes von der (z.B. preußischen) Staatskirche zur heutigen Stellung als vom Staat unabhängige Rechtssubjekte (wie jeder Verein auch) geführt hat, die über die Besetzung der Pfarrämter selbst entscheiden, das Kirchenvermögen selbst verwalten und z.B. das Sakramentenrecht eigenständig regeln. Die Kirchen sind sowohl nach den verfassungsrechtlichen Regelungen wie auch nach den Konkordatsverträgen nur
- zur Selbstordnung und Selbstverwaltung (nicht Selbstbestimmung)
- der eigenen Angelegenheiten (= res sacra, und nicht der Angelegenheiten und Daten von Dritten = allenfalls res mixta)
- im Rahmen der für alle geltenden Gesetze (der Staat bestimmt also wo diese Grenzen liegen)
befugt.
Daraus eine allumfassende rechtliche Sonderstellung für die seinerzeit noch nicht einmal absehbare Verarbeitung der Daten von Dritten abzuleiten ist schlechterdings absurd.

Einige Beispiele für den exzessiven Irrsinn der Kirchen?