Datenschutz der Kirche

Aufgrund des verfassungsrechtlich gewährleisteten Selbstbestimmungsrechts der Kirche konnten Religionsgemeinschaften in Deutschland ihre Angelegenheiten auch im Bereich Datenschutz bisher selbstständig regeln. Auch nach der Einführung der europäischen Datenschutz-Grundverordnung (DSGVO) bleibt für Religionsgemeinschaften die Möglichkeit, ihre Angelegenheiten im Bereich Datenschutz der Kirche selbstständig zu regeln, grundsätzlich erhalten. Artikel 91 der DSGVO sieht vor, dass die Kirchen oder religiösen Vereinigungen, die bereits zum Zeitpunkt des Inkrafttretens der Datenschutz-Grundverordnung umfassende Regelungen zum Datenschutz anwendeten, diese weiterhin anwenden dürfen. Weitere Voraussetzung ist, dass die bestehenden Regelungen im Bereich Datenschutz der Kirche in Einklang mit der DSGVO gebracht werden.

Sowohl die Katholische als auch die Evangelische Kirche in Deutschland verfügten zum Zeitpunkt des Inkrafttretens der DSGVO am 24. Mai 2016 über umfassende Regelungen im Datenschutz. So fanden sich bereits die datenschutzrechtlichen Regelungen der Katholischen Kirche in der Anordnung über den Kirchlichen Datenschutz (KDO), diejenigen der Evangelischen Kirche im Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD). Beide Gesetze im Datenschutz der Kirche wurden vor der Anwendbarkeit der Datenschutz-Grundverordnung am 25. Mai 2018 umfassend überarbeitet, um in Einklang mit den Regelungen der DSGVO gebracht zu werden. Durch die Überarbeitungen der kirchlichen Datenschutzgesetze findet ein großer Teil der Vorgaben der DSGVO in ähnlicher Weise Anwendung auf kirchliche Einrichtungen.

Durch jahrelange Erfahrung im Bereich Datenschutz der Kirche, insbesondere durch die Stellung von externen Betriebsbeauftragten für den Datenschutz, kennen wir die Besonderheiten der unterschiedlichen gesetzlichen Anforderungen, mit denen die katholischen (Erz-)Bistümer und die evangelischen Landeskirchen sowie deren Dekanate konfrontiert werden. In der Funktion des externen Betriebsbeauftragen für den Datenschutz haben wir Einrichtungen aus dem Bereich Kirche und Diakonie in der Übergangszeit von der Anordnung über den kirchlichen Datenschutz und dem alten EKD-Datenschutzgesetz zum neuen Datenschutzrecht der Kirchen, KDG und DSG-EKD, begleitet. Dabei beraten wir Sie stets unter Berücksichtigung der Besonderheiten Ihrer kirchlichen Einrichtung. Die datenschutzrechtlichen Vorgaben spielen eine elementare Rolle beim Umgang mit allen Arten personenbezogener Daten. Uns ist jedoch bewusst, dass die Beachtung der einschlägigen Vorgaben im Datenschutz für Sie zwar durchaus wichtig ist, der Schwerpunkt Ihrer Tätigkeiten aber in anderen Bereichen liegt.

Gemeinsam mit unseren kirchlichen Datenschutz-Experten gelingt die Verarbeitung personenbezogener Daten in Übereinstimmung mit den Datenschutzbestimmungen der jeweiligen Kirche sowie weiteren relevanten Normen des Datenschutzes. In der Datenschutzberatung behalten wir die eigentlichen Aufgaben Ihrer Einrichtung stets im Blick.

Bis zum 24. Mai 2018 war das Datenschutzrecht der Katholischen Kirche in Deutschland in der Anordnung über den Kirchlichen Datenschutz (KDO) geregelt. Seit dem 24. Mai 2018 finden sich die maßgeblichen Vorschriften zum Datenschutz im Gesetz über den Kirchlichen Datenschutz (KDG). Für die Ordensgemeinschaft päpstlichen Rechts finden sich entsprechende Regelungen in der kirchlichen Datenschutzregelung der Ordensgemeinschaft päpstlichen Rechts (KDR-OG). Das Gesetz enthält umfangreiche Regelungen dazu, unter welchen Voraussetzungen die Verarbeitung personenbezogener Daten zulässig ist. Zudem sieht das Gesetz vor, dass bestimmte kirchliche Stellen einen betrieblichen Datenschutzbeauftragten benennen müssen und, dass ein Mindestmaß datenschutzrechtlicher Dokumentationen zu erstellen ist. Das gilt beispielsweise für das Verzeichnis von Verarbeitungstätigkeiten und in bestimmten Fällen auch für die Durchführung von Datenschutz-Folgenabschätzungen.

Weitere zur Durchführung des KDG erforderliche Regelungen finden sich in der Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO). In der KDG-DVO finden sich konkretisierende Regelungen insbesondere zu Themen wie dem Verzeichnis von Verarbeitungstätigkeiten, der Verpflichtung von Mitarbeitern und weiteren Personen auf das Datengeheimnis oder den technischen und organisatorischen Maßnahmen, die zum Schutz von personenbezogenen Daten zu treffen sind. Die Einhaltung der Vorschriften des Gesetzes über den Datenschutz der Kirche wird von insgesamt fünf unabhängigen Datenschutzaufsichtsbehörden überwacht. Für Streitigkeiten in datenschutzrechtlichen Angelegenheiten wurde außerdem eine eigene Gerichtsbarkeit geschaffen. Die relevanten Vorschriften zur kirchlichen Gerichtsbarkeit in Datenschutzangelegenheiten finden sich in der Kirchlichen Datenschutzgerichtsordnung (KDSGO).

Die maßgeblichen Regelungen zum Datenschutz in der Evangelischen Kirche in Deutschland finden sich im Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) vom 15. November 2017. Das am 24. Mai 2018 in Kraft getretene DSG-EKD regelt maßgeblich, unter welchen Voraussetzungen die Verarbeitung personenbezogener Daten zulässig ist. Ergänzt wird das DSG-EKD durch weitere Durchführungsgesetze und -verordnungen der einzelnen Landeskirchen, die weitere Regelungen zum Umgang mit personenbezogenen Daten enthalten. In der IT-Sicherheitsverordnung (ITSVO-EKD) finden sich zudem Regelungen zur IT-Sicherheit und zum Einsatz von IT, die auch beim Umgang mit personenbezogenen Daten zu beachten sind. Mit Hilfe der ITSVO-EKD soll sichergestellt werden, dass die mit Informationstechnik erhobenen oder verarbeiteten Daten insbesondere vor unberechtigtem Zugriff, vor unerlaubten Änderungen und vor der Gefahr des Verlustes geschützt werden.

Über die Einhaltung der datenschutzrechtlichen Vorgaben wachen unabhängige Aufsichtsbehörden, die jeweils von den Gliedkirchen und den gliedkirchlichen Zusammenschlüssen für ihren Bereich errichtet werden. Kirchliche Stellen, bei denen in der Regel mindestens zehn Personen ständig mit der Verarbeitung personenbezogener Daten betraut sind, oder deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) besteht, haben zudem einen örtlich Beauftragten für den Datenschutz zu bestellen.