Daten über religiöse Überzeugungen gehören zu den besonderen Kategorien personenbezogener Daten. Im kirchlichen Datenschutz gibt es eine Ausnahme: Die **bloße Zugehörigkeit** zu einer Religionsgemeinschaft nehmen KDG wie DSG-EKD explizit aus – damit werden diese Daten wie normale personenbezogene Daten behandelt. Foto von Joshua Albritton auf Unsplash Was aber genau sind Daten über die Zugehörigkeit? Neben ganz eindeutigen Fällen gibt es auch Grenzfälle, bei denen es Auslegung braucht, um zu einem Ergebnis zu kommen – der wohl relevanteste Fall ist die Information über einen Kirchenaustritt. **Inhalte** Verbergen 1 Die Ausnahmen im Wortlaut und im Vergleich zur DSGVO 2 Auslegung der Ausnahmen 2.1 Zugehörigkeit ist nicht nur Mitgliedschaft 2.2 Sonderfall »keine Zugehörigkeit« 2.3 Frühere Zugehörigkeiten und Kirchenaustritt 2.4 Taufe und Mitgliedschaft parallel verarbeiten 3 Fazit ## Die Ausnahmen im Wortlaut und im Vergleich zur DSGVO Art. 9 Abs. 1 DSGVO zählt »personenbezogene Daten, aus denen […] religiöse oder weltanschauliche Überzeugungen […] hervorgehen«, zu den besonderen Kategorien. Das Verb »hervorgehen« weitet die Aufzählung der besonderen Kategorien dahingehend, dass bereits die (potentielle) Ableitbarkeit der genannten Sachverhalte dazu führt, dass besondere Kategorien vorliegen; im Urteil zum Fall Lindenapotheke sprach der EuGH davon, dass es schon genüge, wenn (hier bei Gesundheitsdaten) »mittels gedanklicher Kombination oder Ableitung« auf den Gesundheitszustand geschlossen werden kann. Mithin gehört nach der DSGVO wohl auch die Zugehörigkeit zu einer Religionsgemeinschaft zu den besonderen Kategorien, auch wenn sie nicht unmittelbar eine Überzeugung ausdrückt. Die grundsätzliche Formulierung aus Art. 9 DSGVO findet sich im Kern wortgleich, wenn auch an anderer Stelle, in den Begriffsbestimmungen von KDG und DSG-EKD: § 4 Nr. 2 KDG zählt wie § 4 Nr. 2 lit. a) DSG-EKD Daten, aus denen »religiöse oder weltanschauliche Überzeugungen« hervorgehen, auf. Die Ausnahme wird in den beiden Gesetzen unterschiedlich formuliert: * **KDG:** »Die Zugehörigkeit zu einer Kirche oder Religionsgemeinschaft ist keine besondere Kategorie personenbezogener Daten.« * **DSG-EKD:** »[…] ausgenommen Angaben über die Zugehörigkeit zu einer Kirche oder einer Religions- oder Weltanschauungsgemeinschaft« Diese Ausnahmen sind für die Zugehörigkeit weiter als die Privilegierung religiöser Organisationen in Art. 9 Abs. 2 lit. d) DSGVO. (Zur grundsätzlichen Kritik dieser misslungenen Norm vgl. Wagners Spaziergangstation.) Religiös ausgerichtete Organisationen dürfen nach dieser Norm die sensiblen Daten von aktuellen oder ehemaligen Mitgliedern und Personen, mit denen sie aus religiösen Gründen regelmäßig in Kontakt sind, ähnlich wie normale Daten verarbeiten, solange das ohne Gewinnerzielungsabsicht erfolgt. Eine Offenlegung nach außen ist nur mit Einwilligung zulässig. Die Ausnahmen im kirchlichen Datenschutzrecht zur Zugehörigkeit gelten dagegen für alle Personen, nicht nur die genannten Gruppen, auch da, wo Gewinne erzielt werden sollen, und auch da, wo eine Offenlegung nach außen stattfinden soll, die dann auf andere Rechtsgrundlagen als die Einwilligung gestützt werden kann. (Den häufigsten Fall dürften die Angehörigen von Mitgliedern darstellen, die selbst kein Mitglied sind – nach DSGVO fallen Daten über deren Zugehörigkeit bei der Verarbeitung durch Religionsgemeinschaften grundsätzlich nicht unter die Privilegierung, nach KDG und DSG-EKD stellen sie keine besonderen Kategorien dar.) ## Auslegung der Ausnahmen Im Regelungsgehalt unterscheiden sich die beiden Gesetze zum einen dadurch, dass das evangelische Gesetz auch die Zugehörigkeit zu Weltanschauungsgemeinschaften in die Ausnahme aufnimmt. Zum anderen nennt das KDG »die Zugehörigkeit«, während das DSG-EKD von »Angaben über die Zugehörigkeit« spricht. Gemeinsam ist den beiden Ausnahmen, dass es erstens um die _Zugehörigkeit_ geht und zweitens um eine _beliebige Gemeinschaft_ (katholisch: außer Weltanschauungsgemeinschaften), nicht die jeweils eigene. ### Zugehörigkeit ist nicht nur Mitgliedschaft Es fällt auf, dass von »Zugehörigkeit« die Rede ist, nicht von »Mitgliedschaft«. Das ist ein Unterschied: Während »Mitgliedschaft« wohl körperschaftlich verstanden werden müsste (eine aus der Kirche ausgetretene Person ist also kein Mitglied mehr, so auch explizit das EKD-Kirchenmitgliedschaftsgesetz), ist »Zugehörigkeit« offener und hat mindestens zwei Dimensionen, die nicht eineindeutig aufeinander abbildbar sind: Mitgliedschaft und Taufe. (Darüber hinaus wäre auch das Katechumenat, der Status als Taufbewerber*in, möglicherweise eine Form der Zugehörigkeit.) Wer getauft ist, ist zwar (insbesondere nach einem Kirchenaustritt) nicht notwendig Kirchen _mitglied_ , wohl aber (als Kirchen _glied_) der Kirche zugehörig. Nach dem katholischen Verständnis (»semel catholicus*a, semper catholicus*a«) geht diese Zugehörigkeit so weit, dass Personen, die einmal durch Taufe oder Aufnahme katholisch geworden sind, weiterhin und unverlierbar Rechtssubjekte des kanonischen Rechts sind, anders als Ungetaufte oder nie katholisch gewordene Getaufte. Ökumenisch hält die Magdeburger Erklärung fest, dass die Taufe die Zugehörigkeit zum Volk Gottes dauerhaft konstituiert: »Wer dieses Sakrament empfängt und im Glauben Gottes Liebe bejaht, wird mit Christus und zugleich mit seinem Volk aller Zeiten und Orte vereint. [… Die] Taufe ist einmalig und unwiederholbar.« »Zugehörigkeit« erstreckt sich damit sowohl auf die Tatsache der gegenwärtigen Kirchenmitgliedschaft wie auf die Tatsache der erfolgten und damit unverlierbaren Taufe. Realistisch betrachtet standen derartige theologische Überlegungen nicht im Fokus der Gesetzgebung. Weder die mir vorliegende unveröffentlichte Begründung zum KDG 2018 noch die veröffentlichte Begründung zum DSG-EKD 2018 machen sich die Mühe, den beabsichtigten Gehalt von »Zugehörigkeit« in irgendeiner Weise zu erläutern. Bei den jeweiligen Reformen wurde hier nichts verändert und daher war auch nichts neu zu begründen. Kirchenrecht muss aber im Lichte des theologischen Selbstverständnisses der jeweiligen Kirche ausgelegt werden, nicht allein am (staatskirchenrechtlichen) weltlichen Begriffsverständnis. Auch in der Kommentarliteratur fehlt es an derartigen Überlegungen. Herrlein in Sydow: Kirchliches Datenschutzrecht, § 4 KDG, Rn. 10 nennt nur »den häufig genutzten Vermerk ›rk‹« als eindeutig von der Ausnahme erfasstes Beispiel. Eibach in Wagner: DSG-EKD, § 4, Rn. 23 nennt ebenfalls den Vermerk für die Lohnbuchhaltung, in Rn. 25 spricht er von »formale Aussage der Mitgliedschaft« in Abgrenzung zu innerer religiöser Haltung oder äußerer Betätigung des freien Glaubens. ### Sonderfall »keine Zugehörigkeit« Die Information, dass es gegenwärtig keine Zugehörigkeit gibt, dürfte von der Ausnahme erfasst sein. Recht deutlich ist das in der Formulierung des DSG-EKD: Da jegliche »Angaben« über die Zugehörigkeit ausgenommen sind, ist es auch die Angabe, dass eine Zugehörigkeit nicht besteht. Die Formulierung des KDG könnte man besonders eng am Wortlaut auch so auslegen, dass die Angabe, dass keine Zugehörigkeit besteht, nicht erfasst wäre. Plausibler ist aber, dass auch hier die Nichtzugehörigkeit unter die Ausnahme fällt – schließlich ist »keiner« eine semantisch schlüssige Antwort auf die Frage »Welcher Religionsgemeinschaft gehören Sie an?«, ebenso wie die Antwort »Nein« auf die Frage »Sind Sie getauft?«. Somit wäre die Nichtzugehörigkeit auch bei enger Auslegung noch erfasst. ### Frühere Zugehörigkeiten und Kirchenaustritt Sicher ist, dass gegenwärtige Zugehörigkeiten erfasst sind. Fraglich ist, ob auch frühere Zugehörigkeiten unter die Ausnahme fallen – am heikelsten ist die Frage, ob Angaben über einen Kirchenaustritt erfasst sind oder nicht. In der Kommentarliteratur thematisieren sowohl Herrlein für das KDG wie Eibach für das DSG-EKD den Kirchenaustritt, allerdings mit dem Fokus auf der Veröffentlichung oder Bekanntmachung von Kirchenaustritten. Eibachs Unterscheidung zwischen »formaler Aussage der Mitgliedschaft« und »äußerer Betätigung« deutet an, dass es bei der Zugehörigkeit um statische Aussagen und nicht um Verläufe geht, wie sie ein Austritt oder eine Konversion als äußere Betätigung, zumindest aber als Handlung, darstellen. Herrlein bezeichnet es als »zumindest fraglich«, ob Informationen über einen Kirchenaustritt unter die Ausnahme fallen; es seien aber Verarbeitungskontexte denkbar, in denen der Kirchenaustritt ausnahmsweise kein sensibles Datum sei. Beispiele dafür nennt sie nicht. Beide Kommentierenden sprechen sich für eine restriktive Auslegung der Ausnahme aus. Der allgemeine Grundsatz, dass Ausnahmen eng auszulegen sind, ist im katholischen Kirchenrecht ausdrücklich in c. 18 CIC vorgegeben: »Gesetze, die […] eine Ausnahme vom Gesetz enthalten, unterliegen enger Auslegung«. Das spricht dafür, dass die Ausnahme der Zugehörigkeit ebenfalls eng auszulegen ist – im Ergebnis wohl so, dass sie tatsächlich nur auf die _gegenwärtige_ Zugehörigkeit (oder Nicht-Zugehörigkeit; das ist weniger als die Aussage »ausgetreten«) abhebt. Allenfalls im evangelischen Recht könnte man die im Plural gefasste Formulierung »Angaben über« als in die Zeit öffnend verstehen und so auch vorherige Zugehörigkeiten und Daten, die über den bloßen »Zugehörigkeitszustand« hinausgehen, erfasst sehen. Zumindest im katholischen Datenschutzrecht dürfte die Information, dass eine Person aus der Kirche ausgetreten ist, ebenso wie andere ehemalige Zugehörigkeiten zu Kirchen oder Religionsgemeinschaften nicht unter die Ausnahme fallen. Aber auch im evangelischen Recht lässt sich trotz der »Angaben« argumentieren, dass eine restriktive Auslegung zum selben Ergebnis kommen muss. Sicher ist das allerdings nicht, weder im katholischen noch im evangelischen Recht – Rechtsprechung scheint es zu diesen Fragen noch nicht zu geben, ebenso haben sich die kirchlichen Aufsichten dazu noch nicht öffentlich geäußert. (Der Vollständigkeit halber: Eine Gegenposition ließe sich begründen, indem man »ausgetreten« als eine besondere Art der Zugehörigkeit versteht und damit als von der Ausnahme erfasst.) ### Taufe und Mitgliedschaft parallel verarbeiten Wenn die beiden nicht notwendig gleichzeitig auftretenden Aspekte der Zugehörigkeit (Taufe und Mitgliedschaft) nebeneinander verarbeitet werden, entsteht eine weitere Komplikation. Die Kombination aus »keine Mitgliedschaft« und »getauft« legt einen Austritt (aus welcher Gemeinschaft auch immer) nahe, wenn er auch nicht zwingend daraus folgt – und nach den Lindenapotheke-Kriterien der Auslegung von »hervorgehen« wäre vertretbar, dass der Wahrscheinlichkeitsschluss die Sensibilität begründet. Denkbar wäre daher, dass bei einer gleichzeitigen Verarbeitung die Ausnahme nicht mehr greifen kann. Fälle, in denen die gemeinsame Verarbeitung erforderlich ist und nicht lediglich eine der beiden Informationen genügt, dürfte es abseits von Taufbüchern und Mitgliederverwaltung (für die es eine gesetzliche Basis gibt) nur sehr wenige geben. ## Fazit Die Ausnahme zur Zugehörigkeit ist komplexer, als sie auf den ersten Blick scheint. Für eine größere Rechtssicherheit sollte man in der Praxis daher nur von ihr Gebrauch machen, wenn es sich um Angaben zur gegenwärtigen Zugehörigkeit oder Nichtzugehörigkeit handelt – aber wiederum nur, wenn es entweder um Mitgliedschaft oder Taufe geht, nicht um beides zugleich. Sobald eine Angabe über bloße gegenwärtige Zugehörigkeit oder Nichtzugehörigkeit hinausgeht, und erst recht, wenn die eingriffsintensive Information über einen Kirchenaustritt verarbeitet werden soll, sollte man auf Nummer sicher gehen und von sensiblen Daten ausgehen. Dort, wo Kirchenaustritte üblicherweise relevant werden, nämlich im Arbeitsrecht und im Recht der Seelsorge oder des Heiligungsdienstes, gibt es ohnehin in der Regel eine gesetzliche Grundlage, die die Verarbeitung erlaubt. **Klarheit können die kirchlichen Gesetzgeber schaffen,** indem sie »Zugehörigkeit« entweder definieren oder eine eindeutige Formulierung verwenden, aus der eindeutig hervorgeht, ob es um Mitgliedschaft oder Kirchengliedschaft geht. Perspektivisch sollte man auch kritisch überlegen, ob die Ausnahme für Zugehörigkeit überhaupt erforderlich ist: Kommt sie wirklich in Fällen zum Tragen, die nicht ohnehin durch die anderen Erlaubnistatbestände aus § 11 Abs. 2 KDG und § 13 Abs. 2 DSG-EKD abgedeckt sind? Beide kirchlichen Gesetze führen in diesem Katalog die Ausnahme aus Art. 9 Abs. 2 lit. d) DSGVO zur Verarbeitung besonderer Kategorien unter anderem durch Religionsgemeinschaften auf (das KDG unter lit. d), das DSG-EKD unter Nr. 4). * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Details zur Dortmunder Interimsleitung 1.2 Databroker Files: Religiöse Orte orten 1.3 COMECE zum Löschen im Taufbuch 1.4 Caritas-Cyber-Vorfall 1.5 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Details zur Dortmunder Interimsleitung Über einen Monat hat die Antwort auf die Anfrage zur Interimsleitung des KDSZ Dortmund gedauert. Der ehemalige Diözesandatenschutzbeauftragte Steffen Pau wurde am 1. September durch Burkhard Kämper als Interimsleitung abgelöst. Kämper ist Justiziar und stellvertretender Leiter des Katholischen Büros in Düsseldorf. Die Interimsleitung gilt bis zur Amtsaufnahme Jennifer Eschs als neue Diözesandatenschutzbeauftragte für die NRW-Bistümer am 1. Februar 2027. Eigentlich sieht § 43 Abs. 1 KDG vor, dass der Diözesandatenschutzbeauftragte bis zum Amtsantritt der Nachfolge im Amt bleibt. Der stellvertretende Leiter des KDSZ Dortmund teilte nun mit, dass der Verwaltungsrat »für die Zeit bis zum Dienstantritt der bereits bestimmten Nachfolgerin eine Interimsleitung geregelt« habe. Die Bestellung Kämpers erfolge dabei »in entsprechender Anwendung« von § 43 Abs. 6 KDG. Danach kann der Diözesanbischof eine übergangsweise Leitung bestimmen, wenn der Amtsinhaber dauerhaft verhindert ist, sein Amtsverhältnis vorzeitig endet oder er nicht zur Weiterführung der Geschäfte verpflichtet ist. »Keiner der in § 43 Abs. 3 KDG geregelten Fälle lag unmittelbar vor«, schreibt der stellvertretende Leiter, und später noch einmal explizit: »Seine [Paus] Bestellung wurde weder gemäß § 43 Abs. 3 Satz 1 KDG widerrufen, noch hat er eine Rücknahme seiner Bestellung gemäß Satz 2 beantragt.« Zur Frage, ob Pau sein Amt in den letzten Tagen seiner Amtszeit nicht mehr ausgeübt hat, äußerte sich die Aufsicht nicht. Ebenfalls mitgeteilt wurde, dass Kämper seine Aufgaben im Katholischen Büro während der Übergangszeit weiterhin wahrnimmt. Er ist damit zugleich Diözesandatenschutzbeauftragter und stellvertretender Leiter einer durch das KDSZ Dortmund beaufsichtigten Einrichtung. ### Databroker Files: Religiöse Orte orten Aus frei verkäuflichen Handy-Standortdaten der Werbe-Industrie lassen sich detaillierte Bewegungsprofile von Menschen herausdestillieren. Das zeigen Ingo Dachwitz und Sebastian Meineck bei netzpolitik.org im Rahmen ihrer umfangreichen Databroker-Files-Recherche zu religiösen Orten: Menschen, die regelmäßig Kirchen, Moscheen oder Synagogen besuchen, sind in den Daten identifizierbar. Aus Werbedaten gehen damit sensible Daten im Sinne von Art. 9 DSGVO hervor. Gegenüber netzpolitik.org äußert sich der Pressesprecher der Deutschen Bischofskonferenz, Matthias Kopp: »Der Missbrauch eines derartigen höchstpersönlichen Datums birgt ein erhöhtes Gefahrenpotenzial für die betroffene Person: Die Gefahr von Diskriminierung, Erpressung und tiefgreifender Verletzung des inneren, identitätsstiftenden Fundaments des Menschen.« Auch der BDKJ wird deutlich: »Nach christlichen Werten und der katholischen Lehre ist klar, dass Technik immer ein für den Menschen hilfreiches Werkzeug sein muss. Geschäftsmodelle, bei denen Menschen zum einfachen Handelsobjekt werden, sind mit der Menschenwürde grundsätzlich nicht vereinbar«, sagte BDKJ-Pressesprecher Christian Toussaint. ### COMECE zum Löschen im Taufbuch Die Schlussanträge von Generalanwältin Laila Medina im Fall Bisdom Gent zum Löschen aus dem Taufbuch haben eine erste kirchenamtliche Reaktion: Die Konferenz der EU-Bischofskonferenzen COMECE hat einige Einwände. Mit dem Plädoyer gegen die Möglichkeit, lediglich Randbemerkungen bei Kirchenaustritt anzubringen, verwerfe Medina Praktiken, die trotz verschiedener religionsverfassungsrechtlicher Systeme einheitlich in den EU-Mitgliedstaaten praktiziert und von Gerichten akzeptiert werden. Der Vorschlag, lediglich Name und Geburtsdatum zu löschen, den Rest aber stehenzulassen, hält die COMECE nicht für praktikabel: Dieser Vorschlag lasse die zentralen Argumente für die Notwendigkeit des Taufbucheintrags außen vor. Das Argument, dass ein Taufbucheintrag seelische Belastung erzeugen könne, wird rundheraus und kühl ohne weitere Ausführungen als »nicht überzeugend« zurückgewiesen – dass die Kirche hier gar nicht darauf eingeht, dass diese Argumente in der Regel von Betroffenen sexualisierter Gewalt in der Kirche vorgebracht werden, verwundert. Noch einmal betont die COMECE, die sich bereits vor den Schlussanträgen ausführlich zum Löschen aus dem Taufbuch geäußert hatte, die Tragweite: > »COMECE is concerned that, if confirmed, the orientation provided by the Opinion may create significant legal uncertainty for ecclesiastical data controllers in every EU Member State. This is particularly serious because such uncertainty would strike at baptismal registers, which are a central pillar of the Church’s internal functioning and organisation, and are vital to enabling it to carry out its mission.« ### Caritas-Cyber-Vorfall Die aktuelle »Caritas in NRW« berichtet über die Ransomware-Attacke auf das Essener Franz-Sales-Haus. Der Bericht zeigt sehr gut, wie aufwendig ein gutes IT-Krisen-Management ist. Eine Erkenntnis von Geschäftsführer Holger Gierth: Analog handlungsfähig bleiben. »Mit dieser Erfahrung im Hintergrund würde ich empfehlen, immer einen Krisenplan auf Papier ausgedruckt abzulegen. Auch ein analoges Faxgerät und ein paar ausrangierte Rechner sind hilfreich«, sagt Gierth. ### In eigener Sache * Im Rahmen des Projekts _Medienkompetenz Connect_ biete ich zwei Fortbildungen an: am 26. November 2026, 10.30–12 Uhr, zu **Bildrechten** , am 9. Dezember 2026, 18.30–20 Uhr, zur **KI -Verordnung**. Die Ausschreibung wird in den nächsten Tagen online gestellt, eine Anmeldung per E-Mail ist schon möglich. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * So argumentieren die EuGH-Schlussanträge zum Löschen im Taufbuch * Auf zum letzten Bericht – Tätigkeitsbericht des KDSZ Dortmund 2025 ## Aus der Welt * Ute Scheub hat in der taz aufgeschrieben, »Was wir alle jetzt gegen die AfD tun können«. Die vierte Idee: Quellen austrocknen – weg von den Plattformen mit den demokratiegefährdenden Algorithmen und den Oligarchen, die sie betreiben. ## Kirchenamtliches * **KDSZ Dortmund:** Veröffentlichung des Jahresberichtes 2025 * **COMECE:** COMECE expresses strong concerns over the EU Court Advocate General’s Opinion on erasure from baptismal registers * **Erzbistum Freiburg:** Verordnung zur Änderung der Ordnung über die Nutzung Künstlicher Intelligenz in der Erzdiözese Freiburg (KI-Nutzungsordnung) * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

So will die Arbeitsgruppe den CIC ändern

EuGH-Generalanwältin Laila Medina hat ihre Schlussanträge im Fall Bisdom Gent vorgelegt. Damit ist eine wichtige Weiche gestellt in der Frage, ob es ein Löschrecht für Taufbucheinträge gibt. Oft folgt der EuGH seinen Generalanwält*innen – aber eben nicht immer. (Bildquelle: Luxofluxo – CC BY-SA 4.0, Link, zugeschnitten; Pressemitteilung EuGH; Montage fxn) Der Blick in die Schlussanträge zeigt eine sorgfältige Abwägung, die die Rechte der Kirche nicht außer Acht lässt – aber ein Freibrief für das Abschmettern jedes Löschbegehrens findet sich dort nicht. Sollte der EuGH wie die Generalanwältin entscheiden, dürften einige knifflige praktische Fragen auf Kirchen zukommen. **Inhalte** Verbergen 1 Die Vorlagefragen 2 Anwendbarkeit der DSGVO 3 Rechtmäßigkeit der Verarbeitung 3.1 Bedingungen für die Rechtmäßigkeit der Verarbeitung 3.2 Interessenabwägung 4 Abwägung des Widerspruchs 5 Aufbewahrung für Archivzwecke 6 Anforderungen an die Löschung 7 Fazit 8 Mehr zum Löschrecht im Taufbuch 8.1 Das Verfahren Bisdom Gent 8.2 Verfahren aus anderen Staaten 8.3 Kirchliche Stellungnahmen ## Die Vorlagefragen Die fünf Vorlagefragen des belgischen Märktegerichtshofs sind größtenteils miteinander verwoben. Medina beantwortet sie daher nicht nacheinander, sondern nach Themen gegliedert. Die langen Fragen lassen sich knapp so zusammenfassen: 1. Ist Art. 17 DSGVO, das Recht auf Vergessenwerden, unter Berücksichtigung der Grundrechte und der Trennung von Kirche und Staat so auszulegen, dass eine als Minderjährige getaufte Person, die sich nach Eintritt der Volljährigkeit von der römisch-katholischen Kirche distanzieren möchte, ein Recht auf Löschung ihrer personenbezogenen Daten aus dem Taufregister hat? 2. Ist es bei der Bewertung eines Widerspruchs nach Art. 17 Abs. 1 lit. c) DSGVO relevant, dass die Kirche sagt, dass die Eintragung ins Taufbuch etwas mit den Grundrechten der Kirche zu tun hat? 3. Ist es relevant, dass das Taufbuch nicht digital, sondern tatsächlich als physisches Buch geführt wird und Eintragungen auf beiden Seiten des Blattes sind? 4. Ist es relevant, dass das Taufbuch ein historisches Artefakt ist und eine einzigartige Wiedergabe historischer Fakten ist, sodass die Ausnahme von der Löschpflicht aufgrund von Archiv- oder Forschungszwecken greift? 5. Falls ein Recht auf Löschung besteht und keine Ausnahmen greifen: Genügt dann ein Randvermerk zum Kirchenaustritt, um das Recht zu erfüllen? ## Anwendbarkeit der DSGVO Im ersten Schritt prüft Medina, ob die DSGVO überhaupt zur Anwendung kommt. In die Antwort ließe sich auf mehreren Ebenen einsteigen. Auf der obersten Ebene damit, ob die DSGVO überhaupt für Kirchen in ihrem religiösen Handeln zur Anwendung kommt, hat die EU doch keine Gesetzgebungskompetenz für Religionsverfassungsrecht. Medina wählt als Einstiegspunkt aber nicht die Frage, ob die DSGVO überhaupt gilt, sondern ob der Anwendungsbereich der DSGVO eröffnet ist. Für sie steht fest, dass es sich bei Taufbucheinträgen um personenbezogene Daten handelt und dass es sich beim Taufbuch trotz seiner analogen Form um ein Dateisystem im Sinne der DSGVO handelt. Ausschlaggebend für den Dateisystemcharakter ist für sie, dass die Sortierung auf der Makroebene geographisch ist (ein Taufbuch pro Pfarrei) und auf der Mikroebene chronologisch (Taufen werden nacheinander eingetragen). Die Reihenfolge der Argumentation zeigt schon, wie die übergeordnete Frage nach der Geltung der DSGVO für das religiöse Handeln von Religionsgemeinschaften behandelt wird. Die Generalanwältin führt Art. 17 AEUV an, aus dem sich die Grundsätze der Kirchenautonomie und der Neutralität gegenüber Religionsgemeinschaften ableiten lassen. Darin sieht sie aber keinen Grund, keine Regelungskompetenz der EU für Kirchen im Bereich des Datenschutzes anzunehmen – schon weil die DSGVO selbst (konkret in Gestalt von Art. 9 Abs. 2 lit. d) und Art. 91 DSGVO) Regelungen zu Kirchen enthalte. Dass beide Regelungen gerade eine Einschränkung der allgemeinen Geltung der DSGVO vornehmen, thematisiert sie nicht. ## Rechtmäßigkeit der Verarbeitung ### Bedingungen für die Rechtmäßigkeit der Verarbeitung Von den sechs Gründen aus Art. 17 Abs. 1 DSGVO, auf die sich eine Löschung stützen lässt, wurden zwei angeführt: die Buchstaben c) (Widerspruch bei Verarbeitung auf Grundlage einer Interessenabwägung) und d) (unrechtmäßig verarbeitete Daten). Medina sieht in den beiden Gründen unterschiedliche Blickrichtungen: Der Löschanspruch bei unrechtmäßig verarbeiteten Daten blicke zurück, weil es darum geht, ob eine Rechtsgrundlage zum Tragen kam. Der Widerspruch blicke vorwärts, weil der Löschanspruch an sich rechtmäßig verarbeiteter Daten aus einer späteren Handlung, dem Widerspruch, erwachse. Dementsprechend wird die Prüfung strukturiert: Erst wird geprüft, ob bis zum Löschbegehren eine Rechtsgrundlage vorlag, im nächsten Schritt, ob ab dem Widerspruch eine Löschpflicht besteht. Für die zurückblickende Prüfung der Rechtsgrundlage sind Art. 5, 6 und 9 DSGVO, die Grundsätze und die Rechtsgrundlage für die Verarbeitung personenbezogener Daten sowie der Umgang mit besonderen Kategorien, im Blick. Dass der Taufbucheintrag **sensible Daten** enthält, ist das geringste Problem: Die Ausnahme in Art. 9 Abs. 2 lit. d) für die Verarbeitung besonderer Kategorien von Mitgliedern und ehemaligen Mitgliedern von Religionsgemeinschaften greift, da alle Bedingungen dafür erfüllt sind. ### Interessenabwägung Anspruchsvoller ist die **Prüfung der Rechtsgrundlage nach Art. 6 DSGVO**. Hier führt das Bistum Gent eine Interessenabwägung, also Art. 6 Abs. 1 lit. f) DSGVO, an. Damit ist der übliche Dreistufentest des berechtigten Interesses vorzunehmen: Es muss ein berechtigtes Interesse vorliegen, die Verarbeitung ist erforderlich, um dieses berechtigte Interesse zu erzielen, und die Rechte und Freiheiten der betroffenen Person dürfen nicht das berechtigte Interesse des Verantwortlichen überwiegen. Das von der Kirche angeführte Interesse, eine rechte Verwaltung der Sakramente zu ermöglichen, erkennt Medina als berechtigt an: »Sacraments are religious rites of the utmost importance for the Roman Catholic Church. Baptism, one of the seven sacraments recognised by that church, is of particular significance. The Code of Canon Law refers to it as ›the gateway to the sacraments‹.« (Rn. 74). Die Prüfung der **Erforderlichkeit** fällt auch grundsätzlich positiv aus: Die Aufbewahrung von Daten über die Taufe von Gläubigen trage direkt zum Ziel der rechten Verwaltung der Sakramente bei, und das Taufbuch ist trotz denkbarer weniger eingriffsintensiver Alternativen eine effektivere Maßnahme mit Blick auf die Mitglieder. Auffällig ist, dass in der Prüfung der Erforderlichkeit ausschließlich auf tatsächliche oder vernünftigerweise zu vermutende Mitglieder abgehoben wird, während die Erforderlichkeit für ehemalige Mitglieder nicht geprüft wird. Der längste und anspruchsvollste Teil ist die eigentliche **Interessenabwägung**. Die Generalanwältin führt zunächst allgemein die diversen Faktoren auf, die relevant sind. Im vorliegenden Fall konkretisiert sie die Faktoren: Es handle sich um Daten eines Ereignisses aus der Kindheit, um sehr private Daten zu Datum und Ort der Geburt, Familienbanden und Glauben, um Daten, die ohne Einwilligung und zunächst ohne Wissen des Kindes erhoben wurden, und um eine Frage, bei der die negative Religionsfreiheit ins Spiel kommt. Solange die Person sich noch als Mitglied versteht, sei das kein Problem. Dass die Daten über die Taufe gespeichert werden, sei vernünftigerweise zu erwarten. Die Tragweite und der Umfang der Verarbeitung seien auch relativ gering, nicht zuletzt dank der fehlenden Öffentlichkeit. Dass jemand als Kind getauft wird, erfolge nicht gegen den Willen der Eltern, und die Aufzeichnung darüber könne auch von der betroffenen Person selbst gewollt sein, wenn sie Sakramente empfangen will, für die die Taufe erforderlich ist. Im Ergebnis sieht Medina eine Interessenabwägung zugunsten der Verarbeitung als vertretbar an. ## Abwägung des Widerspruchs Die Interessenabwägung ist keine schrankenlose Rechtsgrundlage. Ein Widerspruch ist möglich, der aber wiederum kein absolutes Recht darstellt, sondern eine erneute Abwägung erfordert, in der »vorrangige« (im Englischen: »overriding«) berechtigte Gründe für die weitere Speicherung angeführt werden (so Art. 17 Abs. 1 DSGVO); die berechtigten Gründe müssen »zwingende schutzwürdige« (»compelling legitimate grounds«) sein (so Art. 21 Abs. 1 DSGVO). Medina führt mit der Formulierung von Art. 17 DSGVO (»der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft«) ins Feld, dass hier ein Regel-Ausnahme-Verhältnis vorliegt: In der Regel muss auf einen Widerspruch hin gelöscht werden; die Ablehnung ist die Ausnahme. Mit dieser Festlegung ist ihre Position schon vorgespurt: Ein in jedem Fall überwiegendes Interesse der Kirche ist damit nicht mehr mit der DSGVO in Einklang zu bringen. Medina räumt ein, dass es schwierig ist, zwischen Gründen zu unterscheiden, die zwingend sind, und solchen, die es nicht sind. Grundsätzlich geht sie aber davon aus, dass die vom Bistum Gent angeführten Gründe zwingend sein _können_ : > »In the present case, as has already been discussed, the controller argues that the processing of the personal data concerned is necessary in order to ensure the correct administration of sacraments. That is an interest intrinsically linked to the exercise of the _forum externum_ of the freedom of religion and to the need to ensure the operational autonomy of religious communities. Those are rights and interests of great significance in the legal systems of both the European Union and the Member States. Moreover, there is an obvious nexus between the Church’s spiritual mission and the correct administration of sacraments.« (Rn. 114) Der Maßstab, ob die Gründe für die Verweigerung der Löschung tatsächlich zwingend sind, ist für die Generalanwältin, ob der Verlust der Möglichkeit zur Speicherung die Mission der Kirche »kritisch gefährden« (»critically endanger«) würde: »In a case such as the one at hand, that would mean determining whether depriving Bisdom Gent of its capacity to store and retrieve the complainant’s personal data would seriously hinder its spiritual mission.« (Rn. 117) Medina macht es sich sichtlich nicht leicht, zu einer Antwort zu kommen. Sie führt einerseits die zentrale Bedeutung der Taufe und ihrer Auswirkungen an. Die Notwendigkeit macht sie aber vor allem an der Frage einer zu vermeidenden Wiedertaufe fest, und wohl zutreffend stellt sie fest, dass das alles sehr konstruierte Szenarien sind. Auffällig ist, dass die Bedeutung der Taufe für Dritte überhaupt nicht angesprochen wird – dabei ist das gerade der Punkt, an dem das Taufbuch über die betroffene Person hinaus relevant wird. Gerade im Eherecht, aber auch in der Zuschreibung zu Kirchen sui iuris sind das relevante und in der Verwaltung wie vor dem Kirchengericht alltägliche Szenarien. Bei der Interessenabwägung weist die Generalanwältin Positionen zurück, die manchen Interessen einen absoluten Vorrang einräumen; so hatte sich etwa die Kommission zugunsten der Position der Kirche geäußert. Medina sieht aus grundsätzlichen Gründen stets eine Abwägung des Einzelfalls als geboten an und legt ausführlich dar, welche Aspekte relevant sein können. In der Aufzählung macht sie vor allem die Gründe stark, die für einen Löschanspruch sprechen – wohl auch, weil die von den Mitgliedstaaten eingebrachten Argumente durchweg für eine Ablehnung des Widerspruchs plädiert haben. Medina bringt etwa die seelische Belastung an, die Betroffene durch die weitere Speicherung erleiden können: »It is the right of the data subjects to self-determination that is negatively affected by the processing, and not, as the Commission implied, simply their public image or perception.« (Rn. 150) Das gehe so weit, dass das Wissen um die Speicherung traumatisierend sein könne: > »It is thus plausible that, in some cases, it might be important for the data subject, psychologically, to have the certainty that all ties with his or her former religious community have _definitively_ been severed or, put differently, that that community has complied with his or her request to be forgotten.« (Rn. 152) Daraus ergibt sich dann für Medina klar, dass ein Löschrecht grundsätzlich bestehen kann und das entscheidende Gericht eine echte Abwägung vornehmen muss, in der die Gründe für das Löschbegehren und die Tragweite der fortwährenden Speicherung berücksichtigt werden müssen. ## Aufbewahrung für Archivzwecke Die Frage, ob Taufbücher historische Relevanz haben und deshalb komplett für Archivzwecke aufbewahrt werden dürfen, kommt für die Generalanwältin dann zum Tragen, wenn bei einem Widerspruch kein zwingendes Interesse festgestellt wurde, mithin zu löschen wäre. In diesem Fall ist die Prüfung der Archivwürdigkeit der letzte zu durchlaufende Test. Sowohl die Mitgliedstaaten in der mündlichen Verhandlung wie danach die Stellungnahme der COMECE haben das Argument der historischen Bedeutung stark gemacht; das Bistum selbst hat hilfsweise die Ausnahme der Archivzwecke vom Recht auf Vergessenwerden angeführt. Grundsätzlich sieht Medina das auch als möglich an, solange die Anforderungen an Archive aus Art. 89 DSGVO eingehalten werden. Wieder braucht es einen Drei-Stufen-Test: Die Verarbeitung im Archiv muss im öffentlichen Interesse oder für historische Zwecke erfolgen, sie muss erforderlich in dem Sinn sein, dass eine Löschung die Zwecke ernsthaft beeinträchtigen würde, und sie muss adäquate Schutzmaßnahmen vorsehen. Wieder sieht die Generalanwältin eine Einzelfallprüfung durch das entscheidende Gericht als erforderlich an, gibt aber Hinweise. Grundsätzlich hält sie es für denkbar, dass die Aufbewahrung die wenigen europarechtlichen Vorgaben für historische Zwecke erfüllt. Ob die Speicherung des in Streit stehenden Taufbucheintrags erforderlich ist, müsse daran gemessen werden, ob die Löschung eine signifikante Beeinträchtigung für die historische Forschung darstellen würde. Dass es sich bei Taufbüchern um in Gänze zu erhaltende historische Artefakte handelt, wie es das Bistum vorgebracht hatte, überzeugt Medina nicht – schließlich gibt es ja Änderungen durch Ergänzungen, die im Taufbuch vorgenommen werden. Der Grundsatz der Datenminimierung müsse angewandt werden: Es sei zu prüfen, ob es wirklich auf jeden Eintrag ankommt, oder ob historische Forschungszwecke nicht auch durch anonymisierte oder aggregierte Daten erreicht werden können. Dass historische Forschung gerade auch auf konkrete Personen und deren Beziehungen zielen kann, wird hier nicht ausdrücklich gewürdigt, obwohl genealogische Forschung an anderer Stelle durchaus im Blick ist. Zur letzten Stufe des Tests, den Schutzmaßnahmen, führt Medina mögliche Ausgestaltungen aus. Im Ergebnis hält die Generalanwältin es weiterhin als denkbar an, dass die Archivausnahme greifen kann, wenn der Verantwortliche »demonstrates that such processing is carried out for archiving purposes in the public interest, or for historical research purposes which could contribute to the advancement of human knowledge, provided that appropriate safeguards are in place and complied with, and the data minimisation principle is respected«. (Rn. 194) ## Anforderungen an die Löschung Schließlich geht es um die praktische Umsetzung: Genügt möglicherweise schon eine Anmerkung in der Randspalte als Löschsurrogat? (Denn mehr als ein Surrogat kann die Praxis einer Randbemerkung oder einer Streichung, die einen Eintrag nicht unleserlich macht, nicht sein.) Das Bistum Gent hatte so argumentiert. Medina ist nicht überzeugt: Schon der alltägliche Wortsinn von »Löschung« meine eben nicht eine Anmerkung oder eine Berichtigung. Die DSGVO selbst mache durch die Überschrift von Art. 17 klar, was mit »Löschung« gemeint sei, wenn es als »Recht auf Vergessenwerden« bezeichnet wird. Mehr noch: Die Randbemerkung mache die Sache noch schlimmer, weil dadurch statt weniger mehr Daten über die betroffene Person im Taufbuch stünden. In einer vermittelnden Position zeigt Medina Sympathie für den Vorschlag des Klägers, nicht den gesamten Eintrag zu löschen, sondern nur Name und Geburtsdatum des Täuflings: »In my view, what really matters in this type of situation is that the erasure of the personal data should ensure that the person who has been baptised is no longer identified or at least is not easily identifiable.« (Rn. 206) Hier zeigt die Generalanwältin absolute Grenzen auf, die von der kirchlichen Autonomie gesetzt werden: > »[D]ata subjects have no right, be it under the GDPR or any other provision of EU law, to request that the controller treat their baptism as though it had never occurred or is devoid of value. These are doctrinal matters in which, pursuant to Article 17(1) TFEU, the European Union cannot interfere.« (Rn. 207) Das bedeutet aber nicht, dass das mit einem absoluten Schutz vor Löschbegehren korreliert: Zugleich stellt sie nämlich fest, dass nicht jede beliebige Löschung im Taufbuch dazu führen würde, dass die Rechte der Kirche unwiderruflich beeinträchtigt würden. Im Ergebnis ist für Medina mit Blick auf die Vorlagefrage nach der Form der Löschung klar, dass wenn gelöscht werden muss, auch wirklich gelöscht werden muss – Randbemerkungen und Streichungen reichten nicht aus. Und dass die Seiten im Taufbuch beidseitig beschrieben sind, ändere daran auch nichts: Statt Seiten zu zerschneiden und damit die Rückseite gleich mit zu vernichten, könne man ja undurchsichtige manipulationssichere Aufkleber anbringen. ## Fazit Es kommt immer auf den konkreten Einzelfall an. Die Schlussanträge der Generalanwältin spuren daher den belgischen Fall nicht so vor, dass – sollte das Gericht ihnen folgen – schon klar wäre, wie der belgische Märktegerichtshof den Fall entscheiden wird. Es ist auch nach den vorgelegten Kriterien möglich, dass im konkreten Fall kein Löschrecht besteht. Für die Kirche sind die Schlussanträge unbefriedigend ausgefallen, wie die EU-Bischöfe bereits erklärt haben. Angesichts des hohen Guts der Integrität des Taufbuchs, das auch der Vatikan in seiner Stellungnahme deutlich gemacht hat, ist alles außer einem pauschalen Ausschluss des Löschrechts eine Niederlage. Sicher ist für Medina zudem, dass Löschung auch wirklich »löschen« bedeutet, nicht »durchstreichen« oder »kommentieren«. Die Praxis, die es so nicht nur in Belgien gibt, wäre dann nur noch in Fällen tragbar, in denen kein Löschrecht besteht. Ob das Gericht seiner Generalanwältin folgen wird, ist kaum absehbar. Anders als Medina könnte es die einmütigen Stellungnahmen der Streithelfer ebenso wie die umfangreiche Rechtsprechung in EU-Mitgliedstaaten zugunsten der Kirche stärker in Betracht ziehen und mit dem Blick in die Mitgliedstaaten zu dem Schluss kommen, dass für die Position der Kirche auch eine in weiten Teilen Europas geteilte Rechtskultur spricht. Medinas Argumente für eine stets notwendige und grundsätzlich ergebnisoffene Abwägung sind aber auch stark: Dass Grundrechte in praktische Konkordanz zu bringen sind, mithin alle widerstreitenden Grundrechte Wirklichkeit gewinnen, ist ein in vielen europäischen Rechtsordnungen zu findendes Prinzip. Zugleich sind aber auch Argumente in der Abwägung denkbar, die immer zu einem bestimmten Ergebnis führen. Sollte das Gericht der Generalanwältin folgen, ergeben sich für die Kirche praktische Folgefragen: Wird man es bei jedem Löschbegehren auf eine gerichtliche Klärung ankommen lassen? Sympathiepunkte gewinnt man damit nicht. Ist der absolute Schutz der Kirchenbücher in KDG und DSG-EKD dann noch im Einklang mit der DSGVO? Wie gestaltet man die Löschung konkret, und wie viel oder wenig Löschung pro Eintrag ist möglich? ## Mehr zum Löschrecht im Taufbuch ### Das Verfahren Bisdom Gent * Belgische Datenschutzaufsicht sieht Löschrecht für Taufbucheinträge * Löschen von Taufbucheinträgen kommt vor den EuGH * EuGH verhandelt über Löschen aus dem Taufbuch – Bericht über die mündliche Verhandlung ### Verfahren aus anderen Staaten * **Allgemeine Einführung** (Stand August 2022): Kann man Einträge im Taufregister löschen lassen? (Deutschland, Frankreich, Slowenien, Österreich, Spanien) * Irische Datenschutzaufsicht sieht kein Recht auf Löschung im Taufbuch * Französischer Staatsrat verneint Löschrecht für Taufbucheinträge ### Kirchliche Stellungnahmen * Vatikan schaltet sich in Streit um Löschen von Taufbüchern ein * Argumente der EU-Bischöfe gegen Löschrecht im Taufbuch * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Schlussanträge zum Löschen im Taufbuch 1.2 Lebenszeichen von der alt-katholischen Aufsicht 1.3 Satzungsänderung beim KDSZ Dortmund 1.4 Berliner IT-Dienstanweisung 1.5 Aufgedrängte sensible Daten 1.6 Kirchenaustritt digital-ish 1.7 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Schlussanträge zum Löschen im Taufbuch EuGH-Generalanwältin Laila Medina hat ihre Schlussanträge im Fall Bisdom Gent zum Löschrecht bei Taufbucheinträgen vorgelegt (knapper als die Anträge ist die Pressemeldung des EuGH dazu). Kurz zusammengefasst: Die Appelle der Kirche, generell nicht zu löschen, sind verhallt. Medina nimmt die Argumente der Kirche (wie sie unter anderem der Vatikan und die COMECE formuliert haben) zwar auf, besteht aber auf einer Abwägung im jeweiligen Einzelfall. Diese Abwägung müsse den nationalen Gerichten zukommen. Eine erste Auswertung der Schlussanträge habe ich für katholisch.de geschrieben, in der kommenden Woche folgt hier eine tiefer ins Detail gehende. ### Lebenszeichen von der alt-katholischen Aufsicht Die aktuellen Datenschutz-Nachrichten haben den Schwerpunkt »Kirchlicher Datenschutz«. (Ich habe auch einen Beitrag beigesteuert zum Transparenzproblem des kirchlichen Datenschutzes.) Einer der Beiträge stammt von Werner Hülsmann, dem Bistumsdatenschutzbeauftragten der alt-katholischen Kirche. Der Beitrag ist gleich in mehreren Aspekten bemerkenswert: Einmal erfährt man, dass Hülsmann überhaupt noch als Bistumsdatenschutzbeauftragter bestellt ist. 2024 teilte mir ein Sprecher des alt-katholischen Bistums mit, dass er nur für ein Jahr bestellt worden sei. Im Beitrag schreibt er selbst nun, dass er für die vom Gesetz vorgesehenen vollen fünf Jahre, mithin also noch bis 2029, im Amt sei. Zum Zweiten ist der Beitrag die erste öffentliche Äußerung des Bistumsdatenschutzbeauftragten seit 2021, als es eine Stellungnahme zum Brexit gab. Insbesondere wurde noch nie ein Tätigkeitsbericht veröffentlicht, und laut Kirchenleitung waren (zumindest bis 2024) dort auch keine Berichte bekannt. § 44 Abs. 7 KDO legt dagegen klar fest, dass jährlich ein Bericht dem Bischof vorgelegt und der Öffentlichkeit zugänglich gemacht werden muss. In der Sache erfährt man aus dem Beitrag nicht viel: Ein paar Beratungen gab es, Musterformulare wurden entwickelt, und in all den Jahren wurde genau eine Beschwerde bearbeitet. Diese Beschwerde sei zwar umfangreich gewesen, aber nur zusätzliches Mittel in einem Arbeitsrechtsstreit. »Die Tätigkeit der Datenschutzaufsicht des Bistums der Alt-Katholiken in Deutschland ist auf der einen Seite wichtig, aber auf der anderen Seite auch überschaubar«, ist Hülsmanns Fazit. ### Satzungsänderung beim KDSZ Dortmund Die Satzung des KDSZ Dortmund wurde geändert. Mit dem Franz-Josef des Essener Bischofs unter der Satzung am 24. August lagen alle Unterschriften der beteiligten Bistümer vor, damit trat sie an diesem Datum in Kraft. Eine Änderung ist kosmetisch: Einmal wird »der oder die« Diözesandatenschutzbeauftragte in § 4 ergänzt, um inklusiv zu formulieren. Die anderen beiden Änderungen beziehen sich auf das Verhältnis des oder der Diözesandatenschutzbeauftragten zum Verwaltungsrat. In § 5 Abs. 1 werden zwei Sätze ergänzt: > »Gegenüber dem oder der Diözesandatenschutzbeauftragten vertritt der oder die Vorsitzende des Verwaltungsrates bzw. der oder die stellvertretende Vorsitzende des Verwaltungsrates das Datenschutzzentrum; dies gilt auch gegenüber einer übergangsweisen Leitung nach § 43 Abs. 6 KDG. Satz 7 _[das ist der direkt vorher]_ findet bei der dienstvertraglichen Regelung einer Neubestellung zum oder zur Diözesandatenschutzbeauftragten bzw. übergangsweisen Leitung entsprechende Anwendung.« In § 7 Abs. 2 wird die Dienstaufsicht genauer gefasst. Statt den*die Vorsitzende*n des Verwaltungsrats als »Dienstvorgesetzten« zu bezeichnen, heißt es nun, dass er*sie die »Dienstaufsicht nach § 42 Abs. 3 S. 3 KDG« ausübt. Auf den ersten Blick erschließt sich die Änderung nicht; anscheinend war unklar, dass der Vorsitz die Vertretung gegenüber dem DDSB wahrnimmt. In welchen Konstellationen das relevant werden kann, ist ohne nähere Kenntnisse der Arbeitsweise nicht klar. Möglicherweise ist der Übergang vom bisherigen DDSB Steffen Pau auf seinen Interims-Nachfolger nicht ganz rund gelaufen. Die eigentlich einfach zu beantwortende Anfrage, ob eine dauerhafte Verhinderung oder ein vorzeitiges Ende des Amtsverhältnisses der Grund dafür war, dass Pau sein Amt nicht wie im KDG vorgesehen bis zum Februar ausübt, wenn die reguläre Nachfolgerin beginnt, ist seit Wochen bis auf Eingangsbestätigungen unbeantwortet. ### Berliner IT-Dienstanweisung Das Erzbistum Berlin hat eine relativ umfangreiche IT-Dienstanweisung im Amtsblatt veröffentlicht. Vom Datenmanagement bis zum Umgang mit IT-Komponenten (inklusive KI) kann die Dienstanweisung auch außerhalb Berlins als Steinbruch für ähnliche Regelungen dienen. ### Aufgedrängte sensible Daten Das LG Köln hatte im Kontext eines KI-Chatbots über aufgedrängte Daten zu entscheiden, die zu den besonderen Kategorien gehören (Urteil vom 17. September 2026 – 33 O 120/24). Die sensiblen Daten hat das Unternehmen nicht aktiv angefordert, stattdessen wurden sie freiwillig eingegeben. Carlo Piltz ordnet diese Problematik in ihrer Tragweite ein: > »Bewerber teilen im Anschreiben ungefragt eine Schwerbehinderung, eine Erkrankung oder ihre Religionszugehörigkeit mit, der Lebenslauf verrät das ehrenamtliche Engagement in der Kirchengemeinde oder die Gewerkschaftstätigkeit. Kunden schildern im Service-Chat, im Kontaktformular oder per E-Mail ihre gesundheitliche Situation.« Die missliche und extrem extensive Auslegung von Art. 9 DSGVO führt dazu, dass man dieses Problem kaum lösen kann – ein freundlicher Hinweis, doch bitte keine sensiblen Daten zu übermitteln, reiche jedenfalls nicht. Piltz hat aber drei Empfehlungen für die Praxis, die das Problem zumindest lindern können: sensible Inhalte nicht verwerten, technisch vorbeugen statt nur hinweisen und Prognose und Maßnahmen dokumentieren. ### Kirchenaustritt digital-ish Der Kirchenaustritt per Mausklick ist eigentlich in den Teilprojekten des Onlinezugangsgesetzes vorgesehen. Weil aber dieses Teilprojekt in die Zuständigkeit des Landes Nordrhein-Westfalen fällt und NRW den Kirchenaustritt einfach nicht digitalisieren will, müssen Austrittswillige weiterhin zum Standesamt oder zum Amtsgericht. So auch im schleswig-holsteinischen Pinneberg – dort gibt es jetzt aber ein »Virtuelles Bürgerbüro«, bei dem man per Videokonferenz (und nach einer optischen Identifizierung per Ausweis, nicht etwa per eID-Online-Ausweisfunktion) Behördengänge erledigen kann. Unter den möglichen Behördengängen ist auch der Kirchenaustritt. ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * So antwortet die Nordkirche auf ihren Big Brother Award ## Aus der Welt * Im Datenschutz-Berater befassen sich Carlo Piltz und Ilia Kukin mit datenschutzrechtlichen Aspekten der Betriebsratswahl. Auch wenn das natürlich auf Grundlage von DSGVO und BetrVG getan wird: Die Übertragbarkeit ins kirchliche Datenschutz- und Mitarbeitervertretungsrecht ist gegeben. (Der Hinweis darauf kam wie so oft aus dem Datenzirkus, der dieses Mal noch mehr lesenswerte Hinweise zum Beschäftigtendatenschutz hat.) * ## Kirchenamtliches * **Bistum Regensburg:** Organisationserlass zur Stabsstelle Datenschutz * **KDSZ Bayern:** * Digitale Souveränität ist eine praktische Aufgabe * Eigenes Recht – gemeinsame Maßstäbe: Kirchlicher Datenschutz beim GDD-Erfa-Kreis Bayern * **Bistum Augsburg:** Kirchlicher Datenschutz – Veröffentlichung von Priester- und Diakonenjubiläen * **Erzbistum Köln:** Satzung des Katholischen Datenschutzzentrums vom 20. August 2015 in der Fassung der Beschlussfassung des Verwaltungsrates vom 29. Juli/3. August 2026 * **Erzbistum Hamburg:** Hinweis auf Widerspruchsrecht nach dem Ausführungsdekret zur Veröffentlichung von Sakramentsspendungen sowie Geburtstags-, Ehe-, Weihe-, Ordens- und Dienstjubiläen im Erzbistum Hamburg * **Erzbistum Berlin:** Dienstanweisung zur Nutzung der Informationstechnologie im Erzbistum Berlin * **Bistum Münster:** Satzung des Katholischen Datenschutzzentrums * **Bischöflich Münstersches Offizialat in Vechta:** Bestellung zum Gemeinsamen Diözesandatenschutzbeauftragten * **Bistum Aachen:** Satzung des Katholischen Datenschutzzentrums * **Erzbistum Paderborn:** Satzung des Katholischen Datenschutzzentrums vom 20. August 2015 in der Fassung der Beschlussfassung des Verwaltungsrates vom 29. Juli/3. August 2026 * * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Das saß: Mit einer fulminanten Laudatio hat Thilo Weichert am vergangenen Freitag dem Landeskirchenamt der evangelischen Nordkirche den Big Brother Award in der Kategorie »Zivilgesellschaft« gewidmet. Anlass war das Ausrollen von MS 365 in die ganze Landeskirche per Kirchengesetz. Thilo Weichert bei seiner Laudatio auf die Nordkirche beim Big Brother Award 2026. (Foto: Matthias Hornung, CC-BY 4.0) Weichert verknüpfte seine Strafpredigt über Microsoft-Produkte mit Seitenhieben gegen den kirchlichen Datenschutz allgemein: Die Nordkirche habe den Sonderweg des kirchlichen Datenschutzes als Irrweg beschritten. Mit der Nordkirche erhält erstmals in der Geschichte des Negativpreises eine Kirche die Auszeichnung. Die Kritik des ehemaligen schleswig-holsteinischen Landesdatenschutzbeauftragten (und ehemaligen Kinderkirchhelfers und Organisten) ist deutlich – die kritisierte Nordkirche kann sich in der weichertschen Philippika aber nicht wiederfinden, wie sie auf Anfrage erklärte. **Inhalte** Verbergen 1 Die Vorgeschichte 2 Die Kritik Weicherts … 3 … und was die Nordkirche dazu sagt 4 Fazit ## Die Vorgeschichte 2024 hatte die Kirchenleitung der Nordkirche per Beschluss die Datenschutzkonformität der geplanten Konfiguration von MS 365 festgestellt und damit die Voraussetzung geschaffen, gemäß dem IT-Gesetz der Kirche mit der Einführung zu beginnen. Dem voraus ging eine umfangreiche Prüfung, in deren Verlauf auch die damals noch bestehende Datenschutzaufsicht der Nordkirche überzeugt werden konnte, dass der Einsatz datenschutzkonform möglich ist. Die Beschlussgrundlage der Kirchenleitung ist offiziell nicht bekannt; Anfragen an die Nordkirche blieben 2024 unter Verweis auf das Beratungsgeheimnis der Gremien ohne inhaltliche Antwort. Mir wurden damals aber die 198 Seiten der Beschlussvorlage zugespielt, die unter anderem die Datenschutz-Folgenabschätzung und detaillierte Konzepte zur Konfiguration und zur Erfüllung von Betroffenenrechten enthielt. Als besonders problematisch wurden damals das Risiko gesehen, dass der Angemessenheitsbeschluss für die US-Datenübertragung wegfallen könnte, und dass bei der Übermittlung von Telemetriedaten vieles unklar sei. Eine besondere Tragweite hat das Vorgehen der Landeskirche durch die Einführung per Gesetz. Mit dem im Mai 2023 beschlossenen IT-Gesetz konnte die Synode erreichen, dass nicht nur das Landeskirchenamt, sondern alle Ebenen der Landeskirche einheitliche IT-Dienste nutzen: Das Gesetz schreibt für die Landeskirche eine Erbringungspflicht, für die Kirchengemeinden und Kirchenkreise eine Abnahmepflicht vor, datenschutzrechtlich wird die Landeskirche zum alleinigen Verantwortlichen erklärt. Einheitlichkeit ist definiert als flächendeckender Einsatz der in einer Anlage aufgeführten IT-Systeme – konkret MS 365 mit einer Palette von Modulen. Lizenz- und Backupkosten sind von den einzelnen Abnehmern, also den Gemeinden und Kirchenkreisen, zu tragen. Bis Ende 2028 soll die Umstellung überall über die Bühne gegangen sein. ## Die Kritik Weicherts … Thilo Weichert sieht die Gefahr, dass in der Nordkirche »Daten über religiöses und gesellschaftliches Engagement ihrer Mitglieder« in die Hände eines »unzuverlässigen US-Konzerns« gelangen. Zwar nutzten auch andere Kirchen MS 365. Die besondere Preiswürdigkeit bei der Nordkirche liege aber darin, dass auch die Gliederungen zur Nutzung und zur Zahlung verpflichtet werden, ohne Opt-out-Möglichkeit. Weichert wirft dem Landeskirchenamt vor, dass es gegenüber den Gliederungen weder die DSFA noch das IT-Konzept offengelegt habe. »Was mit den Daten vom Kirchenpersonal, von den Pastoren, von den Mitgliedern, aus der Seelsorge passiert und wie die Gemeinden mit den Risiken umgehen sollen, ist völlig unklar«, heißt es in der Laudatio. Weichert glaubt ohnehin nicht, dass tatsächlich ein Überblick über übertragene Daten besteht: »Welche Daten in den USA landen, will – und kann wahrscheinlich – das Landeskirchenamt nicht offenlegen.« Angesichts der aktuellen Entwicklungen in den USA rechnet Weichert damit, dass das »Data Privacy Framework« nicht mehr die Bedingungen für einen Angemessenheitsbeschluss erfüllt. Die Trump lasse weltweit Kritiker verfolgen: »Unter dem Vorwand, Terrorismus und Kriminalität zu bekämpfen, sammelt seine Regierung Daten, um Kritiker zu denunzieren, auszuweisen, an der Einreise zu hindern – kurzum: sie mundtot zu machen.« Auch für Christ*innen gebe es Gefahren: Während Trump Bibeln verkaufe und sich in messianischen Bildern inszeniere, habe er die Bischöfin Mariann Budde als »linksradikale Trump-Hasserin« diffamiert. Die Bischöfin der Episkopalkirche hatte in ihrer Predigt bei einem Gottesdienst nach der Amtseinführung Trump aufgefordert, Barmherzigkeit gegenüber den Menschen im Land zu üben, die nun in Angst lebten. Microsoft gehöre zu den Unternehmen, die sich Trumps Politik nicht widersetzten und willfährig von ihm identifizierte Gegner wie den Internationalen Strafgerichtshof sanktionierten. »Es besteht also die reale Gefahr, dass die Microsoft-Daten der Nordkirche zum Nachteil der Betroffenen genutzt werden – insbesondere, wenn sie Kritik an der unchristlichen US-Politik äußern«, betont Weichert. Im Ergebnis sieht er daher die Politik der Nordkirche als ein Beispiel dafür, »wie **christliches und generell gesellschaftliches Engagement durch Digitalisierung in Gefahr gebracht** wird«. Es falle ihm schwer, »eine Organisation zu unterstützen, deren gespeicherte Informationen letztlich in Computern von US-Sicherheitsbehörden zu teuflischen Zwecken landen können«. ## … und was die Nordkirche dazu sagt Die Nordkirche ist verständlicherweise nicht sonderlich glücklich über die Auszeichnung mit dem Big Brother Award. Sie respektiere zwar das Anliegen der ausrichtenden NGO Digitalcourage, auf Herausforderungen und Risiken der Digitalisierung aufmerksam zu machen. »Die Auszeichnung spiegelt jedoch nicht unsere Bewertung des Sachverhaltes wider«, so eine Sprecherin der Landeskirche auf Anfrage. Die Entscheidung für MS 365 sei »nach intensiver Prüfung der datenschutzrechtlichen, technischen und organisatorischen Rahmenbedingungen sowie einer umfassenden Abwägung der Risiken getroffen« worden. Den durch die Laudatio entstehenden Eindruck, Risiken seien nicht beachtet worden, weist die Sprecherin zurück: »Vielmehr wurden Risiken identifiziert, bewertet, dokumentiert und mit konkreten Maßnahmen hinterlegt, um die Risiken zu minimieren. Dabei wurden einzelne Funktionen bewusst deaktiviert, Nutzungsmöglichkeiten eingeschränkt und zusätzliche Schutzmechanismen eingeführt.« Bewusst sei die Einführung so erfolgt, dass die **Handlungsfähigkeit der Kirche nicht von einem einzelnen Dienst abhängig** werde: »Zentrale Fachverfahren sowie besonders sensible Datenbestände werden weiterhin außerhalb von Microsoft 365 betrieben oder unterliegen besonderen Schutz- und Verarbeitungsanforderungen.« Daten-Portabilität, der Zugriff auf bestehende Datenbestände und mögliche Alternativen für die Kommunikation würden fortwährend geprüft. Aktuell sehe man keine Anhaltspunkte dafür, dass Microsoft 365 grundsätzlich nicht mehr eingesetzt werden könnte. Auf die Frage nach einer **Strategie für digitale Souveränität** antwortete die Nordkirche, dass man darunter die Fähigkeit verstehe, selbstbestimmt über Daten, Prozesse und Technologien entscheiden zu können. »Digitale Souveränität bedeutet aus unserer Sicht jedoch nicht automatisch den Verzicht auf bestimmte Anbieter oder die ausschließliche Nutzung einzelner Technologien.« Entscheidend sei vielmehr, »dass die Organisation ihre Datenflüsse kennt, Risiken bewertet, Schutzmaßnahmen umsetzt und auf Veränderungen reagieren kann«. Einigen konkreten Vorwürfen Weicherts widerspricht die Nordkirche. Zwar sei die DSFA in der Tat nicht veröffentlicht worden. Das entspreche aber ohnehin nicht dem Üblichen. Zudem enthielten die DSFA und verschiedene Konzepte sicherheitsrelevante Informationen und Expertise des Dienstleisters, die man nicht ohne weiteres offenlegen könne. Den **Vorwurf der Intransparenz** will die Sprecherin nicht stehenlassen: Im Rahmen des Projekts habe es unterschiedliche Beteiligungs-, Informations- und Beratungsformate gegeben, das Thema sei ebenenübergreifend unter anderem in Synoden, Ausschüssen, Gremien und Arbeitsgruppen behandelt worden. (Auf die Frage, ob denn die Gemeinden und Kirchenkreise auf Anfrage die DSFA einsehen konnten, ging die Antwort direkt nicht ein.) Ebenso weist die Sprecherin den Vorwurf zurück, die Landeskirche wisse nicht, welche Daten in die USA transferiert würden. Zunächst sei definiert worden, welche Datenkategorien mit MS 365 verarbeitet werden. Dann seien die Verträge mit der europäischen Microsoft-Niederlassung geschlossen worden, die eine Verarbeitung der Daten in der EU vorsehen. Gegen den CLOUD Act hilft das allerdings bekanntermaßen nicht, wie Microsoft selbst vor Gericht einräumen musste. Der wohl wichtigste Punkt ist der **Umgang mit Seelsorge- und Personaldaten**. Die Nordkirche habe verbindliche Regelungen zur Datenklassifizierung eingeführt: > »Daten mit hohem Schutzbedarf, insbesondere Seelsorgegeheimnisse, Gesundheitsdaten oder vergleichbar sensible Informationen, dürfen grundsätzlich nicht in Microsoft 365 gespeichert werden. Hierfür gelten gesonderte Verfahren und Speicherorte. Insbesondere Personal- und Mitgliederdaten werden ausschließlich in eigenen Fachverfahren (KidiCap, KIRIS) verarbeitet.« Weichert hatte das Risiko starkgemacht, dass unliebsame politische Äußerungen von Kirchenmitgliedern mittels der über MS 365 erlangten Daten oder der damit verbundenen Abhängigkeit sanktioniert werden können. Dieses Risiko weist die Nordkirche zurück. Zwar berücksichtige man theoretische **Risiken staatlicher Zugriffe** auf Daten. »Für die konkrete Annahme, dass personenbezogene Daten von Mitarbeitenden, Ehrenamtlichen oder Gemeindemitgliedern aufgrund politischer Meinungsäußerungen gezielt ausgewertet oder gegen sie verwendet werden, sehen wir jedoch keine belastbaren Anhaltspunkte«, so die Sprecherin. ## Fazit Unter den kirchlichen Anwendern von MS 365 gehört die Nordkirche wahrscheinlich zu den verantwortungsbewussteren – die mir vorliegenden Unterlagen, auf deren Grundlage die Kirchenleitung die Einführung beschlossen hat, wirken umfassend und sorgfältig und mit sinnvollen technischen und organisatorischen Maßnahmen verbunden. Jedenfalls sind sie so umfassend und sorgfältig, wie man durch Vereinbarungen und Konfiguration Licht in die Blackbox MS 365 bringen kann. Weichert hatte in seiner Laudatio die weitgehend negativen Einschätzungen der DSK und des BSI (und in einer Fußnote auch des BfD EKD) erwähnt; die positive Einschätzung der hessischen Landesdatenschutzaufsicht aus dem vergangenen Jahr dagegen erwähnte er nicht, ebenso wenig wie die Sprecherin der Landeskirche, deren Argumentation von dem hessischen Papier gestärkt wird. Damit gibt es eine Aufsichtsposition, die grundsätzlich eine datenschutzkonforme Nutzung als möglich sieht. In der Kommunikation hat Digitalcourage die Kritik auf den Slogan »Beichtgeheimnis adé« zugespitzt. Das ist zum Glück übertrieben. Zumindest organisatorisch ist laut der Sprecherin sichergestellt, dass Seelsorgedaten »grundsätzlich« nicht in MS 365 gespeichert werden. Allzu leicht sollte man das Risiko aber nicht wegwischen: Sobald Pfarrpersonen über MS-365-Kommunikationskanäle erreichbar sind, werden sie natürlich, ToMs hin oder her, auch seelsorgliche Anfragen darüber bekommen. Der große Dissens liegt in der Frage, ob MS 365 mit vertretbarem Risiko eingesetzt werden kann – und ob es über die technische und organisatorische Risikomitigierung hinaus eine grundsätzliche ethische Verantwortung gibt, auf solche Produkte mit US-Bezug zu verzichten. Hier hat Weichert seinen wohl stärksten Punkt: Gerade in der Kirche sollte man es als realistisch betrachten, dass man einem Regime wie dem gegenwärtigen in den USA unbequem wird. Und auch wenn es vielleicht nicht die im globalen Maßstab kleine Nordkirche ist, die dem Rad in die Speichen fällt und dadurch unter die Räder kommt: Wer garantiert, dass nicht doch an verhältnismäßig kleinen Playern ein Exempel statuiert wird – oder sie auch nur zum Kollateralschaden werden? * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Dienstvereinbarung Zeiterfassung 1.2 Pauschale erweiterte Führungszeugnisse 1.3 Löschrecht im Taufbuch im europäischen Überblick 1.4 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Dienstvereinbarung Zeiterfassung Im aktuellen Würzburger Amtsblatt ist die neue »Dienstvereinbarung zur Einführung einer Webanwendung für die Zeiterfassung zur Umsetzung der Dienstvereinbarung ›Arbeitszeit‹« abgedruckt. Die DV regelt sehr kleinteilig das digitale System der Zeiterfassung, das (auch das erfährt man darin) eine Zeiterfassung über eine LibreOffice-Tabelle ablöst. (Ganz digitalisiert wird dann aber doch nicht: Explizit wird festgehalten, dass die neue Webanwendung PDFs mit Arbeitszeitnachweisen generiert, die Beschäftigte ausdrucken (!) und den Vorgesetzten zur Unterschrift vorlegen.) Ob es so eine detaillierte Regelung des Funktionsumfangs in einer DV wirklich braucht, hängt stark von den Gegebenheiten in der jeweiligen Einrichtung ab – ich empfehle in der Regel, Einsichts- und Kontrollrechte in das Verarbeitungsverzeichnis und eventuelle DSFAs festzuschreiben sowie auf eine angemessene, nicht überbordende Update- und Funktionsänderungsklausel zu achten. Der eigentliche Kern ist sehr kompakt: In § 4 werden der Zweck der Verarbeitung und der Umgang mit angefallenen Daten geregelt. Durch die DV ziehen sich ansonsten sehr starke Vetorechte der MAV – wo neue Systeme kontrovers sind, kann das sinnvoll sein und vertrauensbildend wirken. ### Pauschale erweiterte Führungszeugnisse Antje Schrupp berichtet davon, dass Veranstaltende von ihr in letzter Zeit häufig erweiterte Führungszeugnisse verlangen, obwohl die Veranstaltungen nichts mit Minderjährigen zu tun haben – und das sogar für bloße Vorträge. Sie nennt allgemein Volkshochschulen und kirchliche Träger. Ob solche übergriffigen Anforderungen häufig sind oder Schrupp nur Pech mit ihren Auftraggebenden hat, ist schwer einzuschätzen. Auch in Einzelfällen ist es bedenklich, die doch sehr eingriffsintensive Methode der Einholung eines erweiterten Führungszeugnisses derartig zu trivialisieren. Unter § 30a BZRG lassen sich Vortragstätigkeiten mit erwachsener Zielgruppe eher schwer subsumieren. Beschwerden bei der Datenschutzaufsicht dürften wohl gute Aussichten haben. ### Löschrecht im Taufbuch im europäischen Überblick Das European Centre for Law and Justice hat einen Überblick über die Rechtsprechung und die Debatte zum Verhältnis des Rechts auf Vergessenwerden zur Religionsfreiheit veröffentlicht, bevor sich zwei europäische Gerichte dazu äußern: Über den belgischen Fall, den der EuGH gerade verhandelt, wurde hier schon viel geschrieben; daneben ist der EGMR mit einer Beschwerde gegen die französische Entscheidung des Staatsrats befasst, die kein Löschrecht im Taufbuch sah. Die Autorin Alicja Słowik stellt drei zentrale Prinzipien fest, die sich aus den nationalen Rechtsprechungen ergeben: erstens eine klare Abgrenzung des Rechts auf Vergessenwerden. Primär sei die Löschung veröffentlichter Daten im Blick. Daher sei es wahrscheinlich, dass in den anstehenden Entscheidungen die Nichtöffentlichkeit der Taufbücher eine Rolle spielt. Zweitens sei das Recht auf Vergessenwerden nicht absolut und erfordere eine Abwägung mit anderen Grundrechten. Drittens müsse diese Abwägung im Kontext kollektiver Religionsfreiheit umso sorgfältiger ausfallen. ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * – ## Aus der Welt * Die DSK hat ihr Kurzpapier zur Einwilligung umfassend überarbeitet. Die vorige Version stammte noch aus dem Jahr 2019. Aktualisiert wurden unter anderem die Verweise auf Rechtsprechung und Positionen des EDSA; Informationen zu Tracking-Einwilligungen, Dark Patterns und konkludenten Einwilligungen sowie zu Einwilligungen von Kindern wurden weiter ausgeführt. * Die Initiative »Datenschutz geht zur Schule« hat jetzt Material für den Einsatz an Grundschulen entwickelt – das lässt sich auch gut in der außerschulischen Jugendarbeit verwenden. ## Kirchenamtliches * **KDSZ Bayern:** Sichere E-Mail-Kommunikation: KDSZ Bayern in die BSI Hall of Fame aufgenommen * **Bistum Würzburg:** Dienstvereinbarung zur Einführung einer Webanwendung für die Zeiterfassung zur Umsetzung der Dienstvereinbarung »Arbeitszeit« * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Keine Datenweitergabe von Uni zu Aufarbeitungskommission 1.2 ToMs für KI-Systeme 1.3 Explizites kirchliches Interesse 1.4 Keine sensiblen Abodaten 1.5 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Keine Datenweitergabe von Uni zu Aufarbeitungskommission Im aktuellen Tätigkeitsbericht der Unabhängigen Aufarbeitungskommission im Erzbistum Paderborn geht es um den Umgang mit personenbezogenen Daten in der Aufarbeitung. Relativ unspektakulär ist der Bericht über einen Austausch mit dem damaligen NRW-Diözesandatenschutzbeauftragten Steffen Pau, der im Wesentlichen die IDSG-Entscheidung zur Münsteraner Studie referiert, wonach eine Anonymisierung nicht nur von Namen, sondern auch von Tathergängen erforderlich ist. Der eigentlich interessante Teil betrifft die Auswertung der Paderborner Aufarbeitungsstudie, die an der Universität Paderborn angefertigt wurde: Die Kommission hatte die Forscherinnen gebeten, den Schlüssel zu übergeben, mit dem die Namenskürzel für Beschuldigte in der Studie den echten Namen zugeordnet werden können. Als Rechtsgrundlage beruft sich die Vorsitzende der Kommission auf das diözesane Paderborner Aktenauskunftsgesetz: > »Frau Cirullies wies zudem darauf hin, dass datenschutzrechtliche Bedenken nicht bestehen dürften, da gegenüber den Mitgliedern der Unabhängigen Aufarbeitungskommission gemäß § 4 AktAuskG EB Paderborn ebenso wie gegenüber den Studienverfasserinnen als wissenschaftlich Forschenden (§ 5 AktAuskG EB PB) die Offenlegung der personenbezogenen Daten zur Durchführung der Aufgaben zulässig und bereits erfolgt sei.« Die Universität folgte dieser Argumentation nicht und stellte laut der Recherche der KNA fest, dass es für die (staatliche) Universität keine Rechtsgrundlage für die Weitergabe der Daten gebe: »Das kirchliche Gesetz regele die Offenlegung von Unterlagen durch kirchliche Stellen, nicht durch die Universität, schreibt Bauer in seiner Mail an Cirullies, die der KNA in Auszügen vorliegt.« Das ist eigentlich wenig überraschend: Das bischöfliche Gesetz gilt nicht für Stellen, über die der Erzbischof von Paderborn keine Gesetzgebungsgewalt hat. Dass eine unter anderem mit weltlichen Jurist*innen besetzte Kommission das nicht selbst bemerkt, überrascht viel eher. ### ToMs für KI-Systeme Die Serie von Nils Peters zu KI-Dienstvereinbarungen geht weiter: Jetzt stellt er beispielhafte technische und organisatorische Maßnahmen für KI-Systeme zur Verfügung. ### Explizites kirchliches Interesse Die Aufgabenwahrnehmung im kirchlichen Interesse gehört weiterhin zu den großen Rätseln des kirchlichen Datenschutzrechts – seit der Reform des DSG-EKD immerhin nur noch des katholischen. Immer noch ist unklar, wann auf diese Rechtsgrundlage zurückgegriffen werden kann, insbesondere, ob es immer eine explizite Aufgabenzuweisung benötigt. Da ist es hilfreich, wenn bei der kirchlichen Gesetzgebung solche Fragen berücksichtigt werden. Ein gutes Beispiel ist das neue Mainzer »Aufgabenvorbehaltsgesetz«, das in § 6 einen eigenen Paragraphen zur Datenverarbeitung enthält: »Die unter § 2 Absatz 1 genannten Rechtspersonen einschließlich ihrer Außenstellen sind befugt, die im Zusammenhang mit ihrer Aufgabenerfüllung nach diesem Gesetz erforderlichen personenbezogenen Daten zu verarbeiten […]«, heißt es darin. (Wobei man immer noch streiten kann, ob dadurch jetzt wirklich § 6 Abs. 1 lit. f) KDG, das kirchliche Interesse, zum Tragen kommt, oder ob das eine Erlaubnisnorm im Sinne von lit. a) ist.) ### Keine sensiblen Abodaten Erst nach Redaktionsschluss kam die Antwort der Berliner Datenschutzbeauftragten auf meine Anfrage zur Datenpanne bei der Islamischen Zeitung: Fallen Abodaten im religiösen Kontext nach Auffassung der Aufsicht unter die besonderen Kategorien? Eine Sprecherin erläuterte jetzt ihre Einschätzung: Die Behörde ging in dem Fall zwar von einem hohen Risiko und einer Benachrichtigungspflicht nach Art. 34 DSGVO aus. »Eine grundsätzliche Annahme, dass die Daten von Abonnent:innen religiös konnotierter Medien stets unter Art. 9 DSGVO fallen, lag dieser Einschätzung dabei nicht zugrunde«, so die Sprecherin. ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * – ## Aus der Welt * Die **Haushaltsausnahme** reicht weit, wo sie greift – aber wie weit greift sie? Der BGH hat jetzt dem EuGH Fragen dazu vorgelegt, die hoffentlich einiges klären. * ## Kirchenamtliches * **KDSA Ost:** Exzessiver DS-GVO-Auskunftsantrag: Frist trotzdem beachten * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Genealogische Datenbanken bei den Mormonen 1.2 Datenpanne bei der Islamischen Zeitung 1.3 Kollaboratives Hörbuch zur KI-Enzyklika 1.4 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Genealogische Datenbanken bei den Mormonen Die Tagesschau befasst sich mit der genealogischen Forschung der Kirche Jesu Christi der Heiligen der Letzten Tage. Die Gemeinschaft tauft Verstorbene nach ihrem Tod und fertigt dazu umfangreiche genealogische Datenbanken an, auch mit Hilfe von Kirchenbüchern. Für den Beitrag wurde unter anderem der Leiter des Archivs der Erzdiözese Freiburg, Christoph Schmider, befragt. Heute stellen die großen Kirchen in Deutschland in der Regel keine Kirchenbuchbestände für die mormonische Ahnenforschung zur Verfügung. Das war aber nicht immer so, erfährt man aus dem Artikel: Im Erzbistum Freiburg seien 1970 und 1977 rund 11.000 Kirchenbücher von den Mormonen digitalisiert worden, kostenlos für die katholische Kirche, aber für die Verwendung durch die Kirche Jesu Christi der Heiligen der Letzten Tage freigegeben. ### Datenpanne bei der Islamischen Zeitung Die Islamische Zeitung informiert ihre Leser*innen über eine Datenpanne: Vom 5. bis 7. August 2026 lag eine Sicherungskopie einer Datenbank offen im Netz zugänglich, die Daten über aktuelle und ehemalige Abonnements enthielt. Ein Zugriff von außen erfolgte wahrscheinlich nicht, ausgeschlossen werden kann er nicht. In der Information an Betroffene, die mir vorliegt, wird der Fall transparent dargestellt, auch wenn die Information auf Aufforderung der zuständigen Berliner Datenschutzaufsicht erfolgte. Dabei wird auch die kontextbezogene Sensibilität von Abo-Daten erwähnt: > »**Aus den Daten geht hervor, dass Sie eine islamische Zeitung beziehen; daraus lässt sich auf Ihren Glauben schließen.** Das wiegt für uns am schwersten, denn eine solche Auskunft lässt sich nicht zurücknehmen; auch die Aufsichtsbehörde hat deshalb ein hohes Risiko angenommen.« Wie genau die Berliner Aufsicht die Sache einschätzt, wird daraus nicht deutlich: Gehören solche Abo-Daten zu den besonderen Kategorien, oder wird nur im Rahmen einer Abwägung ein höheres Risiko angenommen? Eine Anfrage blieb bis Redaktionsschluss unbeantwortet. Denkbar wäre es, bei einem bloß wahrscheinlichen Schluss auf religiöse Überzeugungen besondere Kategorien personenbezogener Daten anzunehmen; das ist durchaus in der Spur der EuGH-Entscheidung Lindenapotheke, macht aber die Datenverwaltung religiös konnotierter Medien nicht einfacher. ### Kollaboratives Hörbuch zur KI-Enzyklika Auf Mastodon entsteht gerade ein Community-Hörbuch zur KI-Enzyklika »Magnifica humanitas«. Der Plan ist, die gesamte Enzyklika abschnittsweise einzulesen. Ich habe mich für die Nr. 171 gemeldet – den Abschnitt, in dem es um Datenschutz geht. Falls sich noch jemand beteiligen will: Noch sind viele Abschnitte zu haben. ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * ## Aus der Welt * Die bayerische Staatsregierung hat einen Gesetzesentwurf zur Änderung des Landesdatenschutzgesetzes eingebracht. Der Entwurf steht im Zeichen der Modernisierung; so wird etwa der bisherige Art. 7 zu »besonderen automatisierten Verfahren« durch einen zu Künstlicher Intelligenz ersetzt. Was fehlt: Eine Lösung der Problematik, dass keine der beiden bayerischen Datenschutzaufsichten für die körperschaftlich verfassten Religions- und Weltanschauungsgemeinschaften ohne eigene Aufsicht zuständig sein will. Das Problem ist der Landesregierung bekannt, sie sieht den Ball aber im Feld des Bundesgesetzgebers. ## Kirchenamtliches * **COMECE:** COMECE publishes position paper on erasure from baptismal registers * **Katholische Kirche der Niederlande:** AVG-nieuws: alertheid gevraagd bij verzoeken om persoonsgegevens per e-mail * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Nach dem Vatikan hat sich nun die Kommission der Bischofskonferenzen der Europäischen Union zum Löschrecht im Taufbuch geäußert. In einem 15-seitigen Positionspapier argumentiert die COMECE gegen das Löschrecht im Taufbuch. Die Stellungnahme kommt spät: Ende Juni verhandelte der EuGH über die belgischen Vorlagefragen, für die Kirche sprach das betroffene Bistum Gent. Für den 1. Oktober kündigte die zuständige Generalanwältin ihre Schlussanträge an – also wenig Zeit für sie, das COMECE-Papier ausführlich zu würdigen. Dabei bringt es noch einige Punkte in die Diskussion ein, die bisher nicht so ausführlich betrachtet wurden. **Inhalte** Verbergen 1 Argumente der COMECE 1.1 Randbemerkungen im Taufbuch 1.2 Taufbuch als Sakramentenregister, nicht Mitgliederliste 1.3 Drittwirkung der Löschung 1.4 Relevanz für staatliche Verfahren 1.5 Religionsfreiheit 1.6 Schutz des Status der Religionsgemeinschaften im EU-Recht 1.7 Betroffenenrechte aus der DSGVO 1.8 Genealogische Forschung 2 Fazit ## Argumente der COMECE ### Randbemerkungen im Taufbuch Das Papier beginnt mit der kirchlichen Verwaltungspraxis. In mehreren EU-Mitgliedstaaten ist es üblich, auf Wunsch Anmerkungen im Taufbuch anzubringen, um einer Distanzierung von der Kirche Rechnung zu tragen. Nach Auffassung der COMECE trägt diese Praxis dazu bei, dass das Missverständnis entstanden ist, bei Taufbüchern handle es sich um Mitgliederverzeichnisse der Kirche. Das sei aber nicht der Fall: Die Anmerkungen erfolgten allein aufgrund des Wunsches der Austrittswilligen, nicht aufgrund kirchenrechtlicher Erfordernisse. Das Papier gesteht aber zu, dass manche üblicherweise verwendete Formulierungen (wie »hat die Kirche verlassen« im belgischen Fall) unglücklich sind. Solche Formulierungen seien aber nicht repräsentativ für das Vorgehen in anderen Mitgliedstaaten, was mit Formulierungen in Frankreich (»erkennt die Gültigkeit seiner Taufe nicht an«, »hat ihre Taufe zurückgewiesen«) und Irland (»will nicht mehr länger als römisch-katholisch identifiziert werden«) belegt wird. Dass derartige Randbemerkungen zugelassen werden, wird nicht nur als jüngere historische Entwicklung aufgefasst. Vielmehr bringe die Praxis Respekt vor der Würde, Religionsfreiheit und informationeller Selbstbestimmung der betroffenen Personen einerseits mit der kirchlichen Autonomie und der institutionellen Religionsfreiheit in Einklang. ### Taufbuch als Sakramentenregister, nicht Mitgliederliste Zentral im belgischen Fall ebenso wie in den Fällen in anderen Mitgliedstaaten ist ein Verständnis von Taufbüchern als Mitgliederverzeichnis: Menschen wollen die Kirche verlassen und verlangen ihrem Verständnis nach eine Streichung aus dem Mitgliederverzeichnis. Die Kirche dagegen sieht das Taufbuch nicht als Mitgliederverzeichnis in dem Sinn, wie es etwa von Vereinen geführt wird. Um diesen Charakter klarzustellen, erläutert die COMECE die theologischen Hintergründe des Taufsakraments als Eingangstor zu den anderen Sakramenten und – noch wichtiger – als Sakrament, das nur einmal gespendet wird und ein untilgbares Prägemal hinterlässt. Daher ist die korrekte Analogie für die Kirche nicht das Mitgliederverzeichnis, sondern ein Register historischer Tatsachen. Es gehe nicht darum, den Glauben einer Person, ihre Kirchenmitgliedschaft oder ihr Engagement in der Kirche zu dokumentieren. Dieses Verständnis hat sich in Fällen in anderen Mitgliedstaaten durchgesetzt. Die COMECE zählt Fälle in Irland, Frankreich, Spanien, Polen, Slowenien, Italien und Malta auf. (Einige der Fälle habe ich 2022 hier besprochen, damals fehlten der Fall aus Malta – der anscheinend nicht veröffentlicht ist –, Italien und Polen, die COMECE dagegen zählt Fälle aus Deutschland und Österreich nicht auf.) Ausführlich erläutert die COMECE, warum Löschrechte im Taufbuch die Arbeit der Kirche massiv beeinträchtigen würden. Dabei verweist sie auf weitere Einträge zu Sakramenten wie Ehe und Firmung sowie zu Ordensprofessen, die Auswirkungen auf den kanonischen Status haben und an die kanonische Rechtsfolgen geknüpft sind. Die Erklärung, dass die Löschwilligen nie mehr etwas mit der Kirche zu tun haben wollen, verfange nicht. Schließlich könne man das nicht kategorisch ausschließen. Daher brauche es die dauerhafte Aufzeichnung, um Rechtssicherheit herzustellen. Dem stehe auch nicht entgegen, dass die Aufzeichnungen im Taufbuch nicht hundertprozentig alle Probleme verhindern – in der EuGH-Verhandlung wurde etwa vorgebracht, dass die in den Pfarreien geführten Taufbücher anderswo gar nicht im Zugriff sind. Die DSGVO verlange aber für die Bewertung der Erforderlichkeit nichts Absolutes, es genüge, dass die Maßnahmen in einem vernünftigen Maß den Zweck befördern: »The principle of proportionality does not require the adoption of a ‘perfect solution’, it only requires that the measure be appropriate and suitable for achieving the legitimate aim.« Schließlich weist die Stellungnahme noch darauf hin, dass die Kirche zwar die Wünsche der distanzierungswilligen Personen respektiere, sie aber nicht gezwungen sei, deren Verständnis, was ein Taufregister ist oder nicht ist, zu übernehmen. Insbesondere werde das Taufregister nicht deshalb zu einem Mitgliederverzeichnis, weil eine austrittswillige Person es so versteht. ### Drittwirkung der Löschung Die Taufe hat nicht nur eine Auswirkung auf die getaufte Person; auch andere sind davon betroffen. Das erläutert die Stellungnahme zunächst formal damit, dass im Taufbucheintrag noch weitere Personen aufgeführt werden, nämlich mindestens fünf: Taufspender*in, zwei Elternteile und zwei Pat*innen. (Das ist falsch. Korrekt wäre »in der Regel mindestens vier« statt »mindestens fünf«, weil zwar jeder Täufling zwei Eltern hat, die aber – vgl. c. 877 § 2 CIC – nicht immer eingetragen werden können, Pat*innen nicht zur Gültigkeit nötig sind und nur eine*r vorgeschrieben ist und die Taufe in Ausnahmefällen auch von einem Elternteil gespendet werden kann.) Alle genannten Personen hätten ein eigenes berechtigtes Interesse an der korrekten Aufzeichnung der Taufe: Die Eltern, weil sie damit die Erfüllung ihrer elterlichen Pflicht zur christlichen Erziehung dokumentieren, die Pat*innen, weil sie durch die Funktion Pflichten gegenüber der Kirche und dem Täufling übernehmen, der*die Taufspender*in, weil die Aufzeichnung die Erfüllung der Pflicht zur Sakramentenspendung dokumentiert. Damit dient der Taufbucheintrag nach Auffassung der COMECE nicht nur der betroffenen Person, sondern den rechtlichen und religiösen Interessen der Glaubensgemeinschaft als Ganzer. Der Rest der Ausführungen erläutert die Bedeutung der Taufe für das kanonische Eherecht. Es fehlen Ausführungen dazu, dass die Taufe auch Auswirkungen auf die Zugehörigkeit von eventuellen Kindern der Getauften zu bestimmten Kirchen _sui iuris_ hat – das ist allerdings ein Fall, der in der Praxis seltener zu Fragen führen dürfte. Der Aspekt der Drittwirkung wird mit dem Argument der Aufzeichnung historischer Fakten verknüpft und so plausibel gemacht, dass die Kirche hier keine ungewöhnlichen Ansprüche hat: »In general, requiring an institution (e.g. a university, a school, a hospital) to destroy its records of events that historically occurred, has a relevant impact on the person who requests erasure, but also on others.« Dieses Argument wird mit Analogien zu staatlichen Personenstandsregistern und der Staatsbürgerschaft weiter plausibilisiert. ### Relevanz für staatliche Verfahren Das nächste Argument macht die Relevanz kirchlicher Register für staatliche Verfahren stark: Mehrere Mitgliedstaaten werden angeführt, in denen Kirchenbücher im staatlichen Personenstandsrecht relevant sind, insbesondere mit Blick auf Familien- und Erbrecht. Angeführt werden Italien, Irland, Tschechien, Slowakei, die Niederlande, Polen, Zypern und Belgien. ### Religionsfreiheit Rechtsdogmatisch sind die Ausführungen zur Religionsfreiheit die gewichtigsten: Beim Streit geht es nicht nur um das Grundrecht auf Datenschutz und mithin die Anwendung von Datenschutzrecht, sondern zugleich um das Grundrecht auf institutionelle Religionsfreiheit. Beide Grundrechte müssen in praktische Konkordanz gebracht werden. Um deutlich zu machen, dass das Taufbuch in den Bereich der Religionsfreiheit fällt und nicht nur eine administrative Maßnahme ist, wird die theologische Bedeutung der Taufe stark gemacht. (Das ist ein Aspekt, den die belgische Datenschutzaufsicht in ihrer Entscheidung völlig außer Acht gelassen hat, wie Sophie van Bijsterveld in einem auch im COMECE-Papier zitierten Artikel dargelegt hat.) Dazu wird ausgeführt: > »The registration of baptisms is not simply an administrative record, it also reflects a **_theological_ reality** and has continuing relevance within the ecclesial structure of the Church. It also expresses the particular relationship which, from the Church’s perspective, remains relevant even when a person later distances himself or herself from the Church.« Ein staatlicher Eingriff ins Kirchenbuch würde nach Auffassung der COMECE die Religionsfreiheit und die kirchliche Autonomie beeinträchtigen. Dazu kommen in mehreren Mitgliedstaaten Konkordate und andere Instrumente, die das kirchliche Selbstbestimmungsrecht festschreiben. Religions- und Gewissensfreiheit spielt aber auch bei der betroffenen Person eine Rolle. Es ist also zu begründen, warum die Speicherung mit der individuellen Religionsfreiheit in Einklang zu bringen ist. Hier sieht die COMECE keine Konflikte: Die bloße Aufzeichnung der historischen Tatsache der Taufe sei unproblematisch. Der Eintrag stehe den Möglichkeiten nicht entgegen, sich von der Kirche zu distanzieren. Aus der negativen Religionsfreiheit erwachse auch nicht das Recht, die Kirche zur Löschung historischer Fakten zu verpflichten. ### Schutz des Status der Religionsgemeinschaften im EU-Recht Die zentrale religionsverfassungsrechtliche Norm im EU-Primärrecht ist Art. 17 AEUV. Dort ist festgeschrieben, dass die EU den Status von Religionsgemeinschaften in den Mitgliedstaaten achten muss und ihn nicht beeinträchtigen darf. Bereits aus den Ausführungen zur Religionsfreiheit wird deutlich, dass ein Eingriff ins Taufbuch über EU-Datenschutzrecht in Spannung zu Art. 17 AEUV steht. Strategisch geschickt wird die Position aus der Egenberger-Entscheidung des EuGH entwickelt, also einer Entscheidung zum kirchlichen Arbeitsrecht, die aus Sicht der betroffenen Kirche ihren Autonomiebereich zu eng gezogen hat. Die COMECE bemüht sich sichtlich, dem in religionsverfassungsrechtlichen Fragen tendentiell eher französisch-laizistisch denkenden EuGH die Problematik aus dieser Perspektive aufzubereiten – nicht nur, indem hier die französische höchstrichterliche Entscheidung angeführt wird, die sich gegen Löschrechte im Taufbuch stellte: > »**The principle of the secular nature of the State** entails not only non-interference by the Church in State affairs, but also non-interference by the State in Church affairs. No State can determine the internal rules governing the Church’s operations – least of all in the European Union.« Aus der mündlichen Verhandlung wird deutlich, dass die Frage nach der Natur des Taufbuchs – Mitgliederverzeichnis oder etwas anderes – zentral in der Entscheidung werden dürfte. Hier führt das Papier – wieder durchaus geschickt – aus, warum es ein staatlicher Übergriff wäre, wenn ein staatliches Gericht das entscheiden würde: > »From the perspective of Article 17.1 TFEU- as well as of Article 10 EU Charter – it would be **problematic if the nature and character of baptismal registers** were to be **re-defined by a civil court** (i.e. ‘baptismal registers are lists of members’) in a way that contradicts the definition upheld by the Church, on the basis of its self-understanding, including through its highest authorities (i.e. ‘baptismal registers cannot be construed as lists of members’, cf. the Note of the Holy See’s Dicastery for Legislative Texts). In some sense, erasure from baptismal registers would impose on the Church as a whole a concept of ‘membership’ that does not belong to it or to its legal order.« ### Betroffenenrechte aus der DSGVO Datenschutzrechtlich wird der Sachverhalt über das berechtigte Interesse als Rechtsgrundlage und die damit verbundenen Betroffenenrechte abgebildet: Das Löschbegehren gemäß Art. 17 Abs. 1 lit. c) DSGVO erfolgt aufgrund der Ausübung des Widerspruchsrechts aus Art. 21 Abs. 1 DSGVO. Dem Widerspruch hat der Verantwortliche Folge zu leisten, »es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen«. Die dafür nötige Abwägung macht die COMECE explizit: Auf Seiten der betroffenen Person werde nicht deutlich, welche ihrer besonderen Freiheiten durch eine Nichtlöschung eingeschränkt würden und welche sonstigen Nachteile sie daraus hätte. Dagegen stünden auf Seiten der Kirche zwingende schutzwürdige Interessen – welche, wurden in den vorigen Punkten bereits ausgeführt. Das Papier betont, dass das Datenschutzrecht nicht grenzenlos ist und mit der Religionsfreiheit abgewogen werden muss. Daher müsse hier das kirchliche Verständnis der Taufe berücksichtigt werden. In die Abwägung müsse außerdem einfließen, wie das Taufbuch konkret gestaltet wird: Hier gebe es viele Sicherheitsmechanismen, insbesondere den beschränkten Zugriff und die enge Zweckbindung der Daten. In Belgien gibt es kein eigenes kirchliches Datenschutzrecht. Dennoch wird Art. 91 DSGVO in der Argumentation herangezogen. Der Kirchenartikel gilt als Beleg dafür, dass die DSGVO der kirchlichen Rechtsordnung Relevanz zuspricht: > »If the Canon Law system was totally immaterial to the GDPR system, Article 91 GDPR would have no place within the GDPR itself (regardless of whether the Church had ‘comprehensive rules’ at a certain moment in time or whether they were ‘brought into line’ with the GDPR).« Der Abschnitt schließt mit weiteren kompakten Argumenten: * Kritisch werden die Richtlinien des EDSA zur Interessenabwägung angeführt; diese würden den Rechten des Verantwortlichen zu wenig Raum geben. Dennoch findet das Papier auch darin Argumente für die eigene Position, da dort in § 73 eine weitere Verarbeitung trotz Widerspruch als zulässig betrachtet wird, um den Verantwortlichen vor direktem unmittelbarem Schaden zu schützen. * Das Argument, die Nichtlöschung beeinträchtige die Würde der betroffenen Person, wird verworfen. Die Aufbewahrung habe keine öffentliche Wirkung, weil die Aufzeichnungen vertraulich behandelt werden. Dazu wird die italienische Entscheidung von 2000 angeführt, die explizit festgestellt hatte, dass die Aufzeichnung im Taufbuch keine Würdeverletzung darstellt. * Das Widerspruchsrecht wird historisch erläutert: Die EU habe Kompetenzen im wirtschaftlichen Bereich, nicht im religionsverfassungsrechtlichen. Daher ziele das Widerspruchsrecht primär auf Werbewidersprüche ab. Die Taufbuchdaten würden aber gar nicht benutzt, um Mitglieder zu kontaktieren. ### Genealogische Forschung Das Papier schließt mit der Verwendung von Taufbuchdaten für die genealogische Forschung. Datenschutzrechtlich kommt damit die Privilegierung von Archiven in den Blick. Da nur Archivzwecke relevant sind, die im öffentlichen oder wissenschaftlichen Interesse liegen, muss begründet werden, warum das für Taufbücher einschlägig sein könnte. Das Papier verweist auf den historischen Wert von Kirchenbüchern, und zwar sowohl für die Kirche selbst wie für das gesellschaftliche Leben lokaler Gemeinschaften. Taufregister seien für die historische Forschung wichtig, weil sie oft die einzige Quelle sind, aus denen Familienbeziehungen und Personenstände auch nach langer Zeit ablesbar seien. Taufbücher könnten außerdem staatliche Archive ergänzen, um mit zusätzlichen Daten historische Personen gleichen Namens zu unterscheiden. ## Fazit Das Positionspapier der COMECE orientiert sich im Bereich des Erwartbaren: Die relevanten Fragen wurden im Verlauf des Verfahrens von der Entscheidung der belgischen Datenschutzaufsicht bis zur mündlichen Verhandlung des EuGH aufgeworfen, die Antworten der COMECE bekräftigen das, was durch das Bistum Gent, das Dikasterium für die Gesetzestexte und in der Fachliteratur schon vorgebracht wurde. Neu sind vor allem die Einblicke in die Kirchen der EU-Mitgliedstaaten, die zeigen, wie dort mit Kirchenbüchern umgegangen wird und welche Relevanz ihre Vollständigkeit hat. Zur vornehmlich theologischen und kirchenrechtlichen Perspektive des Vatikans legt die COMECE noch dar, wie diese Argumente bei der Bewertung des Widerspruchs- und Löschrechts gewürdigt werden können. Die dargelegten Argumente sind unterschiedlich stark. Rechtlich beachtlich ist vor allem die Abwägung zwischen den Grundrechten, die im Spiel sind: Das Datenschutzgrundrecht und die individuelle Religionsfreiheit der betroffenen Person hier, da die kollektive Religionsfreiheit. Wie das abgewogen wird, scheint schlüssig – und da selbst der französische Conseil d’État die Abwägung zugunsten der Kirche vorgenommen hat, scheint es nicht unwahrscheinlich, dass die Argumentation auch beim EuGH verfangen könnte. Überraschend ist vor allem der späte Zeitpunkt des Papiers: Nach der mündlichen Verhandlung und knapp vier Wochen vor dem angekündigten Termin für die Schlussanträge. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Interimsleitung im KDSZ Dortmund 1.2 VDD erst jetzt mit reformiertem Datenschutzrecht 1.3 KI-Muster-Dienstvereinbarung katholisch 1.4 KI-Regulierung bei den Navajo 1.5 Kleriker-Slop in Brasilien 1.6 Sensible Daten in Vermont 1.7 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Interimsleitung im KDSZ Dortmund Pünktlich zum 1. September teilt das KDSZ Dortmund die Übergangsregelung für die Leitung mit. Burkhard Kämper, Justitiar und stellvertretender Leiter des Katholischen Büros Nordrhein-Westfalen, wurde von den NRW-Diözesanbischöfen zur übergangsweisen Leitung bestellt. Kämper übernimmt die Leitung bis zum Amtsantritt von Jennifer Esch am 1. Februar. (Bisher wurde nur »Anfang 2027« kommuniziert.) Nicht mitgeteilt wurde, ob Kämpers Tätigkeit im Katholischen Büro während der Vertretung ruht, und die genaue Rechtsgrundlage für die Interimsleitung; in Frage kommt gemäß § 43 Abs. 6 KDG eine dauerhafte Verhinderung oder ein vorzeitiges Ende des Amtsverhältnisses des Diözesandatenschutzbeauftragten, der eigentlich bis zur Aufnahme der Amtsgeschäfte der Nachfolge im Amt bleibt. Eine Anfrage an das KDSZ blieb bislang unbeantwortet. Kämper ist mit dem kirchlichen Datenschutzrecht vertraut. Der Jurist lehrt Kirchen- und Staatskirchenrecht in Bochum und hat immer wieder zu Fragen des kirchlichen Datenschutzrechts publiziert, etwa in der Schriftenreihe des KDSZ Dortmund zur Entwicklung der kirchlichen Datenschutzaufsichten. In der Debatte um die Sinnhaftigkeit eines eigenen kirchlichen Datenschutzrechts verteidigte Kämper die eigene Regelung. Kämper hat nun die wahrscheinlich wenig dankbare Aufgabe, anderer Leute Tätigkeitsberichte zu verantworten: 2025 ist noch nicht erschienen, drei Viertel von 2026 verantwortet noch sein Vorgänger. ### VDD erst jetzt mit reformiertem Datenschutzrecht Im Amtsblatt des Vorsitzenden der Deutschen Bischofskonferenz wurde am 1. September, aber mit Geltung ab 1. August, die jetzt wahrscheinlich wirklich letzte Inkraftsetzung der KDG-Novelle veröffentlicht: Der Verband der Diözesen Deutschlands bekommt ein reformiertes KDG und eine reformierte KDG-DVO. Grundlage ist ein Beschluss der Vollversammlung des VDD vom 23. Juni 2026. Warum es bei eigentlich wenigen Anpassungen im Vergleich zum regulären KDG so lange gedauert hat, ist unklar. Die in der ersten Fassung falschen Verweise in § 36 und in § 37 sind durch den späten Beschluss hier von Anfang an korrekt. Da das KDG-VDD nur für den VDD und die Einrichtungen der Deutschen Bischofskonferenz gilt, kann § 36 KDG-VDD kompakter formuliert werden als § 36 KDG. Ansonsten scheint es keine größeren Abweichungen vom KDG zu geben. Eine Lesefassung scheint es bislang nicht zu geben. ### KI-Muster-Dienstvereinbarung katholisch Nach der evangelischen hat Nils Peters nun auch eine katholische Muster-Dienstvereinbarung zu KI veröffentlicht. Das Muster ist gewohnt umfassend kommentiert und zeigt auch deutlich auf, wo sich katholisches und evangelisches Datenschutz- und Mitarbeitervertretungsrecht unterscheiden. ### KI-Regulierung bei den Navajo Die Navajo Nation setzt auf Datensouveränität zum Schutz ihres kulturellen Erbes. Der Naabik’íyáti’-Ausschuss des Parlaments der indigenen Nation (der Ausschuss entspricht in etwa einem Hauptausschuss anderer Parlamente) hat daher eine Resolution zur KI-Regulierung verabschiedet, die die Bedeutung dieses kulturellen Erbes betont: > »The Diné have the right to know their sacred language, sacred way of thinking, and traditional cultural knowledge. The preservation of these and other elements of Diné life are a sacred obligation of the Diné and their government. We recognize that our traditional cultural knowledge is not only a valuable asset, but is integral to our identity, existence, and well-being. The preservation of our language and culture is vital to our survival as Diné.« Charakteristisch für den Ansatz ist, kommunitäre wie individuelle Aspekte in den Blick zu nehmen: Der Rahmen zum Schutz der Rechte der Diné (so die Eigenbezeichnung der Navajo in ihrer Sprache) müsse »data privacy, transparency, prior informed consent, the intellectual property rights of the owners of the information, and other knowledge at risk of unauthorized use by AI technologies« berücksichtigen. Weitere Hintergründe dazu gibt es in einer lesenswerten Reportage von azcentral: »Navajo data sovereignty has its roots in a native seed bank«. ### Kleriker-Slop in Brasilien Die Erzdiözese Aracaju in Brasilien hat jetzt eine KI-Ordnung. Zentral in der Regelung sind Vorgaben für KI-generierte Darstellungen von Klerikern – anscheinend ein großes Problem in der dortigen kirchlichen Öffentlichkeitsarbeit. (Aber nicht nur da.) Generative KI darf nicht verwendet werden, »um das Erscheinungsbild eines Bischofs, Priesters oder Diakons zu rekonstruieren oder zu simulieren, wenn das Ergebnis seine reale Fotografie ersetzt oder als authentische Darstellung seines Erscheinungsbildes oder einer von ihm erlebten Situation interpretiert werden könnte«, heißt es in der Ordnung. Mehr dazu habe ich bei katholisch.de aufgeschrieben. ### Sensible Daten in Vermont Vermont ist der neueste US-Bundesstaat mit einem Datenschutzgesetz. Der Vermont Data Privacy and Online Surveillance Act tritt am 1. Januar 2028 in Kraft. Zu den sensiblen (»sensitive«) Daten gehören Daten, aus denen religiöse Überzeugungen hervorgehen (»personal data […] revealing […] religious beliefs«, 9 V.S.A. § 2415a(b)(47)(A)(i)), nicht aber weltanschauliche. Sensible Daten dürfen nur verarbeitet werden, wenn eine Einwilligung vorliegt und die Verarbeitung »vernünftigerweise notwendig« (»reasonably necessary«) in Bezug auf den Zweck ist, mit dem die Daten erhoben wurden. Im Vergleich zu Art.-9-Daten sind die Kategorien sensibler Daten in Vermont ausführlicher geregelt, indem etwa Gesundheitsdaten sowie geschlechtliche Identität und sexuelle Orientierung noch weiter aufgeschlüsselt werden. Kein Pendant in der DSGVO gibt es bei der Einstufung als sensibel für genaue Geolokationsdaten, Daten im Zusammenhang mit Konto- und Bankzugangsdaten sowie staatlichen Identifikationsnummern. Daten von Kindern unter 13 Jahren fallen unter die sensiblen Daten, wenn der Verantwortliche weiß oder vorsätzlich ignoriert, dass es sich um Kinder handelt. Hilfreich ist die ausdrückliche Festlegung, dass Fotos, Audio- und Videoaufnahmen keine biometrischen Daten sind (9 V.S.A. § 2415a(b)(3)(B)). ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * Was in einer KI-Ordnung stehen muss, damit sie trägt ## Aus der Welt * Microsoft hat in den USA sein kostenloses Programm für Nonprofit-Organisationen umgestellt. Im Zuge der Umstellung haben laut Slate 170.000 Organisationen ihre Daten verloren – der Bericht zeigt anhand von betroffenen Organisationen, wie wichtig Exit- und Backupstrategien sind. * ## Kirchenamtliches * **KDSZ Dortmund:** Interimsleitung des Katholischen Datenschutzzentrums * **VDD:** * Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz für den Verband der Diözesen Deutschlands und die Dienststellen und Einrichtungen der Deutschen Bischofskonferenz (KDG-VDD) (KDG-VDD-Änderungsgesetz) * Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz für den Verband der Diözesen Deutschlands und die Dienststellen und Einrichtungen der Deutschen Bischofskonferenz (KDG-VDD-DVO) * **Bischöflich Münstersches Offizialat in Vechta:** Ordnung über die Nutzung Künstlicher Intelligenz * **Erzdiözese Aracaju:** A serviço da missão: Arquidiocese de Aracaju orienta sobre o uso responsável da inteligência artificial na comunicação * **Bistum Limburg:** 2. Gesetz zur Änderung des Gesetzes über den kirchlichen Datenschutz (KDG) – 2. KDG-Änderungsgesetz * * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Noch vor einem Jahr war die Lage übersichtlich: Wer im kirchlichen Raum nach einer veröffentlichten Regelung zum Einsatz Künstlicher Intelligenz suchte, fand die **KI -Nutzungs-Ordnung des Erzbistums Köln** vom 10. Dezember 2024 und sonst wenig. (Montage: fxn) Inzwischen sind es neun, aus sieben katholischen Diözesen und zwei Landeskirchen: nach Köln die Erzdiözese Salzburg (Februar 2026), die Evangelische Kirche von Westfalen und die Erzdiözese Freiburg (März 2026), die Diözese Rottenburg-Stuttgart (April 2026), die Diözese Gurk (Juni 2026), der oldenburgische Teil der Diözese Münster (August 2026) und zuletzt das Erzbistum Paderborn (September 2026), dazu ein undatiertes Papier aus Kurhessen-Waldeck. Die Regelungstiefe reicht von zwölf Paragrafen bis zu sieben Leitsätzen. **Berücksichtigt sind die bis zum 1. September 2026 veröffentlichten Regelungen.** **Inhalte** Verbergen 1 Was für eine Norm ist das eigentlich? 2 Vom Zeitproblem zum Musterproblem 3 Vier Fragen 3.1 Erste Frage: Wird nach dem System gefragt oder nach den Daten? 3.2 Zweite Frage: Wird klassifiziert, bevor gebaut wird? 3.3 Dritte Frage: Der Punkt, an dem das Gesetz die Architektur vorgibt 3.4 Vierte Frage: Die Cloud-Lücke 4 Der Befund im Überblick 5 Nachträge 5.1 Nachtrag aus Köln: zwei Änderungen 5.2 Nachtrag aus Vechta und Paderborn: die beiden Ordnungen, die das KDG nennen 6 Was eine tragfähige KI-Regelung enthalten sollte 7 Warum das Schweigen des KDG kein Freibrief ist 8 Quellen 8.1 Kirchliches Datenschutzrecht 8.2 Kirchliches KI-Recht 8.2.1 Katholisch, Deutschland 8.2.2 Katholisch, Österreich 8.2.3 Evangelisch 8.3 Europarecht ## Was für eine Norm ist das eigentlich? Bevor man sie vergleicht, ist eine Vorfrage zu klären, die im kirchlichen Recht regelmäßig unterschätzt wird. »Ordnung« ist keine kirchenrechtliche Normgattung. Was eine Vorschrift ist, entscheidet sich am Inhalt, an der erlassenden Stelle und daran, ob promulgiert wurde, nicht an der Überschrift. Die Erzdiözese Freiburg liefert die Übersetzungshilfe: Ihr Promulgationsgesetz vom 26. November 2020 stellt in § 1 »Allgemeindekrete bzw. Ordnungen (can. 29 CIC)« den Gesetzen ausdrücklich gleich, und die Übersicht in § 5 ordnet die »Ordnung« dem _Decretum generale_ nach c. 29 CIC zu, mit dem Vermerk, dass solche Dekrete »im eigentl. Sinn Gesetze« sind. Dieselbe Übersicht liegt fünf Jahre später dem Kölner Promulgationsgesetz vom 13. Februar 2025 als Anlage bei. Köln, Freiburg, Paderborn und Vechta sind danach Gesetze: vom Erzbischof beziehungsweise vom Bischöflichen Offizial erlassen, im Amtsblatt promulgiert, nach Art eines Gesetzes regelnd. Der Offizial hat für den Oldenburgischen Teil der Diözese Münster Gesetzgebungsgewalt. Die übrigen fünf stammen von Generalvikaren, vom Konsistorium oder von einer Kirchenleitung und liegen zwischen Verwaltungsvorschrift und Selbstverpflichtung; die Einordnung im Einzelfall ist Sache des Kirchenrechts. Die praktische Folge gehört hierher: **Eine Leitlinie schafft keine Rechtsgrundlage für eine Verarbeitung.** Sie beschreibt den Rahmen, in dem gearbeitet wird; die Zulässigkeit entscheidet sich weiterhin am Datenschutzrecht. ## Vom Zeitproblem zum Musterproblem Die **Kölner Ordnung** tut mehrere Dinge richtig. Sie verlangt, dass Vorhaben vorab mit der IT abgestimmt werden, schreibt eine Prüfpflicht für erzeugte Inhalte fest, untersagt die Eingabe vertraulicher oder personenbezogener Daten auf öffentlichen frei zugänglichen Plattformen und verlangt, den Einsatz nach außen kenntlich zu machen. Für Dezember 2024 war das früh und mutig, und der Punkt dieses Beitrags ist kein Vorwurf an die Verfasserinnen und Verfasser. Er war zunächst ein Zeitproblem: **Die Ordnung ist über ein Jahr älter als das Recht, an dem sie heute zu messen ist.** Die Novellen von KDG und KDG-DVO hat die Vollversammlung des Verbandes der Diözesen Deutschlands am 24. November 2025 beschlossen, in Kraft getreten sind sie in den (Erz-)Diözesen zum 1. März 2026. Bei einem Zeitproblem bliebe es, wenn die späteren Regelungen den neuen Stand abbildeten. Sie tun es nicht. Die **Freiburger KI-Nutzungsordnung** ist vier Tage nach der Novelle in Kraft getreten und übernimmt die Kölner Konstruktion in weiten Teilen wörtlich: denselben Zulässigkeitssatz (»ausschließlich im Kontext der Risikoklassen 4 und 3«), denselben Anhang mit derselben Vierer-Skala bis in die Beispiele hinein, denselben Genehmigungsvorbehalt. Dessen Wortlaut steht zudem gleichlautend in **Salzburg** und **Rottenburg-Stuttgart**. Das ist verständlich, niemand schreibt gern von vorn. Es hat nur eine Folge: **Die Fragen, die eine Vorlage nicht stellt, stellt auch keine der Abschriften.** ## Vier Fragen Woran zu messen ist, lässt sich zu vier Fragen verdichten. Jede stammt aus einer Vorschrift, jede hat eine Konsequenz für den Bau des Systems. ### Erste Frage: Wird nach dem System gefragt oder nach den Daten? § 2 Absatz 2 der Kölner Ordnung lautet: KI darf »ausschließlich im Kontext der Risikoklassen 4 und 3 im Sinne der EU-Verordnung über künstliche Intelligenz eingesetzt werden«. Der Anhang liefert die Skala: Klasse 4 minimales Risiko bis Klasse 1 unannehmbares Risiko. Diese Nummerierung kennt die KI-Verordnung selbst nicht; sie arbeitet mit benannten Kategorien (Artikel 5, 6 und 50) und einem großen Rest ohne besondere Pflichten. Eine Hausskala ist legitim, suggeriert im Zusatz »im Sinne der EU-Verordnung« aber mehr Verbindlichkeit, als der Verordnungstext hergibt. Schwerer wiegt der zweite Punkt. **Die Risikoklasse der KI-Verordnung und der Schutzbedarf des kirchlichen Datenschutzrechts messen zwei verschiedene Dinge.** Die KI-Verordnung fragt, welches Risiko vom System für die Grundrechte der betroffenen Menschen ausgeht. Das KDG fragt, welche Daten verarbeitet werden. Sie laufen in der praktisch häufigsten Konstellation auseinander. Ein Assistenzsystem, in dem Mitarbeitende Texte entwerfen und Dokumente zusammenfassen, ist nach der Skala des Anhangs ein Fall der Klasse 4 und passiert das Tor der Ordnung ohne Weiteres. Ob in dieses System Gesprächsnotizen aus der Seelsorge eingegeben werden, ist für die Risikoklasse ohne jede Bedeutung, für die Zulässigkeit nach kirchlichem Recht aber entscheidend. **Prüffrage 1: Regelt die Vorschrift, welche Daten hineindürfen, oder nur, welches System benutzt werden darf?** ### Zweite Frage: Wird klassifiziert, bevor gebaut wird? § 9 KDG-DVO verlangt die Einordnung in eine der drei Datenschutzklassen, unter Berücksichtigung der Art der Daten und des Ausmaßes der möglichen Gefährdung. Absatz 5 enthält den Satz, der in der Praxis am meisten bewirkt: > »Erfolgt keine Einordnung, gilt automatisch die Datenschutzklasse III, sofern nicht die Voraussetzungen des § 14 vorliegen.« Wer nicht klassifiziert, hat nicht etwa nichts entschieden, sondern die strengste der drei Klassen gewählt, mitsamt den Mindestmaßnahmen aus § 13. Der Halbsatz am Ende verschiebt die Messlatte noch einmal: Liegen die Voraussetzungen des § 14 vor, ist Klasse III nicht die Obergrenze, sondern der Ausgangspunkt. Die Klassifizierung gehört damit vor die Auswahl des Systems. Wer erst eine Plattform beschafft und anschließend fragt, welche Daten hineindürfen, hat die Reihenfolge umgedreht und wird die Antwort in der Regel nicht mögen. In keiner der fünf deutschen katholischen Regelungen kommen die Datenschutzklassen vor. Drei nennen das kirchliche Datenschutzrecht überhaupt: Rottenburg-Stuttgart mit der Datenschutz-Folgenabschätzung nach § 35 KDG vor der Freigabe eines Hochrisiko-Systems, Paderborn mit einem Verweis auf KDG und KDG-DVO für den Fall, dass ausnahmsweise personenbezogene Daten verarbeitet werden, Vechta mit der Anordnung, dass beide einzuhalten sind. Das ist mehr als anderswo, setzt aber erst dort an, wo § 9 KDG-DVO längst eine Entscheidung verlangt hätte. **Prüffrage 2: Verlangt die Vorschrift eine Klassifizierung vor der Inbetriebnahme, und benennt sie, wer sie vornimmt?** § 9 Absatz 3 KDG-DVO beantwortet den zweiten Teil: Die Einordnung nimmt der Verantwortliche vor, in der Regel bei Erstellung des Verzeichnisses von Verarbeitungstätigkeiten; die oder der betriebliche Datenschutzbeauftragte soll dabei angehört werden. ### Dritte Frage: Der Punkt, an dem das Gesetz die Architektur vorgibt § 14 KDG-DVO ist die Vorschrift, die in keiner KI-Regelung fehlen dürfte, und sie fehlt in allen neun. Absatz 2 ist absolut formuliert. Das Beichtgeheimnis nach cc. 983 f. CIC ist zu wahren, und personenbezogene Daten, die ihm unterliegen, »dürfen nicht verarbeitet werden«. Kein Schutzniveau, keine Maßnahme, keine Einwilligung. Für den Bau eines Systems ist das keine Abwägung, sondern eine Grenze. Absatz 3 regelt das Seelsorgegeheimnis: Verarbeitung nur, wenn »dem besonderen Schutzniveau angepasste, erforderlichenfalls über das Schutzniveau der Datenschutzklasse III hinausgehende technische und organisatorische Maßnahmen ergriffen werden«. Und dann kommt Absatz 4, der für alle interessant ist, die solche Systeme tatsächlich aufsetzen. Der Verordnungsgeber sagt selbst, wie eine solche Maßnahme aussehen kann: > »Eine Maßnahme im Sinne des Absatz 3 kann, wenn die Verarbeitung auf IT-Systemen erfolgt, insbesondere die Unterhaltung eines eigenen Servers bzw. einer eigenen Datenablage in einem Netzwerk ohne externe Datenverbindung sein.« Das ist bemerkenswert, weil ein Datenschutzrecht hier ausnahmsweise nicht bei Schutzzielen stehen bleibt, sondern eine Bauform benennt. Ein Netzwerk ohne externe Datenverbindung ist keine Compliance-Formulierung, das ist eine Architekturentscheidung mit Folgen für Modellauswahl, Hardware und Betrieb. Wer in diesem Datenbereich ein Sprachmodell einsetzen will, findet die Antwort auf die Frage »Cloud oder eigener Server« nicht in einer Marktübersicht, sondern im Verordnungstext. Absatz 6 erstreckt all das auf Daten, die in vergleichbarer Weise schutzbedürftig sind, und dürfte in sozialen Einrichtungen häufiger einschlägig sein, als die Überschrift des Paragrafen vermuten lässt. Dass ausgerechnet eine evangelische Kurzleitlinie das Seelsorgegeheimnis beim Namen nennt, ist die auffälligste Beobachtung dieses Vergleichs. Westfalen verbietet die Eingabe von Daten aus Seelsorge, Personal, Gesundheit und Missbrauchskontexten schlicht. Das ist kein Ersatz für § 14, der eine Betriebsform verlangt statt eines Verbots, aber es ist die richtige Frage. Auf katholischer Seite kommt allein Vechta in die Nähe, dazu der Nachtrag am Ende. **Prüffrage 3: Sagt die Vorschrift etwas zu Beicht- und Seelsorgegeheimnis, und zieht sie daraus eine Konsequenz für die Betriebsform des Systems?** ### Vierte Frage: Die Cloud-Lücke § 3 Absatz 2 der Kölner Ordnung untersagt die Eingabe vertraulicher und personenbezogener Daten auf »öffentlichen frei zugänglichen KI-Plattformen«, in der Fußnote ChatGPT und OpenAI. Das trifft den offensichtlichen Fall. Der praktische Regelfall ist inzwischen ein anderer: ein bezahlter Dienst mit Auftragsverarbeitungsvertrag, europäischem Rechenzentrum und vertraglich zugesichertem Trainingsausschluss. Dazu schweigt die Ordnung, und genau dort greift der Paragraf, den die Novelle neu eingefügt hat. § 18 KDG-DVO regelt die Nutzung von Cloud-Diensten. Absatz 1 verlangt, primär bereits geprüfte und freigegebene Dienste zu nutzen. Absatz 2 benennt neun Aspekte, die ein erhöhtes Risiko darstellen können, darunter mangelnde Portabilität, Abhängigkeit mangels Wechselmöglichkeit und Unkenntnis über den Speicherort. Und Absatz 3 lautet: > »Vor der Nutzung des Cloud-Dienstes ist in Abhängigkeit von der Risikoanalyse eine Exit-Strategie zu definieren (z. B. Datenlöschung, Datenübertragung).« Zwei Wörter tragen den Satz: **vor** der Nutzung, und **Strategie**. Nicht nach dem Pilotbetrieb, nicht als Klausel im Vertragsanhang. Den ersten Absatz erfüllen mehrere Häuser bereits mit Positivlisten, ohne ihn zu zitieren. Eine Exit-Strategie verlangt keine der neun Regelungen. Für KI-Systeme ist diese Pflicht unbequemer als für klassische Software, weil ein Teil des Bestands technisch nicht wandert. Chatverläufe und hochgeladene Dokumente lassen sich in der Regel exportieren. Der Vektorindex einer Dokumentensuche ist dagegen an Modell und Einbettungsverfahren gebunden und beim nächsten Anbieter wertlos; er muss neu erzeugt werden, was voraussetzt, dass die Ausgangsdokumente noch vollständig vorhanden sind. Wer eine Exit-Strategie schreibt, ohne diesen Punkt zu prüfen, hat eine Löschzusage abgegeben, die er nicht belegen kann. **Prüffrage 4: Verlangt die Vorschrift vor der Inbetriebnahme eine Risikobewertung nach den neun Aspekten und eine definierte Exit-Strategie?** ## Der Befund im Überblick Regelung| Datenregel| Klassifizierung vorab| Beicht- und Seelsorgegeheimnis| Freigabeliste / Exit ---|---|---|---|--- Köln| teilweise, Freigabe durch die oder den DSB| nein| nein| nein / nein Freiburg| ja, Genehmigung ab Personenbezug| nein| nein| nein / nein Paderborn| ja, Eingabeverbot mit Genehmigungsvorbehalt| nein| nein| ja / nein Vechta| ja, Freigabevorbehalt ab Personenbezug| nein| mittelbar, über § 203 StGB| nein / nein Rottenburg-Stuttgart| ja, Eingabeverbot mit Ausnahmen| teilweise, DSFA nur bei Hochrisiko| nein| ja / nein Gurk| ja, Datenarten einzeln benannt| nein| nein| ja / nein Salzburg| ja| nein| nein| ja / nein Westfalen| ja, Seelsorge ausdrücklich| nein| als Eingabeverbot| ja / nein Kurhessen-Waldeck| ja, Daten nach Sensibilität| teilweise| nein| nein / nein **Ein Hinweis zur Lesart:** Der Maßstab ist nicht überall derselbe. KDG und KDG-DVO gelten für Köln, Freiburg, Paderborn, Vechta und Rottenburg-Stuttgart. Die österreichischen Diözesen argumentieren aus der DSGVO und dem Datenschutzdekret der Österreichischen Bischofskonferenz von 2018, die beiden Landeskirchen aus dem DSG-EKD. Die vier Fragen lassen sich an jede der Regelungen stellen; nur die Vorschrift, aus der die Antwort zu holen ist, wechselt. ## Nachträge ### Nachtrag aus Köln: zwei Änderungen Die Kölner Ordnung ist seit ihrem Erlass zweimal angefasst worden. Am 12. Februar 2025 hat der Erzbischof gemäß c. 16 CIC klargestellt, dass der weite Wortlaut des § 1 (»alle Institutionen und Einrichtungen im Erzbistum Köln«) für die Einrichtungen gilt, die durch den Bereich IT & Digitalisierung des Generalvikariates betreut werden. Für die Praxis ist das keine Kleinigkeit: Die Regelung adressiert damit gerade nicht die rechtlich selbstständigen Träger, in denen die schutzbedürftigsten Daten anfallen, von der Caritas bis zum Krankenhaus. Diese Häuser brauchen eine eigene Regelung und können sich für deren Fehlen nicht auf das Bistum berufen. Am 14. Juli 2026 wurde § 6 Absatz 2 geändert, in Kraft seit dem 1. August 2026: Die Genehmigung für ein eigenes KI-System setzt nun zusätzlich die Zustimmung des KI-Governance-Boards des Erzbistums voraus. Köln hat damit als erstes der neun Häuser eine benannte Instanz für KI-Entscheidungen in den Normtext geschrieben, und zwar für genau die Betriebsform, die § 14 Absatz 4 KDG-DVO für Daten des Seelsorgegeheimnisses nahelegt. ### Nachtrag aus Vechta und Paderborn: die beiden Ordnungen, die das KDG nennen Zwei der neun Regelungen benennen das kirchliche Datenschutzrecht ausdrücklich. Beide sind am selben Tag erlassen worden, am 23. Juli 2026, ein halbes Jahr nach der Novelle, und beide zeigen den Befund dieses Beitrags in seiner klarsten Form: **Das maßgebliche Recht war bekannt, es steht als Verweis im Text, und keine der vier Fragen ist gestellt.** Die frühere von beiden gilt seit dem 1. August 2026 im **Oldenburgischen Teil der Diözese Münster** , erlassen vom Bischöflichen Offizial in Vechta. § 3 Absatz 5 stellt KI-Verordnung, KDG und KDG-DVO nebeneinander: Sie »gelten in ihrer jeweils gültigen Fassung und sind stets von den Mitarbeitenden einzuhalten«. Mehr steht dort nicht. Klassifiziert wird nach der Vierer-Skala des Anhangs, freigegeben sind die Klassen 3 und 4 (§ 2 Absatz 1), die Kölner Konstruktion also, diesmal ohne die Zuordnung zu den benannten Kategorien der KI-Verordnung. Eine Besonderheit hat Vechta gleichwohl. § 1 nennt die Seelsorge ausdrücklich im Geltungsbereich, und § 3 Absatz 3 knüpft die Eingabe von Gesundheitsdaten und »Daten mit besonderem Vertrauensschutz (wie dem § 203 StGB)« an die vorherige schriftliche Einwilligung der betroffenen Person. Das ist der einzige Ort in den neun Regelungen, an dem für diese Daten die betroffene Person entscheidet und nicht eine interne Freigabe. Näher kommt keine an die dritte Frage heran, beantwortet ist sie trotzdem nicht. Für das Beichtgeheimnis trägt eine Einwilligung nicht: c. 983 § 1 CIC verbietet dem Beichtvater den Verrat »auf irgendeine andere Weise und aus irgendeinem Grund«, und § 14 Absatz 2 KDG-DVO untersagt die Verarbeitung dieser Daten ohnehin. Eine Folge für die Betriebsform des Systems zieht auch Vechta nicht. **Paderborn** , in Kraft seit dem 1. September 2026, regelt ausführlicher. Personenbezogene Daten, vertrauliche Informationen und Organisationsgeheimnisse dürfen grundsätzlich nicht eingegeben werden; ist die Verarbeitung ausnahmsweise von der Leitung genehmigt, sind »die Regelungen des Datenschutzrechts, insbesondere des KDG und der KDG-DVO, einzuhalten« (§ 4 Absätze 1 bis 4). Am nächsten kommt § 4 Absatz 3, der für »Daten mit besonderem Vertrauensschutz« eine ausdrückliche Genehmigung verlangt, ohne daraus eine Folge für die Betriebsform zu ziehen. Auch hier entscheidet das System über die Zulässigkeit (§ 3 Absatz 4), immerhin mit sauberer Zuordnung der vier Klassen zu den Kategorien der KI-Verordnung. Aufmerksamkeit verdient der Geltungsbereich, aus demselben Grund wie in Köln. § 1 Absatz 1 zählt Dienststellen und Einrichtungen des Erzbistums, den Erzbischöflichen Stuhl, das Metropolitankapitel, eine Stiftung, die Gemeindeverbände und die Kirchengemeinden auf; die rechtlich selbstständigen Träger sind nicht dabei. Absatz 2 zieht die Grenze ein zweites Mal, nun der Sache nach: Gegenstand sind »allgemein verfügbare KI-Systeme, die nicht in einem unmittelbaren Zusammenhang mit der Berufsausübung stehen«, und »integrierte KI-Funktionen in Systemen unterfallen deshalb nicht den Bestimmungen dieser Ordnung«. Geregelt ist damit das frei zugängliche Werkzeug, das sich jemand im Browser öffnet. Die Künstliche Intelligenz, die im Fachverfahren, im Dokumentenmanagement und im Büropaket ohnehin schon mitläuft, bleibt außerhalb, und dort liegen die schutzbedürftigen Daten. ## Was eine tragfähige KI-Regelung enthalten sollte Aus den vier Fragen ergibt sich eine knappe Liste. Sie ersetzt keine Prüfung des Einzelfalls und keine rechtliche Bewertung; die gehört zur oder zum betrieblichen Datenschutzbeauftragten. Sie beschreibt nur, woran ein Vorhaben in der Praxis scheitert. 1. **Eine Datenregel, nicht nur eine Systemregel.** Welche Datenarten dürfen hinein, welche nicht, und wer entscheidet das im Zweifel. 2. **Klassifizierung vor Beschaffung** , mit Benennung des Verantwortlichen, Anhörung der oder des Datenschutzbeauftragten und dem Hinweis auf die Rechtsfolge des § 9 Absatz 5 KDG-DVO. 3. **Eine Aussage zu § 14.** Beichtgeheimnis als absolute Grenze, Seelsorgegeheimnis mit der Feststellung, dass hier eine andere Betriebsform nötig sein kann. 4. **Cloud-Regel mit Exit-Strategie** , für jeden Dienst, der nicht bereits geprüft freigegeben ist. 5. **Ein Änderungsverfahren.** Modelle und Unterauftragsverarbeiter wechseln im Monatsrhythmus. Eine Regelung ohne Regel für den Modellwechsel ist nach einem halben Jahr überholt, ohne dass es jemandem auffällt. 6. **Eine Fassungsangabe und ein Überprüfungsdatum.** Für die letzten beiden Punkte gibt es die Vorbilder inzwischen im eigenen Haus. Rottenburg-Stuttgart schreibt in § 9 der Nutzungsrichtlinie eine Evaluation spätestens alle zwei Jahre vor. Westfalen befristet die eigene Kurzleitlinie von vornherein auf 18 Monate, bis zum 30. August 2027, mit einem benannten Arbeitsprogramm für diese Zeit. Das ist die ehrlichste Bauform in einem Feld, das sich schneller bewegt als der Normgeber: **sie sagt selbst, wann sie abläuft.** Am anderen Ende steht die Leitlinie aus Kurhessen-Waldeck, die weder Erlassdatum noch Fassungsangabe noch eine Fundstelle in einem Amtsblatt trägt. ## Warum das Schweigen des KDG kein Freibrief ist Ein Einwand, der in Gesprächen regelmäßig kommt: Im KDG und in der KDG-DVO stehe nichts zu Künstlicher Intelligenz, also seien diese Vorschriften für KI-Vorhaben auch nicht der Maßstab; maßgeblich sei die KI-Verordnung. Das Gegenteil trifft zu. Das kirchliche Datenschutzrecht ist technikneutral formuliert, und technikneutrale Vorschriften greifen bei neuer Technik sofort und vollständig, ohne dass sie geändert werden müssten. Die KI-Verordnung entfaltet ihre einschneidenden Pflichten für Hochrisiko-Systeme dagegen erst am 2. Dezember 2027, für in Produkte eingebettete Systeme am 2. August 2028. Wer seine KI-Regelung entlang der KI-Verordnung baut, regelt vorrangig ein Recht, dessen Kern noch nicht anwendbar ist, und lässt das Recht ungeregelt, das seit dem 1. März 2026 gilt. Alle neun Regelungen sind so gebaut. Das erklärt den Befund in der Tabelle besser als jeder Vorwurf an einzelne Verfasserinnen und Verfasser: Geregelt wurde die Vorschrift, über die alle sprachen, und nicht die, die galt. Für die Praxis heißt das nichts Dramatisches, sondern etwas Beruhigendes: Der Maßstab ist bekannt, er liegt vor, und er ist bei den Datenschutzbeauftragten der Häuser gut aufgehoben. Es gibt bis zum Dezember 2027 Zeit, KI-Vorhaben ordentlich aufzusetzen, statt sie später nachzurüsten. Diese Zeit nutzt aber nur, wer sie an der richtigen Vorschrift verbringt. ## Quellen Alle am 14. August 2026 an der Primärquelle geprüft; die Paderborner Ordnung, die beiden Promulgationsgesetze und § 9 KDG-DVO am 28. August 2026; die Ordnung aus Vechta und c. 983 CIC am 1. September 2026. ### Kirchliches Datenschutzrecht * **Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz ( KDG-DVO)** in der Fassung des Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 19. November 2018, geändert durch Beschluss der Vollversammlung vom 24. November 2025; in den (Erz-)Diözesen in Kraft zum 1. März 2026. Zitiert: § 9 Absätze 1 bis 7, § 14 Absätze 2 bis 6, § 18 Absätze 1 bis 3. Online: Lesefassung des VDD. * **Codex Iuris Canonici** , cc. 983 f. (Beichtgeheimnis) und c. 29 (Allgemeindekret). Zitiert: c. 983 § 1. Online: CIC, deutsche Übersetzung. ### Kirchliches KI-Recht #### Katholisch, Deutschland * **Ordnung über die Nutzung Künstlicher Intelligenz durch Einrichtungen und Institutionen im Erzbistum Köln ( KI-Nutzungs-Ordnung)** vom 10. Dezember 2024, Amtsblatt des Erzbistums Köln, Stück 1, 165. Jahrgang, 1. Januar 2025, Nr. 2, S. 3 f. Online: Amtsblatt Köln 1/2025. * **Klarstellung gemäß can. 16 CIC zum Geltungsbereich der KI-Nutzungs-Ordnung** vom 12. Februar 2025, Amtsblatt des Erzbistums Köln, Stück 3, 1. März 2025, Nr. 46, S. 72. Im selben Stück, Nr. 45, S. 69 ff., das **Gesetz über die Promulgation diözesaner Normen und die Veröffentlichung des »Amtsblatt des Erzbistums Köln« (Promulgationsgesetz – PromG)** vom 13. Februar 2025; die Anlage »Übersicht der Nomenklatur« auf S. 71 f. Online: Amtsblatt Köln 3/2025. * **Änderung der KI-Nutzungs-Ordnung** vom 14. Juli 2026, Amtsblatt des Erzbistums Köln, Stück 8, 1. August 2026, Nr. 205, S. 398; in Kraft zum 1. August 2026. Online: Amtsblatt Köln, 8/2026. * **Ordnung über die Nutzung Künstlicher Intelligenz in der Erzdiözese Freiburg ( KI-Nutzungsordnung)** vom 27. Februar 2026, Kirchliches Amtsblatt der Erzdiözese Freiburg, Ausgabe 2026/5, Nr. 308; in Kraft zum 5. März 2026. Online: Amtsblatt Freiburg 5/2026. * **Gesetz über die Bekanntmachung diözesaner Gesetze (Promulgationsgesetz – PromG)** vom 26. November 2020, ABl. 2020, S. 486; in Kraft zum 1. Januar 2021. Zitiert: § 1 und die Übersicht in § 5. Online: Promulgationsgesetz Freiburg. * **Ordnung zur Nutzung Künstlicher Intelligenz ( KI) im Erzbistum Paderborn (KI-Ordnung – KIO)** vom 23. Juli 2026, Kirchliches Amtsblatt für die Erzdiözese Paderborn, 169. Jahrgang, Stück 8 vom 18. August 2026, Nr. 107; in Kraft zum 1. September 2026. Zitiert: § 1 Absätze 1 und 2, § 3 Absatz 4, § 4 Absätze 1 bis 4. Online: Amtsblatt Paderborn 2026/8. * **Ordnung über die Nutzung Künstlicher Intelligenz** des Bischöflich Münsterschen Offizialates in Vechta vom 23. Juli 2026, Kirchliches Amtsblatt Münster 2026, Nr. 9, Art. 152, S. 475 ff.; in Kraft zum 1. August 2026. Zitiert: § 1, § 2 Absätze 1 und 4, § 3 Absätze 2, 3 und 5 sowie der Anhang. Online: Kirchliches Amtsblatt Münster 9/2026. * **Leitlinie für den Einsatz von Künstlicher Intelligenz für Mitarbeitende im kirchlichen Dienst der Diözese Rottenburg-Stuttgart** (BO-Nr. 529 vom 9. Februar 2026) und **Nutzungsrichtlinie für die Verwendung von Künstlicher Intelligenz in der Diözese Rottenburg-Stuttgart** vom 23. Februar 2026, in Kraft zum 1. April 2026; Kirchliches Amtsblatt Rottenburg-Stuttgart 2026, Nr. 5 vom 16. März 2026, S. 135 ff. Online: Amtsblatt Rottenburg-Stuttgart 5/2026. #### Katholisch, Österreich * **Richtlinie zur Nutzung von Künstlicher Intelligenz ( KI) in der Katholischen Kirche Kärnten**, Kirchliches Verordnungsblatt für die Diözese Gurk 2026, Nr. 2, S. 5 ff.; in Kraft zum 15. Juni 2026. Online: Kirchliches Verordnungsblatt Gurk 2/2026 * **KI -Nutzungsrichtlinie der Erzdiözese Salzburg**, Verordnungsblatt der Erzdiözese Salzburg 2026, Nr. 2, S. 46 ff.; in Kraft zum 1. Februar 2026. Online: Amtsblatt Salzburg 2/2026. * Dort als Datenschutzrahmen in Bezug genommen: **Dekret der Österreichischen Bischofskonferenz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten**. Online: ABl. ÖBK Nr. 74 vom 1. Januar 2018. #### Evangelisch * **Kurzleitlinie zum Einsatz von Künstlicher Intelligenz für die Evangelische Kirche von Westfalen und ihre Körperschaften sowie Ämter und Einrichtungen** vom 19. Februar 2026, Kirchliches Amtsblatt der EKvW 2026, Nr. 18; in Kraft zum 1. März 2026, befristet bis zum 30. August 2027. Online: Kurzleitlinie EKVW. * **Leitlinie zum Umgang mit Künstlicher Intelligenz ( KI) in der Evangelischen Kirche von Kurhessen-Waldeck**, veröffentlicht auf ekkw.de, ohne Erlassdatum und ohne Fundstelle in einem Amtsblatt. Online: KI-Leitlinie EKKW. ### Europarecht * **Verordnung (EU) 2024/1689** vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, ABl. L, 2024/1689, 12. Juli 2024. Kategorien: Artikel 5 (verbotene Praktiken), Artikel 6 (Hochrisiko), Artikel 50 (Transparenzpflichten). Online: KI-Verordnung in EUR-Lex. * **Umsetzungszeitplan der KI-Verordnung**, AI Act Service Desk der Europäischen Kommission, Stand 12. August 2026: Artikel 50 ab 2. August 2026, neue Verbote 2. Dezember 2026, Hochrisiko nach Anhang III 2. Dezember 2027, Hochrisiko nach Anhang I 2. August 2028. Online: Timeline. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Letzter regulärer Arbeitstag im KDSZ Dortmund 1.2 JZ Help zum Berliner Jehovas-Zeugen-Urteil 1.3 Auskunft bei Jehovas Zeugen in Norwegen 1.4 Schluss mit den KI-generierten Plakaten! 1.5 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Letzter regulärer Arbeitstag im KDSZ Dortmund Am Montag, 31. August, endet (wahrscheinlich) die zweite und letzte Amtszeit des NRW-Diözesandatenschutzbeauftragten Steffen Pau. Seine Nachfolgerin Jennifer Esch steht schon fest, sie wird ihr Amt aber erst Anfang 2027 antreten. Wie genau die Übergangszeit ablaufen wird, ist noch nicht bekannt: In der Mitteilung der Nachfolge hieß es, dass Pau zum 1. September eine neue Aufgabe wahrnehmen werde, § 43 Abs. 1 KDG sieht aber vor, dass die Amtszeit mit Amtsübernahme der Nachfolge endet. In der PM hieß es: »In der Übergangszeit ist die Wahrnehmung der Funktion des Datenschutzbeauftragten und der Leitung des Katholischen Datenschutzzentrums gesichert« – denkbar ist, dass eine dauerhafte Verhinderung des DDSB gemäß § 43 Abs. 6 KDG angenommen wird. Dann müssen die Diözesanbischöfe eine Interims-Leitung ernennen – mit den September-Amtsblättern wissen wir also wahrscheinlich mehr. ### JZ Help zum Berliner Jehovas-Zeugen-Urteil Die Menschenrechtsorganisation JZ Help begrüßt das Berliner Urteil zu Jehovas Zeugen, das hier in der vergangenen Woche besprochen wurde. Sie sieht darin einen »juristischen Meilenstein«: > »Es entzaubert den Mythos, dass Religionsgemeinschaften im Windschatten des Körperschaftsstatus eine datenschutzrechtliche ›Insel der Seligen‹ betreiben dürfen. Auch wenn das Urteil noch nicht rechtskräftig ist, da die Jehovas Zeugen in Berufung gegangen sind, folgt es der bisherigen Rechtsprechung des EuGH: Religionsgemeinschaften stehen nicht über den _[sic]_ Datenschutz. Datenschutz bedeutet keinen Eingriff in die Religionsfreiheit.« ### Auskunft bei Jehovas Zeugen in Norwegen Und noch einmal Jehovas Zeugen: Die norwegische Zeitung Dagen berichtet über einen Fall, der die Datenschutzbehörde Datatilsynet beschäftigt. Der Streit dreht sich darum, ob und welche Daten die Religionsgemeinschaft fünf Jahre nach dem Austritt eines Mitglieds speichern darf. Momentan befasst sich das Verfahren anscheinend noch mit der Frage, ob es ein rein norwegischer Fall ist oder ob das für Norwegen zuständige Zweigbüro der Gemeinschaft, das in Dänemark sitzt, mitverantwortlich für die Datenverarbeitung ist und mithin die dänische Datenschutzaufsicht beteiligt werden muss. Von der Aufsicht gibt es noch keine Stellungnahme zu dem Fall. Es ist aber auch nicht die erste Befassung mit Jehovas Zeugen: Schon 2021 berichtete die Behörde über eine Prüfung des Umgangs mit personenbezogenen Daten. In den Tätigkeitsberichten seither taucht der Fall nicht mehr auf. Im aktuellen Bericht für 2025 tauchen aber zwei Widersprüche gegen Entscheidungen der Datenschutzaufsicht auf, mit denen Verfahren gegen Jehovas Zeugen ohne Feststellung eines Datenschutzverstoßes eingestellt wurden. (Bei der für Beschwerden zuständigen Datenschutzkommission Personvernnemnda finden sich unter den genannten Aktenzeichen PVN-2025-23 und PVN-2025-58 noch keine Entscheidungen.) ### Schluss mit den KI-generierten Plakaten! Meine Kollegin Beate Kampen kommentiert bei katholisch.de die Unsitte, die immer gleich geleckt und seelenlos aussehenden KI-generierten Plakate in der Kirche zu verwenden: > »Papst Leo XIV. hat schon im Titel seiner ersten Enzyklika ›Magnifica humanitas‹ klargemacht: Wir müssen im Zeitalter der KI das Menschliche bewahren. Eine Predigt mit einem Textgenerierungsprogramm schreiben zu lassen, steht dem klar entgegen, sagt er. KI könne nicht den Glauben vermitteln. Das gilt auch für KI-Plakate: Zwischen all den Grafiken, Bildern, riesigen Slogans und Infoboxen erkennt der Betrachter nicht, wer dahintersteckt: nämlich Menschen, die an anderen Individuen interessiert sind und den gemeinsamen Glauben leben wollen.« Amen! ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * – ## Aus der Welt * Browser verraten extrem viel – wie viel, weiß man vielleicht theoretisch, praktisch zeigt »cookie«, eine Webapp/Performance/Analysesoftware von Kuber Mehta, wie Fingerprinting ganz ohne Cookies geht. * ## Kirchenamtliches * **Erzbistum München und Freising:** 2. Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz (KDG) (2. KDG-Änderungsgesetz) * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Taufbuchlöschung in Belgien und Irland 1.2 Belastende Kirchenjustiz 1.3 VG Berlin hebt Bescheid der Aufsicht von Jehovas Zeugen auf 1.4 Musterdienstvereinbarung KI nach MVG-EKD 1.5 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Taufbuchlöschung in Belgien und Irland Die Nijmegener Religionsverfassungsrechtlerin Sophie van Bijsterveld vergleicht in einem Aufsatz in der »Review of Faith & International Affairs« (Open Access) die Entscheidungen der belgischen und der irischen Datenschutzaufsicht zu Löschrechten im Taufbuch. Die irische Untersuchung, die die Aufsicht auf eigene Initiative angestoßen hatte, stellte kein Löschrecht fest. Die belgische Entscheidung, die zu einem EuGH-Vorabentscheidungsverfahren geführt hat (hier ausführlich zur mündlichen Verhandlung), sieht ein Löschrecht. Bijsterveld kommt zu dem Schluss, dass die Entscheidung der belgischen Aufsicht massive Defizite hat: Insbesondere verkenne sie, dass hier nicht bloße »Interessen« der Kirche gegen grundrechtlich geschützte Positionen der betroffenen Personen stehen, sondern stattdessen auch die Kirche sich auf Grundrechte berufen kann. Ein weiterer Kritikpunkt ist der Umgang mit kanonischem Recht: Recht freihändig dekretiert die Aufsicht, wie die Kirche ihr eigenes Recht interpretieren soll. Das Fazit ist daher sehr deutlich: > »The previous analysis has shown that the Belgian DRC has interpreted the relevant provisions in almost all respects in favor of the applicant and to the detriment of the Roman Catholic Church. Reasonableness in the interpretation and balancing of interests is lacking. Reasonableness in the interpretation of legal concepts, reasonableness in the balancing of interests, and reasonableness of outcomes of an assessment of a specific dispute are essential dimensions of justice.« ### Belastende Kirchenjustiz Im DLF-Interview äußert sich die Unabhängige Bundesbeauftragte gegen sexuellen Missbrauch von Kindern und Jugendlichen Kerstin Claus (ab etwa Minute 18) zum Datenschutzvorfall beim evangelischen Betroffenennetzwerk BeNe. Dabei geht sie auch auf die besondere Rolle des kirchlichen Datenschutzrechts im Zusammenhang mit Missbrauchsbetroffenen ein. Dass Betroffene aus kirchlichen Kontexten ihr Recht über kirchliche Aufsichts- und Justizinstitutionen durchsetzen müssen statt über staatliche, sei ein Problem. »Das sind Einschränkungen, die für Betroffene nicht funktionieren, die ihnen nicht zuzumuten sind. Hier liegen mir unterschiedliche Berichte vor und es ist immer wieder das Gleiche: ›Das halte ich nicht aus. Ich kann mich nicht gerichtlich mit der Institution vor einem kirchlichen Gericht streiten. Das schaffe ich nicht‹ – das sagen Betroffene.« Ausführlich zu dieser Problematik haben sich auch Martin Pusch und Philipp Schenke vor einigen Jahren in einem Aufsatz in der NVwZ geäußert. Claus erwähnt auch allgemein, dass vor kirchlichen Gerichten nur Verfahrensbevollmächtigte auftreten dürfen, die Kirchenmitglied sind. Das gilt grundsätzlich gemäß § 21 EKD-Kirchengerichtsgesetz. Vor den katholischen Datenschutzgerichten gibt es keine solche Einschränkung, aber auch nur, weil das Gericht der Auffassung ist, dass das universalkirchliche Prozessrecht nicht anzuwenden ist. Der einschlägige c. 1483 CIC schreibt vor, dass Anwält*innen grundsätzlich katholisch sein müssen, für sonstige Prozessbevollmächtigte gibt es keine derartige Einschränkung. Schließlich geht es auch noch um den Datenschutz in Bezug auf Beschuldigte. Hier sieht Claus ein zu zögerliches Vorgehen der Kirchen. Es fehle am Mut, zu einer Veröffentlichung zu stehen und im Konfliktfall gerichtlich klären zu lassen, was zulässig ist: »Wenn wir also von vornherein jede gerichtliche Prüfung ausschließen, weil wir sagen, der Datenschutz gibt uns vor, wir dürfen keine Täternamen auch von verstorbenen Tätern nennen, dann verhindert Kirche ja gerade diese gerichtliche Rechtsgüterabwägung.« Datenschutz hält sie für ein Scheinargument, weil man ohnehin keine Transparenz herstellen wolle. »Beide Kirchen müssten mehr in diese Haltung gehen, zu sagen, Aufarbeitung bedeutet auch Transparenz. Und dann müssen wir schauen, wie weit diese Transparenz gehen kann und darf im Sinne der Betroffenen. Und wenn wir mal zu weit gegangen sind, dann muss das eben ein Gericht feststellen. Und dann haben wir klare Leitplanken, was geht und was nicht geht«, so Claus. ### VG Berlin hebt Bescheid der Aufsicht von Jehovas Zeugen auf Das VG Berlin hat einen Bescheid der Datenschutzaufsicht von Jehovas Zeugen aufgehoben und einen Anspruch auf Auskunft gemäß der DSGVO festgestellt (Urteil 42 K 25/25 vom 17. Juni 2026, Kurzzusammenfassung im GDPR Hub). In der Sache ging es darum, ob ein Auskunftsanspruch hinsichtlich eines »Einführungsschreibens« besteht, das Gemeindeleitungen anlässlich von Wechseln der Versammlung verschicken und das Informationen über das religiöse Verhalten der Gläubigen enthält. Die Entscheidung des VG Berlin ist gleich mehrfach bemerkenswert: 2024 hatte das VG Berlin (allerdings eine andere Kammer) sich noch nicht für zuständig gesehen. Hier stellt das VG nun zunächst fest, dass es sehr wohl zuständig sei, weil es einen gerichtlichen Rechtsbehelf im Religionsrecht von Jehovas Zeugen gerade nicht gibt. Im nächsten Schritt wurde festgestellt, dass das Auskunftsrecht im Datenschutzgesetz von Jehovas Zeugen nicht angewendet werden kann: »Die Datenschutz-Grundverordnung ist anwendbar. § 9 Abs. 3 Nr. 1 i. V. m. § 8 Abs. 1 Nr. 4 DSGJZ bleibt hinter deren Schutzniveau zurück und entfaltet keine Rechtswirkung.« Im Rahmen des Verfahrens wurde ein Gutachten durch die Religionsgemeinschaft eingebracht, auf das punktuell verwiesen wird, das aber nicht mit der Entscheidung veröffentlicht wurde. ### Musterdienstvereinbarung KI nach MVG-EKD Nils Peters hat eine umfangreiche und sehr gut erläuterte Musterdienstvereinbarung zu KI in evangelischen Einrichtungen veröffentlicht. Die Vorlage dürfte sehr hilfreich sein, eigene KI-Dienstvereinbarungen auszuhandeln; für katholische Einrichtungen, die die MAVO anwenden, ist entsprechend mehr Transferarbeit zu leisten. Aus dem Echtbetrieb sind mindestens zwei evangelische KI-Dienstvereinbarungen bekannt: eine Rahmen-DV in der Landeskirche Bayern (mit Anlagen) sowie eine Rahmen-DV in der Landeskirche Kurhessen-Waldeck. ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 – ## Aus der Welt * Der LfDI MV hat einen KI-Leitfaden für kleine Organisationen in Mecklenburg-Vorpommern veröffentlicht. Der Leitfaden zielt bewusst auf KI-Systeme, die nicht in den Hochrisikobereich fallen: »Unser neuer Leitfaden hilft zum Beispiel bei der Einführung von datenschutzfreundlichen internen Chatbots oder Tools, die Dokumente ordnen und zusammenfassen«, erläutert der LfDI Sebastian Schmidt. * In der taz berichtet Simone Schlindwein aus Uganda und weiteren afrikanischen Ländern über Digitalisierung und Datenschutz – und Kolonialismus: Vor allem die USA lassen sich Unterstützung bei der Digitalisierung von afrikanischen Gesundheitssystemen mit Daten der Bürger*innen dort bezahlen. ## Kirchenamtliches – * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Kita-Checkliste für Bilder 1.2 Digital souveränere Pfarreien für die offene Gesellschaft 1.3 Newsletter zu kirchlicher KI 1.4 Beichtgeheimnis in Arizona gestärkt 1.5 Kirchlicher Datenschutz in Afrika 1.6 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Kita-Checkliste für Bilder Die KDSA Ost bietet im September zwei Termine für Online-Veranstaltungen zum Thema »Fotos in der Kita« an. Vorab gibt es schon eine Checkliste, die bei den Veranstaltungen gemeinsam durchgearbeitet werden soll. Auch ohne Veranstaltungsteilnahme und auch für andere Kontexte ist die Checkliste hilfreich – jedenfalls dann, wenn schon Grundkenntnisse im Datenschutz bestehen. Für bDSB lohnt es sich in jedem Fall, die Liste durchzugehen. ### Digital souveränere Pfarreien für die offene Gesellschaft Der bayerische Diözesandatenschutzbeauftragte Dominikus Zettl hat für das Magazin des Landeskomitees der Katholiken einen Beitrag zu Offenheit als Herausforderung unserer Zeit geschrieben: »Es gilt, Räume zu schaffen, in denen Menschen einander begegnen, zuhören und gemeinsam Verantwortung übernehmen.« Diese Aufgabe stelle sich auch in Pfarrgemeinden – und sie habe längst eine digitale Dimension. Zettl plädiert für souveräne IT-Lösungen in kirchlichen Einrichtungen und wirbt für die von ihm betriebene Mastodon-Instanz katholisch.social und weitere Tools wie Communicare und den von mehreren Bistümern getragenen Customer-Relationship-Management-System-Anbieter kCRM. Pfarrgemeinden empfiehlt er, mit vier einfachen Punkten zu beginnen: datenschutzfreundliche Tools ausprobieren, bestehende kirchliche Angebote nutzen, sich im Fediverse vernetzen sowie digitale Kompetenzen vor Ort aufbauen und miteinander lernen. Sein Fazit: > »Pfarrgemeinden können hier Vorreiter sein. Wenn sie auf offene Technologien, Datenschutz und gemeinschaftliche Lösungen setzen, zeigen sie, dass es Alternativen zu Abhängigkeit und Abschottung gibt. So wird digitale Offenheit zu einem glaubwürdigen Teil kirchlichen Handelns und leistet einen Beitrag für eine offene Gesellschaft insgesamt.« ### Newsletter zu kirchlicher KI Seit Mitte Juli gibt es den Newsletter von Nils Peters zu kirchlicher KI. Schon jetzt zeichnet sich ab, dass das eine wichtige Quelle wird: Die Beiträge zu Themen wie Schulungspflicht, zu Mitbestimmung bei KI oder zur Berücksichtigung von Datenschutzklassen nach KDG-DVO bei KI-Projekten sind praxisnah, fundiert und verständlich und erkennbar von viel Erfahrung geprägt. ### Beichtgeheimnis in Arizona gestärkt Der oberste Gerichtshof im US-Bundesstaat Arizona hat das Beichtgeheimnis gestärkt. In einer einstimmigen Entscheidung (Supreme Court of Arizona, Urteil vom 30. Juli 2026 – CV-25-0213-PR (_Doe v. Corporation of the President of the Church of Jesus Christ of Latter-Day Saints_)) bekam die Kirche Jesu Christi der Heiligen der Letzten Tage Recht. Mehrere Bischöfe der Kirche (das sind in dieser Gemeinschaft die Gemeindeleiter) hatten in der Beichte von einem Vater erfahren, dass er seine Kinder missbraucht habe. Der Vater und seine Frau wurden exkommuniziert, die Verantwortlichen der Kirche unterließen aber eine Anzeige. Vier Jahre später wurden die Eltern von staatlichen Strafverfolgungsbehörden angeklagt, nachdem sie gefilmte Missbrauchsdarstellungen entdeckt hatten. Die betroffenen Kinder klagten gegen die Kirche aufgrund der unterbliebenen Meldung an staatliche Behörden. Es stellte sich die Frage, ob der Schutz des Beichtgeheimnisses noch griff, nachdem die Bischöfe das Wissen aus der Beichte für disziplinarische Maßnahmen verwendet und an ein zuständiges Gremium weitergegeben hatten. Nach Auffassung des obersten Gerichts könne das aber keine Rolle spielen, da es staatlichen Gerichten nicht zukomme, die interne Ausgestaltung des Beichtgeheimnisses zu überprüfen; das Gesetz sieht nur Ausnahmen für Betrug oder betrügerische Absprachen vor. Da das Disziplinarkomitee vertraulich getagt habe, falle es in den gesetzlich geschützten Bereich des Beichtgeheimnisses, der auch vertrauliche Kommunikation umfasse. Die Kirche begrüßte in einer Stellungnahme, die mehreren Medien vorliegt, die Entscheidung und betonte, dass sie umfangreiche Interventions- und Präventionsmaßnahmen ergriffen habe und den Missbrauch im konkreten Fall stets verurteilt habe. »Arizona law also recognizes the confidential nature of religious confession. Today’s decision affirms that these religious protections are to be respected alongside society’s shared commitment to protect the vulnerable.« Unterdessen liegt dem Parlament von Arizona ein Gesetzentwurf der Abgeordneten Stacey Travers (Demokraten) vor (über den hier bereits berichtet wurde), der die Ausnahme von der Anzeigepflicht für Beichten abschaffen möchte. Mit dem Urteil ist der Entwurf wieder in der Debatte. Der Vorsitzende des Justizausschusses Quang Nguyen (Republikaner) stellte sich gegen den Entwurf und kündigte an, ihn weiterhin im Ausschuss zu blockieren. ### Kirchlicher Datenschutz in Afrika Bei einer Konferenz der »Catholic Sisters in the Legal Profession« in Nairobi widmete sich ein Panel dem Thema Datenschutz und Social Media. Die Franziskanerin Sr. Esther Muturi LSOSF betonte, dass Datenschutz »eine Verpflichtung auf die Menschenwürde und auf die Werte des Evangeliums« sei. Ordensfrauen seien dazu berufen, die Privatsphäre zu schützen, die Wahrheit voranzubringen und Christus in der digitalen Welt zu bezeugen. ACI Africa berichtet ausführlich über ihren Vortrag. Neben den ethischen Grundlagen sind die Ausführungen zur heterogenen Datenschutzrechts-Landschaft in Afrika interessant: Zwar fehle es an einem einheitlichen kontinentalen Rechtsrahmen, wie ihn die EU mit der DSGVO hat. Die existierenden Datenschutzgesetze in verschiedenen Ländern – sie nennt Kenia, Nigeria, Südafrika, Uganda, Sambia und Tansania – stimmten aber in ihren Grundprinzipien überein: »ensuring that personal data is processed lawfully, fairly, and transparently, collected only for legitimate purposes, limited to what is necessary, kept accurate and secure, retained only for as long as required, and handled with accountability and transparency«. (dataprotection.africa zählt in den 55 afrikanischen Ländern 43 Datenschutzgesetze und fünf – in der Tabelle mit Stand 2023 fehlt noch die DR Kongo – Gesetzesentwürfe.) ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 TikTok-Toiletten-Challenge – Tätigkeitsbericht des KDSZ Frankfurt 2025 ## Aus der Welt * Michael Veale, Professor für Technology Law and Policy am University College London, führt eine Datenbank mit Entscheidungen von Gerichten und Aufsichtsbehörden zur DSGVO: Zu jedem Erwägungsgrund und zu jedem Artikel sind Entscheidungen aufgeführt, die sich darauf beziehen. Die meisten Bezüge auf Artikel gibt es zu Art. 6 (2.062 Entscheidungen) und Art. 5 (1.958 Entscheidungen), der einzige ohne ist Art. 90. Zu Art. 91 DSGVO kennt die Datenbank immerhin sieben Entscheidungen. * Überwachungskameras, die Material mit KI auswerten, höhlen in den USA Freiheitsrechte aus, und auch in Deutschland sieht es nicht gut aus. Über handfesten Widerstand, der sich dagegen entwickelt, berichtet die taz. Der Guardian berichtet über »adversarial clothing«, also Kleidung, die durch Form und Muster KI-Systeme verwirren soll. Ob das wohl tatsächlich und langfristig funktioniert oder nur ein Modestatement bleibt? * ## Kirchenamtliches * **2. KDG-Änderungsgesetz:** Essen, Fulda, Köln, Münster * **Bistum Fulda:** Veröffentlichung von Priester-/Diakonjubiläen – Kirchlicher Datenschutz * **Landeskirche Kurhessen-Waldeck:** Rahmen-Dienstvereinbarung über die Einführung und Nutzung von IT-Programmen mit Künstlicher Intelligenz (Rahmen-Dienstvereinbarung KI) zwischen der Evangelischen Kirche von Kurhessen-Waldeck und der Landeskirchlichen Mitarbeitervertretung * **Erzbistum Köln:** Änderung der Ordnung über die Nutzung von Künstlicher Intelligenz durch Einrichtungen und Institutionen im Erzbistum Köln (KI-Nutzungsordnung vom 10. Dezember 2024, Amtsblatt des Erzbistums Köln Januar 2025, Nr. 2) * **Erzbistum Freiburg, Referat Datenschutz:** Grundlagenschulung für die Arbeit mit Kindern und Jugendlichen * **KDSA Ost:** Fotos in der Kita – ein Selbstcheck mit Fragerunde * **KDSZ Bayern:** Fachbeitrag im Magazin des Landeskomitees der Katholiken in Bayern * **KDSZ Frankfurt:** Die Diözesandatenschutzbeauftragte der (Erz-)Bistümer Freiburg, Fulda, Limburg, Mainz, Rottenburg-Stuttgart, Speyer und Trier veröffentlicht Tätigkeitsbericht 2025 (August 2026) * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Nach der eingefrorenen Plazenta und den Exorzismen des Vorjahres musste der Tätigkeitsbericht des KDSZ Frankfurt 2025 wohl zwingend etwas weniger spektakulär ausfallen. Dabei gab es viel zu tun: Die KI-Beschwerdewelle rollt auch im Südwesten – und anscheinend schwappt sie gigabyteweise bis zum Interdiözesanen Datenschutzgericht. **Inhalte** Verbergen 1 Recht und Gesetzgebung 1.1 Staatlicher Rechtsbereich 1.2 Kirchlicher Rechtsbereich 2 Aufsichtstätigkeit 2.1 Vorgänge 2.1.1 Datenschutzverletzungen 2.1.2 Beschwerden 2.1.3 Anfragen 2.2 Gerichtsverfahren 2.3 Prüfungen 2.4 Fälle 3 Fazit 4 Bisher besprochene Tätigkeitsberichte des KDSZ Frankfurt ## Recht und Gesetzgebung ### Staatlicher Rechtsbereich Der Abschnitt über staatliche Gesetzgebung enthält sich der Urteile; auch Praxishinweise zur Anwendung im Geltungsbereich des kirchlichen Datenschutzrechts gibt es nicht. Wenn überhaupt, dann spricht die Auswahl der sachlich dargestellten Gesetze für sich und gibt Hinweis auf Felder, die die Aufsicht für besonders relevant hält. Genannt werden insbesondere einige **Aufsichtspositionen zum KI-Einsatz**: die DSK-Orientierungshilfen zu TOMs bei Entwicklung und Betrieb von KI-Systemen und zu KI-Systemen mit Retrieval Augmented Generation (RAG) sowie die Leitlinie des EDPS zum Risikomanagement von KI-Systemen. Wer KI-Systeme anwendet oder betreibt, sollte diese Veröffentlichungen also gut im Blick haben. ### Kirchlicher Rechtsbereich Im Berichtsjahr wurde der Text des novellierten KDG zwar bekannt – in Kraft getreten ist es aber erst 2026. Daher verschiebt die Aufsicht ihre Einschätzungen dazu auch in den nächsten Bericht. Allzu viele Veränderungen sind aber wohl ohnehin nicht zu erwarten, jedenfalls nicht im materiellen Datenschutzrecht. Umso interessanter dürfte es sein, ob sich die umfangreiche Umgestaltung des Kapitels über die Datenschutzaufsicht bewährt hat. Aber wie gesagt: Erst nächstes Jahr. Das KDSZ Frankfurt weist auf zwei Dokumente aus den beaufsichtigten Bistümern hin: die Datenschutzhinweise für neue Kirchengemeinden im Erzbistum Freiburg und die Betreuungsvertragsbedingungen und Datenschutzhinweise für katholische Kitas im Bistum Fulda. Erwähnt werden aus Speyer das IT-Gesetz und das Gesetz zur Umsetzung des Hinweisgeberschutzgesetzes. Das Speyerer Gesetz ist eine der kirchlichen Normen, die den Umgang mit Meldungen zu Datenschutzverstößen regeln – ohne kirchliche Regelung sind die Hinweisgeberstellen nicht zuständig, in Speyer wird eine Regelung zum Umgang getroffen: Datenschutzverletzungen sind an den bDSB durchzureichen. Interessant wäre eine Bewertung der Trierer Regelung von Einsichts- und Auskunftsrechten von Betroffenen sexuellen Missbrauchs in Sachakten, die leider unterbleibt. Einerseits stärken solche Einsichtsnormen die Rechte von Angehörigen von verstorbenen Betroffenen, da postmortal keine Betroffenenrechte mehr ausgeübt werden können, andererseits bergen Spezialnormen zur Akteneinsicht immer die Gefahr, hinter dem mächtigen datenschutzrechtlichen Auskunftsrecht zurückzubleiben, können zugleich aber auch Zugang zu Beständen eröffnen, die über das Auskunftsrecht nicht zugänglich sind. Ausführlich geschildert wird das IDSG-Urteil zum widerrechtlichen Löschen einer Akte in einer Caritas-Einrichtung (IDSG 26/2022, hier besprochen). Hier war das KDSZ Frankfurt die beteiligte Aufsicht, daher ist deren Sicht auf den Vorgang eine weitere Perspektive auf den Fall. Die Entscheidung ist nicht rechtskräftig und liegt dem DSG-DBK vor (Az. 09/2025). ## Aufsichtstätigkeit ### Vorgänge #### Datenschutzverletzungen Leider gibt es wieder einmal nur relative Zahlen. Die Zahl der **Datenschutzverletzungen** stieg um 30 Prozent – und das, obwohl 2024 die Panne der Kita-App »Stay Informed« ins Kontor schlug. (Und sogar trotz dieser Vielfach-Panne ging in Frankfurt die Zahl 2024 leicht zurück.) Zwei Sektoren werden herausgehoben: 41 Prozent der Pannen kommen aus dem Bereich der (nicht weiter aufgeschlüsselten) Kinder-, Jugend-, Alten- und Behindertenhilfe (Vorjahr: 48 Prozent), 15 Prozent aus dem Gesundheitswesen (Vorjahr nicht aufgeführt). Die verfasste Kirche (Vorjahr 8 Prozent) wird in diesem Jahr nicht aufgeführt. Nach Art der Datenpanne dominieren wieder Klassiker: 18 Prozent sind Fehlversände, 12 Prozent offene E-Mail-Verteiler, 11 Prozent der Verlust von Endgeräten und Dokumenten. Fotos, Videos und Fälle im Zusammenhang mit Social Media machen 16 Prozent der Pannen aus. Man hört das Seufzen: »So manches Mal mag es auf die Hektik im Arbeitsalltag zurückzuführen sein, wünschenswert wäre trotzdem eine rückläufige Zahl – allmählich müssten sich die Auswirkungen des ›offenen E-Mail-Verteilers‹ doch herumgesprochen haben.« Typische technische Probleme sind fehlerhafte Rechte- und Zugriffskonzepte. Ein Fall erzählt von einer Kita, in der in kurzem Abstand fünfmal hintereinander trotz Nachschulung offene Verteiler genutzt wurden. #### Beschwerden 2025 gingen die Zahlen an Beschwerden so stark nach oben, dass gleich die Einleitung damit aufmacht. »Die Gründe dafür sind mannigfaltig, neben einem erhöhten Bewusstsein für den Schutz personenbezogener Daten und den sich daraus ergebenden Betroffenenrechten, spielt sicher die KI-gestützte Formulierung von Beschwerden auch eine Rolle. Diese steigert zwar die Anzahl, nicht aber zwingend die inhaltliche Qualität der Beschwerden«, heißt es dort. Die Zahl habe sich im Vergleich zum Vorjahr nahezu verdoppelt. 36 Prozent davon kommen aus dem Krankenhausbereich, absolut hätten sich die Zahlen verdreifacht. #### Anfragen Die Zahl der **Anfragen** stieg um 45 Prozent an. Interessant sind Fälle zur Zuständigkeit. Leider nur aufgezählt werden »komplexe Zusammenhänge wie geltendes Recht bei ökumenischen Einrichtungen« (eine auch hier schon und durch das IDSG thematisierte Problematik). Ausführlicher geht es um eine Hochschule, die »auf den ersten Blick katholisch« wirkte, deren Trägerschaft sich aber nicht unmittelbar erschlossen hat. Die Datenschutzerklärung war »stramm auf DSGVO gebürstet«. Am Ende stellte sich heraus, dass der Ordensdatenschutzbeauftragte zuständig ist. Um welche Hochschule es geht, wird nicht verraten. Auf die Beschreibung passt aber die Datenschutzerklärung der von den Pallottinern getragenen »Vinzenz Pallotti University« in Vallendar. (Die von den Jesuiten getragene Philosophisch-Theologische Hochschule Sankt Georgen hat nicht nur einen seriöseren Namen, sondern auch eine Datenschutzerklärung nach KDR-OG.) Warum die Zuordnung zu einem Orden so schwierig war, erschließt sich nicht – eine einfache Suche im zwar behäbigen, aber öffentlich zugänglichen Handelsregister hätte genügt, wenn man die Angaben auf der Webseite nicht eindeutig genug findet. (Die Vinzenz Pallotti University gGmbH wird zu 100 Prozent von der Vinzenz Pallotti gGmbH getragen, die wiederum zu 100 Prozent den Pallottinern KdÖR gehört.) Hoffentlich erfährt man von diesem Fall im Bericht der Ordensdatenschutzbeauftragten mehr: Die Zuordnung im Ordensbereich ist noch einmal spannender, weil Orden einerseits keine Gesetzgebungsgewalt im eigentlichen Sinn haben, wie es bei Diözesen der Fall ist, andererseits aber die Formulierung der Geltung in der KDR-OG klarer ist. Dort ist in § 3 KDR-OG festgehalten, dass sie in von der jeweiligen Gemeinschaft »ganz oder mehrheitlich getragenen Werke und Einrichtungen« gilt. (Dem Sinn nach müsste das auch für mittelbare Trägerschaften wie hier gelten, dem Wortlaut nach ist das nicht so klar.) ### Gerichtsverfahren Die Zahl der Klagen gegen Bescheide nahm »moderat« zu. »Eine davon hat es vom Umfang her allerdings in sich, bewegt dieser sich doch im Gigabyte-Bereich – viel Lesestoff für die ehrenamtlichen Richterinnen und Richter beim IDSG in Bonn. Für die Aufsicht stellen solche Umfänge zwischenzeitlich allerdings keine Ausnahme mehr dar.« Zwei anhängige Verfahren konnten durch Vergleich beendet werden. Dabei wurden jeweils **Bußgelder** reduziert. »In diesen Fällen konnte die Datenschutzaufsicht aufgrund besonderer – oder vielleicht noch treffender – absolut außergewöhnlicher Vorkommnisse in der Rechtsabteilung des Verantwortlichen diesem bei den Höhen der Bußgelder wie vom Gericht angeregt entgegenkommen.« Man wüsste gerne mehr. Abseits dieser beiden Fälle gibt es keine Informationen zu verhängten Bußgeldern. Es klingt außerdem Kritik an den Verfahrenslaufzeiten an: »Einige Verfahren verharren in der ersten Instanz, andere sind in die zweite Instanz gegangen bzw. befinden sich dort teils schon seit Längerem.« Angesichts der sonst großen Zurückhaltung im Bericht stellt das doch eine sehr deutliche Wertung dar. ### Prüfungen Die Prüfung von **Schulwebseiten** wurde fortgesetzt. Im Vorjahr hatte die technische Prüfung von 240 Schulen erhebliche Mängel festgestellt. Bei der Nachprüfung wurde es nicht besser, deshalb geht es jetzt in die Tiefenprüfung. Außerdem fand die **Umfrage über den Umgang mit Datenschutzverletzungen** statt. Die Ergebnisse wurden bereits überblicksmäßig vorab veröffentlicht. Das Fazit lautet jetzt: »Zusammenfassend lässt sich sagen: Es war alles dabei. Die Bandbreite reichte vom versierten und verantwortungsvollen Umgang mit personenbezogenen Daten bis hin zur Aussage ›personenbezogene Daten haben wir nicht‹ (die übrigens von einer Kirchengemeinde kam).« ### Fälle Wie immer sind die Frankfurter Fälle besonders anschaulich und unterhaltsam formuliert, eignen sich also sehr gut als Schulungsmaterial. »Stay Informed« war wieder Thema, dieses Mal aber mit einer handgemachten Datenschutzverletzung: In einer Kita wurde darüber die **Schwangerschaft einer Erzieherin** ohne deren Einwilligung mitgeteilt. »Auch wenn die Bekanntgabe der Schwangerschaft in guter Absicht geschah, um bei eventuell auftretenden Betreuungsengpässen frühzeitig um Verständnis bei den Eltern zu werben, so handelte es sich hier jedoch eindeutig um die Übermittlung von besonderen Kategorien personenbezogener Daten ohne Rechtsgrundlage.« Ein Fall berichtet über eine **TikTok-Challenge** , »die Schülerinnen und Schüler dazu verleiten sollte, ihre Notdurft bewusst neben, statt in Toiletten zu verrichten. Ein Phänomen, das Schulen wohl bundesweit betroffen hat.« Der Aufsicht aufgefallen ist diese Challenge, weil sie dazu führt, dass der Zugang zu den Schultoiletten nur noch nach Eintrag in eine im Sekretariat offen ausliegende Liste ermöglicht wurde. Da die Maßnahme nur kurzfristig stattgefunden hat, wurde die Beschwerde als erledigt betrachtet. Hier verwundert, dass nicht einmal die Einsehbarkeit der Liste größer problematisiert wurde. Ein weiterer Fall zeigt, wann ein **Auskunftsbegehren verweigert** werden kann: Ein Beschwerdeführer hatte nicht näher bezeichnete Auskunft begehrt, die ihm mit Verweis auf den Schutz von Dritten verweigert wurde. »Im Rahmen der Sachverhaltsaufklärung stellte sich heraus, dass bei einer Veranstaltung der Kirchengemeinde Anwesende vom Beschwerdeführer nicht nur mit Wein (der eigentlich zum Genuss gedacht war) überschüttet wurden, sondern auch mit erheblichen unangebrachten verbalen Äußerungen. Diese waren der Bibel entliehen und deuteten drohendes Ungemach für die Anwesenden an.« Hier hätte man gerne gewusst, um welche Daten es sich handelte und warum eine Anonymisierung nicht möglich war. ## Fazit Die Tendenzen überraschen nicht: Fast alle Datenschutzaufsichten berichten über den enormen Anstieg von KI-unterstützten Beschwerden. Die Ressourcen der Aufsichten steigen dagegen nicht. Möglicherweise schießen die kirchlichen Aufsichten sich selbst ins Knie, indem sie konsequent auf absolute Zahlen verzichten und nur mal mehr, mal weniger nebulös relative Veränderungen kommunizieren. Wie immer sind die lebendig geschilderten Fälle der Höhepunkt des Berichts. Zu einigen nur erwähnten Punkten hätte man sich aber mehr gewünscht. Vor allem die Fragen zur Zuordnung zum kirchlichen Datenschutzrecht gehören zu den noch weitgehend ungeklärten Dingen. Im Vorwort fällt eine Klage auf: Es zeige sich, dass Datenschutz als »Vehikel zur Durchsetzung anderweitiger Forderungen« benutzt werde, »denn einem Teil der Beschwerden ist die datenschutzrechtliche Komponente nicht oder nicht direkt zu entnehmen«. Weiter ist die Rede von »rechtsmissbräuchliche[r] Nutzung gesetzlich festgeschriebener Datenschutzrechte« – hier täte es gut, diese Fälle konkret zu benennen, um die Stichhaltigkeit der Beschwerden zu beurteilen. Geklagt wird auch darüber, dass diese Nutzung den Datenschutz »zum bloßen Werkzeug« diskreditiere (sic!). Wenn es tatsächlich nicht um personenbezogene Daten und den Umgang damit geht, kann man das nachvollziehen. Auch dann, wenn das sehr mächtige Auskunftsrecht nur als Schikane benutzt wird. Wenn aber Datenschutzrechte ausgeübt werden, um mit den Ergebnissen noch weitere Ziele zu erreichen, dann ist die Kritik problematisch: Als gäbe es den reinen Raum des Datenschutzgrundrechts, der nicht mit anderen Lebenssachverhalten interagieren würde. Was ist informationelle Selbstbestimmung wert, wenn man die gewonnenen Informationen über die Verarbeitung eigener Daten nicht nutzen kann – etwa in arbeitsrechtlichen Streitigkeiten? Was ist daran denn schlimm, wenn man ein Grundrecht ausübt, um etwas zu erreichen? ## Bisher besprochene Tätigkeitsberichte des KDSZ Frankfurt Jahr| Besprechung| Bericht ---|---|--- 2018| –| Tätigkeitsbericht 2018 2019| Wo sind all die Datenschutzbeauftragten hin?| Tätigkeitsbericht 2019 2020| Rekordgeldbuße im Südwesten| Tätigkeitsbericht 2020 2021| Flutdatenschaden| Tätigkeitsbericht 2021 2022| Empfindliche Buße| Tätigkeitsbericht 2022 2023| Aufsichtserschütterndes Urteil dräut| Tätigkeitsbericht 2023 2024| ToMs für die Plazenta| Tätigkeitsbericht 2024 2025| | Tätigkeitsbericht 2025 * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 LDI NRW prüft Zuständigkeit für Freikirche 1.2 Kölner Generalvikariat ISO-27001-zertifiziert 1.3 Office im Open-Source-Bistum Würzburg 1.4 Positionen zur Taufbuchlöschung 1.5 Sozialdatenschutzregelung im Erzbistum Paderborn aufgehoben 1.6 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### LDI NRW prüft Zuständigkeit für Freikirche Der Bund Freier evangelischer Gemeinden in Deutschland gehört zu den kleineren Religionsgemeinschaften mit eigenem Datenschutzrecht und eigener Aufsicht. Im vergangenen Jahr gab es einen Wechsel in der Leitung der Aufsicht, in der aktuellen Mitgliederzeitschrift stellt der neue Datenschutzbeauftragte Stephan Eschenbacher sich und aktuelle Themen vor. Ein Fall mit Bezug zum Bund FeG beschäftigt gerade die Landesdatenschutzbeauftragte NRW, wie mir ein Sprecher der Behörde auf Anfrage mitteilte: »Wir haben einen Vorgang mit Beteiligung der Religionsgemeinschaft. Aktuell prüfen wir unsere Zuständigkeit.« Zuständig wäre die LDI, wenn es entweder keine eigene Datenschutzaufsicht gäbe, die den Anforderungen von Art. 91 Abs. 2 DSGVO entspricht, oder wenn das eigene Datenschutzrecht nicht den Anforderungen von Abs. 1 entspräche; dann könnte nämlich keine eigene Aufsicht eingerichtet werden. Die LDI NRW hatte schon zuvor mit kleineren Religionsgemeinschaften zu tun; im Fall der alt-katholischen Kirche fiel die Bewertung zugunsten des alt-katholischen Datenschutzrechts aus. Nach Abschluss des Verfahrens konnte ich über das NRW-Informationsfreiheitsgesetz die Kriterien der LDI NRW für die Prüfung in Erfahrung bringen. ### Kölner Generalvikariat ISO-27001-zertifiziert Das Erzbischöfliche Generalvikariat in Köln wurde erfolgreich ISO-27001-zertifiziert. Das Erzbistum sieht die Informationssicherheits-Zertifizierung in einem größeren Kontext: In den vergangenen Jahren sei das Vertrauen der Gesellschaft in kirchliche Institutionen deutlich gesunken. Die Zertifizierung belege nun einen professionellen Umgang mit Daten und Informationen nach aktuellen Anforderungen wie dem BSI-Grundschutz und europäischen Normen. »Informationssicherheit ist für das Generalvikariat ein Ausdruck gesellschaftlicher Verantwortung«, zitiert die Pressemitteilung IT-Chef Dirk Röder. ### Office im Open-Source-Bistum Würzburg Das Bistum Würzburg ist Vorreiter beim Einsatz freier Software. Schon seit 2003 wurde dort zunächst OpenOffice, dann LibreOffice eingesetzt, 2013 regelte eine Dienstanweisung, dass MS Office nur ausnahmsweise eingesetzt werden kann. Eine neue Dienstanweisung zum Einsatz von Office-Suiten hält weiter daran fest, dass nur in begründeten Ausnahmefällen Microsoft Office verwendet werden darf. Eine auf zwei Jahre befristete Genehmigung zur Nutzung kann nur dann erteilt werden, wenn der Einsatz einer Spezialsoftware MS Office erfordert oder in der Kommunikation mit Dritten komplexe Formatierungen nötig machen, dass MS Office eingesetzt wird. (Explizit werden nur Formatierungen, nicht Makros genannt.) Im Vergleich zur Dienstanweisung von 2013 ändert sich im Wesentlichen nur, dass keine spezifische Open-Source-Lösung mehr vorgeschrieben wird und statt von LibreOffice von »eine[r] von der Abteilung Informationstechnologie bereit gestellte[n] Open-Source-Lösung« gesprochen wird. ### Positionen zur Taufbuchlöschung Meine Brüsseler Kollegin Nicola Trenz hat sich zum EuGH-Verfahren zum Löschrecht in Taufbüchern (die mündliche Verhandlung habe ich umfassend analysiert) in Deutschland umgehört: Von ähnlich großen Problemen wie in Belgien berichten weder die Deutsche Bischofskonferenz noch mehrere angefragte Bistümer, wohl aber von einzelnen Löschanfragen. Außerdem erläutert die Kirchenrechtlerin und Mainzer Kanzlerin der Kurie Anna Ott, wie hier mit Daten Ausgetretener umgegangen wird. ### Sozialdatenschutzregelung im Erzbistum Paderborn aufgehoben Das Erzbistum Paderborn hat das zweite KDG-Änderungsgesetz genutzt, um noch eine weitere Regelung zu treffen: Die »Anordnung über den Sozialdatenschutz in der freien Jugendhilfe in kirchlicher Trägerschaft im Erzbistum Paderborn« vom 5. Mai 2004 wurde aufgehoben. Eine besonders große praktische Relevanz scheint sie ohnehin nicht gehabt zu haben, jedenfalls ist sie in der Rechtssammlung des Erzbistums nicht zu finden. In der ersten Fassung des KDG fand sich in § 58 Abs. 1 KDG alt (Paderborn) noch eine Übergangsregelung, dass diese Regelung neben anderen bis zu einer Neuregelung in Kraft bleibt, in der gültigen Fassung fehlen diese Übergangsregelungen. ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * Praktisches Handbuch zum Arbeitsrecht in der Digitalität ## Aus der Welt * Der EGMR hat entschieden, dass Veganismus Ausdruck einer weltanschaulichen Überzeugung sein kann und Gefängnisse in solchen Fällen vegane Ernährung anbieten müssen. (G.K. und A.S. gegen die Schweiz vom 16. Juli 2026, Beschwerden Nr. 55299/20 und 31515/22, Berichterstattung des SRF). In dem Fall ging es nicht um Datenschutzfragen, es liegt aber nah, hier an besondere Kategorien zu denken, nämlich weltanschauliche Überzeugungen – angesichts der sehr weiten EuGH-Auslegung von »Daten, aus denen … _hervorgehen_ «, könnte das durchaus relevant werden. * Die Datenschutzkonferenz hat einen Konsultationsprozess zu den Stuttgarter Impulsen zur Modernisierung des Datenschutzes gestartet. Teilnehmen kann man bis zum 10. September. * ## Kirchenamtliches * **2. KDG-Änderungsgesetz:** Hildesheim, Paderborn, Erfurt * **Bistum Würzburg:** Dienstanweisung zum Einsatz von Office-Suiten * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Christian Arnold und Jens Günther haben die dritte Auflage ihres Praxishandbuchs »Arbeitsrecht 4.0« vorgelegt. Dem Untertitel zufolge soll es um »Arbeits-, IP- und Datenschutzrecht in einer digitalisierten Arbeitswelt« gehen. Arnold/Günther: Arbeitsrecht 4.0, Praxishandbuch zum Arbeits-, IP- und Datenschutzrecht in einer digitalisierten Arbeitswelt, 3. Auflage 2026, XXX, 390 S., 99 Euro. (Foto: fxn) Ein Blick ins Inhaltsverzeichnis zeigt, wie das eingelöst wird: Schon die Überschriften sorgen für einige Aha-Momente, indem immer wieder Querverbindungen hergestellt und Themen angesprochen werden, an die man nicht sofort denkt: Kann man Beschäftigte in Bitcoin bezahlen? Wie lässt sich KI im Arbeitsschutz einsetzen? Was ist beim Datenschutz in der »Smart Factory« zu bedenken? Wie begegnet das Arbeitsrecht agilen Arbeitsmethoden wie Scrum und flexiblen Beschäftigungsverhältnisse wie Crowd- und Clickworking? **Inhalte** Verbergen 1 Datenschutzrecht 2 Kollektives Arbeitsrecht 3 Fazit Vor allem der letzte Punkt wird ausführlich behandelt. Ein Kapitel widmet sich neuen und alternativen Beschäftigungsformen, eines der Flexibilisierung im individuellen Arbeitsrecht. Durchweg spielen derartige (jedenfalls für das klassische Arbeitsrecht) neuartige Beschäftigungskonstellationen eine große Rolle. Eingeleitet wird das Handbuch mit einem Kapitel, das jeweils Chancen, Risiken und Handlungsoptionen der Digitalisierung von Produkten und Dienstleistungen, der Produktion und Aufbauorganisation sowie der individuellen Arbeit und Ablauforganisation durchdekliniert: An den Beginn werden damit betriebswirtschaftliche Überlegungen zum Umgang mit Digitalisierung gestellt, bevor die rechtliche Diskussion folgt. Das scheint sinnvoll, da so aus einer Analyse der tatsächlichen Arbeitsumwelt die Regelungsbedarfe abgeleitet werden, anstatt aus dem in analogeren Zeiten entstandenen entstandenen Arbeitsrecht abzuleiten, wie die Arbeitswelt sein sollte. ## Datenschutzrecht Das Kapitel über Datenschutzrecht verantworten Christian Hamann und Katrin Haußmann. Es beginnt mit einer sehr kompakten und konzisen Einführung ins Datenschutzrecht. Schon hier tauchen erste Besonderheiten in einer digitalisierten Arbeitswelt auf, wenn es etwa darum geht, in komplexen Konzernorganisationen Verantwortliche zu bestimmen. Bei den datenschutzrechtlichen Rechtsgrundlagen geht es schnell ins Spezifische, vor allem in der Diskussion von § 26 BDSG. Der ist zwar mutmaßlich in Teilen europarechtswidrig aufgrund des Wiederholungsverbots, die Autor*innen stellen aber zurecht fest, dass sich dadurch ohnehin kaum etwas ändern würde, wenn die europarechtswidrigen Teile lediglich wiederholen, was schon in der DSGVO geregelt ist. § 26 Abs. 4 BDSG nehmen Hamann und Haußmann zum Anlass, ausführlich darzulegen, welchen Rahmen **Kollektivvereinbarungen zur Beschäftigtendatenverarbeitung** haben. Das geschieht sehr praxisorientiert: Skizziert wird die Regelung durch Rahmenvereinbarungen. Das bleibt zwar abstrakt, zeichnet aber den Rahmen so deutlich, dass sich daraus viel für die Betriebsratsarbeit entnehmen lässt. Beim Abschnitt über **KI** ist die Mitbestimmung ebenso im Blick. Dort wird eine Betriebsvereinbarung empfohlen, um im Rahmen des Möglichen eine Verarbeitung auf Grundlage des berechtigten Interesses besser zu konturieren, und deren Mindestinhalte aufgezählt. Ebenso lesenswert sind die Ausführungen über die Verwendung von Beschäftigtendaten zum KI-Training: Da dafür in der Regel eine Zweckänderung erforderlich ist und eine Einwilligung im Arbeitskontext in der Regel keine taugliche Rechtsgrundlage ist, ist das mit hohen Hürden versehen. Dennoch geben die Autor*innen Hinweise, wie man Verfahren dazu gestalten kann. Auch in den folgenden Abschnitten zu konkreten Problemstellungen ist das kollektive Arbeitsrecht regelmäßig im Blick. Auf den sehr gelungen allgemeinen Teil folgen konkrete Einsatzgebiete. Das wird durchweg instruktiv gestaltet, es stellt sich aber die Frage, ob die Auswahl und dadurch die Gewichtung die naheliegendste ist: Es geht auf identischer Gliederungsebene um Bewerbungsverfahren, »People Analytics«, »Smart Factory«, unternehmensinterne Social Media und Gamification, »Cloud Computing«, sowie abschließend Cybersecurity. Die einzelnen Abschnitte sind jeweils sehr nachvollziehbar strukturiert und geben einen guten Überblick über die jeweilige Problemlage und Lösungsansätze, erkennbar geprägt von einem differenzierten Blick auf die tatsächlich Praxis in Unternehmen. Bisweilen fragt man sich aber, warum genau dieser Zugang zu einem Hauptabschnitt gemacht wurde: Warum interne Social-Media-Dienste, aber nicht die Nutzung von Beschäftigtendaten in der externen Unternehmenskommunikation? Warum wird die Problematik eigener Technik (BYOD und Schatten-IT) und der Umgang damit nicht explizit herausgearbeitet? (BYOD wird kursorisch im Kapitel über Arbeitsschutz angesprochen, Schatten-IT taucht im Stichwortverzeichnis nicht auf.) ## Kollektives Arbeitsrecht Das von Martina Benecke besorgte Kapitel über kollektives Arbeitsrecht steigt ausführlich und fundiert zum **Betriebs- und Arbeitnehmerbegriff** angesichts komplexerer und verteilter Organisationsformen ein. Die Frage nach dem Umgang mit neuen Arbeitsformen (sowohl des Personaleinsatzes wie flexibler Arbeitsformen inklusive agilen Methoden) wird bei den Mitbestimmungstatbeständen aufgegriffen, wie sich die Auswirkungen der Veränderung hergebrachter (Fabrik-)Arbeitsstrukturen durch Digitalisierung generell durch das Kapitel zieht. Diese Aspekte sind die große Stärke des Abschnitts: Sie zeigen die Bandbreite an Möglichkeiten auf, wie sich die Arbeitswelt organisatorisch verändert, und wie sich das auf das hergebrachte kollektive Arbeitsrecht auswirkt. Sehr hilfreich ist die Diskussion der einzelnen **Mitbestimmungstatbestände** aus § 87 BetrVG, die allerdings in Details sehr eng auf beispielhafte Fälle rekurriert und teilweise eine etwas ausführlichere Systematik hätte vertragen können. Ein Beispiel dafür ist die Thematik der Ordnung im Betrieb (§ 87 Abs. 1 Nr. 1 BetrVG). Hier weist Benecke darauf hin, dass dieser Tatbestand etwa dann berührt ist, wenn zur Überwachung geeignete Einrichtungen auch tatsächlich zur Durchsetzung der Ordnung im Betrieb verwendet werden. Dazu kommen Maßnahmen, die das Ordnungsverhalten der Beschäftigten außerhalb des Betriebs, etwa beim Verhalten im Internet, betreffen. Mitbestimmungspflichtig sind damit unter bestimmten Bedingungen etwa Social Media Guidelines. Die in der Praxis oft anspruchsvolle Abgrenzung der mitbestimmungspflichtigen Ordnung des Betriebs vom nicht mitbestimmungspflichtigen Direktionsrecht des Arbeitgebers wird nicht angesprochen. Aufgrund der großen Bedeutung wird der Tatbestand der Mitbestimmung im Fall der Möglichkeit von **Überwachung und Leistungkontrolle** eigens und umfangreich besprochen. Benecke arbeitet heraus, dass dieser Mitbestimmungstatbestand aufgrund der umfassenden Digitalisierung heute sehr weitreichend und damit immer unklarer ist. Hilfreich ist der Hinweis, dass der Tatbestand die Einführung und Anwendung umfasst: »Die Mitbestimmung setzt also bereits in der Planungsphase und bei der Auswahl der technischen Einrichtung an.« Ausführlich werden die BAG-Urteile zur Prüfung der Reisekostenabrechnung mit Google Maps (Beschluss 1 ABR 43/12 vom 10. Dezember 2013) und zum Betrieb einer Facebook-Seite, über die Rückmeldungen zu Beschäftigten eingingen (Beschluss 1 ABR 7/15 vom 13. Dezember 2016). Hier hätte man sich auch noch neuere Fälle gewünscht, etwa zur Regulierung von KI im Unternehmen, auch wo es noch keine höchstrichterlichen Entscheidungen gibt. Etwas kompakt fällt der Abschnitt zur Kommunikation mit den Beschäftigten aus. Die Frage, in welcher Form und in welchem Umfang öffentliche Social-Media-Kommunikation des Betriebsrats möglich ist, hätte etwas ausführlicher sein können als nur ein Satz, der auf eine Entscheidung des LAG Niedersachsen zur Nutzung von Twitter durch einen Betriebsrat hinweist (Beschluss 5 TaBV 107/17 vom 6. Dezember 2018); wünschenswert wäre auch eine Erwähnung von Messenger-Diensten und die Problematik der Sicherstellung der Vertraulichkeit der Kommunikation bei der Nutzung von durch den Arbeitgeber kontrollierter Kommunikationsinfrastruktur gewesen. ## Fazit Das Praxishandbuch Arbeit 4.0 schafft es, auf seinen relativ kompakten etwa 380 Seiten einen umfassenden Blick auf die Digitalisierung der Arbeitswelt zu werfen. Dabei ist es geprägt von der tatsächlichen Praxis und tatsächlich auftretenden Problemstellungen. Das entschuldigt sicher die oft überraschende und originelle, dabei aber gelegentlich etwas willkürlich anmutende Schwerpunktsetzung. Möglicherweise bräuchte es für eine vierte Auflage eine grundlegende Überarbeitung der Struktur, merkt man dem Werk doch an, dass vor allem bestehende Texte aktualisiert wurden. (Insbesondere verdient das KI-Recht ein eigenes Kapitel wie das Datenschutzrecht.) Die einzelnen Kapitel verfolgen auch unterschiedliche Strategien zur Strukturierung: Finden sich in den ersten noch grau hinterlegte Praxishinweise, teils mit Formulierungsvorschlägen, finden sich solche Inhalte beim Datenschutz-Kapitel im Fließtext, beim kollektiven Arbeitsrecht eher nicht mehr. Hier wäre mehr Einheitlichkeit hilfreich. Das tut dem Wert des Werks insgesamt aber einen Abbruch: »Arbeitsrecht 4.0« ist tatsächlich ein Praxishandbuch, das in die Bibliothek von Beschäftigtenvertretungen und Rechtsabteilungen gehört. Das Stichwortverzeichnis (in anderen Werken oft eher erratisch zusammengestellt, hier aber verwendbar) erschließt zusammen mit den sinnvoll strukturierten Inhaltsverzeichnissen das Buch in einer Weise, dass auch bei den genannten fehlenden ausführlichen Ausführungen immerhin leicht zugänglich ist, was mit etwas Transferleistung die Frage klärt. _Arnold/Günther: Arbeitsrecht 4.0, Praxishandbuch zum Arbeits-, IP- und Datenschutzrecht in einer digitalisierten Arbeitswelt, 3. Auflage 2026, XXX, 390 S., 99 Euro._ * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Datenschutz in der Aufarbeitung 1.2 Aktenrecherche für Missbrauchsbetroffene 1.3 KI-Beschwerden 1.4 Anglikanische Debatten über das Beichtgeheimnis 1.5 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Datenschutz in der Aufarbeitung Im Interview der Zeitschrift Publik-Forum sprechen die Historikerin Sylvia Schraut und der Jurist Ulrich Wastl über ihre Arbeit an Missbrauchsstudien. Vor allem Schraut sieht in Datenschutzbestimmungen ein Hindernis für die Aufarbeitung: »Meiner Meinung nach ist der Datenschutz, so wie wir ihn im Moment haben und wie er derzeit in Gerichtsurteilen entschieden wird, ein Täterschutz. Gleichzeitig fordern einige Datenschützer, dass man Personalakten nach 20 Jahren vernichten soll. Das würde bedeuten, dass man keine Missbrauchsforschung machen kann, weil es keine Akten gibt. Die Betroffenen melden sich aber oft erst 20 bis 30 Jahre später.« Die Historikerin verweist auf ein Gutachten der Uni Mannheim im Vorfeld der Speyerer Aufarbeitungsstudie, für die sie verantwortlich zeichnet, das Rechtsprechung zu Missbrauchsaufarbeitung untersucht hat: »Nach diesen Gerichtsurteilen, so das Rechtsgutachten, dürfen Menschen nicht erkannt werden, auch mutmaßliche Täter nicht. Selbst das Anonymisieren reicht nicht, wenn Fakten beschrieben werden, sodass ein Kreis von Personen um den Beschriebenen herum erkennen kann, welcher Mensch gemeint ist.« (Hier klingt die IDSG-Entscheidung zur Münsteraner Studie an.) Wastl äußert sich zur – mittlerweile aufgegebenen – Namensnennung von Beschuldigten und Tätern durch das Bistum Aachen: »Juristisch riskant ist im Leben vieles. Es ist eine Abwägungsfrage. Ich habe das Bistum Aachen nicht beraten, aber ich habe das Vorgehen bejaht.« Als größeren Skandal bezeichnet er die römische Rechtsauffassung, dass Namen verstorbener Beschuldigter unter keinen Umständen genannt werden dürfen: »Das hat man also über das Kirchenrecht abgesichert. Nach staatlichem Recht ist mir kein Urteil bekannt, wo ein Gericht die Nennung von verstorbenen Tätern im kirchlichen Bereich verboten hätte.« ### Aktenrecherche für Missbrauchsbetroffene Die Unabhängige Kommission des Bundes zur Aufarbeitung sexuellen Kindesmissbrauchs hat einen Rechercheratgeber für Akten zu sexualisierter Gewalt in Kindheit und Jugend veröffentlicht, der Tipps für unterschiedliche institutionelle Kontexte gibt, auch religiöse. Gerade bei Kirchen mit eigenem Datenschutzrecht, aber auch in anderen religiösen Kontexten kann es nicht ganz einfach sein, die richtige Rechtsgrundlage zu finden, daher ist die Handreichung sehr nützlich. Mich hat es gefreut, dass meine Recherchen insbesondere zu Jehovas Zeugen und zur Aufsichtslücke bei religiösen und weltanschaulichen KdÖR in Bayern aufgegriffen werden und so hoffentlich Betroffenen und ihren Angehörigen helfen. Leider wird bei den Ausführungen zum DSG-EKD noch der Stand vor der Reform referiert. Dadurch werden weniger betroffenenfreundliche Regelungen bei Fristen und beim Recht auf Kopie genannt. Außerdem wird der Hinweis gegeben, dass die im Abschnitt »Kirchen« aufgezählten Regelungen »ausschließlich für öffentlich-rechtlich Beschäftigte (also Pfarrer _innen, Diakon_ innen und andere Kirchenbeamt*innen bzw. -angestellte) innerhalb der Kirchen« gelten würden, nicht aber für »privatrechtlich Beschäftigte (z. B. Reinigungskräfte oder Caterer)«. Hier klingt ein altes Verständnis an, das das Selbstbestimmungsrecht auf die kirchlichen KdÖR beschränken will; herrschende (und hinreichend ausgeurteilte) Meinung ist aber, dass das Selbstbestimmungsrecht sich auch auf die privatrechtlich verfassten kirchlichen Einrichtungen erstreckt, so dass auch dort in der Regel kirchliches Recht angewandt wird. ### KI-Beschwerden Der Anstieg der Beschwerden bei Datenschutzaufsichten wird durch die Bank festgestellt, auch bei den spezifischen Aufsichten. Im nun veröffentlichten Protokoll des Austauschtreffens von DSK und spezifischen Aufsichten vom 22. April 2026 berichtet der Rundfunkdatenschutzbeauftragte von einer »konzertierten, KI-gestützten Aktion, die das Auskunftsrecht nutze, um den Beitragsservice zu überlasten«. (Das Thema wurde schon in der Pressemitteilung direkt nach der Sitzung angesprochen.) Für die kirchlichen Aufsichten berichteten der BfD-EKD und das KDSZ Bayern unter dem TOP 5, »Bericht aus den Kirchen«. Vorgestellt wurden die aktuellen Entwicklungen im kirchlichen Datenschutzrecht und Arbeitsschwerpunkte. Beide sprechen den hohen Arbeitsaufwand an, explizit spricht die evangelische Aufsicht von KI-generierten Beschwerden. »Aktuelle Schwerpunkte seien Prävention, Intervention und Aufarbeitung sexueller Gewalt sowie der Umgang mit KI-generierten Beschwerden und Datenpannen. Anlasslose Prüfungen und KVP-Prozesse würden umgesetzt. Offene Fragen beträfen den Beschäftigtendatenschutz und den Schutz von Mitarbeiternamen, wenn diese in KI-Systeme eingegeben und damit für das weitere KI-Training verwendet würden«, wird der evangelische Bericht zusammengefasst. ### Anglikanische Debatten über das Beichtgeheimnis Die Bischöf*innen der Kirche von England debattieren im Herbst über den Umgang mit dem Beichtgeheimnis. Das kündigte der für Prävention zuständige Bischof Robert Springett vor der Generalsynode an. Er selbst sieht den absoluten Schutz des Beichtgeheimnisses mittlerweile kritisch: > »There are, in the House—as I know there will be in this chamber, some deeply held views and as one for whom the sacrament of reconciliation holds deep personal significance in my own ministry and my spiritual life, I recognise what a gift this can be. […] But listening to the voices of every survivor I have spoken with and indeed the wider public I am acutely aware that the continued use of the seal is seen by many as fatally undermining our credibility in our r [sic] commitment to mandatory reporting, indeed it undermines the view for many of the sincerity of our commitment to safeguarding itself. Makin shone a light on those who covered up abuse and like it or not the seal is seen by many people in that same light. This has led me to conclude that our commitment to mandatory reporting must take precedent.« ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * Transparenzoffensive – Tätigkeitsbericht des KDSZ Bayern 2025 ## Aus der Welt * Der Bundesrat hat einen Gesetzentwurf zur Reform der Datenschutzaufsicht verabschiedet. Darin geht es nur um die Datenschutzkonferenz und die Zusammenarbeit der Aufsichten. Mit Blick auf die spezifischen Aufsichten ändert sich nichts: Sie sollen weiterhin nicht einmal als beratende Mitglieder zur DSK gehören. Der Grad der Beteiligung der spezifischen Aufsichten bleibt gleich. Bisher ist in § 18 Abs. 1 S. 4 geregelt, dass die staatlichen Aufsichten die Aufsichten nach Art. 85 und 91 DSGVO (Medien und Religionsgemeinschaften) an der Herstellung eines gemeinsamen Standpunkts beteiligen, »sofern diese von der Angelegenheit betroffen sind«. Der geplante § 18 Abs. 2 S. 4 BDSG-Entwurf formuliert das nur unwesentlich um. ## Kirchenamtliches * **Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz ( KDG) (KDG-Änderungsgesetz):** Mainz, Rottenburg-Stuttgart * **KDSZ Bayern:** Tätigkeitsbericht 2025 – Von Krypto-Trojanern bis zur Videokamera auf dem Friedhof * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Erstmals erscheint der bayerische Tätigkeitsbericht in einer neuen Struktur. Der Bericht soll durch viele Praxisbeispiele aus der Aufsichtstätigkeit eine Orientierungshilfe für bDSB und Verantwortliche sein. Mit fast 170 Seiten ist er ungewöhnlich lang und nähert sich so den Berichten der staatlichen Aufsichten an. Auf gut 170 Seiten macht der Tätigkeitsbericht des KDSZ Bayern die Arbeit der Aufsicht transparent. Bemerkenswert ist die große Transparenz: Detailliert wie keine andere kirchliche Aufsicht gibt das KDSZ Bayern Auskunft – auch wenn manche Ergebnisse der Transparenzoffensive noch auf sich warten lassen. **Inhalte** Verbergen 1 Grundlagen und Struktur der Aufsicht 1.1 Ausstattung und Infrastruktur 1.2 Außendarstellung und Kommunikation 1.3 Grundlagen der Datenschutzaufsicht 2 Entwicklungen im Datenschutzrecht 2.1 Staatliches Recht 2.2 Kirchliches Recht 2.2.1 KDG-Reform 2.2.2 KDG-DVO-Reform 2.2.3 Diözesangesetzgebung 2.3 Rechtsprechung 3 Aufsichtstätigkeit 3.1 Zahlen und Schwerpunkte 3.1.1 Beratungen 3.1.2 Datenpannen 3.1.3 Beschwerden 3.2 Prüfungen 4 Fazit 5 Bisher besprochene Tätigkeitsberichte des bayerischen DDSB ## Grundlagen und Struktur der Aufsicht ### Ausstattung und Infrastruktur 2025 ist der organisatorische Aufbau des KDSZ Bayern abgeschlossen, alle fünf Stellen sind besetzt. Dass das recht knapp ist (zum Vergleich: das KDSZ Dortmund hat elf Stellen), dürfte offensichtlich sein. Schon jetzt können die gesetzlichen Aufgaben »nur eingeschränkt und vielfach nicht innerhalb des angestrebten beziehungsweise gesetzlich vorgesehenen Zeitrahmens bewältigt werden«. Die verwendeten **Haushaltsmittel** werden im Bericht ausgewiesen: 2025 waren es 489.564,46 Euro. (2023 waren es 165.448,15 Euro, 2024 469.356,12 Euro.) Ein Schwerpunkt ist **digitale Souveränität**. Laut dem Bericht wurde zunehmend Dienstleistern in Deutschland der Vorrang selbst über EU-Dienstleister gegeben. »Gerade vor dem Hintergrund zunehmender geopolitischer Unsicherheiten, wachsender Cyberbedrohungen und einer fortschreitenden Konzentration des Marktes für digitale Dienste gewinnen offene, transparente und selbstbestimmte IT-Strukturen weiter an Bedeutung.« Das Konzept dafür wurde verschriftlicht; eine detaillierte Vorstellung ist für den Bericht 2026 angekündigt. Sehr interessant sind die Ausführungen zum **Diözesannetz** , das die IT-Infrastruktur für elf Diözesen und sechs Caritasverbände zur Verfügung stellt. Dadurch steht ein besonders gesichertes internes Netz zur Verfügung. Zugleich hieße das für die Aufsicht aber auch, ihre eigene Infrastruktur nicht mehr selbst betreiben zu können – und damit, dass die Infrastruktur von einer Einrichtung betrieben wird, die von ihr beaufsichtigt wird. Die Wahrung der gesetzlichen Unabhängigkeit der Datenschutzaufsicht und die Vermeidung möglicher Interessenkonflikte sind daher relevante Punkte bei der noch nicht abgeschlossenen Prüfung über den Anschluss. Ungewöhnlich transparent sind auch die Erläuterungen zum **Verwaltungsrat des KDSZ**. Von diesen Gremien hört man anderswo sehr wenig und nichts öffentlich. Hier ist ihm ein ganzer Abschnitt gewidmet. Laut Bericht kommt der Anstoß, transparent über Fallzahlen zu berichten, aus dem Verwaltungsrat – der Diözesandatenschutzbeauftragte hat damit die Rückendeckung seines Verwaltungsrats in einer Sache, die in der Diözesandatenschutzbeauftragtenkonferenz möglicherweise nicht allzu euphorisch aufgenommen wird. (Die Zahlen gibt es aber erst im Bericht für 2026.) ### Außendarstellung und Kommunikation Das KDSZ Bayern kommuniziert nicht nur über seine Arbeit im engeren Sinne. Der Diözesandatenschutzbeauftragte beteiligt sich auch rege an Debatten über Digitalpolitik und Freiheitsrechte: »Die Erfahrungen des Berichtsjahres haben gezeigt, dass Fragen der digitalen Souveränität, der informationellen Selbstbestimmung und einer verantwortungsvollen digitalen Kommunikation zunehmend Gegenstand kirchlicher und gesellschaftlicher Diskussionen sind.« Auch institutionell meldet sich die Aufsicht zu Wort: Gemeinsam mit dem Bistum Würzburg und dem Katholischen Büro gab es eine Stellungnahme im Rahmen der KI-Konsultation der BfDI, über die hier schon berichtet wurde. ### Grundlagen der Datenschutzaufsicht Eine Besonderheit ist das dritte Kapitel des Tätigkeitsberichts: Unter der Überschrift »Grundlagen der Datenschutzaufsicht« stellt es eine grundsätzliche Übersicht über Aufgaben der einzelnen Akteure und das Datenschutzmanagement im Ganzen dar. Mit den Abschnitten »Datenschutz ist Führungsaufgabe«, »Der betriebliche Datenschutzbeauftragte«, »Die Datenschutzaufsicht – unabhängige Kontroll- und Beratungsinstanz«, »Zusammenarbeit statt Gegeneinander« sowie »Voraussetzungen einer leistungsfähigen Datenschutzaufsicht« verlässt der Bericht sein Genre und wird vielmehr zu einer allgemeinen Einführung in den Datenschutz und das Gefüge des Datenschutzmanagements. Mit 30 Seiten nimmt dieses Kapitel einen großen Teil des Berichts ein. Für Verantwortliche, die ein systematisches Datenschutzmanagement aufbauen wollen, wie für betriebliche Datenschutzbeauftragte ist es eine Pflichtlektüre, weil es sehr klar Aufgaben, Strukturen und Vernetzungen aufzeigt. Da ist es fast etwas schade, dass es in der Mitte des Tätigkeitsberichts für ein Jahr gepackt wurde: Das Kapitel hätte die Substanz, separat publiziert zu werden und als Standardwerk für die Einführung neuer bDSB benutzt zu werden. ## Entwicklungen im Datenschutzrecht ### Staatliches Recht Zum **Digitalen Omnibus der EU** kann der Bericht noch nichts sagen; einer Bewertung enthält er sich. Interessant ist die ausführliche Darstellung der **Verordnung über Transparenz und Targeting politischer Werbung** und der Fälle, in denen sie für kirchliche Akteure relevant werden kann. Zumindest mittelbar könne die Verordnung auch für sie relevant werden: »Dies gilt insbesondere für Fragen der kirchlichen Öffentlichkeitsarbeit und digitalen Kommunikation, soweit Inhalte einen politischen Bezug aufweisen oder die Abgrenzung zwischen gesellschaftlicher Meinungsäußerung, kirchlicher Interessenvertretung und politischer Werbung zu beurteilen ist«. Ebenso gebe es beim **Data Act** Auswirkungen auf kirchliche Stellen: »Für kirchliche Einrichtungen wird der Data Act künftig insbesondere dort an Bedeutung gewinnen, wo vernetzte technische Systeme, intelligente Gebäude- und Haustechnik, medizinische Geräte oder Cloud-Dienste eingesetzt werden und hierbei Daten erzeugt oder verarbeitet werden.« Die **KI -Verordnung** hat nach Auffassung der Aufsicht bereits jetzt durch die Schulungspflicht aus Art. 4 KI-VO eine hohe praktische Relevanz. Der Bericht empfiehlt, Datenschutzschulungen und KI-Kompetenz-Schulungen zu verknüpfen. Schließlich sieht das KDSZ Bayern die **Gesetzgebung zu IT-Sicherheit** , namentlich die NIS-2-Richtlinie, den Digital Operational Resilience Act (DORA) und den Cyber Resilience Act (CRA) als relevant für kirchliche Einrichtungen an, wo sie vom Geltungsbereich unmittelbar erfasst sind. Aber selbst wenn nicht: »Unabhängig von einer unmittelbaren rechtlichen Verpflichtung liefert die NIS-2-Richtlinie wichtige Orientierungspunkte dafür, welche Anforderungen heute allgemein an eine zeitgemäße Informationssicherheit gestellt werden.« ### Kirchliches Recht In den Berichtszeitraum fallen die **Novellen von KDG und KDG-DVO**, die ausführlich besprochen werden. #### KDG-Reform Die Präambel des KDG wurde neu gefasst. Darin heißt es nun, dass Datenverarbeitung zur Erfüllung des kirchlichen Auftrags erforderlich ist. Aber: »Die Gesetzesbegründung stellt zugleich klar, dass der kirchliche Auftrag keine eigenständige datenschutzrechtliche Rechtsgrundlage für jede Verarbeitung personenbezogener Daten begründet.« Gewarnt wird auch davor, den **Wegfall des grundsätzlichen Schriftformerfordernisses bei der Einwilligung** als Freibrief zu verstehen. Der Bericht betont, dass Einwilligungen weiterhin dokumentiert werden müssen. »Die eigentliche Bedeutung der Neuregelung liegt deshalb weniger im vollständigen Verzicht auf Formerfordernisse als vielmehr in der Möglichkeit, künftig verstärkt die Textform oder andere dokumentierbare elektronische Verfahren zu nutzen.« Gewürdigt wird die umfangreiche Neufassung der Bestimmungen über die Datenschutzaufsicht. Dabei seien zwar keine wesentlichen Neuerungen eingeführt worden, aber einige hilfreiche Klarstellungen und Systematisierungen. Dies betreffe etwa die genauere Auflistung der Maßnahmen, die der Aufsicht zur Verfügung stehen. »Diese Maßnahmen standen der Datenschutzaufsicht im Kern bereits bislang zur Verfügung; ihre gesetzliche Ausgestaltung wird jedoch präzisiert und systematisch klarer gefasst. Dadurch gewinnen sowohl die Datenschutzaufsicht als auch die kirchlichen Verantwortlichen an Rechtsklarheit und Rechtssicherheit.« Hilfreich ist, dass die Besprechung der KDG-Novelle mit einem Abschnitt zu den Auswirkungen auf die Praxis endet, auch wenn die eigentliche To-do-Liste nur einen Absatz umfasst. #### KDG-DVO-Reform Wie beim KDG stellt der Bericht bei der KDG-DVO keine revolutionären Veränderungen fest, aber eine stringente Weiterentwicklung. Aus einer klassischen Ausführungsverordnung werde zunehmend ein modernes Regelwerk für Datenschutzorganisation und Informationssicherheit. Besprochen werden die **Weiterentwicklung der technischen und organisatorischen Maßnahmen (TOM)**. Hier werde deutlich, dass es nicht einfach um eine Bereichscompliance gehe, sondern um einen systematischen Managementansatz, »bei dem Risiken fortlaufend bewertet, Schutzmaßnahmen regelmäßig angepasst und deren Wirksamkeit kontinuierlich überprüft werden.« Ähnlich sieht es bei den Regelungen zu **Informationssicherheit und modernen IT-Infrastrukturen** aus, die ausführlich gewürdigt werden. Die wohl kontroverseste Neuerung ist das **Fax-Verbot**. Mit dem Tätigkeitsbericht liegt nun die erste offizielle Äußerung einer Aufsicht dazu vor: Es handle sich gar nicht um ein »pauschales Verbot des Faxgeräts als technischer Einrichtung«. Maßgeblich sei vielmehr, »ob der Verantwortliche im konkreten Einzelfall durch geeignete technische und organisatorische Maßnahmen ein dem Stand der Technik entsprechendes Sicherheitsniveau gewährleisten kann.« Wie sich diese eher freie Auslegung des Wortlauts in der Praxis auswirken wird, könnte sich im nächsten Tätigkeitsbericht zeigen. Nicht thematisiert wird leider die Umsetzung der KDG-DVO bei ehrenamtlich geprägten kirchlichen Verantwortlichen. #### Diözesangesetzgebung Erfreulich ist die ausführliche Würdigung datenschutzrelevanter Diözesangesetzgebung. Schwerpunkte waren im Berichtszeitraum Regelungen für Archiv- und Aktenordnung sowie Auskunfts- und Einsichtsnormen im Kontext der Missbrauchsaufarbeitung. ### Rechtsprechung An kirchlichen Verfahren werden die Fälle der Anwendbarkeit des KDG bei Kolping (IDSG 10/2023 vom 17. September 2025), der Löschung einer Akte im caritativen Bereich (IDSG 26/2022 vom 26. Mai 2025), der Einsicht in Beschäftigten-Accounts (IDSG 19/2023 vom 15. Juni 2025), der Adressweitergabe für Haustürwerbung einer Kirchenzeitung (DSG-DBK 02/2024 vom 19. Mai 2025) besprochen. Für den **Kolping-Fall** (der wenig überzeugend staatskirchenrechtlich, nicht kirchenrechtlich entschieden wurde) wird von der Aufsicht dieser Merksatz geprägt: »Für die Anwendbarkeit des KDG ist die tatsächliche organisatorische Einbindung in die Kirche entscheidend.« Das stimmt, aber eben nicht auf dem vom IDSG beschrittenen Weg. Ärgerlich ist, dass Kolping in der Überschrift als »kirchennahe Organisation« bezeichnet wird – ganz unabhängig von der zu entscheidenden Frage ist unstrittig, dass Kolping kirchlich ist. Hier täte eine Auseinandersetzung mit dem Verständnis der Sendung der Laien, wie es das Zweite Vatikanische Konzil grundlegt und das Kirchenrecht normiert, Not. Kirchlichkeit bestimmt sich durch die Ziele, nicht die Organisationsform. Bei den anderen Fällen gibt es jeweils diese Merksätze: * **Caritas:** »Datenschutz verlangt nicht nur die Löschung, sondern auch die rechtmäßige Aufbewahrung personenbezogener Daten.« * **Einsichtnahme** : »Zwischen der technischen Suche nach einer Datei und der Einsichtnahme in Benutzerinhalte ist datenschutzrechtlich zu unterscheiden.« * **Haustürwerbung:** »Auch kirchliche Öffentlichkeitsarbeit bedarf stets einer eigenständigen datenschutzrechtlichen Rechtsgrundlage.« ## Aufsichtstätigkeit ### Zahlen und Schwerpunkte »Transparenz ist eine wesentliche Voraussetzung für das Vertrauen in die Tätigkeit einer unabhängigen Datenschutzaufsicht«, heißt es zu Beginn des Abschnitts über die Aufsichtstätigkeit. Aber zu früh gefreut: Erst 2026 kommen die Zahlen. Im aktuellen Tätigkeitsbericht wird nur dafür argumentiert, dass diese Darstellung sinnvoll ist, und das mir von katholischen Aufsichten unter der Hand schon oft zugetragene Argument entkräftet, dass im Vergleich zu staatlichen Aufsichten wohl eher niedrigere Zahlen ein schlechtes Licht auf die kirchlichen Aufsichten werfen würden: »Fallzahlen allein erlauben keine Bewertung der Qualität einer Datenschutzaufsicht. Sie schaffen jedoch Transparenz über Aufgaben, Entwicklungen und Schwerpunkte der behördlichen Tätigkeit.« Für 2025 bleibt es beim bisher Üblichen, reinen Tendenzen. Allgemein wird darauf hingewiesen, dass sich der Schwerpunkt weg von datenschutzrechtlichen Einzelfragen hin zu komplexen Konstellationen entwickelt hat: »Datenschutzrechtliche Bewertungen erfordern deshalb immer häufiger ein Zusammenspiel juristischer, technischer und organisatorischer Expertise.« **Geldbußen** werden keine erwähnt. #### Beratungen Die Beratungen haben sich »erneut deutlich intensiviert«, der Beratungsbedarf habe sich »um ein Vielfaches« erhöht. Der Bericht nennt sechs prägende Themenbereiche: * Digitalisierung in kirchlichen Einrichtungen * Künstliche Intelligenz * Datenschutzmanagement und Organisation * kirchliche Bildungseinrichtungen * kirchliche Sozialwirtschaft * Öffentlichkeitsarbeit und digitale Kommunikation Einige Fälle werden angerissen, leider nicht immer in einer Tiefe, dass sich damit viel anfangen lässt. Gerne hätte man etwa mehr erfahren, wie die Einführung einer Zwei-Faktor-Authentifizierung für eine Fachanwendung begleitet wurde. Im Fall eines Amtshilfeersuchens nach dem Tod einer betroffenen Person fällt auf, dass gar nicht darauf eingegangen wurde, dass Datenschutzrecht nach herrschender Meinung nur bei lebenden Personen greift. #### Datenpannen Im Vorjahr gab es Rekordzahlen an Meldungen durch die Datenpanne bei einer Kita-App. Ohne einen solchen Massenvorfall gingen die Zahlen zurück; gleichwohl konstatiert die Aufsicht einen langfristig moderat steigenden Trend. Mit dem Meldeverhalten zeigt sich die Aufsicht zufrieden. Verantwortliche kämen zunehmend ihrer Meldepflicht nach, im Zweifel auch dann, wenn noch nicht absehbar ist, ob überhaupt eine Meldepflicht besteht. Ein wichtiger Hinweis ist, dass bei Audits die Dokumentation von Datenpannen geprüft wird. Während die Meldung an die Datenschutzaufsicht zu funktionieren scheint, sieht es bei der Information betroffener Personen anscheinend anders aus; hier bemerkt der Bericht, dass Verantwortliche seltener eine Informationspflicht annehmen als die Aufsicht. Inhaltlich bleibt es bei den Dauerbrennern: Fehlversände bleiben die häufigste Ursache, Cyberangriffe und IT-Sicherheits-Vorfälle gewinnen weiter an Bedeutung. Außerdem werden fehlerhafte Zugriffs- und Berechtigungskonzepte, der Verlust von Unterlagen oder IT-Geräten, unzulässige Datenweitergaben sowie Fehler bei der Einholung oder Nutzung datenschutzrechtlicher Einwilligungen genannt. Einige Fallbeschreibungen zeigen allgemeine Prinzipien auf, gehen aber wiederum nicht allzu sehr in die Tiefe. Sehr hilfreich ist eine Checkliste für Datenschutzvorfälle. Mut macht der Appell, aus Fehlern zu lernen und Datenpannen produktiv für eine Verbesserung des Datenschutzmanagements zu nutzen. #### Beschwerden Die Zahl der Beschwerden ist den Angaben zufolge erneut deutlich angestiegen, zugleich stieg die Komplexität. Fünf Schwerpunkte zählt die Aufsicht auf: * Verarbeitung und Weitergabe personenbezogener Daten * Auskunftsansprüche betroffener Personen * Veröffentlichung von Bild- und Personendaten * Beschäftigtendatenschutz * Elektronische Kommunikation Die einzelnen Fallbeispiele bleiben wieder allgemein. Beim Fall »Auskunfts- und Löschungsansprüche im Zusammenhang mit einer Taufe« wird etwa darauf hingewiesen, dass kirchenrechtliche Regelungen beachtet werden müssen, leider ohne in die Tiefe zu gehen, welchen Spielraum das Universalkirchenrecht lässt. Zu Einwilligungen in Film- und Fotoaufnahmen wird gesagt, dass vor allem zu undifferenzierte Einwilligungen und fehlende Informationen Probleme bereiten. Der Vorgänger des amtierenden Diözesandatenschutzbeauftragten wies regelmäßig darauf hin, dass er den Eindruck hat, dass an die Aufsicht Konflikte herangetragen werden, die eigentlich gar nichts mit Datenschutz zu tun haben. Eine derartige Feststellung gibt es jetzt nicht mehr, wohl aber einen Appell an eine faire Kommunikationskultur: »Die Auswertung der Beschwerden bestätigt erneut, dass viele Konflikte durch transparente Kommunikation und klar geregelte interne Verfahren vermieden werden können.« ### Prüfungen Die Auditstrategie wurde grundlegend weiterentwickelt: »An die Stelle einer überwiegend anlassbezogenen Prüfung einzelner Sachverhalte tritt zunehmend ein risikoorientierter Prüfungsansatz, der den Blick auf das gesamte Datenschutzmanagement einer Einrichtung richtet.« Fünf Schwerpunkte werden genannt: * Risikoorientierter Prüfungsansatz * Vor-Ort-Audits * Jahresbesuche in den Ordinariaten * Auditreihe in der kirchlichen Sozialwirtschaft * Bistumsweite Webseitenaudits Den **risikoorientierten Prüfungsansatz** erläutert der Bericht detailliert; im Fokus stehen Einrichtungen, die komplexe Verarbeitungsprozesse haben und Daten mit hohem Schutzbedarf verarbeiten: »Maßgeblich sind insbesondere Art, Umfang und Sensibilität der Datenverarbeitung sowie die möglichen Auswirkungen auf die Rechte der betroffenen Personen«. Auch Nachkontrollen erfolgen risikoorientiert. Die **bistumsweiten Webseitenaudits** unterscheiden sich von den anderen Prüfungen. Hier ging es darum, einen skalierbaren Prüfungsansatz zu fahren. Dazu wurden die Verantwortlichen, für die das KDSZ Bayern zuständig ist, systematisch erfasst. Der Bericht hebt vor allem auf Strukturen der verfassten Kirche im engeren Sinn ab. Ob es auch einen ähnlich guten Überblick über kirchliche Vereine und Verbände gibt, bleibt offen. Geprüft wurden flächendeckend die Webseiten der einzelnen Verwaltungseinheiten, nicht jeder einzelne Webauftritt der Kirchenstiftungen, mit dem Fokus auf Informationspflichten. Konkret nennt der Bericht die Angaben zum Verantwortlichen und zum betrieblichen Datenschutzbeauftragten, die Vollständigkeit und Verständlichkeit der Datenschutzhinweise sowie die korrekte Benennung der zuständigen Datenschutzaufsicht im Zusammenhang mit dem Beschwerderecht. (Das KDSZ Bayern scheint also die Rechtsauffassung zu vertreten, dass der bestimmte Artikel bei der Pflicht zur Nennung der Datenschutzaufsicht in § 15 Abs. 5 lit. d) KDG die Nennung der zuständigen Aufsicht erfordert, anders als im Bereich der DSGVO, wo der unbestimmte Artikel verwendet wird.) Ausführlich geschildert wird die **Auditreihe in der katholischen Sozialwirtschaft**. Geprüft wurden alle Diözesancaritasverbände in Bayern sowie weitere große Sozialträger. Dabei wurde bisher ein hohes Datenschutzniveau sowie eine ausgeprägte Sensibilität im Umgang mit personenbezogenen Daten festgestellt. ## Fazit Das neue Konzept des Tätigkeitsberichts überzeugt in weiten Teilen. Sehr deutlich wird der durch den Diözesandatenschutzbeauftragten vertretene Ansatz eines ganzheitlichen Datenschutzverständnisses, auch in den Fallschilderungen. Die bleiben meist sehr allgemein, geben aber doch Hinweise, welche übergeordneten Prinzipien dabei helfen, ein stringentes Datenschutzkonzept zu entwickeln. Das risikoorientierte Vorgehen wird plausibel erklärt – das dürfte auch für kleinere Verantwortliche eine Entlastung darstellen. Erfreulich ist der Ausblick auf die Nennung von Zahlen der Aufsichtstätigkeit, auch wenn das in diesem Jahr noch nicht geklappt hat. Trotz der Bedenken, dass die Fallzahlen zu klein scheinen könnten, dürften sie doch eher dazu führen, dass plausibel wird, warum die Aufsichten stetig über ein zu hohes Arbeitsaufkommen klagen. Hoffentlich macht der bayerische Vorstoß Schule. ## Bisher besprochene Tätigkeitsberichte des bayerischen DDSB Jahr| Besprechung| Tätigkeitsbericht ---|---|--- 2018/2019| –| Tätigkeitsbericht 2018/2019 2019/2020| Land unter in Bayern| Tätigkeitsbericht 2019/2020 2020/2021| Wanderaufsicht ohne Buße| Tätigkeitsbericht 2020/2021 2021/2022| Kontra aus München| Tätigkeitsbericht 2021/2022 2023/2024| Alles neu in Nürnberg| Tätigkeitsbericht 2022/2023 2025| Transparenzoffensive| Tätigkeitsbericht 2025 * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Digitale Souveränität in Freiburg 1.2 Schwärzungen und Aufarbeitung 1.3 Streit um Beschäftigtendaten 1.4 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Digitale Souveränität in Freiburg Die Erzdiözese Freiburg nutzt Mastodon und Bluesky – ausdrücklich mit dem Argument »Digitale Souveränität statt Algorithmus-Abhängigkeit«. Mit den zusätzlichen Social-Media-Kanälen setzte man verstärkt auf digitale Unabhängigkeit und ethische Kommunikation. Ziel sei es, den digitalen Dialog nach eigenen christlichen Werten und unabhängig von US-Großkonzernen zu gestalten. »Für uns ist die Entscheidung für alternative Netzwerke daher eine Frage der digitalen Verantwortung. Wir wollen Räume mitgestalten, in denen Datenschutz und Souveränität der Nutzenden an erster Stelle stehen«, erläutert Kommunikations-Chef Michael Hertl. Flankierend bietet das Erzbistum zusammen mit der Katholischen Akademie Freiburg am 17. Juli, 14–17.30 Uhr, einen Fediverse-Workshop an – neben Hertl ist auch Ralf Tauscher von der Mastodon-Instanz freiburg.social dabei. ### Schwärzungen und Aufarbeitung Die Unabhängige Kommission zur Aufarbeitung sexualisierter Gewalt im Bistum Essen (UAK) hat ihren Tätigkeitsbericht für 2025 vorgelegt. Unter anderem erfährt man, dass sich die NRW-UAKs mit dem KDSZ Dortmund und der NRW-Landesdatenschutzbeauftragten getroffen und über datenschutzrechtliche Rahmenbedingungen der Akteneinsicht beraten haben. (Wahrscheinlich handelt es sich dabei um denselben Termin, zu dem ich schon einmal das NRW-Informationsfreiheitsgesetz ohne großen Erfolg bemüht habe.) Ein konkretes Problem war, dass die UAK vom Bistum zunächst nur geschwärzte Akten erhalten hatte. Die Schwärzungen waren den Angaben zufolge so umfangreich, dass die Akten nicht mehr aus sich heraus verständlich waren. Dazu kamen beschwerliche Rahmenbedingungen: »Zudem konnten die Kommissionsmitglieder Einsicht nur zeitlich limitiert in den Räumen des Generalvikariats nehmen, wobei mehrfach nicht weniger als drei Personen darüber wachten, dass keine Fotografien oder Fotokopien gefertigt wurden. Gestattet waren nur handschriftliche Notizen.« Nach Beratungen mit dem Generalvikar und den Datenschutzinstitutionen konnte das Verfahren geändert werden, die Kommission kann nun mit ungeschwärzten Akten arbeiten. Was jetzt noch bleibt, ist das sattsam bekannte Problem kirchlicher Akten: »Die Vorgänge sind aus der Sicht der Kommission mitunter unsystematisch und wenig effizient geordnet.« ### Streit um Beschäftigtendaten Die Ruhr-Nachrichten berichten von einem Streit um den Umfang einer Auskunft über Beschäftigtendaten zwischen einer ehemaligen Beschäftigten und einem katholischen Krankenhaus vor dem Arbeitsgericht Herne. Es geht laut dem Bericht um die Frage, in welchem Umfang Auskunft zu erteilen ist – genannt werden Lohn- und Gehaltsunterlagen, Urlaubs- und Fehlzeitenkonten, Arbeitszeitnachweise, E-Mails und digitale Korrespondenz. Aus der Zeitung erfährt man auch, dass in dieser Sache parallel Verfahren vor dem kirchlichen Datenschutzgericht laufen. ### In eigener Sache * Wer mit der KI-Challenge von medienkompetenz CONNECT KI-Kompetenz erwirbt, kann sich zu Online-Begleitveranstaltungen anmelden. Ich biete die Einheit zur **EU- KI-Verordnung und KI-Richtlinien** an, die am 13. Juli 2026, 18–19.30 Uhr stattfindet. Die Teilnahme an der KI-Challenge ist Voraussetzung für die Teilnahme an dem Workshop und ist kostenlos, ein Zertifikat ist bei Absolvierung des Kurses für 30 Euro Bearbeitungsgebühr zu erhalten. ## Auf Artikel 91 * EuGH verhandelt über Löschen aus dem Taufbuch ## Aus der Welt * Im aktuellen Stiftungsbrief der Stiftung Datenschutz befasst sich Kirsten Bock mit der Frage nach digitalen Rechten für Kinder: »Dabei müssen sich staatliche Schutzpflichten und elterliche Fürsorge mit der informationellen Selbstbestimmung von Kindern vereinbaren lassen, ohne dass dabei Freiheits- und Beteiligungsrechte von jungen Menschen strukturell verkürzt werden.« * ## Kirchenamtliches * **Zweites Gesetz zur Änderung des KDG**: Görlitz, Magdeburg * **KDSZ Frankfurt:** Eine Entscheidung des U.S. Supreme Court könnte zur Herausforderung für die europäische Digitalwirtschaft werden * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Der Europäische Gerichtshof muss über das Löschen aus Taufbüchern entscheiden: Greift hier das Recht auf Vergessenwerden des Einzelnen, oder hat die Kirche ein überwiegendes Interesse daran, die Daten zu Taufspendungen auch gegen den Willen der getauften Person zu speichern? Eine Sitzung des Gerichtshofs –Große Kammer (Archivbild, Quelle: Pressestelle Europäischer Gerichtshof) Dazu hat das zuständige belgische Verwaltungsgericht dem EuGH fünf Fragen vorgelegt. Am 30. Juni fand die mündliche Verhandlung in der Sache Bisdom Gent – C-12/25 statt. Über vier Stunden und mit vielen Interventionen aus Mitgliedstaaten. Die Verhandlung zeigt jetzt schon auf, wo die Knackpunkte in dem Verfahren liegen. **Inhalte** Verbergen 1 Der Fall 1.1 Sachverhalt 1.2 Die Vorlagefragen 2 Stellungnahmen von Kommission und Mitgliedstaaten 3 Fragen des Gerichts und der Generalanwältin 4 Themen der Verhandlung 4.1 Das Taufbuch als Dateisystem? 4.2 Schlägt die Autonomie der Kirche? 4.3 Nachweis der Taufe oder Nachweis der Zugehörigkeit? 4.4 Gibt es ein Löschrecht? 4.5 Gibt es zwingende Gründe, die gegen ein Widerspruchsrecht sprechen? 4.6 Beeinträchtigt die dauerhafte Speicherung die Menschenwürde? 4.7 Kinder werden getauft, Erwachsene treten aus – welche Relevanz hat das? 4.8 Rechtfertigen öffentliche Archivzwecke die Speicherung? 4.9 Ist ein Austrittsvermerk eine Alternative zur Löschung bei Löschpflicht? 5 Ausblick und Fazit _(Die Verhandlungssprache war Niederländisch, eine Transkription oder Untertitel gibt es nicht; dieser Bericht basiert auf der deutschen Simultanübersetzung, die ebenfalls nicht verschriftlicht vorliegt. Auch die eingereichten Schriftsätze liegen nicht vor – es gibt also einige potenzielle Fehlerquellen auf dem Weg hierher.)_ ## Der Fall ### Sachverhalt Die Konstellation ist wenig spektakulär: Als Kinder Getaufte wollen nichts mehr mit der Kirche zu tun haben. Dass die Kirche auf Austrittserklärungen nur mit Vermerken im Taufbuch, nicht aber mit Löschungen reagiert, nehmen die betroffenen Personen nicht hin und beschweren sich darüber bei der belgischen Datenschutzaufsicht. Anders als die Datenschutzaufsichten in einigen anderen Mitgliedstaaten sieht die belgische ein Recht auf Vergessenwerden. Die Kirche – hier das katholische Bistum Gent – legt Rechtsmittel ein, schließlich legt das Brüsseler Berufungsgericht dem EuGH fünf Fragen dazu vor. ### Die Vorlagefragen Die langen Vorlagefragen lassen sich knapp so zusammenfassen: 1. Ist Art. 17 DSGVO, das Recht auf Vergessenwerden, unter Berücksichtigung der Grundrechte und der Trennung von Kirche und Staat so auszulegen, dass eine als Minderjährige getaufte Person, die sich nach Eintritt der Volljährigkeit von der römisch-katholischen Kirche distanzieren möchte, ein Recht auf Löschung ihrer personenbezogenen Daten aus dem Taufregister hat? 2. Ist es bei der Bewertung eines Widerspruchs nach Art. 17 Abs. 1 lit. c) DSGVO relevant, dass die Kirche sagt, dass die Eintragung ins Taufbuch etwas mit den Grundrechten der Kirche zu tun hat? 3. Ist es relevant, dass das Taufbuch nicht digital, sondern tatsächlich als physisches Buch geführt wird und Eintragungen auf beiden Seiten des Blattes sind? 4. Ist es relevant, dass das Taufbuch ein historisches Artefakt ist und eine einzigartige Wiedergabe historischer Fakten ist, sodass die Ausnahme von der Löschpflicht aufgrund von Archiv- oder Forschungszwecken greift? 5. Falls ein Recht auf Löschung besteht und keine Ausnahmen greifen: Genügt dann ein Randvermerk zum Kirchenaustritt, um das Recht zu erfüllen? ## Stellungnahmen von Kommission und Mitgliedstaaten Neben der EU-Kommission haben Tschechien, Österreich, Italien und Lettland Stellungnahmen in der mündlichen Verhandlung abgegeben. Allen ist gemeinsam, dass sie kein Löschrecht sehen, wenn auch mit unterschiedlichen Aspekten. * Die **EU-Kommission** argumentiert nah an der DSGVO: Die Aufzeichnung der Taufe ist aufgrund einer Interessenabwägung rechtmäßig, bei einem Widerspruch muss also die Interessenabwägung erneut durchgeführt und auf zwingende Gründe überprüft werden. Die Abwägung fällt nach Auffassung der Kommission zugunsten der Kirche aus. * **Tschechien** betont sehr stark, dass ein Taufbucheintrag nur das ist, was er ist – nämlich der Eintrag der Taufe als Ereignis, ohne dass darüber hinaus Aussagen über Überzeugungen und Zugehörigkeiten der betroffenen Personen gemacht werden. * **Österreich** sieht Taufbücher und ihre Unversehrtheit vor allem im Licht der kollektiven Religionsfreiheit und kommt auf dieser Grundlage zum Schluss, dass ein Löschen nicht infrage kommt, während die Religionsfreiheit der betroffenen Personen nicht beeinträchtigt sei. * **Italien** betont ebenso kirchliche Autonomie und kollektive Religionsfreiheit. Eine Löschverpflichtung aus staatlichem Recht würde darin unzulässig eingreifen. Eine Einzelfallprüfung müsse zu dem Ergebnis kommen, dass die betroffenen Personen nur sehr gering beeinträchtigt werden durch den Eintrag. Italien unterstützt außerdem die Position, dass es sich um einen lediglich objektiven Vermerk über historische Tatsachen handelt und verweist dazu auf den EGMR-Fall Wasmuth, in dem es um den Konfessionseintrag auf einer Lohnsteuerkarte ging. * **Lettland** sieht das Datenschutzrecht erst gar nicht anwendbar mangels Dateisystem, sollte die DSGVO aber doch zur Anwendung kommen, handle es sich um objektive Tatsachen, die aufgezeichnet werden, und beim Austrittsvermerk um ein geeignetes milderes Mittel statt einer Löschung. ## Fragen des Gerichts und der Generalanwältin Aus den Fragen des Gerichts und der Generalanwältin lassen sich Tendenzen ermitteln, wohin die Reise geht und welche Schwerpunkte in der Entscheidung und den Schlussanträgen eine Rolle spielen könnten. Die **Richter*innen** fragten danach, um welche personenbezogenen Daten es bei dem Taufbucheintrag konkret gehe, ob die Archivierung mit dem staatlichen Archiv vertraglich vereinbart sei, ob es sich beim Taufeintrag um ein bloß historisches Datum oder um eine Information zur Zugehörigkeit handle, ob ein Kirchenaustritt keine _ex-tunc_ -Wirkung entfalten könne und ob das Taufbuch nach belgischem Recht ein Archiv- oder Kulturgut sei. Die **Generalanwältin Laila Medina** fragte nach der Abwägung zwischen Datenschutzgrundrecht und kollektiver Religionsfreiheit sowie der Abgrenzung von kirchlicher Autonomie und Reichweite des EU-Rechts, nach dem Verhältnis von Taufbucheintrag und Mitgliedschaft und den Gründen für das Vorgehen, den Austritt per Vermerk zu notieren, nach dem tatsächlichen Risiko einer Wiedertaufe, nach der Nutzung der Kirchenbücher durch die Kirche für Archiv- und Forschungszwecke, nach einer aus Sicht der betroffenen Person verhältnismäßigen Lösung, inwiefern die Entscheidung der Eltern zur Taufe die Rechtsposition des dann erwachsenen Kindes beeinflussen kann sowie danach, ob der Vermerk eines Austritts nicht Daten über die Ausübung der negativen Religionsfreiheit darstellen würde. ## Themen der Verhandlung Neun Themenkomplexe haben die Verhandlung geprägt. Teils ging es explizit um die Vorlagefragen, teils um damit verbundene Aspekte. ### Das Taufbuch als Dateisystem? Erstaunlich ausführlich widmete sich der erste Teil der Verhandlung der Frage, ob ein Taufbuch überhaupt ein Dateisystem im Sinne von Art. 4 Nr. 6 DSGVO sei. Sollte es sich beim als physisches Buch geführten Taufbuch nämlich gar nicht um ein Dateisystem handeln, würde das Datenschutzrecht nicht greifen und der ganze Fall würde in sich zusammenbrechen. Den EuGH davon zu überzeugen, dass ein Taufbuch kein Dateisystem ist, dürfte schwierig sein – im Fall der finnischen Zeugen Jehovas (C-25/17) wurden schon deutlich weniger sortierte Aufzeichnungen als Dateisystem verstanden. **Kein Dateisystem: Bistum Gent und Lettland** – die Vertreterin des Bistums Gent versuchte, dahingehend zu argumentieren: Das einzige Ordnungskriterium sei das Taufdatum, also kein personenbezogenes Kriterium. Ein Taufbuch sei ein Ereignisregister, kein Personenregister. Die Suche nach bestimmten Personen erfordere also die Mitwirkung der betroffenen Person. Anders als im Fall Zeugen Jehovas sei hier keine einfache Auffindbarkeit gegeben. Lettland warnt zudem vor einem Dammbruch: Würde man hier ein Dateisystem annehmen, müsste man das bei sehr vielen Archivalien auch, sodass eine sinnvolle Archivierung nicht mehr gut möglich sei. **Dateisystem: Datenschutzaufsicht, EU-Kommission und Österreich** – wenig überraschend führten die Befürworter des Dateisystem-Charakters das Jehovas-Zeugen-Urteil an. Es handle sich um strukturierte und geordnete Formulare. Die Aufsicht weist auch darauf hin, dass sich im Vortrag der Kirche ein gewisser Widerspruch zeigt: Wenn sie einerseits sagt, dass man gar nicht systematisch auf die Daten zugreifen könne, zugleich aber anführt, dass man die Daten brauche, um etwa eine Wiedertaufe zu verhindern, passe das nicht zusammen. ### Schlägt die Autonomie der Kirche? **Nein:** Die Datenschutzaufsicht und die betroffenen Personen sehen die Löschung naturgemäß als für die Kirche zumutbar an. Das Taufbuch betreffe nur die rein weltliche Datenhaltung; der religiöse Ritus der Taufe sei dadurch nicht berührt – das unterscheide diesen Fall von anderen Fällen zur Religionsfreiheit wie der Frage, ob das Schächten erlaubt ist. Es sei auch nicht erkennbar, dass die Religionsausübung beeinträchtigt werde, wenn Taufbücher etwa durch Naturkatastrophen vernichtet werden. Schließlich sei die Autonomie der Kirche nicht grenzenlos und reiche nicht so weit, dass sie das Datenschutzgrundrecht Dritter immer schlage. Eine **Zwischenposition** nimmt die EU-Kommission ein: Sie sieht zwar keine absolute Autonomie der Kirche; eine Verhältnismäßigkeitsprüfung kommt aber zum Schluss, dass hier die Interessen der Kirche überwiegen. **Ja:** Das Bistum Gent sowie Österreich, Tschechien, Italien und Lettland sehen die Autonomie der Kirche hier stärker als das Löschrecht. Die Kirche verweist auf das strenge kirchliche Verbot der Löschung und führt dazu unter anderem die erklärende Note des Gesetzestexte-Dikasteriums an. Würde man die Kirche zum Löschen zwingen, zwänge man sie zugleich dazu, gegen ihre religiösen Regeln zu verstoßen. Interessant ist, dass auch Mitgliedstaaten religiöse Argumente angeführt haben: Österreich betont, dass die Vollständigkeit des Registers essenziell sei und verweist auch auf Verwendungszwecke in der Ökumene. Tschechien weist darauf hin, dass die Verwaltung der Sakramente und damit auch ihre Aufzeichnung in den Kernbereich der inneren Organisation der Kirchen fallen. Schließlich sieht Italien ein Interesse der Kirche daran, über ihre Glieder Bescheid zu wissen. ### Nachweis der Taufe oder Nachweis der Zugehörigkeit? Wer getauft ist, gehört nach christlichem Verständnis zur Kirche, und die Taufe ist nicht rückgängig zu machen: Sie ist ein unauslöschliches Prägemal. Wer in die katholische Kirche getauft wurde oder in sie eingetreten ist, ist immer katholisch – _semel catholicus, semper catholicus_. Daher wirkt es zunächst plausibel, dass das Taufbuch ein Mitgliederverzeichnis ist. Mit diesem Verständnis wäre – sieht man vom theologischen Verständnis der Kirchengliedschaft ab – ein Löschrecht plausibel. Wieder teilen sich die Argumente in die gleichen Gruppen auf: Hier die Aufsicht und die Betroffenen, da der Rest. * **Taufbuch als Ausdruck der Verbundenheit mit der Kirche:** Die Aufsicht und die Betroffenen sehen mehr als nur eine objektive Aufzeichnung im Taufbuch-Eintrag. Es handle sich vielmehr um die subjektive Sicht der Kirche auf eine betroffene Person, umgekehrt lasse der Eintrag auf die Haltung der Person zur Kirche schließen. Einer der Betroffenen betont, dass die kirchliche Sichtweise nicht für die Frage nach der Kirchenmitgliedschaft herangezogen werden dürfe; das verbiete die staatliche Neutralität. * **Taufbuch als objektive Aufzeichnung:** Sehr plastisch führt Tschechien den _Ententest_ ein: Wenn es aussieht und läuft und klingt wie eine Ente, ist es eine Ente – auf das Taufbuch bezogen: Der Taufbucheintrag ist genau und nur das, was er zu sein scheint: ein Vermerk über den Empfang der Taufe. Eine bestimmte Haltung zur Kirche impliziere er gerade nicht. Schon rein statistisch sei das deutlich: In Tschechien seien über 40 Prozent der Einwohner*innen getauft, aber nur 10 Prozent bekennen sich zur Kirche. Österreich und Tschechien führen aus, dass Taufregister keine Mitgliederlisten von Pfarreien (wo Taufbücher geführt werden) seien, wie man an den Daten Verstorbener und Verzogener sehen könne. Lettland weist darauf hin, dass ein späterer Austritt das Faktum der früheren Taufe nicht aufheben könne. ### Gibt es ein Löschrecht? Die Mehrheit der Eingaben sprach sich dagegen aus, dass die Kirche aus dem Taufbuch löschen muss. Dem Bistum Gent sprangen Tschechien, Österreich, Italien, Lettland und die EU-Kommission zur Seite. Für ein Löschrecht setzten sich neben der Datenschutzaufsicht die Betroffenen ein, die sich bei der belgischen Behörde beschwert hatten. ### Gibt es zwingende Gründe, die gegen ein Widerspruchsrecht sprechen? Als Rechtsgrundlage für die Taufbucheinträge wird ein berechtigtes Interesse der Kirche angenommen; keine andere Rechtsgrundlage passt – insbesondere liegt keine Einwilligung vor. Bei einem berechtigten Interesse gibt es die Möglichkeit eines Widerspruchs. Dem Widerspruch muss die verantwortliche Stelle Folge leisten, wenn sie keine »zwingenden schutzwürdigen Gründe« vorweisen kann, »die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen« (Art. 21 Abs. 1 DSGVO). Auch bei dieser Frage blieben die Fronten wie bisher. * **Keine zwingenden Gründe** sahen die Datenschutzaufsicht und die Betroffenen. Unter den (datenschutzrechtlich) Betroffenen sind auch Betroffene sexualisierter Gewalt. Sie führen an, dass die Weigerung der Löschung fortwährend traumatisiere. Die Löschung diene dem Schutz ihrer mentalen Stabilität und moralischen Integrität. Dagegen sei das Interesse der Kirche vergleichsweise gering. Von ihr angeführte Szenarien eines Wiedereintritts verbunden mit einer durch fehlende Aufzeichnungen geschehenden Wiedertaufe seien nicht überzeugend. Wieder wird angeführt, dass der Eintrag so wichtig nicht sein kann, wenn es anscheinend ohne eine systematische Erschließung der Aufzeichnungen geht, die einen Zugriff auf alle Taufeinträge ermöglichen würde. Archivgründe seien jedenfalls nicht zwingend – es gebe kein staatliches Gesetz, das die Taufbücher zu Archivmaterial in öffentlichem Interesse erklären würde. * **Zwingende Gründe** wurden wieder vom Bistum und den sich äußernden Mitgliedstaaten angeführt. Hier werden wieder von den Mitgliedstaaten theologische Gründe, insbesondere die Unwiederholbarkeit der Taufe angeführt. Die EU-Kommission, Tschechien und Italien führen an, dass der Eingriff nicht wesentlich sei, da die Register nicht öffentlich seien. ### Beeinträchtigt die dauerhafte Speicherung die Menschenwürde? Hier argumentieren wieder die Missbrauchsbetroffenen für eine Beeinträchtigung: Die Speicherung in einem System der Täterorganisation sei eine objektive und subjektive Beeinträchtigung. Das Bistum Gent führt dagegen an, dass die Aufzeichnung lediglich objektiver Tatsachen keinen Eingriff in die Menschenwürde darstellen könne. Auch Tschechien und Italien sehen keine Beeinträchtigung – weder die Taufe selbst noch ihre Aufzeichnung sei erniedrigend, argumentiert etwa Tschechien. ### Kinder werden getauft, Erwachsene treten aus – welche Relevanz hat das? Eine betroffene Person argumentiert damit, dass schon die Frage tendenziös sei, wenn sie unterstelle, dass eine als Kind getaufte Person je Mitglied gewesen sei – schließlich fehle es am aktiven Eintritt des Täuflings. Mit der negativen Religionsfreiheit sei das nicht zu vereinbaren. Daher bestehe ein _ex-tunc_ -Anspruch, also eine komplette Löschung, da nur so klargestellt wird, dass tatsächlich keine Mitgliedschaft besteht und nie bestanden hat. Dagegen steht die theologische Auffassung der Kirche, die nur eine _ex-nunc_ -Lösung akzeptieren kann: Das Faktum der Taufe bleibt bestehen, der Austrittswunsch wird per Vermerk gelöst. Trotz des theologischen Verständnisses der untilgbaren Taufe sei die Religionsfreiheit durch die Möglichkeit des Austritts und seines Vermerks gewahrt. Österreich betont, dass als Minderjährige Getaufte sehr wohl Mitglied der Kirche waren, da sie durch ihre Eltern vertreten wurden. ### Rechtfertigen öffentliche Archivzwecke die Speicherung? Ein Betroffener betont, dass es für Kirchenbücher keine gesetzliche Grundlage für die Archivierung gibt und die Überführung ins staatliche Archiv nach 100 Jahren nur auf Antrag stattfindet. Genealogische Forschung stütze sich seit dem 18. Jahrhundert auf staatliche Register, Taufbücher benötige es dazu nicht zwingend. Dagegen führt das Bistum Gent an, dass das staatliche Archiv selbst eine Übernahme alter Taufbücher anfrage; das sei ein Indiz für den archivarischen Wert. Es teilt auch nicht die Auffassung, dass Taufbücher nicht für die zukünftige Forschung benötigt würden. Lettland führt an, dass der historische Wert der Aufzeichnungen an ihrer Vollständigkeit hänge. ### Ist ein Austrittsvermerk eine Alternative zur Löschung bei Löschpflicht? Ein Betroffener bringt vor, dass der Vermerk das genaue Gegenteil von dem sei, was er wolle: nämlich eine zusätzliche Verarbeitung statt eines Endes der Verarbeitung. Die Kommission sieht in einem Vermerk eher eine Korrektur nach Art. 16 DSGVO als einen Vorgang, der gleichwertig zu einer Löschung ist. Die Datenschutzaufsicht weist darauf hin, dass die Kirche selbst von einer Änderung des kirchlichen Status einer Person spricht – damit sei klar, dass der Vermerk kein Löschsurrogat sei. Das Bistum Gent dagegen sieht in dem Vermerk, verbunden mit einer Streichung des Eintrags, genug Entgegenkommen. Damit werde der Wille der ausgetretenen Person respektiert, ohne den Wesensgehalt der Kirchenautonomie anzutasten. Lettland sieht im Vermerk ein angemessenes milderes Mittel, das den Wunsch der betroffenen Person mit dem Anspruch auf Integrität der Taufbücher in Einklang bringt. Österreich spricht wie die Kommission von einer Korrektur, sieht das aber als Argument für die Zulässigkeit. ## Ausblick und Fazit Ab jetzt geht es schneller voran: Das Vorabentscheidungsersuchen ging am 9. Januar 2025 ein, bis zur mündlichen Verhandlung hat es also anderthalb Jahre gedauert. Der nächste Schritt sind die Schlussanträge der Generalanwältin. Die sind schon terminiert: Am **1. Oktober** sollen die **Schlussanträge** vorliegen. Die Verhandlung dürfte gut abgesteckt haben, was die kritischen Fragen sind. Auf Ebene des Datenschutzrechts ist die Frage, ob die Kirche zwingende Gründe vorweisen kann, den Widerspruch zurückzuweisen. Dass der EuGH auf die Argumentation eingeht, dass Taufbücher kein Dateisystem darstellen, ist eher unwahrscheinlich. Ob **zwingende Gründe** vorliegen, dürfte eine Abwägung zwischen Datenschutzgrundrecht der betroffenen Personen und der kollektiven Religionsfreiheit erfordern – das ist die eigentlich interessante Kernfrage. Auffällig ist, dass einige Mitgliedstaaten und die Kommission Stellung genommen haben, und zwar für das Recht der Kirche, nicht zu löschen. Wird dem der traditionell eher laizistisch tickende EuGH folgen? Sicher ist das nicht. Andererseits wird wohl auch der EuGH nicht umhin kommen, zumindest zur Kenntnis zu nehmen, dass in einigen Mitgliedstaaten bereits Entscheidungen zugunsten der Kirche gefallen sind – und eigentlich darf die EU ja den Status der Religionsgemeinschaften nicht beeinträchtigen (Art. 17 AEUV). Die **Argumentationslinie des Bistums Gent verwundert** teilweise: Warum begibt es sich in den Selbstwiderspruch, dass einerseits ein Zugriff auf die Taufdaten erforderlich sei, das aber andererseits gar nicht möglich ist, da es sich nicht um ein recherchefähiges Dateisystem handelt? Warum wird der zu Recht von der Gegenseite als völlig hypothetisch eingeordnete Fall eines Wiedereintritts bei gleichzeitiger Täuschung über schon erfolgte Taufe angeführt? Die eigentliche Notwendigkeit von Taufbüchern liegt in der Bedeutung des Taufstatus für Dritte. Zum einen in Ehesachen: Hier hängt von der Taufe ab, ob eine sakramentale Ehe vorliegt, und von der Taufe oder Aufnahme in die katholische Kirche, ob Eheleute der Formpflicht unterliegen. Zum anderen in Adskriptionsfragen: Von der Zugehörigkeit der Eltern zu Kirchen sui iuris hängt ab, welcher Kirche sui iuris ein Kind angehört – das kann über Generationen hinweg relevant sein. Solche Argumente fehlten völlig – dabei wird an ihnen der Gemeinschaftsbezug der Taufregister deutlich. Weit hergeholte Sorgen vor Wiedertaufen wirken da deutlich weniger überzeugend. Am Ende wird es auf den Showdown hinauslaufen, den eine der betroffenen Personen ganz am Ende der Verhandlung selbst in ihrem Appell an das Gericht formuliert hat: »Die römisch-katholische Kirche ist der Ansicht, dass sie die Geschichte schreiben kann, indem sie auf unrechtmäßige Art und Weise Glaubensmerkmale mit Personen verbindet und ein Löschen dieser Daten ablehnt. Sie können Geschichte schreiben, indem Sie dies mit den universellen Menschenrechten verhindern und das Löschen ermöglichen.« * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Neue NRW-Diözesandatenschutzbeauftragte 1.2 EuGH verhandelt Löschen aus dem Taufbuch 1.3 Vatikan-KI-Kommission tritt zusammen 1.4 Ethisch verantwortete KI-Governance 1.5 Kompakte Protokolle dank BVerfG 1.6 Insgesamt gelungene KDG-Modernisierung 1.7 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Neue NRW-Diözesandatenschutzbeauftragte Die Nachfolge für Steffen Pau ist klar: Jennifer Esch wird neue Diözesandatenschutzbeauftragte der NRW-Bistümer und des VDD, teilte das Erzbistum Paderborn mit. Die 48-jährige Juristin war früher schon juristische Referentin des KDSZ Dortmund, derzeit ist sie Betriebliche Datenschutzbeauftragte und Compliance Officer in der Stahlindustrie. Paus Amtszeit endet zum 1. September, Esch tritt das Amt Anfang 2027 an. ### EuGH verhandelt Löschen aus dem Taufbuch Der EuGH hat gut vier Stunden lang über das Löschen aus dem Taufbuch verhandelt, eine Vorlage aus Belgien. Ohne die Verhandlung schon im Detail ausgewertet zu haben (hier kann sie einen Monat lang auch mit deutscher Übersetzung angeschaut werden), gibt es doch schon einige Erkenntnisse. Erstaunlich ausführlich wurde die Frage verhandelt, ob es sich beim Taufbuch um ein Dateisystem handelt; angesichts des finnischen Zeugen-Jehovas-Falls hätte ich gedacht, dass man gar nicht erst versucht, so zu argumentieren. Interessant ist auch, dass einige Mitgliedsstaaten und die EU-Kommission sich geäußert haben. Tschechien, Österreich, Italien, Lettland und die Kommission stärken dem Bistum Gent den Rücken und sehen kein Löschrecht. Für ein Löschrecht ausgesprochen haben sich die belgische Datenschutzaufsicht sowie die Personen, die sich gegen die Nichtlöschung beschwert hatten. Der nächste (öffentliche) Schritt sind nun die **Schlussanträge der Generalanwältin**. Die sind für den 1. Oktober von ihr angekündigt. ### Vatikan-KI-Kommission tritt zusammen Die von Papst Leo XIV. eingerichtete Interdikasterielle KI-Kommission hat ihre Arbeit aufgenommen, wie das federführende Entwicklungs-Dikasterium mitteilt. Beteiligt sind außerdem die Dikasterien für Glauben, Kultur, Kommunikation und Entwicklung sowie die Päpstlichen Akademien für Leben und die Sozialwissenschaften. Bei der Sitzung haben sich die Beteiligten auf zwei Schwerpunkte geeinigt: > »A broad consensus emerged regarding the need for a twofold service: on the one hand, fostering internal coordination, information sharing, and reflection on the use of AI within the institutions of the Holy See; on the other, providing a point of reference for discernment and support for the many initiatives promoted in this field.« Erste Schritte sollen eine Sammlung bestehender Initiativen und Themen sowie die Arbeit an Richtlinien für die Nutzung von KI durch den Heiligen Stuhl sein. ### Ethisch verantwortete KI-Governance Die Konferenz der EU-Bischofskonferenzen COMECE hat ihren Beitrag zu einem Dialogseminar des EU-Parlaments zu »Gesundheit und Wohlbefinden im Zeitalter der Künstlichen Intelligenz« veröffentlicht. Der Vertreter der COMECE, der maltesische Moraltheologe Emmanuel Agius, nannte in seiner Rede fünf Stufen der KI-Governance, die er aus der Enzyklika »Magnifica humanitas« entwickelt: Gesetzgebung, Organisationsrichtlinien, technische Schutzmechanismen, verantwortliches Design und Beteiligung. Von der EU fordert er drei konkrete Schritte: > 1. »First, the EU should require ethical transparency: not only what algorithms do, but the understanding of the human person they presuppose. This requires independent ethical audits with meaningful civil society participation. > 2. Second, age-appropriate design for children and adolescents must become a binding legal obligation, with responsibility placed upon service providers rather than families. The evidence of harm is no longer deniable. > 3. Third, regulation alone will not suffice. Pope Leo XIV reminds us that the “civilization of love” will not arise from a single spectacular gesture, but from the accumulation of small and steadfast acts of fidelity. Families, parishes, and civil society must therefore be recognised as primary agents of human flourishing. They are not alternatives to regulation but essential partners in fostering the social and moral conditions necessary for genuine human well-being.« > ### Kompakte Protokolle dank BVerfG Der Oberkirchenrat der Landeskirche Württemberg empfiehlt seinen Kirchengemeinderäten und Bezirkssynoden, datensparsam Protokoll zu führen. Hintergrund ist die Entscheidung des BAG, dass Protokolle zur materiellen Personalakte gehören können und daher trotz nichtöffentlicher Sitzung ein Einsichtsrecht besteht; die Verfassungsbeschwerde dagegen hat das BVerfG sehr deutlich begründet nicht angenommen. Der Oberkirchenrat rät: > »Zum Schutz des Meinungsbildungsprozesses innerhalb des Gremiums empfiehlt es sich daher, nur die Ergebnisse der geführten Beratungen in die Sitzungsniederschrift aufzunehmen. Damit kann ein Schutz der Persönlichkeitsrechte der Mitglieder des Gremiums gewährleistet werden.« Sicher ein guter Rat für alle Protokolle. Abzüge in der B-Note gibt’s für die uneinsichtige und bockige Formulierung »nach Ansicht des Bundesarbeitsgerichts und des Bundesverfassungsgerichts« – als ob das nur irgendwelche Ansichten wären. Aber mit den Tugenden der Klugheit und Mäßigung waren die beteiligten kirchlichen Instanzen in dieser Sache ohnehin nicht allzu reich beschenkt. ### Insgesamt gelungene KDG-Modernisierung Die Novellen des KDG und der KDG-DVO werden recht einhellig positiv, wenn auch nicht euphorisch begrüßt – so auch im Anwaltspraxis-Magazin. Peter Hützen stellt die wichtigsten Neuerungen vor und stellt einen »überzeugenden Schritt hin zu mehr Rechtsklarheit, Praxistauglichkeit und Anschlussfähigkeit an das allgemeine Datenschutzrecht« fest. ### In eigener Sache * Wer mit der KI-Challenge von medienkompetenz CONNECT KI-Kompetenz erwirbt, kann sich zu Online-Begleitveranstaltungen anmelden. Ich biete die Einheit zur **EU- KI-Verordnung und KI-Richtlinien** an, die am 13. Juli 2026, 18–19.30 Uhr stattfindet. Die Teilnahme an der KI-Challenge ist Voraussetzung für die Teilnahme an dem Workshop und ist kostenlos, ein Zertifikat ist bei Absolvierung des Kurses für 30 Euro Bearbeitungsgebühr zu erhalten. ## Auf Artikel 91 Datenschutzkonzept in der MAV – ein Praxisbeispiel aus dem Krankenhaus ## Aus der Welt * Wer schon einmal eine Fortbildung bei mir besucht hat weiß, dass ich die **Datenschutzgrundsätze aus Art. 5 DSGVO** (§ 7 KDG, § 5 DSG-EKD) für ziemlich zentral und praktisch halte. Im Detail erklärt Dr. Datenschutz, wie die Grundsätze funktionieren und wo sie herkommen. * **Fotografieren im Museum** ist meistens weniger eine Datenschutz- als eine Urheberrechtsfrage, dennoch ein häufiges Thema bei Bildrechte-Fortbildungen. Klaus Graf wendet sich sehr deutlich gegen nicht nachvollziehbare Verbote. ## Kirchenamtliches * **Bistum Eichstätt:** Katholisches Magazin „[inne]halten“ der Verlagsgruppe Bistumspresse GmbH als genuiner Kanal kirchlicher Verkündigung in der Diözese Eichstätt * **Erzbistum München:** Allgemeines Ausführungsdekret zur Benennung des betrieblichen Datenschutzbeauftragten * **KDSA Ost:** EuGH zur Verwertung rechtswidrig erlangter Daten * **Erzbistum Paderborn:** Jennifer Esch wird neue Datenschutzbeauftragte der (Erz-)Bistümer in NRW * **Landeskirche Baden:** Kirchliches Gesetz zur Änderung des Kirchlichen Gesetzes zur Seelsorgebeauftragung in der Evangelischen Landeskirche in Baden und zur Ausführung des Seelsorgegeheimnisgesetzes der EKD * **Zweites Gesetz zur Änderung des KDG**: Aachen, Augsburg, Berlin, Eichstätt, Freiburg, Hamburg, Osnabrück, Trier * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Exkommunikation trifft jedes Mitglied

Exkommunikation trifft jedes Mitglied

Kann man Verstöße gegen kirchliches Datenschutzrecht bei internen Meldestellen der Kirchen oder der externen Meldestelle des Bundesamts für Justiz melden? Die intuitive Antwort ist: Ja, klar, schließlich ist Datenschutzrecht eines der Gebiete, das im Hinweisgeberschutzgesetz erwähnt ist. (Foto von Janis Ringli auf Unsplash, bearbeitet) Tatsächlich ist es aber wohl komplizierter – im Ergebnis ist Whistleblowing mit Blick auf das kirchliche Datenschutzrecht (und anderes kirchliche Recht sowieso) jedenfalls nicht von vornherein möglich. **Inhalte** Verbergen 1 Das Problem: Was kann gemeldet werden? 1.1 Sachlicher Anwendungsbereich des HinSchG 1.2 Europarechtlich determiniertes Kirchenrecht 1.3 Position des Bundesamts für Justiz 2 Kirchliche Umsetzungen des HinSchG 3 Fazit ## Das Problem: Was kann gemeldet werden? ### Sachlicher Anwendungsbereich des HinSchG Das deutsche Hinweisgeberschutzgesetz setzt die EU-Hinweisgeberrichtlinie in nationales Recht um. Im § 2 HinSchG wird der sachliche Anwendungsbereich sehr kleinteilig geregelt und in zehn Nummern (und einer Unterteilung von Nr. 3 in Buchstaben a bis t) genau geregelt, welche Verstöße meldefähig sind. Nr. 3 lit. p) betrifft das Datenschutzrecht. Gemeldet werden können »sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union und der Europäischen Atomgemeinschaft […] p) zum Schutz personenbezogener Daten im Anwendungsbereich der [DSGVO] gemäß deren Artikel 2«. Alle Punkte haben eine naheliegende Gemeinsamkeit: Es geht um Verstöße gegen staatliches oder europäisches Recht. Die Nummern 1 und 2 (strafbewehrte und manche bußgeldbewährte Verstöße) müssen so ausgelegt werden, dass damit Verstöße gegen staatliches Recht gemeint sind, auch da, wo Religionsgemeinschaften in ihrem Religionsrecht Straf- und Bußgeldbestimmungen haben. Bei den meisten kirchenrechtlichen Normen ist daher völlig klar, dass sie nicht in den genau definierten Anwendungsbereich des Hinweisgeberschutzgesetzes fallen und aufgrund der Trennung von Staat und Kirche auch nicht fallen können. ### Europarechtlich determiniertes Kirchenrecht Kirchliches Datenschutzrecht stellt dagegen eine Besonderheit dar: Es ist Kirchenrecht, also Recht, das Kirchen setzen und anwenden. Es ist aber zugleich ein **europarechtlich determiniertes Kirchenrecht** : Soll es anstelle der DSGVO angewandt werden, muss es die Bedingungen von Art. 91 Abs. 1 DSGVO erfüllen. Die Frage, ob § 2 Nr. 3 lit. p) HinSchG kirchliches Datenschutzrecht gemäß Art. 91 Abs. 1 DSGVO erfasst, hängt daher davon ab, wie man dieses Konstrukt interpretiert: * Gilt die DSGVO auch für Kirchen und wird lediglich nicht unmittelbar angewandt, solange eigenes Datenschutzrecht angewandt wird? Ist kirchliches Datenschutzrecht mithin lediglich eine Ausgestaltung der DSGVO? * Oder wird kirchliches Datenschutzrecht anstatt der DSGVO angewandt, so dass Kirchen von der Geltung der DSGVO in diesem Fall ausgenommen sind? Im ersten Fall läge bei einem Verstoß gegen Bestimmungen des kirchlichen Datenschutzrechts wohl zugleich ein mittelbarer Verstoß gegen die DSGVO vor. Im zweiten Fall nicht. Unabhängig davon, wie man die Frage beantwortet: Das HinSchG hebt explizit auf »unmittelbar geltende Rechtsakte der Europäischen Union« ab. Selbst im ersten Fall dürfte sehr schwer zu argumentieren sein, dass die DSGVO in Kirchen mit eigenem Datenschutzrecht unmittelbar gilt. Dazu kommt, dass die zweite Variante aus religionsverfassungsrechtlichen Erwägungen plausibler ist: Kirchliches Datenschutzrecht wird in Deutschland aufgrund des nationalen Religionsverfassungsrechts im Rahmen der kirchlichen Selbstbestimmung gesetzt (Art. 140 GG i.V.m. Art. 137 Abs. 3 WRV); die EU muss den Status von Religionsgemeinschaften in den Mitgliedsstaaten achten und darf ihn nicht beeinträchtigen (Art. 17 Abs. 1 AEUV). Im Ergebnis spricht also kaum etwas dafür, dass das HinSchG einschlägig ist, wenn kirchliches Datenschutzrecht verletzt wird. ### Position des Bundesamts für Justiz Das Bundesamt für Justiz fungiert als Meldestelle des Bundes. Dort können Verstöße im Anwendungsbereich des HinSchG gemeldet werden. Auf Anfrage schließt sich das Amt den obigen Erwägungen an: »Nach hiesiger Auffassung führen Verstöße gegen kirchliches Datenschutzrecht nicht zur Eröffnung des sachlichen Anwendungsbereichs des Hinweisgeberschutzgesetzes.« Der **Sprecher verweist auf den Wortlaut** : »Kirchliches Datenschutzrecht, das der einschlägigen Kommentarliteratur zufolge in seinem Anwendungsbereich die DSGVO und andere staatliche Gesetzgebung zum Datenschutz verdrängt, stellt nach hiesiger Einschätzung keine Rechtsvorschrift des Bundes oder eines Landes und auch keinen Rechtsakt der Europäischen Union oder der Europäischen Atomgemeinschaft dar, sondern ein kirchliches Gesetz, das von kirchlichen Organen erlassen wurde.« Meldet man der Meldestelle des Bundes Verstöße gegen kirchliches Datenschutzrecht, wird laut dem Sprecher daher das **Verfahren ohne Folgemaßnahme abgeschlossen**. Das sei auch schon passiert. Wie viele derartige Meldungen es gab, werde aber statistisch nicht erfasst. ## Kirchliche Umsetzungen des HinSchG Unstreitig ist, dass Kirchen in den Anwendungsbereich des Hinweisgeberschutzgesetzes fallen. Schließlich gilt staatliches Recht, dessen Missachtung an Meldestellen gemeldet werden kann, auch in Kirchen. Die Kirchen haben daher Meldestelle eingerichtet. Die kirchlichen Datenschutzaufsichten haben das in ihren Tätigkeitsberichten in der Regel auch verzeichnet, sich aber nicht direkt zur Frage der Anwendbarkeit des HinSchG für kirchliches Datenschutzrecht geäußert. Eine Ausnahme ist der Tätigkeitsbericht 2024 des KDSZ Dortmund. Darin heißt es: > »Gemeinsam ist diesen Regelungen [der NRW-Bistümer], dass Eingaben zu Verstößen gegen das Gesetz über den Kirchlichen Datenschutz nicht als Meldungen im Sinne der Ordnungen zu den internen Meldestellen nach HinSchG definiert werden. Für Verstöße gegen Regelungen des KDG verbleibt es daher bei den bisherigen Meldewegen und Stellen.« Für die Einrichtung einer Meldestelle gibt es grundsätzlich zwei Strategien: 1. Die einfache Einrichtung einer Meldestelle, wie das HinSchG es verlangt. Das geht ohne eigenes kirchliches Recht, kann aber auch durch ein Errichtungsdekret der Meldestelle erfolgen. 2. Der Erlass kirchlichen Rechts, das das HinSchG ergänzt und einer kirchlichen Meldestelle weitere Aufgaben zuweist. Im ersten Fall wird das HinSchG dann einfach 1:1 umgesetzt mit der Konsequenz, dass Verstöße gegen kirchliches Datenschutzrecht nicht in die Zuständigkeit fallen. Beispiele dafür sind die Ordnung der Gemeinsamen Meldestelle der EKD und das Umsetzungsgesetz im Bistum Speyer, die jeweils nur die Organisation der jeweiligen Stelle festlegen. Solche Stellen sind also nicht für kirchliches Datenschutzrecht zuständig – in Speyer wird das sogar ausdrücklich formuliert und eine Überweisung der Meldung an die betrieblichen Datenschutzbeauftragten verfügt. Einige katholische Bistümer haben im Sinne des zweiten Falls den Anwendungsbereich erweitert – teils mehr, teils weniger gelungen. Eine Auswahl zeigt die Bandbreite: * Im **Bistum Münster** wird definiert, dass ein Regelverstoß »jeder Verstoß gegen kirchliche und staatliche Gesetze, Rechtsverordnungen und organisationsinterne Regelungen gem. Hinweisgeberschutzgesetz« (§ 3 Abs. 1 der Ordnung der Meldestelle) ist – die Formulierung ist misslungen, weil kirchliche Regelungen gemäß HinSchG gar nicht erfasst sind. Hier ist unklar, wie das auszulegen ist: Soll man davon ausgehen, dass eine Erweiterung des Anwendungsbereichs gemeint war, aber nur die Formulierung misslungen ist? Oder ist die Aufnahme von »kirchlich« nur eine Absicherung, falls das HinSchG irgendwann einmal kirchliche Regelungen aufzählen sollte? (Das ist indes nicht zu erwarten.) Wirksam und klar ist dagegen Abs. 2, der den Anwendungsbereich auf bestimmte kirchliche Rechtsgebiete im Kontext von Vermögensrecht und Compliance, nicht aber Datenschutz erweitert. * Grundsätzlich gleich aufgebaut, aber ohne Verweis auf kirchliche Normen in § 3 Abs. 1 ist die Variante der Ordnung im **Bistum Aachen**. Diese Fassung hat den Vorteil, dass sie klar formuliert ist. * Im **Erzbistum Köln** wird der Meldestelle gemäß der Ordnung neben den vom HinSchG abgedeckten Bereichen und Verstößen gegen kirchliches Vermögensrecht die Zuständigkeit für »jede[n] Verstoß gegen organisationsinterne Dienstanweisungen, Richtlinien oder sonstige Regelungen innerhalb des Erzbistums Köln« gegeben; hier ist leider unklar, ob sich »organisationsintern« auf alle drei Glieder bezieht (dann wäre das sonstige kirchliche Recht außen vor). * Unglücklich ist die Ordnung im **Bistum Rottenburg-Stuttgart** , die in § 4 zunächst als Anwendungsbereich den Anwendungsbereich des HinSchG angibt, dann aber mit »insbesondere« eine Aufzählung ergänzt, in der »Datenschutz/Umgang mit personenbezogenen Daten« steht – da die Aufzählung mit »insbesondere« beginnt, erweitert sie nicht den Anwendungsbereich, was dazu führt, dass wenig intuitiv das KDG nicht in den Zuständigkeitsbereich der Meldestelle fällt. * Im **Erzbistum Freiburg** legen die Ausführungsbestimmungen zum Statut des Rechnungshofs, dass das HinSchG sinngemäß anzuwenden ist in Fällen von Complianceverstößen, für die der Rechnungshof zuständig ist, die das HinSchG aber nicht erfasst. Dank der in § 4 des Statuts festgehaltenen breiten Zuständigkeit auch für die Prüfung der Einhaltung des geltenden Rechts ist damit auch kirchliches Datenschutzrecht (und sonstiges kirchliches Recht) erfasst. * Im **Bistum Osnabrück** wird in der Meldestellenordnung der Anwendungsbereich des HinwSchG erweitert auf »kirchliche Gesetze, Regelungen und Richtlinien«. * Im **Bistum Mainz** hat man die Problematik detailliert gelöst. Das Gesetz zur internen Meldestelle nennt zum Anwendungsbereich in § 4 Abs. 1 zunächst den Anwendungsbereich des HinSchG, in Abs. 2 dann klar benannte kirchliche Rechtsmaterien, auch hier wieder aus dem Vermögensrecht, aber auch aus dem kirchlichen Strafrecht und das kirchliche Datenschutzrecht. Alle diese Regelungen gelten grundsätzlich nur für den verfasstkirchlichen Bereich im engeren Sinn, also die Bistümer und ihre Untergliederungen sowie öffentliche juristische Personen des kanonischen Rechts (aber in der Regel nicht für Ordensgemeinschaften, die diesen Personenstand haben), andere kirchliche Rechtsträger können sich teilweise an die zentrale Bistums-Meldestelle anschließen. ## Fazit Wer nach dem Hinweisgeberschutzgesetz Verstöße gegen kirchliches Datenschutzrecht melden will, hat in manchen Fällen keinen Erfolg: Die externe Meldestelle des Bundes macht die Akte gleich wieder zu, die EKD-Meldestelle ist aus den gleichen Gründen nicht zuständig, und in den Bistümern kommt es darauf an, wo man gerade ist, um welche kirchliche Stelle es geht und ob das jeweilige Ortskirchenrecht eine Meldung hergibt. Wahrscheinlich war es dem EU-Gesetzgeber (wie so oft) nicht präsent, dass überhaupt ein Problem hinsichtlich der Art.-91-Datenschutzgesetze besteht. Schlimm ist das aber nicht: Die Meldestellen bleiben auch dann vertraulich, wenn eine Meldung sich als gar nicht meldefähig erweisen sollte. Eine wirkliche Schutzlücke ergibt sich auch nicht: Mit den Datenschutzaufsichten stehen Behörden zur Verfügung, die Meldungen entgegennehmen, bearbeiten und wirksam Abhilfe schaffen können. Beide großen kirchlichen Datenschutzgesetze enthalten außerdem ein Maßregelungsverbot gegenüber Beschwerdeführenden (§ 46 Abs. 3 DSG-EKD, § 48 Abs. 3 KDG) – allerdings nur für betroffene Personen (im datenschutzrechtlichen Sinn), nicht für Whistleblower, die selbst nicht von einem Verstoß betroffen sind. Sinnvoll im Zuge einer Verbesserung der Rechtskultur in der Kirche und systematisch folgerichtig wäre es, wenn die von den Kirchen eingerichteten Meldestellen auch wegen Verstößen gegen kirchliches Recht angegangen werden könnten. Einige Bistümer haben das auch ermöglicht – zugleich zeigt sich aber angesichts einiger zweifelhafter Lösungen, dass bei kirchlicher Gesetzgebung einiges an Luft nach oben wäre. _Die Problemstellung wurde in der**Artikel-91-Signal-Gruppe** aufgeworfen. Viele hilfreiche Hinweise und Argumente aus der Diskussion sind in diesen Artikel eingeflossen. Die Zugangsdaten zur Artikel-91-Signal-Gruppe werden mit dem Newsletter verschickt._ * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Die Novelle der katholischen **Kirchlichen Archivordnung** (KAO) steht seit Jahren aus. Jetzt ist Bewegung in die Sache gekommen: Ende Mai endete ein Anhörungsverfahren des VDD, in dem Rückmeldungen der Diözesen und ausgewählter Institutionen eingeholt wurden. (Foto von Zetong Li auf Unsplash) Wieder einmal ist das Gesetzgebungsverfahren nicht öffentlich. Mir liegt mittlerweile der Anhörungsentwurf vor, aus Archivkreisen wurde mir die Authentizität bestätigt. Datenschutzfragen nehmen einen bedeutenden Teil der geplanten Änderungen ein. **Inhalte** Verbergen 1 Allgemeines 1.1 Organisatorischer Anwendungsbereich 1.2 Weiterer Unterlagen-Begriff 2 Wechselwirkungen mit dem Datenschutzrecht 3 Schutzfristen 4 Kleinere relevante Änderungen 5 Fazit ## Allgemeines Generell sind viele Änderungen **Anpassungen ans KDG**; die geltende KAO nimmt noch auf die Vorgängernorm, die KDO, Bezug. Dazu kommen **begriffliche Klarstellungen** , wie sie auch in anderen Gesetzen mittlerweile üblich sind, etwa die ausdrückliche Formulierung »kirchliche Archive« statt »Archive«. Viele Änderungen betreffen auch den **weiter gefassten Unterlagen-Begriff** , der Sonderregelungen für Digitales entbehrlich werden lässt – dazu unten mehr. An einigen Stellen wird auf eine zu erstellende »**kommentierende Begründung** « verwiesen. Derartige Erläuterungen gibt es bereits bei der Grundordnung des Kirchlichen Dienstes in Gestalt der »Bischöflichen Erläuterungen zum kirchlichen Dienst«. Zur Auslegung des kirchlichen Arbeitsrechts sind diese Erläuterungen sehr hilfreich; dass etwas Vergleichbares im kirchlichen Datenschutzrecht fehlt, merkt man immer wieder. Insofern ist es zu begrüßen, dass die KAO eine quasi-amtliche Auslegungshilfe erhalten soll. Anders als beim Datenschutzrecht, wo es mit DSGVO und BDSG einheitliche staatliche Pendants gibt, bedient sich die KAO nicht nur an einem staatlichen Archivgesetz, sondern nimmt Impulse aus verschiedenen Landesarchivgesetzen auf – dieses Rosinenpicken ermöglicht, aus vielen staatlichen parallelen Regelungen die herauszugriffen, die am gelungensten und passendsten ist. Eine Sache bleibt gleich: der **umständliche volle Name** »Anordnung über die Sicherung und Nutzung der Archive der katholischen Kirche«. Weiterhin gibt es also keine kirchenrechtlich saubere Terminologie: Bei der KAO handelt es sich – wie beim KDG, das in seiner Vorversion ebenfalls »Anordnung« hieß – um ein bischöfliches Gesetz. Für die Rechtsklarheit wäre es wünschenswert, wenn kirchenrechtlich definierte Gattungen wie »Gesetz« auch da im Namen auftauchten, wo es sich der Sache nach um das handelt. ### Organisatorischer Anwendungsbereich Neu gefasst wird der **organisatorische Anwendungsbereich** in § 1 Abs. 1, und zwar in Form einer Anpassung an § 3 Abs. 1 KDG; außerdem wird im neuen Abs. 4 eine explizite Regelung zu mehrdiözesanen Rechtsträgern aufgenommen, die ebenfalls dem KDG entnommen ist. Ausdrücklich nehmen die Anmerkungen auf die Regelung parallel zum KDG Bezug: Bei der KAO handle es sich »zumindest hinsichtlich ihrer datenschutzrechtlichen Regelungen« um eine Spezialvorschrift zum KDG, daher scheine die parallele Regelung »aus Gründen der rechtlichen Klarheit sinnvoll und geboten«. Interessant ist, dass die Anmerkungen damit eingeleitet werden, dass die Bestimmung des Anwendungsbereichs »bis auf Weiteres« so geregelt wird – damit könnte sich andeuten, dass die schon bei der KDG-Novelle nicht in Angriff genommene klare Regelung des Anwendungsbereichs in Bezug auf die »sonstigen kirchlichen Rechtsträger« zumindest mittelfristig angegangen werden soll. (Was genau das Problem ist und dass der Gesetzgeber das zwar bemerkt hat, bislang aber nicht angegangen ist, habe ich anlässlich der KDG-Novelle aufgeschrieben.) In der Anwendung der KAO ist wichtig, dass trotz der gleichlautenden Regelung nicht automatisch überall die KAO gilt, wo das KDG gilt: Wer nur über einen Satzungsverweis kirchliches Datenschutzrecht anwendet, ohne der bischöflichen Gesetzgebung zu unterliegen oder ohne Anwendung des gesamten kirchlichen Rechts per Verweis, muss die KAO ebenfalls in die Satzung aufnehmen, soll sie gelten. Weiterhin soll die Regelung aus § 1 Abs. 3 KAO gelten, dass die Ordnung auch für die Archivierung von Unterlagen gilt, die **von nicht anbietungspflichtigen Stellen oder Personen übergeben** wurden. Dazukommen soll jetzt aber die Bestimmung, dass das nur gilt, »sofern mit diesen nichts anderes schriftlich vereinbart ist« – nicht anbietungspflichtige Stellen haben also künftig eine bessere Verhandlungsposition, wenn sie Archivalien an kirchliche Archive übergeben wollen. Die Anmerkung dazu erwähnt, dass kirchliche Archive bereits jetzt derartige Depositalverträge geschlossen haben und die Neuregelung nur das Gesetz an die gelebte Realität anpasst. Ohnehin verweist § 8 Abs. 4 KAO bereits jetzt auf »Vereinbarungen mit Eigentümern privaten Archivguts«. ### Weiterer Unterlagen-Begriff Die relevanteste Änderung bei den Begriffsbestimmungen gilt dem Begriff der »**Unterlagen** «, also der Dinge, die archiviert werden. Anstelle einer kleinteiligen Aufzählung heißt es jetzt allgemein, dass Unterlagen »aufgezeichnete Informationen [sind], unabhängig vom Datenträger, sowie alle Hilfsmittel und ergänzenden Daten, die für das Verständnis der Informationen und deren Nutzung nötig sind«. Damit werden digitale Unterlagen klarer erfasst als durch die Aufzählung vieler Arten physischer Informationsträger. Diese Änderung zieht eine Vielzahl von Folgeänderungen nach sich, weil sich aus dem neuen, Digitales umfassenden Unterlagen-Begriff vieles organisch ergibt, was bisher eigens geregelt werden musste im Umgang mit digitalen Medien. Eine Relevanzschwelle gibt es weiterhin nicht: Der Unterlagen-Begriff umfasst zunächst wirklich alle Unterlagen; »Weglegesachen« gibt es streng genommen weiterhin nicht, auch wenn hier über Verständigungen über die Anbietung doch einiges gelöst werden kann. (Den KAO-kompatiblen Papiermülleimer in einer anbietungspflichtigen Einrichtung habe ich trotz Nichtexistenz von Weglegesachen noch nicht gesehen.) ## Wechselwirkungen mit dem Datenschutzrecht § 6 Abs. 5 KAO zum Umgang mit personenbezogenen Daten soll künftig zunächst nur die Anbietung regeln, die Übergabe und damit die Regelungen zur Übergabe fallen aus diesem Absatz heraus. Hier sind die Anmerkungen besonders ausführlich, weil weiterhin auch **unrechtmäßig erhobene Daten anbietungspflichtig** sind. Hier stelle sich die Frage, ob die Erforderlichkeit für im kirchlichen Interesse liegende Archivzwecke anders zu bewerten sei als bei anderen personenbezogenen Daten. »Jedenfalls darf das Interesse der Kirche nicht per se über das Recht betroffener Personen gestellt werden. Ggf. muss eine vermittelnde Lösung gefunden werden.« In den Anmerkungen zeigt sich wohl eine kontroverse Diskussion bei der Entstehung des Anhörungsentwurfs: > »**Weitere Hinweise/Überlegungen:** > > * Unzulässig gespeicherte Daten stellen eine erhebliche Verletzung persönlicher Belange dar; bei den ausführenden Stellen ist unrechtmäßiges Handeln zu konstatieren! > * Aber: Die Löschung unzulässig gespeicherter Daten > * verfälscht den Kontext > * benachteiligt Betroffene, denen der Nachweis für eine unrechtmäßige Handlung ihnen gegenüber genommen wird > * exkulpiert Täter, die für unrechtmäßiges Handeln nicht (mehr) zur Rechenschaft gezogen werden können > * die Löschverpflichtung fördert unrechtmäßiges Handeln > * verhindert Forschung gerade an den Momenten gesellschaftlicher Veränderungen, die historisch interessant sind. > * Eventuellen Bedenken gegen Anbietung, Übergabe und Archivierung unrechtmäßig erhobener personenbezogener Daten kann auf Arbeitsebene Rechnung getragen werden, indem klare und praktikable Festlegungen getroffen werden, wie bereits unzulässig gespeicherte Daten gekennzeichnet und gesichert werden. > * Unabhängig davon können bereits bei der kirchlichen Stelle einzelne Schriftstücke gelöscht /vernichtet werden, wenn sie mit Blick auf eine spätere Archivierung eindeutig unerheblich sind.« > **Daten, die durch § 203 Abs. 1 StGB** geschützt sind, also unter anderem Seelsorger*innen anvertraute Geheimnisse, dürfen künftig nur in anonymisierter Form angeboten werden. Damit wird eine Regelung in Anlehnung an § 4 Abs. 2 Satz 3 ArchivG Ba-Wü getroffen. Spezielle Regelungen für besondere Kategorien personenbezogener Daten gibt es nicht. Bei den **Kriterien für die Archivwürdigkeit** sollen personenbezogene Daten besonders geschützt werden. An den bisherigen § 6 Abs. 8 KAO (in neuer Nummerierung Abs. 9) soll ein neuer Satz 2 ergänzt werden: > »Personenbezogene Daten im Sinne des Absatz 5 Satz 1 dürfen nur dann als archivwürdig bewertet werden, wenn die archivarische Prüfung ergibt, dass ihre Verarbeitung erforderlich ist für im kirchlichen Interesse liegende Archivzwecke, eine Löschung der personenbezogenen Daten die Verwirklichung dieser Zwecke voraussichtlich unmöglich machen oder beeinträchtigen würde und schutzwürdige Belange betroffener Personen oder Dritter angemessen berücksichtigt werden.« Unterlagen mit personenbezogenen Daten müssen besonders gesichert werden. Da dazu keine weiteren Ausführungen gemacht werden, dürften technische und organisatorische Maßnahmen, wie sie sich aus dem Datenschutzrecht ergeben, diese Bestimmung erfüllen. Die **Betroffenenrechte** wurden auf Angehörige Verstorbener ausgeweitet: § 8 Abs. 4 (vorher Abs. 5) erhält zusätzlich die Regelung, dass Angehörige ein Recht auf Auskunft und Einsichtnahme haben, aber nur dann, wenn ein berechtigtes Interesse besteht und Verfügungen oder der mutmaßliche Wille der verstorbenen Person nicht entgegenstehen. ## Schutzfristen Die Schutzfristen in § 9 wurden generell an staatliche Fristen angepasst und damit größtenteils verkürzt: * **Allgemeine Schutzfrist** von 40 auf 30 Jahre * **Schutzfrist bei personenbezogenen Daten** grundsätzlich von 40 auf 30 Jahre, aber nicht vor diesen Zeitpunkten in Bezug auf die betroffene Person oder bei Gruppen der letztgeborenen oder -verstorbenen Person: * 10 statt 30 Jahre nach dem Tod * 110 statt 120 Jahren nach der Geburt * 60 statt 70 Jahre nach Entstehung, falls Geburts- und Todesdatum nicht bekannt sind * Weiterhin 60 Jahre bei **besonderen kirchlichen oder staatlichen Geheimhaltungsvorschriften** Gestrichen wurde die besondere Frist von 60 Jahren für **bischöfliche Amtsakten und Nachlässe** , da die bisherige Regelung sachfremd am Erzeuger, nicht an den betroffenen Personen anknüpfe. Eine sachliche Begründung konnten die Autor*innen des Entwurfs für die längere Frist nicht erkennen: »Im Ergebnis dürfte es sich um eine rein politische Regelung handeln, die in der Öffentlichkeit nicht mehr erklärbar ist.« Grundsätzlich sind die abgebenden Stellen selbst weiterhin nicht an die Schutzfristen für ihr eigenes Material gebunden. Eingeschränkt wird dies aber für Unterlagen, die statt einer Löschung oder Einschränkung der Verarbeitung ans Archiv übergeben wurden. Eine **Verkürzung der Schutzfristen** kann künftig nicht nur der Ortsordinarius genehmigen, sondern bei von nicht anbietungspflichtigen Stellen übergebenen Unterlagen auch die übergebende Stelle, und zwar unter den gleichen Bedingungen wie bisher schon in § 10 Abs. 1 KAO. Zusätzlich geht künftig der Antrag auf Verkürzung ans Diözesanarchiv statt direkt an den Ordinarius. Das Archiv prüft den Antrag dann auch; der Ordinarius und die anbietenden Stellen ohne Anbietungspflicht können dem Archiv die Entscheidung über die Verkürzungsanträge ganz oder teilweise delegieren. ## Kleinere relevante Änderungen * **Priorität eigener Archive:** Bislang ist die Einrichtung eines eigenen Archivs und die Übergabe ans Diözesanarchiv gleichwertig; in der neuen Fassung soll das einrichtungseigene Archiv der Regelfall werden, die Übergabe ans Diözesanarchiv oder ein anderes Archiv nur in begründeten Fällen erfolgen. * Bisher hieß es, dass das Diözesanarchiv die **Aufsicht über zugeordnete kirchliche Archive** hat. Hier wurde klargezogen, dass das Archiv keine Aufsicht im kirchenrechtlichen Sinn wahrnehmen kann, daher soll künftig von »Beratung« die Rede sein. Eine Öffnungsklausel für diözesane Bestimmungen dazu wird angesichts der »komplexen Rechtslage in den Diözesen« ergänzt. (Streng genommen ist die unnötig, weil es sich um ein diözesanes Gesetz handelt, diözesane Regelungen also auch ohne diese Öffnungsklausel möglich wären – im Zuge der Vereinheitlichung unter den Diözesen ist sie aber sinnvoll, da so eigenständige Regelungen in den diözesanen KAOs vorgebeugt wird.) * Zur Aufgabe der Öffentlichkeitsarbeit in § 5 Abs. 4 KAO soll zusätzlich die Aufgabe der **Bildungsarbeit** erwähnt werden. * Eine ausdrückliche Regelung in § 6 Abs. 11 KAO geht auf Unterlagen ein, deren besondere **Aufbewahrungsfristen noch nicht abgelaufen** sind. Diese können dennoch dem Archiv angeboten werden – das dürfte insbesondere für die besonders langen neu eingeführten Aufbewahrungspflichten in der Jugendhilfe in § 9b SGB VIII hilfreich sein, wenn solche Unterlagen den Archivprofis übergeben werden können. Die datenschutzrechtliche Verantwortlichkeit bleibt in diesem Fall bei der abgebenden Stelle. * **Anbietungspflicht:** § 6 Abs. 1 KAO zur Anbietung soll analog zu § 4 Abs. 1 Hessisches Archivgesetz geregelt werden. Explizit soll künftig eine Anbietungsliste angefertigt werden. * **Dokumentenmanagementsysteme:** Bei der Einführung und Änderung technischer Systeme zur Erstellung und Speicherung digitaler Unterlagen muss das zuständige Archiv beteiligt werden. Dieser Begriff lässt laut den Anmerkungen offen, »ob es sich um ein In-Kenntnis-Setzen, ein Benehmen oder ein Einvernehmen zwischen kirchlichem Archiv und Rechtsträger handelt«. * **Laufend aktualisierte digitalisierte Unterlagen:** Hier soll in mit dem Archiv festgelegten Intervallen angeboten werden; die Anmerkungen sprechen von Fachdatenbanken als Beispiel und nennen in Anführungszeichen »Screenshots« als Methode. Bei der angekündigten kommentierenden Erläuterung dürfte interessant sein, ob flüchtige Social-Media-Formate wie Stories im Blick sind. ## Fazit Die Änderungen wirken durchdacht und dank der Erläuterungen werden zumindest den am Anhörungsverfahren Beteiligten die Gedanken hinter den Regelungen verständlicher gemacht. Beim Umgang mit personenbezogenen Daten wird der Spagat deutlich, einerseits Betroffenenrechte wahren zu müssen, andererseits eine lückenlose Überlieferung sicherzustellen – besonders, was unrechtmäßig vorhandene Daten angeht. Bei diesen Regelungen könnte noch einiges geschehen – etwa dann, wenn vergleichbare Regelungen in staatlichen Archivgesetzen vom EuGH mit der DSGVO abgeglichen werden sollten. Die in den Erläuterungen aufgeführte differenzierte Diskussion deutet an, dass auch für den Gesetzgebungsprozess das letzte Wort wohl noch nicht gesprochen ist. Sehr gut ist die Anpassung der Schutzfristen an staatliche Regelungen. Insbesondere der geplante Wegfall des besonderen Schutzes bischöflicher Akten ist lange überfällig. Aus dem Anhörungsverfahren des KDG kann man ableiten, wie es jetzt weitergehen könnte: Beim kirchlichen Datenschutzrecht endete die Anhörungsfrist am 31. Januar 2025, im Herbst wurden das KDG und die KDG-DVO durch die Vollversammlung des KDG beschlossen, im Dezember die Beschlusstexte veröffentlicht. Am 1. März 2026 traten KDG und KDG-DVO dann als Diözesangesetze in Kraft. Bei einer vergleichbaren Zeitschiene könnte die novellierte KAO damit Anfang 2027 beschlossen werden und im Sommer 2027 in Kraft treten. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Demokratie und Gedächtnis in der digitalen Öffentlichkeit Das ist das Transcript einer Keynote beim AK Offene Archive im Kölner Stadtarchiv, den ich am 9.6.26 gehalten habe. Ich freue mich, hier zu sein. Bei einer Konferenz, die „Offene Archive" heißt, an einem Ort, an dem Menschen zusammenkommen, die sich

Mitarbeitenden-Apps erleichtern die Kommunikation und Arbeitsabläufe. Aber wie fast jede IT-Infrastruktur kommen sie mit personenbezogenen Daten in Kontakt – deshalb muss der Datenschutz berücksichtigt werden. Nicht nur, weil das Gesetz es so will: Die erfolgreiche Einführung neuer Software gelingt nur dann, wenn alle Betroffenen wissen, dass fair und angemessen mit ihren Daten umgegangen wird. (Foto von Rafael Oliveira auf Unsplash) Wenn der **Datenschutz von Anfang an mitgedacht** wird, wird die Einführung deutlich einfacher. Dazu gibt es ein paar Tipps, wie das Projekt einer neuen App gut begleitet werden kann. _(Der Beitrag erschien zuerst in einer kürzeren Fassung in der Zeitschrift»neue caritas«, Juni 2026. In der Ausgabe ist auch ein Best-practice-Beispiel einer Mitarbeitenden-App beschrieben.)_ **Inhalte** Verbergen 1 Funktionsumfang definieren 2 Betriebliche Datenschutzbeauftragte und MAV einbinden 3 Private Geräte und andere Sonderfälle bedenken 4 Nutzung so leicht wie möglich gestalten ## Funktionsumfang definieren Je nach gewünschter Funktion haben Mitarbeitenden-Apps unterschiedliche Risiken und Schutzbedarfe. Am Anfang des Projektes sollte daher der **Funktionsumfang klar definiert** werden: Soll nur die Mitarbeitendenbindung durch interessante Neuigkeiten gestärkt werden? Ist die App ein Arbeitswerkzeug, mit dem Dienstpläne eingesehen, Urlaubsanträge und Krankmeldungen eingereicht oder Zugänge zu Software und Räumen gesichert werden? Ermöglicht die App den Zugang zu sensiblen Systemen und Daten der Einrichtung oder von Klient*innen? Hat die App Kommunikations- und Community-Funktionen? Jede gewünschte Funktion hat ein eigenes Risikoprofil und braucht spezifische technische und organisatorische Maßnahmen zur Absicherung und datenschutzkonformenen Gestaltung der jeweiligen Funktion. Hilfreich ist es, bei jeder Funktion die Grundsätze zum Umgang mit personenbezogenen Daten (§ 5 DSG-EKD, § 7 KDG) einzeln durchzugehen und insbesondere auf den Grundsatz der Datenminimierung zu achten – Daten, die erst gar nicht anfallen, brauchen auch nicht abgesichert, verwaltet und gelöscht werden. Eine rechtzeitige möglichst umfassende Planung hilft nicht nur beim Datenschutz, sondern auch bei der Umsetzung weiterer rechtlicher Anforderungen wie Mitbestimmung und IT-Sicherheit und ermöglichen einen klaren Zeitplan ohne überraschende und teure nachträglich hinzukommende Wünsche. **Tipp:** Die Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO) definiert verschiedene Datenschutzklassen und Datenschutzniveaus (§§ 9–14 KDG-DVO). Jede gewünschte Funktion und Form der Datenverarbeitung müssen in diese Klassen einsortiert und die dort geforderten Schutzmaßnahmen umgesetzt werden. Die Methodik der KDG-DVO ist dort, wo katholisches Recht gilt, verbindlich. Aber auch in anderen Einrichtungen kann die KDG-DVO als Anregung für die Gestaltung des Datenschutzmanagements verwendet werden. ## Betriebliche Datenschutzbeauftragte und MAV einbinden Spätestens, wenn der geplante Funktionsumfang umrissen ist, sollten **betriebliche Datenschutzbeauftragte** und die **Mitarbeitendenvertretung** einbezogen werden. Betriebliche Datenschutzbeauftragte haben die Aufgabe und die Kompetenz, bei der Einführung von Software zu beraten. Sie unterstützen auch bei einer **Datenschutz-Folgenabschätzung** , die immer dann nötig ist, wenn Datenverarbeitungen besonders risikoreich sind. Vor allem, wenn private Geräte zum Einsatz kommen oder sensible Daten wie Krankmeldungen über die App verwaltet werden, dürfte das der Fall sein. Die Mitarbeitendenvertretung muss beteiligt werden, wenn **Systeme geeignet sind, Beschäftigte zu überwachen oder ihre Leistung zu kontrollieren** – das ist schon dann gegeben, wenn Protokolldaten anfallen, in jedem Fall aber, wenn Arbeitszeiten erfasst werden (§ 40 lit. j) MVG-EKD und § 36 Abs. 1 Nr. 9 MAVO). Dafür braucht es die Zustimmung der MAV. Die katholische MAV hat außerdem ein Recht auf Anhörung und Mitberatung bei Maßnahmen innerbetrieblicher Information und Zusammenarbeit (§ 29 Abs. 1 Nr. 1 MAVO). Bei Mitarbeitenden-Apps ist die MAV daher in der Regel immer zu beteiligen. **Tipp:** Betriebliche Datenschutzbeauftragte und MAV frühzeitig ins Projekt einbeziehen. Viele Probleme lassen sich aus dem Weg räumen, wenn diese Beteiligung von Anfang an berücksichtigt wird. Wenn die Beteiligung vergessen wird, drohen Vorhaben nachträglich deutlich aufwendiger zu werden oder ganz zu scheitern. ## Private Geräte und andere Sonderfälle bedenken Ein besonders heikler Punkt ist die **Nutzung privater Geräte zu dienstlichen Zwecken** – dazu gehört auch die Installation der App auf dem privaten Smartphone. Das ist nur unter sehr engen Bedingungen zulässig (ausdrücklich findet sich das im katholischen Datenschutzrecht in § 21 KDG-DVO). Der Arbeitgeber muss Beschäftigten alle Werkzeuge zur Verfügung stellen, die sie für ihre Arbeit benötigen – wenn also Funktionen der App erforderlich sind, müssen entweder dienstliche Geräte gestellt oder Alternativen angeboten werden. Einen Präzedenzfall hatte jüngst die spanische Datenschutzaufsicht zu entscheiden: Ein Arbeitgeber wollte Beschäftigte dazu verpflichten, für Zwei-Faktor-Authentifizierung das private Smartphone zu verwenden. Die Anweisung kann nach Auffassung der Aufsicht nicht auf die Erfüllung des Arbeitsvertrags gestützt werden, da damit keine Verarbeitungen abgedeckt seien, die zwar nützlich, aber objektiv nicht erforderlich seien. Eine Einwilligung komme auch nur dann in Frage, wenn es eine Alternative zum privaten Smartphone gibt. (Ausführlich auf Deutsch zu diesem Fall im Datenzirkus.) **Tipp:** Alle wirklich erforderlichen Funktionen der App (z. B. Krankmeldung, Zeiterfassung, Zwei-Faktor-Authentifizierung) müssen über einen Weg möglich sein, der kein privates Smartphone erfordert. ## Nutzung so leicht wie möglich gestalten Zu guter Letzt müssen die Mitarbeitenden die App auch tatsächlich nutzen. Neben Aspekten der Benutzerfreundlichkeit und Zugänglichkeit trägt auch ein transparenter und fairer Umgang mit Daten zur **Akzeptanz** bei. Das ist umso einfacher, je datensparsamer die App ist und je weniger Berechtigungen sie benötigt. Wenn nur Daten verarbeitet werden, die für Zwecke des Beschäftigungsverhältnisses erforderlich sind, kann eine App auch komplett auf Einwilligungen verzichten. Aber auch Nutzungsfreundlichkeit und Zugänglichkeit selbst tragen zu einem besseren Datenschutzniveau bei: Erfahrungsgemäß ist **Schatten-IT** , also die Nutzung privater Geräte und Software für dienstliche Zwecke, eines der größten Risiken. Schatten-IT lässt sich durch Verbote nicht wirksam eindämmen. Die einzige wirklich funktionierende Lösung sind offizielle Systeme, die so gut sind und so gern benutzt werden, dass Beschäftigte sie tatsächlich nutzen wollen und einen Mehrwert gegenüber ihren privaten Geräten und Diensten sieht. **Tipp:** Die App sollte möglichst wenige Berechtigungen und Einwilligungen erfordern, die Erhebung von Analysedaten aufs Nötigste beschränken und muss den Beschäftigten klar und transparent kommunizieren, wie ihre Daten verarbeitet werden. Außerdem muss es Spaß machen (oder zumindest nicht lästig sein), sie zu benutzen. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *