Berührungspunkte zwischen DSGVO und KDG

Bereits einen Tag vor dem 25. Mai 2018 trat für die Diözesen Deutschlands ein neues Datenschutzgesetz in Kraft: das Gesetz über den Kirchlichen Datenschutz, kurz KDG.

Warum ein Spezialgesetz?

Art. 91 Abs. 1 Datenschutz-Grundverordnung (DSGVO) räumt Kirchen und religiösen Vereinigungen das Recht ein, eigene Regeln anzuwenden.

Voraussetzung: Es existieren zum Zeitpunkt des Inkrafttretens der DSGVO umfassende Regeln zum Schutz natürlicher Personen bei der Verarbeitung, und diese Regeln wurden mit der DSGVO in Einklang gebracht.

Die katholische Kirche in Deutschland hat aufgrund dessen ihre bestehende Verordnung angepasst und zum 24. Mai 2018 in Kraft gesetzt.

Dieses Gesetz sowie alle Gesetze von anderen Kirchen, religiösen Vereinigungen und Gemeinschaften, die sich aus Art. 91 DSGVO ergeben, sind autonome Gesetze. Sie fügen sich daher nicht in die Hierarchie von Europa, Bund und Ländern ein.

Neben der katholischen Kirche haben u.a. auch die evangelische Kirche und die Ordensgemeinschaft päpstlichen Rechts dieses Recht in Anspruch genommen.

Kurzer geschichtlicher Exkurs

Aber warum räumt die DSGVO den Kirchen eigentlich das Recht ein, eigene Regeln zu verfassen und sie dann auch noch unabhängig von der DSGVO anzuwenden?

Das Ganze ist begründet im „kirchlichen Selbstbestimmungsrecht“ bzw. in der „Kirchenfreiheit“. Sie findet sich erstmals in einem Satz der Paulskirchenverfassung aus dem Jahr 1849.

Viele der darauffolgenden Verfassungen enthalten ebenfalls diesen Satz so oder so ähnlich. Zuletzt Artikel 137 der Weimarer Verfassung von 1919, der heute in Artikel 140 des Grundgesetzes zum geltenden Recht gehört.

Die Geschichte des Datenschutzes in der katholischen Kirche beginnt mit dem Beichtgeheimnis, das seit 1215 Bestandteil des Kirchenrechts ist.

Kurz nachdem in Deutschland in den 1970er-Jahren das erste Bundesdatenschutzgesetz in Kraft trat, verabschiedete auch die katholische Kirche die Anordnung über den kirchlichen Datenschutz, kurz KDO.

Die KDO wurde in regelmäßigen Abständen angepasst, wenn sich im Bereich der staatlichen Regelungen etwas veränderte. Schließlich wurde dann 2017 aus der „Anordnung“ das „Gesetz“, das sich an der DSGVO orientiert.

Die Kirche hat somit immer dafür gesorgt, dass das geltende Recht auch in ihrem Bereich zur Anwendung kommt.

Unterschiede und Überschneidungen DSGVO – KDG

Wo unterschieden sich nun DSGVO und KDG? Gibt es auch Überschneidungen?

Viele Inhalte sind gleich

Grundlegend besagt Art. 91 DSGVO, dass bestehende Regelungen mit der DSGVO in Einklang zu bringen sind. Daher ist der allgemeine Spielraum eher begrenzt.

Legt man die Gesetzestexte nebeneinander, fällt auf, dass das KDG viele Inhalte wortgleich übernommen hat. Einige Abschnitte unterscheiden sich in Umfang und Wortwahl.

Das ist auf den unterschiedlichen Anwendungsbereich zurückzuführen und macht in der Praxis keinen allzu großen Unterschied.

Übergangsbestimmungen

Da der Beschluss zum KDG erst verhältnismäßig spät erlassen wurde, nämlich gut eineinhalb Jahre nachdem die DSGVO verabschiedet wurde, enthält das KDG Übergangsbestimmungen.

Zum einen hatten die betroffenen Einrichtungen bis Ende 2018 Zeit, bestehende Verträge zur Auftragsverarbeitung anzupassen. Und erst zum Ende des zweiten Quartals 2019 musste ein Verzeichnis von Verarbeitungstätigkeiten vorliegen.

Aufsichtsbehörden

Wer seine Rechte vor einer Aufsichtsbehörde geltend machen möchte, kann sich im kirchlichen Bereich an eine von fünf Aufsichtsbehörden, sogenannte katholische Datenschutzzentren, wenden.

Sie sind über ganz Deutschland verteilt und richten sich nach den Grenzen der Diözesen.

Datengeheimnis

Anders als in der DSGVO hat das Datengeheimnis im KDG einen eigenen Absatz. Die Verpflichtung ist in schriftlicher Form vorzunehmen. Auch Einwilligungen sind in Schriftform abzugeben. Diese Hinweise allein auf die Schriftform finden sich weder in der DSGVO noch im BDSG.

Alles in allem sind die Unterschiede überschaubar. In der Praxis sollte man sich trotzdem der Tatsache bewusst sein, dass kirchliche Einrichtungen unter einem anderen Datenschutzgesetz stehen.

Das ist v.a. dann wichtig, wenn weltliche Stellen mit kirchlichen zusammenarbeiten, etwa bei der Auftragsverarbeitung.

Was ist für die Praxis wichtig?

Den größten Einfluss haben diese Unterschiede auf den Austausch von Dienstleistungen. Das gilt unabhängig davon, ob die kirchliche Stelle Auftragnehmer oder Auftraggeber ist.

Auftragsverarbeitung

Das Stichwort hierbei ist die Auftragsverarbeitung. Viele Produktionen und Dienstleistungen, die über Maßnahmen zur Teilhabe am Arbeitsleben unterstützt werden und in denen Menschen mit Einschränkungen arbeiten, befinden sich in kirchlicher Hand.

Bei einer Zusammenarbeit müssen die Verträge immer sowohl die DSGVO als auch das KDG berücksichtigen. Klassische Beispiele hierfür sind der Versand von personalisierten Grußkarten oder die Aktenvernichtung.

WICHTIG: Erbringt ein Unternehmen Dienstleistungen für kirchliche Einrichtungen, z.B. IT-Leistungen oder die Personal- bzw. Buchhaltung, wird der Vertrag zur Auftragsdatenverarbeitung einen Passus enthalten, der den Auftragnehmer dazu anhält, die von ihm eingesetzten Mitarbeiter auf das Datengeheimnis zu verpflichten. Denn so fordert es das KDG.

Datenschutzbeauftragter

Wer in einer kirchlichen Einrichtung Datenschutzbeauftragter werden möchte, muss einen separaten Fachkundenachweis ablegen.

Denn da das KDG ein autonomes Gesetz ist, ist die DSGVO-Fachkunde nur ein Teil des nötigen Wissens.

Kirchenblätter

Nicht nur im Arbeitsalltag kann es Berührungspunkte geben, sondern auch im privaten Umfeld. Das gilt z.B. für Veröffentlichungen im Kirchenblatt bei der Erstkommunion, bei Eheschließungen und Taufen.

Wer in der Heimatgemeinde aktiv ist, wird vielleicht mitbekommen haben, dass sich dort etwas in Sachen Datenschutz getan hat.

Mindestens einmal jährlich veröffentlichen die Kirchblätter eine Widerspruchserklärung. Sie weist die Bürger darauf hin, dass sie den oben genannten Veröffentlichungen und Bekanntgaben zu Jubiläen jederzeit widersprechen können.

Diesen Widerspruch müssen sie schriftlich oder in sonstiger geeigneter Form bei der zuständigen Pfarrei oder bei der Meldestelle des Bistums einreichen.

Für Veröffentlichungen, die außerhalb der kircheneigenen Medien stattfinden sollen, müssen die Gemeinden, Diözesen etc. die Einwilligungserklärungen bei den betroffenen Personen einholen.