Das saß: Mit einer fulminanten Laudatio hat Thilo Weichert am vergangenen Freitag dem Landeskirchenamt der evangelischen Nordkirche den Big Brother Award in der Kategorie »Zivilgesellschaft« gewidmet. Anlass war das Ausrollen von MS 365 in die ganze Landeskirche per Kirchengesetz. Thilo Weichert bei seiner Laudatio auf die Nordkirche beim Big Brother Award 2026. (Foto: Matthias Hornung, CC-BY 4.0) Weichert verknüpfte seine Strafpredigt über Microsoft-Produkte mit Seitenhieben gegen den kirchlichen Datenschutz allgemein: Die Nordkirche habe den Sonderweg des kirchlichen Datenschutzes als Irrweg beschritten. Mit der Nordkirche erhält erstmals in der Geschichte des Negativpreises eine Kirche die Auszeichnung. Die Kritik des ehemaligen schleswig-holsteinischen Landesdatenschutzbeauftragten (und ehemaligen Kinderkirchhelfers und Organisten) ist deutlich – die kritisierte Nordkirche kann sich in der weichertschen Philippika aber nicht wiederfinden, wie sie auf Anfrage erklärte. **Inhalte** Verbergen 1 Die Vorgeschichte 2 Die Kritik Weicherts … 3 … und was die Nordkirche dazu sagt 4 Fazit ## Die Vorgeschichte 2024 hatte die Kirchenleitung der Nordkirche per Beschluss die Datenschutzkonformität der geplanten Konfiguration von MS 365 festgestellt und damit die Voraussetzung geschaffen, gemäß dem IT-Gesetz der Kirche mit der Einführung zu beginnen. Dem voraus ging eine umfangreiche Prüfung, in deren Verlauf auch die damals noch bestehende Datenschutzaufsicht der Nordkirche überzeugt werden konnte, dass der Einsatz datenschutzkonform möglich ist. Die Beschlussgrundlage der Kirchenleitung ist offiziell nicht bekannt; Anfragen an die Nordkirche blieben 2024 unter Verweis auf das Beratungsgeheimnis der Gremien ohne inhaltliche Antwort. Mir wurden damals aber die 198 Seiten der Beschlussvorlage zugespielt, die unter anderem die Datenschutz-Folgenabschätzung und detaillierte Konzepte zur Konfiguration und zur Erfüllung von Betroffenenrechten enthielt. Als besonders problematisch wurden damals das Risiko gesehen, dass der Angemessenheitsbeschluss für die US-Datenübertragung wegfallen könnte, und dass bei der Übermittlung von Telemetriedaten vieles unklar sei. Eine besondere Tragweite hat das Vorgehen der Landeskirche durch die Einführung per Gesetz. Mit dem im Mai 2023 beschlossenen IT-Gesetz konnte die Synode erreichen, dass nicht nur das Landeskirchenamt, sondern alle Ebenen der Landeskirche einheitliche IT-Dienste nutzen: Das Gesetz schreibt für die Landeskirche eine Erbringungspflicht, für die Kirchengemeinden und Kirchenkreise eine Abnahmepflicht vor, datenschutzrechtlich wird die Landeskirche zum alleinigen Verantwortlichen erklärt. Einheitlichkeit ist definiert als flächendeckender Einsatz der in einer Anlage aufgeführten IT-Systeme – konkret MS 365 mit einer Palette von Modulen. Lizenz- und Backupkosten sind von den einzelnen Abnehmern, also den Gemeinden und Kirchenkreisen, zu tragen. Bis Ende 2028 soll die Umstellung überall über die Bühne gegangen sein. ## Die Kritik Weicherts … Thilo Weichert sieht die Gefahr, dass in der Nordkirche »Daten über religiöses und gesellschaftliches Engagement ihrer Mitglieder« in die Hände eines »unzuverlässigen US-Konzerns« gelangen. Zwar nutzten auch andere Kirchen MS 365. Die besondere Preiswürdigkeit bei der Nordkirche liege aber darin, dass auch die Gliederungen zur Nutzung und zur Zahlung verpflichtet werden, ohne Opt-out-Möglichkeit. Weichert wirft dem Landeskirchenamt vor, dass es gegenüber den Gliederungen weder die DSFA noch das IT-Konzept offengelegt habe. »Was mit den Daten vom Kirchenpersonal, von den Pastoren, von den Mitgliedern, aus der Seelsorge passiert und wie die Gemeinden mit den Risiken umgehen sollen, ist völlig unklar«, heißt es in der Laudatio. Weichert glaubt ohnehin nicht, dass tatsächlich ein Überblick über übertragene Daten besteht: »Welche Daten in den USA landen, will – und kann wahrscheinlich – das Landeskirchenamt nicht offenlegen.« Angesichts der aktuellen Entwicklungen in den USA rechnet Weichert damit, dass das »Data Privacy Framework« nicht mehr die Bedingungen für einen Angemessenheitsbeschluss erfüllt. Die Trump lasse weltweit Kritiker verfolgen: »Unter dem Vorwand, Terrorismus und Kriminalität zu bekämpfen, sammelt seine Regierung Daten, um Kritiker zu denunzieren, auszuweisen, an der Einreise zu hindern – kurzum: sie mundtot zu machen.« Auch für Christ*innen gebe es Gefahren: Während Trump Bibeln verkaufe und sich in messianischen Bildern inszeniere, habe er die Bischöfin Mariann Budde als »linksradikale Trump-Hasserin« diffamiert. Die Bischöfin der Episkopalkirche hatte in ihrer Predigt bei einem Gottesdienst nach der Amtseinführung Trump aufgefordert, Barmherzigkeit gegenüber den Menschen im Land zu üben, die nun in Angst lebten. Microsoft gehöre zu den Unternehmen, die sich Trumps Politik nicht widersetzten und willfährig von ihm identifizierte Gegner wie den Internationalen Strafgerichtshof sanktionierten. »Es besteht also die reale Gefahr, dass die Microsoft-Daten der Nordkirche zum Nachteil der Betroffenen genutzt werden – insbesondere, wenn sie Kritik an der unchristlichen US-Politik äußern«, betont Weichert. Im Ergebnis sieht er daher die Politik der Nordkirche als ein Beispiel dafür, »wie **christliches und generell gesellschaftliches Engagement durch Digitalisierung in Gefahr gebracht** wird«. Es falle ihm schwer, »eine Organisation zu unterstützen, deren gespeicherte Informationen letztlich in Computern von US-Sicherheitsbehörden zu teuflischen Zwecken landen können«. ## … und was die Nordkirche dazu sagt Die Nordkirche ist verständlicherweise nicht sonderlich glücklich über die Auszeichnung mit dem Big Brother Award. Sie respektiere zwar das Anliegen der ausrichtenden NGO Digitalcourage, auf Herausforderungen und Risiken der Digitalisierung aufmerksam zu machen. »Die Auszeichnung spiegelt jedoch nicht unsere Bewertung des Sachverhaltes wider«, so eine Sprecherin der Landeskirche auf Anfrage. Die Entscheidung für MS 365 sei »nach intensiver Prüfung der datenschutzrechtlichen, technischen und organisatorischen Rahmenbedingungen sowie einer umfassenden Abwägung der Risiken getroffen« worden. Den durch die Laudatio entstehenden Eindruck, Risiken seien nicht beachtet worden, weist die Sprecherin zurück: »Vielmehr wurden Risiken identifiziert, bewertet, dokumentiert und mit konkreten Maßnahmen hinterlegt, um die Risiken zu minimieren. Dabei wurden einzelne Funktionen bewusst deaktiviert, Nutzungsmöglichkeiten eingeschränkt und zusätzliche Schutzmechanismen eingeführt.« Bewusst sei die Einführung so erfolgt, dass die **Handlungsfähigkeit der Kirche nicht von einem einzelnen Dienst abhängig** werde: »Zentrale Fachverfahren sowie besonders sensible Datenbestände werden weiterhin außerhalb von Microsoft 365 betrieben oder unterliegen besonderen Schutz- und Verarbeitungsanforderungen.« Daten-Portabilität, der Zugriff auf bestehende Datenbestände und mögliche Alternativen für die Kommunikation würden fortwährend geprüft. Aktuell sehe man keine Anhaltspunkte dafür, dass Microsoft 365 grundsätzlich nicht mehr eingesetzt werden könnte. Auf die Frage nach einer **Strategie für digitale Souveränität** antwortete die Nordkirche, dass man darunter die Fähigkeit verstehe, selbstbestimmt über Daten, Prozesse und Technologien entscheiden zu können. »Digitale Souveränität bedeutet aus unserer Sicht jedoch nicht automatisch den Verzicht auf bestimmte Anbieter oder die ausschließliche Nutzung einzelner Technologien.« Entscheidend sei vielmehr, »dass die Organisation ihre Datenflüsse kennt, Risiken bewertet, Schutzmaßnahmen umsetzt und auf Veränderungen reagieren kann«. Einigen konkreten Vorwürfen Weicherts widerspricht die Nordkirche. Zwar sei die DSFA in der Tat nicht veröffentlicht worden. Das entspreche aber ohnehin nicht dem Üblichen. Zudem enthielten die DSFA und verschiedene Konzepte sicherheitsrelevante Informationen und Expertise des Dienstleisters, die man nicht ohne weiteres offenlegen könne. Den **Vorwurf der Intransparenz** will die Sprecherin nicht stehenlassen: Im Rahmen des Projekts habe es unterschiedliche Beteiligungs-, Informations- und Beratungsformate gegeben, das Thema sei ebenenübergreifend unter anderem in Synoden, Ausschüssen, Gremien und Arbeitsgruppen behandelt worden. (Auf die Frage, ob denn die Gemeinden und Kirchenkreise auf Anfrage die DSFA einsehen konnten, ging die Antwort direkt nicht ein.) Ebenso weist die Sprecherin den Vorwurf zurück, die Landeskirche wisse nicht, welche Daten in die USA transferiert würden. Zunächst sei definiert worden, welche Datenkategorien mit MS 365 verarbeitet werden. Dann seien die Verträge mit der europäischen Microsoft-Niederlassung geschlossen worden, die eine Verarbeitung der Daten in der EU vorsehen. Gegen den CLOUD Act hilft das allerdings bekanntermaßen nicht, wie Microsoft selbst vor Gericht einräumen musste. Der wohl wichtigste Punkt ist der **Umgang mit Seelsorge- und Personaldaten**. Die Nordkirche habe verbindliche Regelungen zur Datenklassifizierung eingeführt: > »Daten mit hohem Schutzbedarf, insbesondere Seelsorgegeheimnisse, Gesundheitsdaten oder vergleichbar sensible Informationen, dürfen grundsätzlich nicht in Microsoft 365 gespeichert werden. Hierfür gelten gesonderte Verfahren und Speicherorte. Insbesondere Personal- und Mitgliederdaten werden ausschließlich in eigenen Fachverfahren (KidiCap, KIRIS) verarbeitet.« Weichert hatte das Risiko starkgemacht, dass unliebsame politische Äußerungen von Kirchenmitgliedern mittels der über MS 365 erlangten Daten oder der damit verbundenen Abhängigkeit sanktioniert werden können. Dieses Risiko weist die Nordkirche zurück. Zwar berücksichtige man theoretische **Risiken staatlicher Zugriffe** auf Daten. »Für die konkrete Annahme, dass personenbezogene Daten von Mitarbeitenden, Ehrenamtlichen oder Gemeindemitgliedern aufgrund politischer Meinungsäußerungen gezielt ausgewertet oder gegen sie verwendet werden, sehen wir jedoch keine belastbaren Anhaltspunkte«, so die Sprecherin. ## Fazit Unter den kirchlichen Anwendern von MS 365 gehört die Nordkirche wahrscheinlich zu den verantwortungsbewussteren – die mir vorliegenden Unterlagen, auf deren Grundlage die Kirchenleitung die Einführung beschlossen hat, wirken umfassend und sorgfältig und mit sinnvollen technischen und organisatorischen Maßnahmen verbunden. Jedenfalls sind sie so umfassend und sorgfältig, wie man durch Vereinbarungen und Konfiguration Licht in die Blackbox MS 365 bringen kann. Weichert hatte in seiner Laudatio die weitgehend negativen Einschätzungen der DSK und des BSI (und in einer Fußnote auch des BfD EKD) erwähnt; die positive Einschätzung der hessischen Landesdatenschutzaufsicht aus dem vergangenen Jahr dagegen erwähnte er nicht, ebenso wenig wie die Sprecherin der Landeskirche, deren Argumentation von dem hessischen Papier gestärkt wird. Damit gibt es eine Aufsichtsposition, die grundsätzlich eine datenschutzkonforme Nutzung als möglich sieht. In der Kommunikation hat Digitalcourage die Kritik auf den Slogan »Beichtgeheimnis adé« zugespitzt. Das ist zum Glück übertrieben. Zumindest organisatorisch ist laut der Sprecherin sichergestellt, dass Seelsorgedaten »grundsätzlich« nicht in MS 365 gespeichert werden. Allzu leicht sollte man das Risiko aber nicht wegwischen: Sobald Pfarrpersonen über MS-365-Kommunikationskanäle erreichbar sind, werden sie natürlich, ToMs hin oder her, auch seelsorgliche Anfragen darüber bekommen. Der große Dissens liegt in der Frage, ob MS 365 mit vertretbarem Risiko eingesetzt werden kann – und ob es über die technische und organisatorische Risikomitigierung hinaus eine grundsätzliche ethische Verantwortung gibt, auf solche Produkte mit US-Bezug zu verzichten. Hier hat Weichert seinen wohl stärksten Punkt: Gerade in der Kirche sollte man es als realistisch betrachten, dass man einem Regime wie dem gegenwärtigen in den USA unbequem wird. Und auch wenn es vielleicht nicht die im globalen Maßstab kleine Nordkirche ist, die dem Rad in die Speichen fällt und dadurch unter die Räder kommt: Wer garantiert, dass nicht doch an verhältnismäßig kleinen Playern ein Exempel statuiert wird – oder sie auch nur zum Kollateralschaden werden? * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Kita-Checkliste für Bilder 1.2 Digital souveränere Pfarreien für die offene Gesellschaft 1.3 Newsletter zu kirchlicher KI 1.4 Beichtgeheimnis in Arizona gestärkt 1.5 Kirchlicher Datenschutz in Afrika 1.6 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Kita-Checkliste für Bilder Die KDSA Ost bietet im September zwei Termine für Online-Veranstaltungen zum Thema »Fotos in der Kita« an. Vorab gibt es schon eine Checkliste, die bei den Veranstaltungen gemeinsam durchgearbeitet werden soll. Auch ohne Veranstaltungsteilnahme und auch für andere Kontexte ist die Checkliste hilfreich – jedenfalls dann, wenn schon Grundkenntnisse im Datenschutz bestehen. Für bDSB lohnt es sich in jedem Fall, die Liste durchzugehen. ### Digital souveränere Pfarreien für die offene Gesellschaft Der bayerische Diözesandatenschutzbeauftragte Dominikus Zettl hat für das Magazin des Landeskomitees der Katholiken einen Beitrag zu Offenheit als Herausforderung unserer Zeit geschrieben: »Es gilt, Räume zu schaffen, in denen Menschen einander begegnen, zuhören und gemeinsam Verantwortung übernehmen.« Diese Aufgabe stelle sich auch in Pfarrgemeinden – und sie habe längst eine digitale Dimension. Zettl plädiert für souveräne IT-Lösungen in kirchlichen Einrichtungen und wirbt für die von ihm betriebene Mastodon-Instanz katholisch.social und weitere Tools wie Communicare und den von mehreren Bistümern getragenen Customer-Relationship-Management-System-Anbieter kCRM. Pfarrgemeinden empfiehlt er, mit vier einfachen Punkten zu beginnen: datenschutzfreundliche Tools ausprobieren, bestehende kirchliche Angebote nutzen, sich im Fediverse vernetzen sowie digitale Kompetenzen vor Ort aufbauen und miteinander lernen. Sein Fazit: > »Pfarrgemeinden können hier Vorreiter sein. Wenn sie auf offene Technologien, Datenschutz und gemeinschaftliche Lösungen setzen, zeigen sie, dass es Alternativen zu Abhängigkeit und Abschottung gibt. So wird digitale Offenheit zu einem glaubwürdigen Teil kirchlichen Handelns und leistet einen Beitrag für eine offene Gesellschaft insgesamt.« ### Newsletter zu kirchlicher KI Seit Mitte Juli gibt es den Newsletter von Nils Peters zu kirchlicher KI. Schon jetzt zeichnet sich ab, dass das eine wichtige Quelle wird: Die Beiträge zu Themen wie Schulungspflicht, zu Mitbestimmung bei KI oder zur Berücksichtigung von Datenschutzklassen nach KDG-DVO bei KI-Projekten sind praxisnah, fundiert und verständlich und erkennbar von viel Erfahrung geprägt. ### Beichtgeheimnis in Arizona gestärkt Der oberste Gerichtshof im US-Bundesstaat Arizona hat das Beichtgeheimnis gestärkt. In einer einstimmigen Entscheidung (Supreme Court of Arizona, Urteil vom 30. Juli 2026 – CV-25-0213-PR (_Doe v. Corporation of the President of the Church of Jesus Christ of Latter-Day Saints_)) bekam die Kirche Jesu Christi der Heiligen der Letzten Tage Recht. Mehrere Bischöfe der Kirche (das sind in dieser Gemeinschaft die Gemeindeleiter) hatten in der Beichte von einem Vater erfahren, dass er seine Kinder missbraucht habe. Der Vater und seine Frau wurden exkommuniziert, die Verantwortlichen der Kirche unterließen aber eine Anzeige. Vier Jahre später wurden die Eltern von staatlichen Strafverfolgungsbehörden angeklagt, nachdem sie gefilmte Missbrauchsdarstellungen entdeckt hatten. Die betroffenen Kinder klagten gegen die Kirche aufgrund der unterbliebenen Meldung an staatliche Behörden. Es stellte sich die Frage, ob der Schutz des Beichtgeheimnisses noch griff, nachdem die Bischöfe das Wissen aus der Beichte für disziplinarische Maßnahmen verwendet und an ein zuständiges Gremium weitergegeben hatten. Nach Auffassung des obersten Gerichts könne das aber keine Rolle spielen, da es staatlichen Gerichten nicht zukomme, die interne Ausgestaltung des Beichtgeheimnisses zu überprüfen; das Gesetz sieht nur Ausnahmen für Betrug oder betrügerische Absprachen vor. Da das Disziplinarkomitee vertraulich getagt habe, falle es in den gesetzlich geschützten Bereich des Beichtgeheimnisses, der auch vertrauliche Kommunikation umfasse. Die Kirche begrüßte in einer Stellungnahme, die mehreren Medien vorliegt, die Entscheidung und betonte, dass sie umfangreiche Interventions- und Präventionsmaßnahmen ergriffen habe und den Missbrauch im konkreten Fall stets verurteilt habe. »Arizona law also recognizes the confidential nature of religious confession. Today’s decision affirms that these religious protections are to be respected alongside society’s shared commitment to protect the vulnerable.« Unterdessen liegt dem Parlament von Arizona ein Gesetzentwurf der Abgeordneten Stacey Travers (Demokraten) vor (über den hier bereits berichtet wurde), der die Ausnahme von der Anzeigepflicht für Beichten abschaffen möchte. Mit dem Urteil ist der Entwurf wieder in der Debatte. Der Vorsitzende des Justizausschusses Quang Nguyen (Republikaner) stellte sich gegen den Entwurf und kündigte an, ihn weiterhin im Ausschuss zu blockieren. ### Kirchlicher Datenschutz in Afrika Bei einer Konferenz der »Catholic Sisters in the Legal Profession« in Nairobi widmete sich ein Panel dem Thema Datenschutz und Social Media. Die Franziskanerin Sr. Esther Muturi LSOSF betonte, dass Datenschutz »eine Verpflichtung auf die Menschenwürde und auf die Werte des Evangeliums« sei. Ordensfrauen seien dazu berufen, die Privatsphäre zu schützen, die Wahrheit voranzubringen und Christus in der digitalen Welt zu bezeugen. ACI Africa berichtet ausführlich über ihren Vortrag. Neben den ethischen Grundlagen sind die Ausführungen zur heterogenen Datenschutzrechts-Landschaft in Afrika interessant: Zwar fehle es an einem einheitlichen kontinentalen Rechtsrahmen, wie ihn die EU mit der DSGVO hat. Die existierenden Datenschutzgesetze in verschiedenen Ländern – sie nennt Kenia, Nigeria, Südafrika, Uganda, Sambia und Tansania – stimmten aber in ihren Grundprinzipien überein: »ensuring that personal data is processed lawfully, fairly, and transparently, collected only for legitimate purposes, limited to what is necessary, kept accurate and secure, retained only for as long as required, and handled with accountability and transparency«. (dataprotection.africa zählt in den 55 afrikanischen Ländern 43 Datenschutzgesetze und fünf – in der Tabelle mit Stand 2023 fehlt noch die DR Kongo – Gesetzesentwürfe.) ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 TikTok-Toiletten-Challenge – Tätigkeitsbericht des KDSZ Frankfurt 2025 ## Aus der Welt * Michael Veale, Professor für Technology Law and Policy am University College London, führt eine Datenbank mit Entscheidungen von Gerichten und Aufsichtsbehörden zur DSGVO: Zu jedem Erwägungsgrund und zu jedem Artikel sind Entscheidungen aufgeführt, die sich darauf beziehen. Die meisten Bezüge auf Artikel gibt es zu Art. 6 (2.062 Entscheidungen) und Art. 5 (1.958 Entscheidungen), der einzige ohne ist Art. 90. Zu Art. 91 DSGVO kennt die Datenbank immerhin sieben Entscheidungen. * Überwachungskameras, die Material mit KI auswerten, höhlen in den USA Freiheitsrechte aus, und auch in Deutschland sieht es nicht gut aus. Über handfesten Widerstand, der sich dagegen entwickelt, berichtet die taz. Der Guardian berichtet über »adversarial clothing«, also Kleidung, die durch Form und Muster KI-Systeme verwirren soll. Ob das wohl tatsächlich und langfristig funktioniert oder nur ein Modestatement bleibt? * ## Kirchenamtliches * **2. KDG-Änderungsgesetz:** Essen, Fulda, Köln, Münster * **Bistum Fulda:** Veröffentlichung von Priester-/Diakonjubiläen – Kirchlicher Datenschutz * **Landeskirche Kurhessen-Waldeck:** Rahmen-Dienstvereinbarung über die Einführung und Nutzung von IT-Programmen mit Künstlicher Intelligenz (Rahmen-Dienstvereinbarung KI) zwischen der Evangelischen Kirche von Kurhessen-Waldeck und der Landeskirchlichen Mitarbeitervertretung * **Erzbistum Köln:** Änderung der Ordnung über die Nutzung von Künstlicher Intelligenz durch Einrichtungen und Institutionen im Erzbistum Köln (KI-Nutzungsordnung vom 10. Dezember 2024, Amtsblatt des Erzbistums Köln Januar 2025, Nr. 2) * **Erzbistum Freiburg, Referat Datenschutz:** Grundlagenschulung für die Arbeit mit Kindern und Jugendlichen * **KDSA Ost:** Fotos in der Kita – ein Selbstcheck mit Fragerunde * **KDSZ Bayern:** Fachbeitrag im Magazin des Landeskomitees der Katholiken in Bayern * **KDSZ Frankfurt:** Die Diözesandatenschutzbeauftragte der (Erz-)Bistümer Freiburg, Fulda, Limburg, Mainz, Rottenburg-Stuttgart, Speyer und Trier veröffentlicht Tätigkeitsbericht 2025 (August 2026) * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 LDI NRW prüft Zuständigkeit für Freikirche 1.2 Kölner Generalvikariat ISO-27001-zertifiziert 1.3 Office im Open-Source-Bistum Würzburg 1.4 Positionen zur Taufbuchlöschung 1.5 Sozialdatenschutzregelung im Erzbistum Paderborn aufgehoben 1.6 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### LDI NRW prüft Zuständigkeit für Freikirche Der Bund Freier evangelischer Gemeinden in Deutschland gehört zu den kleineren Religionsgemeinschaften mit eigenem Datenschutzrecht und eigener Aufsicht. Im vergangenen Jahr gab es einen Wechsel in der Leitung der Aufsicht, in der aktuellen Mitgliederzeitschrift stellt der neue Datenschutzbeauftragte Stephan Eschenbacher sich und aktuelle Themen vor. Ein Fall mit Bezug zum Bund FeG beschäftigt gerade die Landesdatenschutzbeauftragte NRW, wie mir ein Sprecher der Behörde auf Anfrage mitteilte: »Wir haben einen Vorgang mit Beteiligung der Religionsgemeinschaft. Aktuell prüfen wir unsere Zuständigkeit.« Zuständig wäre die LDI, wenn es entweder keine eigene Datenschutzaufsicht gäbe, die den Anforderungen von Art. 91 Abs. 2 DSGVO entspricht, oder wenn das eigene Datenschutzrecht nicht den Anforderungen von Abs. 1 entspräche; dann könnte nämlich keine eigene Aufsicht eingerichtet werden. Die LDI NRW hatte schon zuvor mit kleineren Religionsgemeinschaften zu tun; im Fall der alt-katholischen Kirche fiel die Bewertung zugunsten des alt-katholischen Datenschutzrechts aus. Nach Abschluss des Verfahrens konnte ich über das NRW-Informationsfreiheitsgesetz die Kriterien der LDI NRW für die Prüfung in Erfahrung bringen. ### Kölner Generalvikariat ISO-27001-zertifiziert Das Erzbischöfliche Generalvikariat in Köln wurde erfolgreich ISO-27001-zertifiziert. Das Erzbistum sieht die Informationssicherheits-Zertifizierung in einem größeren Kontext: In den vergangenen Jahren sei das Vertrauen der Gesellschaft in kirchliche Institutionen deutlich gesunken. Die Zertifizierung belege nun einen professionellen Umgang mit Daten und Informationen nach aktuellen Anforderungen wie dem BSI-Grundschutz und europäischen Normen. »Informationssicherheit ist für das Generalvikariat ein Ausdruck gesellschaftlicher Verantwortung«, zitiert die Pressemitteilung IT-Chef Dirk Röder. ### Office im Open-Source-Bistum Würzburg Das Bistum Würzburg ist Vorreiter beim Einsatz freier Software. Schon seit 2003 wurde dort zunächst OpenOffice, dann LibreOffice eingesetzt, 2013 regelte eine Dienstanweisung, dass MS Office nur ausnahmsweise eingesetzt werden kann. Eine neue Dienstanweisung zum Einsatz von Office-Suiten hält weiter daran fest, dass nur in begründeten Ausnahmefällen Microsoft Office verwendet werden darf. Eine auf zwei Jahre befristete Genehmigung zur Nutzung kann nur dann erteilt werden, wenn der Einsatz einer Spezialsoftware MS Office erfordert oder in der Kommunikation mit Dritten komplexe Formatierungen nötig machen, dass MS Office eingesetzt wird. (Explizit werden nur Formatierungen, nicht Makros genannt.) Im Vergleich zur Dienstanweisung von 2013 ändert sich im Wesentlichen nur, dass keine spezifische Open-Source-Lösung mehr vorgeschrieben wird und statt von LibreOffice von »eine[r] von der Abteilung Informationstechnologie bereit gestellte[n] Open-Source-Lösung« gesprochen wird. ### Positionen zur Taufbuchlöschung Meine Brüsseler Kollegin Nicola Trenz hat sich zum EuGH-Verfahren zum Löschrecht in Taufbüchern (die mündliche Verhandlung habe ich umfassend analysiert) in Deutschland umgehört: Von ähnlich großen Problemen wie in Belgien berichten weder die Deutsche Bischofskonferenz noch mehrere angefragte Bistümer, wohl aber von einzelnen Löschanfragen. Außerdem erläutert die Kirchenrechtlerin und Mainzer Kanzlerin der Kurie Anna Ott, wie hier mit Daten Ausgetretener umgegangen wird. ### Sozialdatenschutzregelung im Erzbistum Paderborn aufgehoben Das Erzbistum Paderborn hat das zweite KDG-Änderungsgesetz genutzt, um noch eine weitere Regelung zu treffen: Die »Anordnung über den Sozialdatenschutz in der freien Jugendhilfe in kirchlicher Trägerschaft im Erzbistum Paderborn« vom 5. Mai 2004 wurde aufgehoben. Eine besonders große praktische Relevanz scheint sie ohnehin nicht gehabt zu haben, jedenfalls ist sie in der Rechtssammlung des Erzbistums nicht zu finden. In der ersten Fassung des KDG fand sich in § 58 Abs. 1 KDG alt (Paderborn) noch eine Übergangsregelung, dass diese Regelung neben anderen bis zu einer Neuregelung in Kraft bleibt, in der gültigen Fassung fehlen diese Übergangsregelungen. ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * Praktisches Handbuch zum Arbeitsrecht in der Digitalität ## Aus der Welt * Der EGMR hat entschieden, dass Veganismus Ausdruck einer weltanschaulichen Überzeugung sein kann und Gefängnisse in solchen Fällen vegane Ernährung anbieten müssen. (G.K. und A.S. gegen die Schweiz vom 16. Juli 2026, Beschwerden Nr. 55299/20 und 31515/22, Berichterstattung des SRF). In dem Fall ging es nicht um Datenschutzfragen, es liegt aber nah, hier an besondere Kategorien zu denken, nämlich weltanschauliche Überzeugungen – angesichts der sehr weiten EuGH-Auslegung von »Daten, aus denen … _hervorgehen_ «, könnte das durchaus relevant werden. * Die Datenschutzkonferenz hat einen Konsultationsprozess zu den Stuttgarter Impulsen zur Modernisierung des Datenschutzes gestartet. Teilnehmen kann man bis zum 10. September. * ## Kirchenamtliches * **2. KDG-Änderungsgesetz:** Hildesheim, Paderborn, Erfurt * **Bistum Würzburg:** Dienstanweisung zum Einsatz von Office-Suiten * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Christian Arnold und Jens Günther haben die dritte Auflage ihres Praxishandbuchs »Arbeitsrecht 4.0« vorgelegt. Dem Untertitel zufolge soll es um »Arbeits-, IP- und Datenschutzrecht in einer digitalisierten Arbeitswelt« gehen. Arnold/Günther: Arbeitsrecht 4.0, Praxishandbuch zum Arbeits-, IP- und Datenschutzrecht in einer digitalisierten Arbeitswelt, 3. Auflage 2026, XXX, 390 S., 99 Euro. (Foto: fxn) Ein Blick ins Inhaltsverzeichnis zeigt, wie das eingelöst wird: Schon die Überschriften sorgen für einige Aha-Momente, indem immer wieder Querverbindungen hergestellt und Themen angesprochen werden, an die man nicht sofort denkt: Kann man Beschäftigte in Bitcoin bezahlen? Wie lässt sich KI im Arbeitsschutz einsetzen? Was ist beim Datenschutz in der »Smart Factory« zu bedenken? Wie begegnet das Arbeitsrecht agilen Arbeitsmethoden wie Scrum und flexiblen Beschäftigungsverhältnisse wie Crowd- und Clickworking? **Inhalte** Verbergen 1 Datenschutzrecht 2 Kollektives Arbeitsrecht 3 Fazit Vor allem der letzte Punkt wird ausführlich behandelt. Ein Kapitel widmet sich neuen und alternativen Beschäftigungsformen, eines der Flexibilisierung im individuellen Arbeitsrecht. Durchweg spielen derartige (jedenfalls für das klassische Arbeitsrecht) neuartige Beschäftigungskonstellationen eine große Rolle. Eingeleitet wird das Handbuch mit einem Kapitel, das jeweils Chancen, Risiken und Handlungsoptionen der Digitalisierung von Produkten und Dienstleistungen, der Produktion und Aufbauorganisation sowie der individuellen Arbeit und Ablauforganisation durchdekliniert: An den Beginn werden damit betriebswirtschaftliche Überlegungen zum Umgang mit Digitalisierung gestellt, bevor die rechtliche Diskussion folgt. Das scheint sinnvoll, da so aus einer Analyse der tatsächlichen Arbeitsumwelt die Regelungsbedarfe abgeleitet werden, anstatt aus dem in analogeren Zeiten entstandenen entstandenen Arbeitsrecht abzuleiten, wie die Arbeitswelt sein sollte. ## Datenschutzrecht Das Kapitel über Datenschutzrecht verantworten Christian Hamann und Katrin Haußmann. Es beginnt mit einer sehr kompakten und konzisen Einführung ins Datenschutzrecht. Schon hier tauchen erste Besonderheiten in einer digitalisierten Arbeitswelt auf, wenn es etwa darum geht, in komplexen Konzernorganisationen Verantwortliche zu bestimmen. Bei den datenschutzrechtlichen Rechtsgrundlagen geht es schnell ins Spezifische, vor allem in der Diskussion von § 26 BDSG. Der ist zwar mutmaßlich in Teilen europarechtswidrig aufgrund des Wiederholungsverbots, die Autor*innen stellen aber zurecht fest, dass sich dadurch ohnehin kaum etwas ändern würde, wenn die europarechtswidrigen Teile lediglich wiederholen, was schon in der DSGVO geregelt ist. § 26 Abs. 4 BDSG nehmen Hamann und Haußmann zum Anlass, ausführlich darzulegen, welchen Rahmen **Kollektivvereinbarungen zur Beschäftigtendatenverarbeitung** haben. Das geschieht sehr praxisorientiert: Skizziert wird die Regelung durch Rahmenvereinbarungen. Das bleibt zwar abstrakt, zeichnet aber den Rahmen so deutlich, dass sich daraus viel für die Betriebsratsarbeit entnehmen lässt. Beim Abschnitt über **KI** ist die Mitbestimmung ebenso im Blick. Dort wird eine Betriebsvereinbarung empfohlen, um im Rahmen des Möglichen eine Verarbeitung auf Grundlage des berechtigten Interesses besser zu konturieren, und deren Mindestinhalte aufgezählt. Ebenso lesenswert sind die Ausführungen über die Verwendung von Beschäftigtendaten zum KI-Training: Da dafür in der Regel eine Zweckänderung erforderlich ist und eine Einwilligung im Arbeitskontext in der Regel keine taugliche Rechtsgrundlage ist, ist das mit hohen Hürden versehen. Dennoch geben die Autor*innen Hinweise, wie man Verfahren dazu gestalten kann. Auch in den folgenden Abschnitten zu konkreten Problemstellungen ist das kollektive Arbeitsrecht regelmäßig im Blick. Auf den sehr gelungen allgemeinen Teil folgen konkrete Einsatzgebiete. Das wird durchweg instruktiv gestaltet, es stellt sich aber die Frage, ob die Auswahl und dadurch die Gewichtung die naheliegendste ist: Es geht auf identischer Gliederungsebene um Bewerbungsverfahren, »People Analytics«, »Smart Factory«, unternehmensinterne Social Media und Gamification, »Cloud Computing«, sowie abschließend Cybersecurity. Die einzelnen Abschnitte sind jeweils sehr nachvollziehbar strukturiert und geben einen guten Überblick über die jeweilige Problemlage und Lösungsansätze, erkennbar geprägt von einem differenzierten Blick auf die tatsächlich Praxis in Unternehmen. Bisweilen fragt man sich aber, warum genau dieser Zugang zu einem Hauptabschnitt gemacht wurde: Warum interne Social-Media-Dienste, aber nicht die Nutzung von Beschäftigtendaten in der externen Unternehmenskommunikation? Warum wird die Problematik eigener Technik (BYOD und Schatten-IT) und der Umgang damit nicht explizit herausgearbeitet? (BYOD wird kursorisch im Kapitel über Arbeitsschutz angesprochen, Schatten-IT taucht im Stichwortverzeichnis nicht auf.) ## Kollektives Arbeitsrecht Das von Martina Benecke besorgte Kapitel über kollektives Arbeitsrecht steigt ausführlich und fundiert zum **Betriebs- und Arbeitnehmerbegriff** angesichts komplexerer und verteilter Organisationsformen ein. Die Frage nach dem Umgang mit neuen Arbeitsformen (sowohl des Personaleinsatzes wie flexibler Arbeitsformen inklusive agilen Methoden) wird bei den Mitbestimmungstatbeständen aufgegriffen, wie sich die Auswirkungen der Veränderung hergebrachter (Fabrik-)Arbeitsstrukturen durch Digitalisierung generell durch das Kapitel zieht. Diese Aspekte sind die große Stärke des Abschnitts: Sie zeigen die Bandbreite an Möglichkeiten auf, wie sich die Arbeitswelt organisatorisch verändert, und wie sich das auf das hergebrachte kollektive Arbeitsrecht auswirkt. Sehr hilfreich ist die Diskussion der einzelnen **Mitbestimmungstatbestände** aus § 87 BetrVG, die allerdings in Details sehr eng auf beispielhafte Fälle rekurriert und teilweise eine etwas ausführlichere Systematik hätte vertragen können. Ein Beispiel dafür ist die Thematik der Ordnung im Betrieb (§ 87 Abs. 1 Nr. 1 BetrVG). Hier weist Benecke darauf hin, dass dieser Tatbestand etwa dann berührt ist, wenn zur Überwachung geeignete Einrichtungen auch tatsächlich zur Durchsetzung der Ordnung im Betrieb verwendet werden. Dazu kommen Maßnahmen, die das Ordnungsverhalten der Beschäftigten außerhalb des Betriebs, etwa beim Verhalten im Internet, betreffen. Mitbestimmungspflichtig sind damit unter bestimmten Bedingungen etwa Social Media Guidelines. Die in der Praxis oft anspruchsvolle Abgrenzung der mitbestimmungspflichtigen Ordnung des Betriebs vom nicht mitbestimmungspflichtigen Direktionsrecht des Arbeitgebers wird nicht angesprochen. Aufgrund der großen Bedeutung wird der Tatbestand der Mitbestimmung im Fall der Möglichkeit von **Überwachung und Leistungkontrolle** eigens und umfangreich besprochen. Benecke arbeitet heraus, dass dieser Mitbestimmungstatbestand aufgrund der umfassenden Digitalisierung heute sehr weitreichend und damit immer unklarer ist. Hilfreich ist der Hinweis, dass der Tatbestand die Einführung und Anwendung umfasst: »Die Mitbestimmung setzt also bereits in der Planungsphase und bei der Auswahl der technischen Einrichtung an.« Ausführlich werden die BAG-Urteile zur Prüfung der Reisekostenabrechnung mit Google Maps (Beschluss 1 ABR 43/12 vom 10. Dezember 2013) und zum Betrieb einer Facebook-Seite, über die Rückmeldungen zu Beschäftigten eingingen (Beschluss 1 ABR 7/15 vom 13. Dezember 2016). Hier hätte man sich auch noch neuere Fälle gewünscht, etwa zur Regulierung von KI im Unternehmen, auch wo es noch keine höchstrichterlichen Entscheidungen gibt. Etwas kompakt fällt der Abschnitt zur Kommunikation mit den Beschäftigten aus. Die Frage, in welcher Form und in welchem Umfang öffentliche Social-Media-Kommunikation des Betriebsrats möglich ist, hätte etwas ausführlicher sein können als nur ein Satz, der auf eine Entscheidung des LAG Niedersachsen zur Nutzung von Twitter durch einen Betriebsrat hinweist (Beschluss 5 TaBV 107/17 vom 6. Dezember 2018); wünschenswert wäre auch eine Erwähnung von Messenger-Diensten und die Problematik der Sicherstellung der Vertraulichkeit der Kommunikation bei der Nutzung von durch den Arbeitgeber kontrollierter Kommunikationsinfrastruktur gewesen. ## Fazit Das Praxishandbuch Arbeit 4.0 schafft es, auf seinen relativ kompakten etwa 380 Seiten einen umfassenden Blick auf die Digitalisierung der Arbeitswelt zu werfen. Dabei ist es geprägt von der tatsächlichen Praxis und tatsächlich auftretenden Problemstellungen. Das entschuldigt sicher die oft überraschende und originelle, dabei aber gelegentlich etwas willkürlich anmutende Schwerpunktsetzung. Möglicherweise bräuchte es für eine vierte Auflage eine grundlegende Überarbeitung der Struktur, merkt man dem Werk doch an, dass vor allem bestehende Texte aktualisiert wurden. (Insbesondere verdient das KI-Recht ein eigenes Kapitel wie das Datenschutzrecht.) Die einzelnen Kapitel verfolgen auch unterschiedliche Strategien zur Strukturierung: Finden sich in den ersten noch grau hinterlegte Praxishinweise, teils mit Formulierungsvorschlägen, finden sich solche Inhalte beim Datenschutz-Kapitel im Fließtext, beim kollektiven Arbeitsrecht eher nicht mehr. Hier wäre mehr Einheitlichkeit hilfreich. Das tut dem Wert des Werks insgesamt aber einen Abbruch: »Arbeitsrecht 4.0« ist tatsächlich ein Praxishandbuch, das in die Bibliothek von Beschäftigtenvertretungen und Rechtsabteilungen gehört. Das Stichwortverzeichnis (in anderen Werken oft eher erratisch zusammengestellt, hier aber verwendbar) erschließt zusammen mit den sinnvoll strukturierten Inhaltsverzeichnissen das Buch in einer Weise, dass auch bei den genannten fehlenden ausführlichen Ausführungen immerhin leicht zugänglich ist, was mit etwas Transferleistung die Frage klärt. _Arnold/Günther: Arbeitsrecht 4.0, Praxishandbuch zum Arbeits-, IP- und Datenschutzrecht in einer digitalisierten Arbeitswelt, 3. Auflage 2026, XXX, 390 S., 99 Euro._ * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Die Gesellschaft Katholischer Publizistinnen und Publizisten Deutschlands (GKP) warnt vor einer Beschneidung des Informationsfreiheitsgesetzes (IFG). „Die sogenannten Reformpläne der Koalition bedeute...

Erstmals erscheint der bayerische Tätigkeitsbericht in einer neuen Struktur. Der Bericht soll durch viele Praxisbeispiele aus der Aufsichtstätigkeit eine Orientierungshilfe für bDSB und Verantwortliche sein. Mit fast 170 Seiten ist er ungewöhnlich lang und nähert sich so den Berichten der staatlichen Aufsichten an. Auf gut 170 Seiten macht der Tätigkeitsbericht des KDSZ Bayern die Arbeit der Aufsicht transparent. Bemerkenswert ist die große Transparenz: Detailliert wie keine andere kirchliche Aufsicht gibt das KDSZ Bayern Auskunft – auch wenn manche Ergebnisse der Transparenzoffensive noch auf sich warten lassen. **Inhalte** Verbergen 1 Grundlagen und Struktur der Aufsicht 1.1 Ausstattung und Infrastruktur 1.2 Außendarstellung und Kommunikation 1.3 Grundlagen der Datenschutzaufsicht 2 Entwicklungen im Datenschutzrecht 2.1 Staatliches Recht 2.2 Kirchliches Recht 2.2.1 KDG-Reform 2.2.2 KDG-DVO-Reform 2.2.3 Diözesangesetzgebung 2.3 Rechtsprechung 3 Aufsichtstätigkeit 3.1 Zahlen und Schwerpunkte 3.1.1 Beratungen 3.1.2 Datenpannen 3.1.3 Beschwerden 3.2 Prüfungen 4 Fazit 5 Bisher besprochene Tätigkeitsberichte des bayerischen DDSB ## Grundlagen und Struktur der Aufsicht ### Ausstattung und Infrastruktur 2025 ist der organisatorische Aufbau des KDSZ Bayern abgeschlossen, alle fünf Stellen sind besetzt. Dass das recht knapp ist (zum Vergleich: das KDSZ Dortmund hat elf Stellen), dürfte offensichtlich sein. Schon jetzt können die gesetzlichen Aufgaben »nur eingeschränkt und vielfach nicht innerhalb des angestrebten beziehungsweise gesetzlich vorgesehenen Zeitrahmens bewältigt werden«. Die verwendeten **Haushaltsmittel** werden im Bericht ausgewiesen: 2025 waren es 489.564,46 Euro. (2023 waren es 165.448,15 Euro, 2024 469.356,12 Euro.) Ein Schwerpunkt ist **digitale Souveränität**. Laut dem Bericht wurde zunehmend Dienstleistern in Deutschland der Vorrang selbst über EU-Dienstleister gegeben. »Gerade vor dem Hintergrund zunehmender geopolitischer Unsicherheiten, wachsender Cyberbedrohungen und einer fortschreitenden Konzentration des Marktes für digitale Dienste gewinnen offene, transparente und selbstbestimmte IT-Strukturen weiter an Bedeutung.« Das Konzept dafür wurde verschriftlicht; eine detaillierte Vorstellung ist für den Bericht 2026 angekündigt. Sehr interessant sind die Ausführungen zum **Diözesannetz** , das die IT-Infrastruktur für elf Diözesen und sechs Caritasverbände zur Verfügung stellt. Dadurch steht ein besonders gesichertes internes Netz zur Verfügung. Zugleich hieße das für die Aufsicht aber auch, ihre eigene Infrastruktur nicht mehr selbst betreiben zu können – und damit, dass die Infrastruktur von einer Einrichtung betrieben wird, die von ihr beaufsichtigt wird. Die Wahrung der gesetzlichen Unabhängigkeit der Datenschutzaufsicht und die Vermeidung möglicher Interessenkonflikte sind daher relevante Punkte bei der noch nicht abgeschlossenen Prüfung über den Anschluss. Ungewöhnlich transparent sind auch die Erläuterungen zum **Verwaltungsrat des KDSZ**. Von diesen Gremien hört man anderswo sehr wenig und nichts öffentlich. Hier ist ihm ein ganzer Abschnitt gewidmet. Laut Bericht kommt der Anstoß, transparent über Fallzahlen zu berichten, aus dem Verwaltungsrat – der Diözesandatenschutzbeauftragte hat damit die Rückendeckung seines Verwaltungsrats in einer Sache, die in der Diözesandatenschutzbeauftragtenkonferenz möglicherweise nicht allzu euphorisch aufgenommen wird. (Die Zahlen gibt es aber erst im Bericht für 2026.) ### Außendarstellung und Kommunikation Das KDSZ Bayern kommuniziert nicht nur über seine Arbeit im engeren Sinne. Der Diözesandatenschutzbeauftragte beteiligt sich auch rege an Debatten über Digitalpolitik und Freiheitsrechte: »Die Erfahrungen des Berichtsjahres haben gezeigt, dass Fragen der digitalen Souveränität, der informationellen Selbstbestimmung und einer verantwortungsvollen digitalen Kommunikation zunehmend Gegenstand kirchlicher und gesellschaftlicher Diskussionen sind.« Auch institutionell meldet sich die Aufsicht zu Wort: Gemeinsam mit dem Bistum Würzburg und dem Katholischen Büro gab es eine Stellungnahme im Rahmen der KI-Konsultation der BfDI, über die hier schon berichtet wurde. ### Grundlagen der Datenschutzaufsicht Eine Besonderheit ist das dritte Kapitel des Tätigkeitsberichts: Unter der Überschrift »Grundlagen der Datenschutzaufsicht« stellt es eine grundsätzliche Übersicht über Aufgaben der einzelnen Akteure und das Datenschutzmanagement im Ganzen dar. Mit den Abschnitten »Datenschutz ist Führungsaufgabe«, »Der betriebliche Datenschutzbeauftragte«, »Die Datenschutzaufsicht – unabhängige Kontroll- und Beratungsinstanz«, »Zusammenarbeit statt Gegeneinander« sowie »Voraussetzungen einer leistungsfähigen Datenschutzaufsicht« verlässt der Bericht sein Genre und wird vielmehr zu einer allgemeinen Einführung in den Datenschutz und das Gefüge des Datenschutzmanagements. Mit 30 Seiten nimmt dieses Kapitel einen großen Teil des Berichts ein. Für Verantwortliche, die ein systematisches Datenschutzmanagement aufbauen wollen, wie für betriebliche Datenschutzbeauftragte ist es eine Pflichtlektüre, weil es sehr klar Aufgaben, Strukturen und Vernetzungen aufzeigt. Da ist es fast etwas schade, dass es in der Mitte des Tätigkeitsberichts für ein Jahr gepackt wurde: Das Kapitel hätte die Substanz, separat publiziert zu werden und als Standardwerk für die Einführung neuer bDSB benutzt zu werden. ## Entwicklungen im Datenschutzrecht ### Staatliches Recht Zum **Digitalen Omnibus der EU** kann der Bericht noch nichts sagen; einer Bewertung enthält er sich. Interessant ist die ausführliche Darstellung der **Verordnung über Transparenz und Targeting politischer Werbung** und der Fälle, in denen sie für kirchliche Akteure relevant werden kann. Zumindest mittelbar könne die Verordnung auch für sie relevant werden: »Dies gilt insbesondere für Fragen der kirchlichen Öffentlichkeitsarbeit und digitalen Kommunikation, soweit Inhalte einen politischen Bezug aufweisen oder die Abgrenzung zwischen gesellschaftlicher Meinungsäußerung, kirchlicher Interessenvertretung und politischer Werbung zu beurteilen ist«. Ebenso gebe es beim **Data Act** Auswirkungen auf kirchliche Stellen: »Für kirchliche Einrichtungen wird der Data Act künftig insbesondere dort an Bedeutung gewinnen, wo vernetzte technische Systeme, intelligente Gebäude- und Haustechnik, medizinische Geräte oder Cloud-Dienste eingesetzt werden und hierbei Daten erzeugt oder verarbeitet werden.« Die **KI -Verordnung** hat nach Auffassung der Aufsicht bereits jetzt durch die Schulungspflicht aus Art. 4 KI-VO eine hohe praktische Relevanz. Der Bericht empfiehlt, Datenschutzschulungen und KI-Kompetenz-Schulungen zu verknüpfen. Schließlich sieht das KDSZ Bayern die **Gesetzgebung zu IT-Sicherheit** , namentlich die NIS-2-Richtlinie, den Digital Operational Resilience Act (DORA) und den Cyber Resilience Act (CRA) als relevant für kirchliche Einrichtungen an, wo sie vom Geltungsbereich unmittelbar erfasst sind. Aber selbst wenn nicht: »Unabhängig von einer unmittelbaren rechtlichen Verpflichtung liefert die NIS-2-Richtlinie wichtige Orientierungspunkte dafür, welche Anforderungen heute allgemein an eine zeitgemäße Informationssicherheit gestellt werden.« ### Kirchliches Recht In den Berichtszeitraum fallen die **Novellen von KDG und KDG-DVO**, die ausführlich besprochen werden. #### KDG-Reform Die Präambel des KDG wurde neu gefasst. Darin heißt es nun, dass Datenverarbeitung zur Erfüllung des kirchlichen Auftrags erforderlich ist. Aber: »Die Gesetzesbegründung stellt zugleich klar, dass der kirchliche Auftrag keine eigenständige datenschutzrechtliche Rechtsgrundlage für jede Verarbeitung personenbezogener Daten begründet.« Gewarnt wird auch davor, den **Wegfall des grundsätzlichen Schriftformerfordernisses bei der Einwilligung** als Freibrief zu verstehen. Der Bericht betont, dass Einwilligungen weiterhin dokumentiert werden müssen. »Die eigentliche Bedeutung der Neuregelung liegt deshalb weniger im vollständigen Verzicht auf Formerfordernisse als vielmehr in der Möglichkeit, künftig verstärkt die Textform oder andere dokumentierbare elektronische Verfahren zu nutzen.« Gewürdigt wird die umfangreiche Neufassung der Bestimmungen über die Datenschutzaufsicht. Dabei seien zwar keine wesentlichen Neuerungen eingeführt worden, aber einige hilfreiche Klarstellungen und Systematisierungen. Dies betreffe etwa die genauere Auflistung der Maßnahmen, die der Aufsicht zur Verfügung stehen. »Diese Maßnahmen standen der Datenschutzaufsicht im Kern bereits bislang zur Verfügung; ihre gesetzliche Ausgestaltung wird jedoch präzisiert und systematisch klarer gefasst. Dadurch gewinnen sowohl die Datenschutzaufsicht als auch die kirchlichen Verantwortlichen an Rechtsklarheit und Rechtssicherheit.« Hilfreich ist, dass die Besprechung der KDG-Novelle mit einem Abschnitt zu den Auswirkungen auf die Praxis endet, auch wenn die eigentliche To-do-Liste nur einen Absatz umfasst. #### KDG-DVO-Reform Wie beim KDG stellt der Bericht bei der KDG-DVO keine revolutionären Veränderungen fest, aber eine stringente Weiterentwicklung. Aus einer klassischen Ausführungsverordnung werde zunehmend ein modernes Regelwerk für Datenschutzorganisation und Informationssicherheit. Besprochen werden die **Weiterentwicklung der technischen und organisatorischen Maßnahmen (TOM)**. Hier werde deutlich, dass es nicht einfach um eine Bereichscompliance gehe, sondern um einen systematischen Managementansatz, »bei dem Risiken fortlaufend bewertet, Schutzmaßnahmen regelmäßig angepasst und deren Wirksamkeit kontinuierlich überprüft werden.« Ähnlich sieht es bei den Regelungen zu **Informationssicherheit und modernen IT-Infrastrukturen** aus, die ausführlich gewürdigt werden. Die wohl kontroverseste Neuerung ist das **Fax-Verbot**. Mit dem Tätigkeitsbericht liegt nun die erste offizielle Äußerung einer Aufsicht dazu vor: Es handle sich gar nicht um ein »pauschales Verbot des Faxgeräts als technischer Einrichtung«. Maßgeblich sei vielmehr, »ob der Verantwortliche im konkreten Einzelfall durch geeignete technische und organisatorische Maßnahmen ein dem Stand der Technik entsprechendes Sicherheitsniveau gewährleisten kann.« Wie sich diese eher freie Auslegung des Wortlauts in der Praxis auswirken wird, könnte sich im nächsten Tätigkeitsbericht zeigen. Nicht thematisiert wird leider die Umsetzung der KDG-DVO bei ehrenamtlich geprägten kirchlichen Verantwortlichen. #### Diözesangesetzgebung Erfreulich ist die ausführliche Würdigung datenschutzrelevanter Diözesangesetzgebung. Schwerpunkte waren im Berichtszeitraum Regelungen für Archiv- und Aktenordnung sowie Auskunfts- und Einsichtsnormen im Kontext der Missbrauchsaufarbeitung. ### Rechtsprechung An kirchlichen Verfahren werden die Fälle der Anwendbarkeit des KDG bei Kolping (IDSG 10/2023 vom 17. September 2025), der Löschung einer Akte im caritativen Bereich (IDSG 26/2022 vom 26. Mai 2025), der Einsicht in Beschäftigten-Accounts (IDSG 19/2023 vom 15. Juni 2025), der Adressweitergabe für Haustürwerbung einer Kirchenzeitung (DSG-DBK 02/2024 vom 19. Mai 2025) besprochen. Für den **Kolping-Fall** (der wenig überzeugend staatskirchenrechtlich, nicht kirchenrechtlich entschieden wurde) wird von der Aufsicht dieser Merksatz geprägt: »Für die Anwendbarkeit des KDG ist die tatsächliche organisatorische Einbindung in die Kirche entscheidend.« Das stimmt, aber eben nicht auf dem vom IDSG beschrittenen Weg. Ärgerlich ist, dass Kolping in der Überschrift als »kirchennahe Organisation« bezeichnet wird – ganz unabhängig von der zu entscheidenden Frage ist unstrittig, dass Kolping kirchlich ist. Hier täte eine Auseinandersetzung mit dem Verständnis der Sendung der Laien, wie es das Zweite Vatikanische Konzil grundlegt und das Kirchenrecht normiert, Not. Kirchlichkeit bestimmt sich durch die Ziele, nicht die Organisationsform. Bei den anderen Fällen gibt es jeweils diese Merksätze: * **Caritas:** »Datenschutz verlangt nicht nur die Löschung, sondern auch die rechtmäßige Aufbewahrung personenbezogener Daten.« * **Einsichtnahme** : »Zwischen der technischen Suche nach einer Datei und der Einsichtnahme in Benutzerinhalte ist datenschutzrechtlich zu unterscheiden.« * **Haustürwerbung:** »Auch kirchliche Öffentlichkeitsarbeit bedarf stets einer eigenständigen datenschutzrechtlichen Rechtsgrundlage.« ## Aufsichtstätigkeit ### Zahlen und Schwerpunkte »Transparenz ist eine wesentliche Voraussetzung für das Vertrauen in die Tätigkeit einer unabhängigen Datenschutzaufsicht«, heißt es zu Beginn des Abschnitts über die Aufsichtstätigkeit. Aber zu früh gefreut: Erst 2026 kommen die Zahlen. Im aktuellen Tätigkeitsbericht wird nur dafür argumentiert, dass diese Darstellung sinnvoll ist, und das mir von katholischen Aufsichten unter der Hand schon oft zugetragene Argument entkräftet, dass im Vergleich zu staatlichen Aufsichten wohl eher niedrigere Zahlen ein schlechtes Licht auf die kirchlichen Aufsichten werfen würden: »Fallzahlen allein erlauben keine Bewertung der Qualität einer Datenschutzaufsicht. Sie schaffen jedoch Transparenz über Aufgaben, Entwicklungen und Schwerpunkte der behördlichen Tätigkeit.« Für 2025 bleibt es beim bisher Üblichen, reinen Tendenzen. Allgemein wird darauf hingewiesen, dass sich der Schwerpunkt weg von datenschutzrechtlichen Einzelfragen hin zu komplexen Konstellationen entwickelt hat: »Datenschutzrechtliche Bewertungen erfordern deshalb immer häufiger ein Zusammenspiel juristischer, technischer und organisatorischer Expertise.« **Geldbußen** werden keine erwähnt. #### Beratungen Die Beratungen haben sich »erneut deutlich intensiviert«, der Beratungsbedarf habe sich »um ein Vielfaches« erhöht. Der Bericht nennt sechs prägende Themenbereiche: * Digitalisierung in kirchlichen Einrichtungen * Künstliche Intelligenz * Datenschutzmanagement und Organisation * kirchliche Bildungseinrichtungen * kirchliche Sozialwirtschaft * Öffentlichkeitsarbeit und digitale Kommunikation Einige Fälle werden angerissen, leider nicht immer in einer Tiefe, dass sich damit viel anfangen lässt. Gerne hätte man etwa mehr erfahren, wie die Einführung einer Zwei-Faktor-Authentifizierung für eine Fachanwendung begleitet wurde. Im Fall eines Amtshilfeersuchens nach dem Tod einer betroffenen Person fällt auf, dass gar nicht darauf eingegangen wurde, dass Datenschutzrecht nach herrschender Meinung nur bei lebenden Personen greift. #### Datenpannen Im Vorjahr gab es Rekordzahlen an Meldungen durch die Datenpanne bei einer Kita-App. Ohne einen solchen Massenvorfall gingen die Zahlen zurück; gleichwohl konstatiert die Aufsicht einen langfristig moderat steigenden Trend. Mit dem Meldeverhalten zeigt sich die Aufsicht zufrieden. Verantwortliche kämen zunehmend ihrer Meldepflicht nach, im Zweifel auch dann, wenn noch nicht absehbar ist, ob überhaupt eine Meldepflicht besteht. Ein wichtiger Hinweis ist, dass bei Audits die Dokumentation von Datenpannen geprüft wird. Während die Meldung an die Datenschutzaufsicht zu funktionieren scheint, sieht es bei der Information betroffener Personen anscheinend anders aus; hier bemerkt der Bericht, dass Verantwortliche seltener eine Informationspflicht annehmen als die Aufsicht. Inhaltlich bleibt es bei den Dauerbrennern: Fehlversände bleiben die häufigste Ursache, Cyberangriffe und IT-Sicherheits-Vorfälle gewinnen weiter an Bedeutung. Außerdem werden fehlerhafte Zugriffs- und Berechtigungskonzepte, der Verlust von Unterlagen oder IT-Geräten, unzulässige Datenweitergaben sowie Fehler bei der Einholung oder Nutzung datenschutzrechtlicher Einwilligungen genannt. Einige Fallbeschreibungen zeigen allgemeine Prinzipien auf, gehen aber wiederum nicht allzu sehr in die Tiefe. Sehr hilfreich ist eine Checkliste für Datenschutzvorfälle. Mut macht der Appell, aus Fehlern zu lernen und Datenpannen produktiv für eine Verbesserung des Datenschutzmanagements zu nutzen. #### Beschwerden Die Zahl der Beschwerden ist den Angaben zufolge erneut deutlich angestiegen, zugleich stieg die Komplexität. Fünf Schwerpunkte zählt die Aufsicht auf: * Verarbeitung und Weitergabe personenbezogener Daten * Auskunftsansprüche betroffener Personen * Veröffentlichung von Bild- und Personendaten * Beschäftigtendatenschutz * Elektronische Kommunikation Die einzelnen Fallbeispiele bleiben wieder allgemein. Beim Fall »Auskunfts- und Löschungsansprüche im Zusammenhang mit einer Taufe« wird etwa darauf hingewiesen, dass kirchenrechtliche Regelungen beachtet werden müssen, leider ohne in die Tiefe zu gehen, welchen Spielraum das Universalkirchenrecht lässt. Zu Einwilligungen in Film- und Fotoaufnahmen wird gesagt, dass vor allem zu undifferenzierte Einwilligungen und fehlende Informationen Probleme bereiten. Der Vorgänger des amtierenden Diözesandatenschutzbeauftragten wies regelmäßig darauf hin, dass er den Eindruck hat, dass an die Aufsicht Konflikte herangetragen werden, die eigentlich gar nichts mit Datenschutz zu tun haben. Eine derartige Feststellung gibt es jetzt nicht mehr, wohl aber einen Appell an eine faire Kommunikationskultur: »Die Auswertung der Beschwerden bestätigt erneut, dass viele Konflikte durch transparente Kommunikation und klar geregelte interne Verfahren vermieden werden können.« ### Prüfungen Die Auditstrategie wurde grundlegend weiterentwickelt: »An die Stelle einer überwiegend anlassbezogenen Prüfung einzelner Sachverhalte tritt zunehmend ein risikoorientierter Prüfungsansatz, der den Blick auf das gesamte Datenschutzmanagement einer Einrichtung richtet.« Fünf Schwerpunkte werden genannt: * Risikoorientierter Prüfungsansatz * Vor-Ort-Audits * Jahresbesuche in den Ordinariaten * Auditreihe in der kirchlichen Sozialwirtschaft * Bistumsweite Webseitenaudits Den **risikoorientierten Prüfungsansatz** erläutert der Bericht detailliert; im Fokus stehen Einrichtungen, die komplexe Verarbeitungsprozesse haben und Daten mit hohem Schutzbedarf verarbeiten: »Maßgeblich sind insbesondere Art, Umfang und Sensibilität der Datenverarbeitung sowie die möglichen Auswirkungen auf die Rechte der betroffenen Personen«. Auch Nachkontrollen erfolgen risikoorientiert. Die **bistumsweiten Webseitenaudits** unterscheiden sich von den anderen Prüfungen. Hier ging es darum, einen skalierbaren Prüfungsansatz zu fahren. Dazu wurden die Verantwortlichen, für die das KDSZ Bayern zuständig ist, systematisch erfasst. Der Bericht hebt vor allem auf Strukturen der verfassten Kirche im engeren Sinn ab. Ob es auch einen ähnlich guten Überblick über kirchliche Vereine und Verbände gibt, bleibt offen. Geprüft wurden flächendeckend die Webseiten der einzelnen Verwaltungseinheiten, nicht jeder einzelne Webauftritt der Kirchenstiftungen, mit dem Fokus auf Informationspflichten. Konkret nennt der Bericht die Angaben zum Verantwortlichen und zum betrieblichen Datenschutzbeauftragten, die Vollständigkeit und Verständlichkeit der Datenschutzhinweise sowie die korrekte Benennung der zuständigen Datenschutzaufsicht im Zusammenhang mit dem Beschwerderecht. (Das KDSZ Bayern scheint also die Rechtsauffassung zu vertreten, dass der bestimmte Artikel bei der Pflicht zur Nennung der Datenschutzaufsicht in § 15 Abs. 5 lit. d) KDG die Nennung der zuständigen Aufsicht erfordert, anders als im Bereich der DSGVO, wo der unbestimmte Artikel verwendet wird.) Ausführlich geschildert wird die **Auditreihe in der katholischen Sozialwirtschaft**. Geprüft wurden alle Diözesancaritasverbände in Bayern sowie weitere große Sozialträger. Dabei wurde bisher ein hohes Datenschutzniveau sowie eine ausgeprägte Sensibilität im Umgang mit personenbezogenen Daten festgestellt. ## Fazit Das neue Konzept des Tätigkeitsberichts überzeugt in weiten Teilen. Sehr deutlich wird der durch den Diözesandatenschutzbeauftragten vertretene Ansatz eines ganzheitlichen Datenschutzverständnisses, auch in den Fallschilderungen. Die bleiben meist sehr allgemein, geben aber doch Hinweise, welche übergeordneten Prinzipien dabei helfen, ein stringentes Datenschutzkonzept zu entwickeln. Das risikoorientierte Vorgehen wird plausibel erklärt – das dürfte auch für kleinere Verantwortliche eine Entlastung darstellen. Erfreulich ist der Ausblick auf die Nennung von Zahlen der Aufsichtstätigkeit, auch wenn das in diesem Jahr noch nicht geklappt hat. Trotz der Bedenken, dass die Fallzahlen zu klein scheinen könnten, dürften sie doch eher dazu führen, dass plausibel wird, warum die Aufsichten stetig über ein zu hohes Arbeitsaufkommen klagen. Hoffentlich macht der bayerische Vorstoß Schule. ## Bisher besprochene Tätigkeitsberichte des bayerischen DDSB Jahr| Besprechung| Tätigkeitsbericht ---|---|--- 2018/2019| –| Tätigkeitsbericht 2018/2019 2019/2020| Land unter in Bayern| Tätigkeitsbericht 2019/2020 2020/2021| Wanderaufsicht ohne Buße| Tätigkeitsbericht 2020/2021 2021/2022| Kontra aus München| Tätigkeitsbericht 2021/2022 2023/2024| Alles neu in Nürnberg| Tätigkeitsbericht 2022/2023 2025| Transparenzoffensive| Tätigkeitsbericht 2025 * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Digitale Souveränität in Freiburg 1.2 Schwärzungen und Aufarbeitung 1.3 Streit um Beschäftigtendaten 1.4 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Digitale Souveränität in Freiburg Die Erzdiözese Freiburg nutzt Mastodon und Bluesky – ausdrücklich mit dem Argument »Digitale Souveränität statt Algorithmus-Abhängigkeit«. Mit den zusätzlichen Social-Media-Kanälen setzte man verstärkt auf digitale Unabhängigkeit und ethische Kommunikation. Ziel sei es, den digitalen Dialog nach eigenen christlichen Werten und unabhängig von US-Großkonzernen zu gestalten. »Für uns ist die Entscheidung für alternative Netzwerke daher eine Frage der digitalen Verantwortung. Wir wollen Räume mitgestalten, in denen Datenschutz und Souveränität der Nutzenden an erster Stelle stehen«, erläutert Kommunikations-Chef Michael Hertl. Flankierend bietet das Erzbistum zusammen mit der Katholischen Akademie Freiburg am 17. Juli, 14–17.30 Uhr, einen Fediverse-Workshop an – neben Hertl ist auch Ralf Tauscher von der Mastodon-Instanz freiburg.social dabei. ### Schwärzungen und Aufarbeitung Die Unabhängige Kommission zur Aufarbeitung sexualisierter Gewalt im Bistum Essen (UAK) hat ihren Tätigkeitsbericht für 2025 vorgelegt. Unter anderem erfährt man, dass sich die NRW-UAKs mit dem KDSZ Dortmund und der NRW-Landesdatenschutzbeauftragten getroffen und über datenschutzrechtliche Rahmenbedingungen der Akteneinsicht beraten haben. (Wahrscheinlich handelt es sich dabei um denselben Termin, zu dem ich schon einmal das NRW-Informationsfreiheitsgesetz ohne großen Erfolg bemüht habe.) Ein konkretes Problem war, dass die UAK vom Bistum zunächst nur geschwärzte Akten erhalten hatte. Die Schwärzungen waren den Angaben zufolge so umfangreich, dass die Akten nicht mehr aus sich heraus verständlich waren. Dazu kamen beschwerliche Rahmenbedingungen: »Zudem konnten die Kommissionsmitglieder Einsicht nur zeitlich limitiert in den Räumen des Generalvikariats nehmen, wobei mehrfach nicht weniger als drei Personen darüber wachten, dass keine Fotografien oder Fotokopien gefertigt wurden. Gestattet waren nur handschriftliche Notizen.« Nach Beratungen mit dem Generalvikar und den Datenschutzinstitutionen konnte das Verfahren geändert werden, die Kommission kann nun mit ungeschwärzten Akten arbeiten. Was jetzt noch bleibt, ist das sattsam bekannte Problem kirchlicher Akten: »Die Vorgänge sind aus der Sicht der Kommission mitunter unsystematisch und wenig effizient geordnet.« ### Streit um Beschäftigtendaten Die Ruhr-Nachrichten berichten von einem Streit um den Umfang einer Auskunft über Beschäftigtendaten zwischen einer ehemaligen Beschäftigten und einem katholischen Krankenhaus vor dem Arbeitsgericht Herne. Es geht laut dem Bericht um die Frage, in welchem Umfang Auskunft zu erteilen ist – genannt werden Lohn- und Gehaltsunterlagen, Urlaubs- und Fehlzeitenkonten, Arbeitszeitnachweise, E-Mails und digitale Korrespondenz. Aus der Zeitung erfährt man auch, dass in dieser Sache parallel Verfahren vor dem kirchlichen Datenschutzgericht laufen. ### In eigener Sache * Wer mit der KI-Challenge von medienkompetenz CONNECT KI-Kompetenz erwirbt, kann sich zu Online-Begleitveranstaltungen anmelden. Ich biete die Einheit zur **EU- KI-Verordnung und KI-Richtlinien** an, die am 13. Juli 2026, 18–19.30 Uhr stattfindet. Die Teilnahme an der KI-Challenge ist Voraussetzung für die Teilnahme an dem Workshop und ist kostenlos, ein Zertifikat ist bei Absolvierung des Kurses für 30 Euro Bearbeitungsgebühr zu erhalten. ## Auf Artikel 91 * EuGH verhandelt über Löschen aus dem Taufbuch ## Aus der Welt * Im aktuellen Stiftungsbrief der Stiftung Datenschutz befasst sich Kirsten Bock mit der Frage nach digitalen Rechten für Kinder: »Dabei müssen sich staatliche Schutzpflichten und elterliche Fürsorge mit der informationellen Selbstbestimmung von Kindern vereinbaren lassen, ohne dass dabei Freiheits- und Beteiligungsrechte von jungen Menschen strukturell verkürzt werden.« * ## Kirchenamtliches * **Zweites Gesetz zur Änderung des KDG**: Görlitz, Magdeburg * **KDSZ Frankfurt:** Eine Entscheidung des U.S. Supreme Court könnte zur Herausforderung für die europäische Digitalwirtschaft werden * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Ein Kommentar von Felix Neumann

Der Europäische Gerichtshof muss über das Löschen aus Taufbüchern entscheiden: Greift hier das Recht auf Vergessenwerden des Einzelnen, oder hat die Kirche ein überwiegendes Interesse daran, die Daten zu Taufspendungen auch gegen den Willen der getauften Person zu speichern? Eine Sitzung des Gerichtshofs –Große Kammer (Archivbild, Quelle: Pressestelle Europäischer Gerichtshof) Dazu hat das zuständige belgische Verwaltungsgericht dem EuGH fünf Fragen vorgelegt. Am 30. Juni fand die mündliche Verhandlung in der Sache Bisdom Gent – C-12/25 statt. Über vier Stunden und mit vielen Interventionen aus Mitgliedstaaten. Die Verhandlung zeigt jetzt schon auf, wo die Knackpunkte in dem Verfahren liegen. **Inhalte** Verbergen 1 Der Fall 1.1 Sachverhalt 1.2 Die Vorlagefragen 2 Stellungnahmen von Kommission und Mitgliedstaaten 3 Fragen des Gerichts und der Generalanwältin 4 Themen der Verhandlung 4.1 Das Taufbuch als Dateisystem? 4.2 Schlägt die Autonomie der Kirche? 4.3 Nachweis der Taufe oder Nachweis der Zugehörigkeit? 4.4 Gibt es ein Löschrecht? 4.5 Gibt es zwingende Gründe, die gegen ein Widerspruchsrecht sprechen? 4.6 Beeinträchtigt die dauerhafte Speicherung die Menschenwürde? 4.7 Kinder werden getauft, Erwachsene treten aus – welche Relevanz hat das? 4.8 Rechtfertigen öffentliche Archivzwecke die Speicherung? 4.9 Ist ein Austrittsvermerk eine Alternative zur Löschung bei Löschpflicht? 5 Ausblick und Fazit _(Die Verhandlungssprache war Niederländisch, eine Transkription oder Untertitel gibt es nicht; dieser Bericht basiert auf der deutschen Simultanübersetzung, die ebenfalls nicht verschriftlicht vorliegt. Auch die eingereichten Schriftsätze liegen nicht vor – es gibt also einige potenzielle Fehlerquellen auf dem Weg hierher.)_ ## Der Fall ### Sachverhalt Die Konstellation ist wenig spektakulär: Als Kinder Getaufte wollen nichts mehr mit der Kirche zu tun haben. Dass die Kirche auf Austrittserklärungen nur mit Vermerken im Taufbuch, nicht aber mit Löschungen reagiert, nehmen die betroffenen Personen nicht hin und beschweren sich darüber bei der belgischen Datenschutzaufsicht. Anders als die Datenschutzaufsichten in einigen anderen Mitgliedstaaten sieht die belgische ein Recht auf Vergessenwerden. Die Kirche – hier das katholische Bistum Gent – legt Rechtsmittel ein, schließlich legt das Brüsseler Berufungsgericht dem EuGH fünf Fragen dazu vor. ### Die Vorlagefragen Die langen Vorlagefragen lassen sich knapp so zusammenfassen: 1. Ist Art. 17 DSGVO, das Recht auf Vergessenwerden, unter Berücksichtigung der Grundrechte und der Trennung von Kirche und Staat so auszulegen, dass eine als Minderjährige getaufte Person, die sich nach Eintritt der Volljährigkeit von der römisch-katholischen Kirche distanzieren möchte, ein Recht auf Löschung ihrer personenbezogenen Daten aus dem Taufregister hat? 2. Ist es bei der Bewertung eines Widerspruchs nach Art. 17 Abs. 1 lit. c) DSGVO relevant, dass die Kirche sagt, dass die Eintragung ins Taufbuch etwas mit den Grundrechten der Kirche zu tun hat? 3. Ist es relevant, dass das Taufbuch nicht digital, sondern tatsächlich als physisches Buch geführt wird und Eintragungen auf beiden Seiten des Blattes sind? 4. Ist es relevant, dass das Taufbuch ein historisches Artefakt ist und eine einzigartige Wiedergabe historischer Fakten ist, sodass die Ausnahme von der Löschpflicht aufgrund von Archiv- oder Forschungszwecken greift? 5. Falls ein Recht auf Löschung besteht und keine Ausnahmen greifen: Genügt dann ein Randvermerk zum Kirchenaustritt, um das Recht zu erfüllen? ## Stellungnahmen von Kommission und Mitgliedstaaten Neben der EU-Kommission haben Tschechien, Österreich, Italien und Lettland Stellungnahmen in der mündlichen Verhandlung abgegeben. Allen ist gemeinsam, dass sie kein Löschrecht sehen, wenn auch mit unterschiedlichen Aspekten. * Die **EU-Kommission** argumentiert nah an der DSGVO: Die Aufzeichnung der Taufe ist aufgrund einer Interessenabwägung rechtmäßig, bei einem Widerspruch muss also die Interessenabwägung erneut durchgeführt und auf zwingende Gründe überprüft werden. Die Abwägung fällt nach Auffassung der Kommission zugunsten der Kirche aus. * **Tschechien** betont sehr stark, dass ein Taufbucheintrag nur das ist, was er ist – nämlich der Eintrag der Taufe als Ereignis, ohne dass darüber hinaus Aussagen über Überzeugungen und Zugehörigkeiten der betroffenen Personen gemacht werden. * **Österreich** sieht Taufbücher und ihre Unversehrtheit vor allem im Licht der kollektiven Religionsfreiheit und kommt auf dieser Grundlage zum Schluss, dass ein Löschen nicht infrage kommt, während die Religionsfreiheit der betroffenen Personen nicht beeinträchtigt sei. * **Italien** betont ebenso kirchliche Autonomie und kollektive Religionsfreiheit. Eine Löschverpflichtung aus staatlichem Recht würde darin unzulässig eingreifen. Eine Einzelfallprüfung müsse zu dem Ergebnis kommen, dass die betroffenen Personen nur sehr gering beeinträchtigt werden durch den Eintrag. Italien unterstützt außerdem die Position, dass es sich um einen lediglich objektiven Vermerk über historische Tatsachen handelt und verweist dazu auf den EGMR-Fall Wasmuth, in dem es um den Konfessionseintrag auf einer Lohnsteuerkarte ging. * **Lettland** sieht das Datenschutzrecht erst gar nicht anwendbar mangels Dateisystem, sollte die DSGVO aber doch zur Anwendung kommen, handle es sich um objektive Tatsachen, die aufgezeichnet werden, und beim Austrittsvermerk um ein geeignetes milderes Mittel statt einer Löschung. ## Fragen des Gerichts und der Generalanwältin Aus den Fragen des Gerichts und der Generalanwältin lassen sich Tendenzen ermitteln, wohin die Reise geht und welche Schwerpunkte in der Entscheidung und den Schlussanträgen eine Rolle spielen könnten. Die **Richter*innen** fragten danach, um welche personenbezogenen Daten es bei dem Taufbucheintrag konkret gehe, ob die Archivierung mit dem staatlichen Archiv vertraglich vereinbart sei, ob es sich beim Taufeintrag um ein bloß historisches Datum oder um eine Information zur Zugehörigkeit handle, ob ein Kirchenaustritt keine _ex-tunc_ -Wirkung entfalten könne und ob das Taufbuch nach belgischem Recht ein Archiv- oder Kulturgut sei. Die **Generalanwältin Laila Medina** fragte nach der Abwägung zwischen Datenschutzgrundrecht und kollektiver Religionsfreiheit sowie der Abgrenzung von kirchlicher Autonomie und Reichweite des EU-Rechts, nach dem Verhältnis von Taufbucheintrag und Mitgliedschaft und den Gründen für das Vorgehen, den Austritt per Vermerk zu notieren, nach dem tatsächlichen Risiko einer Wiedertaufe, nach der Nutzung der Kirchenbücher durch die Kirche für Archiv- und Forschungszwecke, nach einer aus Sicht der betroffenen Person verhältnismäßigen Lösung, inwiefern die Entscheidung der Eltern zur Taufe die Rechtsposition des dann erwachsenen Kindes beeinflussen kann sowie danach, ob der Vermerk eines Austritts nicht Daten über die Ausübung der negativen Religionsfreiheit darstellen würde. ## Themen der Verhandlung Neun Themenkomplexe haben die Verhandlung geprägt. Teils ging es explizit um die Vorlagefragen, teils um damit verbundene Aspekte. ### Das Taufbuch als Dateisystem? Erstaunlich ausführlich widmete sich der erste Teil der Verhandlung der Frage, ob ein Taufbuch überhaupt ein Dateisystem im Sinne von Art. 4 Nr. 6 DSGVO sei. Sollte es sich beim als physisches Buch geführten Taufbuch nämlich gar nicht um ein Dateisystem handeln, würde das Datenschutzrecht nicht greifen und der ganze Fall würde in sich zusammenbrechen. Den EuGH davon zu überzeugen, dass ein Taufbuch kein Dateisystem ist, dürfte schwierig sein – im Fall der finnischen Zeugen Jehovas (C-25/17) wurden schon deutlich weniger sortierte Aufzeichnungen als Dateisystem verstanden. **Kein Dateisystem: Bistum Gent und Lettland** – die Vertreterin des Bistums Gent versuchte, dahingehend zu argumentieren: Das einzige Ordnungskriterium sei das Taufdatum, also kein personenbezogenes Kriterium. Ein Taufbuch sei ein Ereignisregister, kein Personenregister. Die Suche nach bestimmten Personen erfordere also die Mitwirkung der betroffenen Person. Anders als im Fall Zeugen Jehovas sei hier keine einfache Auffindbarkeit gegeben. Lettland warnt zudem vor einem Dammbruch: Würde man hier ein Dateisystem annehmen, müsste man das bei sehr vielen Archivalien auch, sodass eine sinnvolle Archivierung nicht mehr gut möglich sei. **Dateisystem: Datenschutzaufsicht, EU-Kommission und Österreich** – wenig überraschend führten die Befürworter des Dateisystem-Charakters das Jehovas-Zeugen-Urteil an. Es handle sich um strukturierte und geordnete Formulare. Die Aufsicht weist auch darauf hin, dass sich im Vortrag der Kirche ein gewisser Widerspruch zeigt: Wenn sie einerseits sagt, dass man gar nicht systematisch auf die Daten zugreifen könne, zugleich aber anführt, dass man die Daten brauche, um etwa eine Wiedertaufe zu verhindern, passe das nicht zusammen. ### Schlägt die Autonomie der Kirche? **Nein:** Die Datenschutzaufsicht und die betroffenen Personen sehen die Löschung naturgemäß als für die Kirche zumutbar an. Das Taufbuch betreffe nur die rein weltliche Datenhaltung; der religiöse Ritus der Taufe sei dadurch nicht berührt – das unterscheide diesen Fall von anderen Fällen zur Religionsfreiheit wie der Frage, ob das Schächten erlaubt ist. Es sei auch nicht erkennbar, dass die Religionsausübung beeinträchtigt werde, wenn Taufbücher etwa durch Naturkatastrophen vernichtet werden. Schließlich sei die Autonomie der Kirche nicht grenzenlos und reiche nicht so weit, dass sie das Datenschutzgrundrecht Dritter immer schlage. Eine **Zwischenposition** nimmt die EU-Kommission ein: Sie sieht zwar keine absolute Autonomie der Kirche; eine Verhältnismäßigkeitsprüfung kommt aber zum Schluss, dass hier die Interessen der Kirche überwiegen. **Ja:** Das Bistum Gent sowie Österreich, Tschechien, Italien und Lettland sehen die Autonomie der Kirche hier stärker als das Löschrecht. Die Kirche verweist auf das strenge kirchliche Verbot der Löschung und führt dazu unter anderem die erklärende Note des Gesetzestexte-Dikasteriums an. Würde man die Kirche zum Löschen zwingen, zwänge man sie zugleich dazu, gegen ihre religiösen Regeln zu verstoßen. Interessant ist, dass auch Mitgliedstaaten religiöse Argumente angeführt haben: Österreich betont, dass die Vollständigkeit des Registers essenziell sei und verweist auch auf Verwendungszwecke in der Ökumene. Tschechien weist darauf hin, dass die Verwaltung der Sakramente und damit auch ihre Aufzeichnung in den Kernbereich der inneren Organisation der Kirchen fallen. Schließlich sieht Italien ein Interesse der Kirche daran, über ihre Glieder Bescheid zu wissen. ### Nachweis der Taufe oder Nachweis der Zugehörigkeit? Wer getauft ist, gehört nach christlichem Verständnis zur Kirche, und die Taufe ist nicht rückgängig zu machen: Sie ist ein unauslöschliches Prägemal. Wer in die katholische Kirche getauft wurde oder in sie eingetreten ist, ist immer katholisch – _semel catholicus, semper catholicus_. Daher wirkt es zunächst plausibel, dass das Taufbuch ein Mitgliederverzeichnis ist. Mit diesem Verständnis wäre – sieht man vom theologischen Verständnis der Kirchengliedschaft ab – ein Löschrecht plausibel. Wieder teilen sich die Argumente in die gleichen Gruppen auf: Hier die Aufsicht und die Betroffenen, da der Rest. * **Taufbuch als Ausdruck der Verbundenheit mit der Kirche:** Die Aufsicht und die Betroffenen sehen mehr als nur eine objektive Aufzeichnung im Taufbuch-Eintrag. Es handle sich vielmehr um die subjektive Sicht der Kirche auf eine betroffene Person, umgekehrt lasse der Eintrag auf die Haltung der Person zur Kirche schließen. Einer der Betroffenen betont, dass die kirchliche Sichtweise nicht für die Frage nach der Kirchenmitgliedschaft herangezogen werden dürfe; das verbiete die staatliche Neutralität. * **Taufbuch als objektive Aufzeichnung:** Sehr plastisch führt Tschechien den _Ententest_ ein: Wenn es aussieht und läuft und klingt wie eine Ente, ist es eine Ente – auf das Taufbuch bezogen: Der Taufbucheintrag ist genau und nur das, was er zu sein scheint: ein Vermerk über den Empfang der Taufe. Eine bestimmte Haltung zur Kirche impliziere er gerade nicht. Schon rein statistisch sei das deutlich: In Tschechien seien über 40 Prozent der Einwohner*innen getauft, aber nur 10 Prozent bekennen sich zur Kirche. Österreich und Tschechien führen aus, dass Taufregister keine Mitgliederlisten von Pfarreien (wo Taufbücher geführt werden) seien, wie man an den Daten Verstorbener und Verzogener sehen könne. Lettland weist darauf hin, dass ein späterer Austritt das Faktum der früheren Taufe nicht aufheben könne. ### Gibt es ein Löschrecht? Die Mehrheit der Eingaben sprach sich dagegen aus, dass die Kirche aus dem Taufbuch löschen muss. Dem Bistum Gent sprangen Tschechien, Österreich, Italien, Lettland und die EU-Kommission zur Seite. Für ein Löschrecht setzten sich neben der Datenschutzaufsicht die Betroffenen ein, die sich bei der belgischen Behörde beschwert hatten. ### Gibt es zwingende Gründe, die gegen ein Widerspruchsrecht sprechen? Als Rechtsgrundlage für die Taufbucheinträge wird ein berechtigtes Interesse der Kirche angenommen; keine andere Rechtsgrundlage passt – insbesondere liegt keine Einwilligung vor. Bei einem berechtigten Interesse gibt es die Möglichkeit eines Widerspruchs. Dem Widerspruch muss die verantwortliche Stelle Folge leisten, wenn sie keine »zwingenden schutzwürdigen Gründe« vorweisen kann, »die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen« (Art. 21 Abs. 1 DSGVO). Auch bei dieser Frage blieben die Fronten wie bisher. * **Keine zwingenden Gründe** sahen die Datenschutzaufsicht und die Betroffenen. Unter den (datenschutzrechtlich) Betroffenen sind auch Betroffene sexualisierter Gewalt. Sie führen an, dass die Weigerung der Löschung fortwährend traumatisiere. Die Löschung diene dem Schutz ihrer mentalen Stabilität und moralischen Integrität. Dagegen sei das Interesse der Kirche vergleichsweise gering. Von ihr angeführte Szenarien eines Wiedereintritts verbunden mit einer durch fehlende Aufzeichnungen geschehenden Wiedertaufe seien nicht überzeugend. Wieder wird angeführt, dass der Eintrag so wichtig nicht sein kann, wenn es anscheinend ohne eine systematische Erschließung der Aufzeichnungen geht, die einen Zugriff auf alle Taufeinträge ermöglichen würde. Archivgründe seien jedenfalls nicht zwingend – es gebe kein staatliches Gesetz, das die Taufbücher zu Archivmaterial in öffentlichem Interesse erklären würde. * **Zwingende Gründe** wurden wieder vom Bistum und den sich äußernden Mitgliedstaaten angeführt. Hier werden wieder von den Mitgliedstaaten theologische Gründe, insbesondere die Unwiederholbarkeit der Taufe angeführt. Die EU-Kommission, Tschechien und Italien führen an, dass der Eingriff nicht wesentlich sei, da die Register nicht öffentlich seien. ### Beeinträchtigt die dauerhafte Speicherung die Menschenwürde? Hier argumentieren wieder die Missbrauchsbetroffenen für eine Beeinträchtigung: Die Speicherung in einem System der Täterorganisation sei eine objektive und subjektive Beeinträchtigung. Das Bistum Gent führt dagegen an, dass die Aufzeichnung lediglich objektiver Tatsachen keinen Eingriff in die Menschenwürde darstellen könne. Auch Tschechien und Italien sehen keine Beeinträchtigung – weder die Taufe selbst noch ihre Aufzeichnung sei erniedrigend, argumentiert etwa Tschechien. ### Kinder werden getauft, Erwachsene treten aus – welche Relevanz hat das? Eine betroffene Person argumentiert damit, dass schon die Frage tendenziös sei, wenn sie unterstelle, dass eine als Kind getaufte Person je Mitglied gewesen sei – schließlich fehle es am aktiven Eintritt des Täuflings. Mit der negativen Religionsfreiheit sei das nicht zu vereinbaren. Daher bestehe ein _ex-tunc_ -Anspruch, also eine komplette Löschung, da nur so klargestellt wird, dass tatsächlich keine Mitgliedschaft besteht und nie bestanden hat. Dagegen steht die theologische Auffassung der Kirche, die nur eine _ex-nunc_ -Lösung akzeptieren kann: Das Faktum der Taufe bleibt bestehen, der Austrittswunsch wird per Vermerk gelöst. Trotz des theologischen Verständnisses der untilgbaren Taufe sei die Religionsfreiheit durch die Möglichkeit des Austritts und seines Vermerks gewahrt. Österreich betont, dass als Minderjährige Getaufte sehr wohl Mitglied der Kirche waren, da sie durch ihre Eltern vertreten wurden. ### Rechtfertigen öffentliche Archivzwecke die Speicherung? Ein Betroffener betont, dass es für Kirchenbücher keine gesetzliche Grundlage für die Archivierung gibt und die Überführung ins staatliche Archiv nach 100 Jahren nur auf Antrag stattfindet. Genealogische Forschung stütze sich seit dem 18. Jahrhundert auf staatliche Register, Taufbücher benötige es dazu nicht zwingend. Dagegen führt das Bistum Gent an, dass das staatliche Archiv selbst eine Übernahme alter Taufbücher anfrage; das sei ein Indiz für den archivarischen Wert. Es teilt auch nicht die Auffassung, dass Taufbücher nicht für die zukünftige Forschung benötigt würden. Lettland führt an, dass der historische Wert der Aufzeichnungen an ihrer Vollständigkeit hänge. ### Ist ein Austrittsvermerk eine Alternative zur Löschung bei Löschpflicht? Ein Betroffener bringt vor, dass der Vermerk das genaue Gegenteil von dem sei, was er wolle: nämlich eine zusätzliche Verarbeitung statt eines Endes der Verarbeitung. Die Kommission sieht in einem Vermerk eher eine Korrektur nach Art. 16 DSGVO als einen Vorgang, der gleichwertig zu einer Löschung ist. Die Datenschutzaufsicht weist darauf hin, dass die Kirche selbst von einer Änderung des kirchlichen Status einer Person spricht – damit sei klar, dass der Vermerk kein Löschsurrogat sei. Das Bistum Gent dagegen sieht in dem Vermerk, verbunden mit einer Streichung des Eintrags, genug Entgegenkommen. Damit werde der Wille der ausgetretenen Person respektiert, ohne den Wesensgehalt der Kirchenautonomie anzutasten. Lettland sieht im Vermerk ein angemessenes milderes Mittel, das den Wunsch der betroffenen Person mit dem Anspruch auf Integrität der Taufbücher in Einklang bringt. Österreich spricht wie die Kommission von einer Korrektur, sieht das aber als Argument für die Zulässigkeit. ## Ausblick und Fazit Ab jetzt geht es schneller voran: Das Vorabentscheidungsersuchen ging am 9. Januar 2025 ein, bis zur mündlichen Verhandlung hat es also anderthalb Jahre gedauert. Der nächste Schritt sind die Schlussanträge der Generalanwältin. Die sind schon terminiert: Am **1. Oktober** sollen die **Schlussanträge** vorliegen. Die Verhandlung dürfte gut abgesteckt haben, was die kritischen Fragen sind. Auf Ebene des Datenschutzrechts ist die Frage, ob die Kirche zwingende Gründe vorweisen kann, den Widerspruch zurückzuweisen. Dass der EuGH auf die Argumentation eingeht, dass Taufbücher kein Dateisystem darstellen, ist eher unwahrscheinlich. Ob **zwingende Gründe** vorliegen, dürfte eine Abwägung zwischen Datenschutzgrundrecht der betroffenen Personen und der kollektiven Religionsfreiheit erfordern – das ist die eigentlich interessante Kernfrage. Auffällig ist, dass einige Mitgliedstaaten und die Kommission Stellung genommen haben, und zwar für das Recht der Kirche, nicht zu löschen. Wird dem der traditionell eher laizistisch tickende EuGH folgen? Sicher ist das nicht. Andererseits wird wohl auch der EuGH nicht umhin kommen, zumindest zur Kenntnis zu nehmen, dass in einigen Mitgliedstaaten bereits Entscheidungen zugunsten der Kirche gefallen sind – und eigentlich darf die EU ja den Status der Religionsgemeinschaften nicht beeinträchtigen (Art. 17 AEUV). Die **Argumentationslinie des Bistums Gent verwundert** teilweise: Warum begibt es sich in den Selbstwiderspruch, dass einerseits ein Zugriff auf die Taufdaten erforderlich sei, das aber andererseits gar nicht möglich ist, da es sich nicht um ein recherchefähiges Dateisystem handelt? Warum wird der zu Recht von der Gegenseite als völlig hypothetisch eingeordnete Fall eines Wiedereintritts bei gleichzeitiger Täuschung über schon erfolgte Taufe angeführt? Die eigentliche Notwendigkeit von Taufbüchern liegt in der Bedeutung des Taufstatus für Dritte. Zum einen in Ehesachen: Hier hängt von der Taufe ab, ob eine sakramentale Ehe vorliegt, und von der Taufe oder Aufnahme in die katholische Kirche, ob Eheleute der Formpflicht unterliegen. Zum anderen in Adskriptionsfragen: Von der Zugehörigkeit der Eltern zu Kirchen sui iuris hängt ab, welcher Kirche sui iuris ein Kind angehört – das kann über Generationen hinweg relevant sein. Solche Argumente fehlten völlig – dabei wird an ihnen der Gemeinschaftsbezug der Taufregister deutlich. Weit hergeholte Sorgen vor Wiedertaufen wirken da deutlich weniger überzeugend. Am Ende wird es auf den Showdown hinauslaufen, den eine der betroffenen Personen ganz am Ende der Verhandlung selbst in ihrem Appell an das Gericht formuliert hat: »Die römisch-katholische Kirche ist der Ansicht, dass sie die Geschichte schreiben kann, indem sie auf unrechtmäßige Art und Weise Glaubensmerkmale mit Personen verbindet und ein Löschen dieser Daten ablehnt. Sie können Geschichte schreiben, indem Sie dies mit den universellen Menschenrechten verhindern und das Löschen ermöglichen.« * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Neue NRW-Diözesandatenschutzbeauftragte 1.2 EuGH verhandelt Löschen aus dem Taufbuch 1.3 Vatikan-KI-Kommission tritt zusammen 1.4 Ethisch verantwortete KI-Governance 1.5 Kompakte Protokolle dank BVerfG 1.6 Insgesamt gelungene KDG-Modernisierung 1.7 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Neue NRW-Diözesandatenschutzbeauftragte Die Nachfolge für Steffen Pau ist klar: Jennifer Esch wird neue Diözesandatenschutzbeauftragte der NRW-Bistümer und des VDD, teilte das Erzbistum Paderborn mit. Die 48-jährige Juristin war früher schon juristische Referentin des KDSZ Dortmund, derzeit ist sie Betriebliche Datenschutzbeauftragte und Compliance Officer in der Stahlindustrie. Paus Amtszeit endet zum 1. September, Esch tritt das Amt Anfang 2027 an. ### EuGH verhandelt Löschen aus dem Taufbuch Der EuGH hat gut vier Stunden lang über das Löschen aus dem Taufbuch verhandelt, eine Vorlage aus Belgien. Ohne die Verhandlung schon im Detail ausgewertet zu haben (hier kann sie einen Monat lang auch mit deutscher Übersetzung angeschaut werden), gibt es doch schon einige Erkenntnisse. Erstaunlich ausführlich wurde die Frage verhandelt, ob es sich beim Taufbuch um ein Dateisystem handelt; angesichts des finnischen Zeugen-Jehovas-Falls hätte ich gedacht, dass man gar nicht erst versucht, so zu argumentieren. Interessant ist auch, dass einige Mitgliedsstaaten und die EU-Kommission sich geäußert haben. Tschechien, Österreich, Italien, Lettland und die Kommission stärken dem Bistum Gent den Rücken und sehen kein Löschrecht. Für ein Löschrecht ausgesprochen haben sich die belgische Datenschutzaufsicht sowie die Personen, die sich gegen die Nichtlöschung beschwert hatten. Der nächste (öffentliche) Schritt sind nun die **Schlussanträge der Generalanwältin**. Die sind für den 1. Oktober von ihr angekündigt. ### Vatikan-KI-Kommission tritt zusammen Die von Papst Leo XIV. eingerichtete Interdikasterielle KI-Kommission hat ihre Arbeit aufgenommen, wie das federführende Entwicklungs-Dikasterium mitteilt. Beteiligt sind außerdem die Dikasterien für Glauben, Kultur, Kommunikation und Entwicklung sowie die Päpstlichen Akademien für Leben und die Sozialwissenschaften. Bei der Sitzung haben sich die Beteiligten auf zwei Schwerpunkte geeinigt: > »A broad consensus emerged regarding the need for a twofold service: on the one hand, fostering internal coordination, information sharing, and reflection on the use of AI within the institutions of the Holy See; on the other, providing a point of reference for discernment and support for the many initiatives promoted in this field.« Erste Schritte sollen eine Sammlung bestehender Initiativen und Themen sowie die Arbeit an Richtlinien für die Nutzung von KI durch den Heiligen Stuhl sein. ### Ethisch verantwortete KI-Governance Die Konferenz der EU-Bischofskonferenzen COMECE hat ihren Beitrag zu einem Dialogseminar des EU-Parlaments zu »Gesundheit und Wohlbefinden im Zeitalter der Künstlichen Intelligenz« veröffentlicht. Der Vertreter der COMECE, der maltesische Moraltheologe Emmanuel Agius, nannte in seiner Rede fünf Stufen der KI-Governance, die er aus der Enzyklika »Magnifica humanitas« entwickelt: Gesetzgebung, Organisationsrichtlinien, technische Schutzmechanismen, verantwortliches Design und Beteiligung. Von der EU fordert er drei konkrete Schritte: > 1. »First, the EU should require ethical transparency: not only what algorithms do, but the understanding of the human person they presuppose. This requires independent ethical audits with meaningful civil society participation. > 2. Second, age-appropriate design for children and adolescents must become a binding legal obligation, with responsibility placed upon service providers rather than families. The evidence of harm is no longer deniable. > 3. Third, regulation alone will not suffice. Pope Leo XIV reminds us that the “civilization of love” will not arise from a single spectacular gesture, but from the accumulation of small and steadfast acts of fidelity. Families, parishes, and civil society must therefore be recognised as primary agents of human flourishing. They are not alternatives to regulation but essential partners in fostering the social and moral conditions necessary for genuine human well-being.« > ### Kompakte Protokolle dank BVerfG Der Oberkirchenrat der Landeskirche Württemberg empfiehlt seinen Kirchengemeinderäten und Bezirkssynoden, datensparsam Protokoll zu führen. Hintergrund ist die Entscheidung des BAG, dass Protokolle zur materiellen Personalakte gehören können und daher trotz nichtöffentlicher Sitzung ein Einsichtsrecht besteht; die Verfassungsbeschwerde dagegen hat das BVerfG sehr deutlich begründet nicht angenommen. Der Oberkirchenrat rät: > »Zum Schutz des Meinungsbildungsprozesses innerhalb des Gremiums empfiehlt es sich daher, nur die Ergebnisse der geführten Beratungen in die Sitzungsniederschrift aufzunehmen. Damit kann ein Schutz der Persönlichkeitsrechte der Mitglieder des Gremiums gewährleistet werden.« Sicher ein guter Rat für alle Protokolle. Abzüge in der B-Note gibt’s für die uneinsichtige und bockige Formulierung »nach Ansicht des Bundesarbeitsgerichts und des Bundesverfassungsgerichts« – als ob das nur irgendwelche Ansichten wären. Aber mit den Tugenden der Klugheit und Mäßigung waren die beteiligten kirchlichen Instanzen in dieser Sache ohnehin nicht allzu reich beschenkt. ### Insgesamt gelungene KDG-Modernisierung Die Novellen des KDG und der KDG-DVO werden recht einhellig positiv, wenn auch nicht euphorisch begrüßt – so auch im Anwaltspraxis-Magazin. Peter Hützen stellt die wichtigsten Neuerungen vor und stellt einen »überzeugenden Schritt hin zu mehr Rechtsklarheit, Praxistauglichkeit und Anschlussfähigkeit an das allgemeine Datenschutzrecht« fest. ### In eigener Sache * Wer mit der KI-Challenge von medienkompetenz CONNECT KI-Kompetenz erwirbt, kann sich zu Online-Begleitveranstaltungen anmelden. Ich biete die Einheit zur **EU- KI-Verordnung und KI-Richtlinien** an, die am 13. Juli 2026, 18–19.30 Uhr stattfindet. Die Teilnahme an der KI-Challenge ist Voraussetzung für die Teilnahme an dem Workshop und ist kostenlos, ein Zertifikat ist bei Absolvierung des Kurses für 30 Euro Bearbeitungsgebühr zu erhalten. ## Auf Artikel 91 Datenschutzkonzept in der MAV – ein Praxisbeispiel aus dem Krankenhaus ## Aus der Welt * Wer schon einmal eine Fortbildung bei mir besucht hat weiß, dass ich die **Datenschutzgrundsätze aus Art. 5 DSGVO** (§ 7 KDG, § 5 DSG-EKD) für ziemlich zentral und praktisch halte. Im Detail erklärt Dr. Datenschutz, wie die Grundsätze funktionieren und wo sie herkommen. * **Fotografieren im Museum** ist meistens weniger eine Datenschutz- als eine Urheberrechtsfrage, dennoch ein häufiges Thema bei Bildrechte-Fortbildungen. Klaus Graf wendet sich sehr deutlich gegen nicht nachvollziehbare Verbote. ## Kirchenamtliches * **Bistum Eichstätt:** Katholisches Magazin „[inne]halten“ der Verlagsgruppe Bistumspresse GmbH als genuiner Kanal kirchlicher Verkündigung in der Diözese Eichstätt * **Erzbistum München:** Allgemeines Ausführungsdekret zur Benennung des betrieblichen Datenschutzbeauftragten * **KDSA Ost:** EuGH zur Verwertung rechtswidrig erlangter Daten * **Erzbistum Paderborn:** Jennifer Esch wird neue Datenschutzbeauftragte der (Erz-)Bistümer in NRW * **Landeskirche Baden:** Kirchliches Gesetz zur Änderung des Kirchlichen Gesetzes zur Seelsorgebeauftragung in der Evangelischen Landeskirche in Baden und zur Ausführung des Seelsorgegeheimnisgesetzes der EKD * **Zweites Gesetz zur Änderung des KDG**: Aachen, Augsburg, Berlin, Eichstätt, Freiburg, Hamburg, Osnabrück, Trier * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Kann man Verstöße gegen kirchliches Datenschutzrecht bei internen Meldestellen der Kirchen oder der externen Meldestelle des Bundesamts für Justiz melden? Die intuitive Antwort ist: Ja, klar, schließlich ist Datenschutzrecht eines der Gebiete, das im Hinweisgeberschutzgesetz erwähnt ist. (Foto von Janis Ringli auf Unsplash, bearbeitet) Tatsächlich ist es aber wohl komplizierter – im Ergebnis ist Whistleblowing mit Blick auf das kirchliche Datenschutzrecht (und anderes kirchliche Recht sowieso) jedenfalls nicht von vornherein möglich. **Inhalte** Verbergen 1 Das Problem: Was kann gemeldet werden? 1.1 Sachlicher Anwendungsbereich des HinSchG 1.2 Europarechtlich determiniertes Kirchenrecht 1.3 Position des Bundesamts für Justiz 2 Kirchliche Umsetzungen des HinSchG 3 Fazit ## Das Problem: Was kann gemeldet werden? ### Sachlicher Anwendungsbereich des HinSchG Das deutsche Hinweisgeberschutzgesetz setzt die EU-Hinweisgeberrichtlinie in nationales Recht um. Im § 2 HinSchG wird der sachliche Anwendungsbereich sehr kleinteilig geregelt und in zehn Nummern (und einer Unterteilung von Nr. 3 in Buchstaben a bis t) genau geregelt, welche Verstöße meldefähig sind. Nr. 3 lit. p) betrifft das Datenschutzrecht. Gemeldet werden können »sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union und der Europäischen Atomgemeinschaft […] p) zum Schutz personenbezogener Daten im Anwendungsbereich der [DSGVO] gemäß deren Artikel 2«. Alle Punkte haben eine naheliegende Gemeinsamkeit: Es geht um Verstöße gegen staatliches oder europäisches Recht. Die Nummern 1 und 2 (strafbewehrte und manche bußgeldbewährte Verstöße) müssen so ausgelegt werden, dass damit Verstöße gegen staatliches Recht gemeint sind, auch da, wo Religionsgemeinschaften in ihrem Religionsrecht Straf- und Bußgeldbestimmungen haben. Bei den meisten kirchenrechtlichen Normen ist daher völlig klar, dass sie nicht in den genau definierten Anwendungsbereich des Hinweisgeberschutzgesetzes fallen und aufgrund der Trennung von Staat und Kirche auch nicht fallen können. ### Europarechtlich determiniertes Kirchenrecht Kirchliches Datenschutzrecht stellt dagegen eine Besonderheit dar: Es ist Kirchenrecht, also Recht, das Kirchen setzen und anwenden. Es ist aber zugleich ein **europarechtlich determiniertes Kirchenrecht** : Soll es anstelle der DSGVO angewandt werden, muss es die Bedingungen von Art. 91 Abs. 1 DSGVO erfüllen. Die Frage, ob § 2 Nr. 3 lit. p) HinSchG kirchliches Datenschutzrecht gemäß Art. 91 Abs. 1 DSGVO erfasst, hängt daher davon ab, wie man dieses Konstrukt interpretiert: * Gilt die DSGVO auch für Kirchen und wird lediglich nicht unmittelbar angewandt, solange eigenes Datenschutzrecht angewandt wird? Ist kirchliches Datenschutzrecht mithin lediglich eine Ausgestaltung der DSGVO? * Oder wird kirchliches Datenschutzrecht anstatt der DSGVO angewandt, so dass Kirchen von der Geltung der DSGVO in diesem Fall ausgenommen sind? Im ersten Fall läge bei einem Verstoß gegen Bestimmungen des kirchlichen Datenschutzrechts wohl zugleich ein mittelbarer Verstoß gegen die DSGVO vor. Im zweiten Fall nicht. Unabhängig davon, wie man die Frage beantwortet: Das HinSchG hebt explizit auf »unmittelbar geltende Rechtsakte der Europäischen Union« ab. Selbst im ersten Fall dürfte sehr schwer zu argumentieren sein, dass die DSGVO in Kirchen mit eigenem Datenschutzrecht unmittelbar gilt. Dazu kommt, dass die zweite Variante aus religionsverfassungsrechtlichen Erwägungen plausibler ist: Kirchliches Datenschutzrecht wird in Deutschland aufgrund des nationalen Religionsverfassungsrechts im Rahmen der kirchlichen Selbstbestimmung gesetzt (Art. 140 GG i.V.m. Art. 137 Abs. 3 WRV); die EU muss den Status von Religionsgemeinschaften in den Mitgliedsstaaten achten und darf ihn nicht beeinträchtigen (Art. 17 Abs. 1 AEUV). Im Ergebnis spricht also kaum etwas dafür, dass das HinSchG einschlägig ist, wenn kirchliches Datenschutzrecht verletzt wird. ### Position des Bundesamts für Justiz Das Bundesamt für Justiz fungiert als Meldestelle des Bundes. Dort können Verstöße im Anwendungsbereich des HinSchG gemeldet werden. Auf Anfrage schließt sich das Amt den obigen Erwägungen an: »Nach hiesiger Auffassung führen Verstöße gegen kirchliches Datenschutzrecht nicht zur Eröffnung des sachlichen Anwendungsbereichs des Hinweisgeberschutzgesetzes.« Der **Sprecher verweist auf den Wortlaut** : »Kirchliches Datenschutzrecht, das der einschlägigen Kommentarliteratur zufolge in seinem Anwendungsbereich die DSGVO und andere staatliche Gesetzgebung zum Datenschutz verdrängt, stellt nach hiesiger Einschätzung keine Rechtsvorschrift des Bundes oder eines Landes und auch keinen Rechtsakt der Europäischen Union oder der Europäischen Atomgemeinschaft dar, sondern ein kirchliches Gesetz, das von kirchlichen Organen erlassen wurde.« Meldet man der Meldestelle des Bundes Verstöße gegen kirchliches Datenschutzrecht, wird laut dem Sprecher daher das **Verfahren ohne Folgemaßnahme abgeschlossen**. Das sei auch schon passiert. Wie viele derartige Meldungen es gab, werde aber statistisch nicht erfasst. ## Kirchliche Umsetzungen des HinSchG Unstreitig ist, dass Kirchen in den Anwendungsbereich des Hinweisgeberschutzgesetzes fallen. Schließlich gilt staatliches Recht, dessen Missachtung an Meldestellen gemeldet werden kann, auch in Kirchen. Die Kirchen haben daher Meldestelle eingerichtet. Die kirchlichen Datenschutzaufsichten haben das in ihren Tätigkeitsberichten in der Regel auch verzeichnet, sich aber nicht direkt zur Frage der Anwendbarkeit des HinSchG für kirchliches Datenschutzrecht geäußert. Eine Ausnahme ist der Tätigkeitsbericht 2024 des KDSZ Dortmund. Darin heißt es: > »Gemeinsam ist diesen Regelungen [der NRW-Bistümer], dass Eingaben zu Verstößen gegen das Gesetz über den Kirchlichen Datenschutz nicht als Meldungen im Sinne der Ordnungen zu den internen Meldestellen nach HinSchG definiert werden. Für Verstöße gegen Regelungen des KDG verbleibt es daher bei den bisherigen Meldewegen und Stellen.« Für die Einrichtung einer Meldestelle gibt es grundsätzlich zwei Strategien: 1. Die einfache Einrichtung einer Meldestelle, wie das HinSchG es verlangt. Das geht ohne eigenes kirchliches Recht, kann aber auch durch ein Errichtungsdekret der Meldestelle erfolgen. 2. Der Erlass kirchlichen Rechts, das das HinSchG ergänzt und einer kirchlichen Meldestelle weitere Aufgaben zuweist. Im ersten Fall wird das HinSchG dann einfach 1:1 umgesetzt mit der Konsequenz, dass Verstöße gegen kirchliches Datenschutzrecht nicht in die Zuständigkeit fallen. Beispiele dafür sind die Ordnung der Gemeinsamen Meldestelle der EKD und das Umsetzungsgesetz im Bistum Speyer, die jeweils nur die Organisation der jeweiligen Stelle festlegen. Solche Stellen sind also nicht für kirchliches Datenschutzrecht zuständig – in Speyer wird das sogar ausdrücklich formuliert und eine Überweisung der Meldung an die betrieblichen Datenschutzbeauftragten verfügt. Einige katholische Bistümer haben im Sinne des zweiten Falls den Anwendungsbereich erweitert – teils mehr, teils weniger gelungen. Eine Auswahl zeigt die Bandbreite: * Im **Bistum Münster** wird definiert, dass ein Regelverstoß »jeder Verstoß gegen kirchliche und staatliche Gesetze, Rechtsverordnungen und organisationsinterne Regelungen gem. Hinweisgeberschutzgesetz« (§ 3 Abs. 1 der Ordnung der Meldestelle) ist – die Formulierung ist misslungen, weil kirchliche Regelungen gemäß HinSchG gar nicht erfasst sind. Hier ist unklar, wie das auszulegen ist: Soll man davon ausgehen, dass eine Erweiterung des Anwendungsbereichs gemeint war, aber nur die Formulierung misslungen ist? Oder ist die Aufnahme von »kirchlich« nur eine Absicherung, falls das HinSchG irgendwann einmal kirchliche Regelungen aufzählen sollte? (Das ist indes nicht zu erwarten.) Wirksam und klar ist dagegen Abs. 2, der den Anwendungsbereich auf bestimmte kirchliche Rechtsgebiete im Kontext von Vermögensrecht und Compliance, nicht aber Datenschutz erweitert. * Grundsätzlich gleich aufgebaut, aber ohne Verweis auf kirchliche Normen in § 3 Abs. 1 ist die Variante der Ordnung im **Bistum Aachen**. Diese Fassung hat den Vorteil, dass sie klar formuliert ist. * Im **Erzbistum Köln** wird der Meldestelle gemäß der Ordnung neben den vom HinSchG abgedeckten Bereichen und Verstößen gegen kirchliches Vermögensrecht die Zuständigkeit für »jede[n] Verstoß gegen organisationsinterne Dienstanweisungen, Richtlinien oder sonstige Regelungen innerhalb des Erzbistums Köln« gegeben; hier ist leider unklar, ob sich »organisationsintern« auf alle drei Glieder bezieht (dann wäre das sonstige kirchliche Recht außen vor). * Unglücklich ist die Ordnung im **Bistum Rottenburg-Stuttgart** , die in § 4 zunächst als Anwendungsbereich den Anwendungsbereich des HinSchG angibt, dann aber mit »insbesondere« eine Aufzählung ergänzt, in der »Datenschutz/Umgang mit personenbezogenen Daten« steht – da die Aufzählung mit »insbesondere« beginnt, erweitert sie nicht den Anwendungsbereich, was dazu führt, dass wenig intuitiv das KDG nicht in den Zuständigkeitsbereich der Meldestelle fällt. * Im **Erzbistum Freiburg** legen die Ausführungsbestimmungen zum Statut des Rechnungshofs, dass das HinSchG sinngemäß anzuwenden ist in Fällen von Complianceverstößen, für die der Rechnungshof zuständig ist, die das HinSchG aber nicht erfasst. Dank der in § 4 des Statuts festgehaltenen breiten Zuständigkeit auch für die Prüfung der Einhaltung des geltenden Rechts ist damit auch kirchliches Datenschutzrecht (und sonstiges kirchliches Recht) erfasst. * Im **Bistum Osnabrück** wird in der Meldestellenordnung der Anwendungsbereich des HinwSchG erweitert auf »kirchliche Gesetze, Regelungen und Richtlinien«. * Im **Bistum Mainz** hat man die Problematik detailliert gelöst. Das Gesetz zur internen Meldestelle nennt zum Anwendungsbereich in § 4 Abs. 1 zunächst den Anwendungsbereich des HinSchG, in Abs. 2 dann klar benannte kirchliche Rechtsmaterien, auch hier wieder aus dem Vermögensrecht, aber auch aus dem kirchlichen Strafrecht und das kirchliche Datenschutzrecht. Alle diese Regelungen gelten grundsätzlich nur für den verfasstkirchlichen Bereich im engeren Sinn, also die Bistümer und ihre Untergliederungen sowie öffentliche juristische Personen des kanonischen Rechts (aber in der Regel nicht für Ordensgemeinschaften, die diesen Personenstand haben), andere kirchliche Rechtsträger können sich teilweise an die zentrale Bistums-Meldestelle anschließen. ## Fazit Wer nach dem Hinweisgeberschutzgesetz Verstöße gegen kirchliches Datenschutzrecht melden will, hat in manchen Fällen keinen Erfolg: Die externe Meldestelle des Bundes macht die Akte gleich wieder zu, die EKD-Meldestelle ist aus den gleichen Gründen nicht zuständig, und in den Bistümern kommt es darauf an, wo man gerade ist, um welche kirchliche Stelle es geht und ob das jeweilige Ortskirchenrecht eine Meldung hergibt. Wahrscheinlich war es dem EU-Gesetzgeber (wie so oft) nicht präsent, dass überhaupt ein Problem hinsichtlich der Art.-91-Datenschutzgesetze besteht. Schlimm ist das aber nicht: Die Meldestellen bleiben auch dann vertraulich, wenn eine Meldung sich als gar nicht meldefähig erweisen sollte. Eine wirkliche Schutzlücke ergibt sich auch nicht: Mit den Datenschutzaufsichten stehen Behörden zur Verfügung, die Meldungen entgegennehmen, bearbeiten und wirksam Abhilfe schaffen können. Beide großen kirchlichen Datenschutzgesetze enthalten außerdem ein Maßregelungsverbot gegenüber Beschwerdeführenden (§ 46 Abs. 3 DSG-EKD, § 48 Abs. 3 KDG) – allerdings nur für betroffene Personen (im datenschutzrechtlichen Sinn), nicht für Whistleblower, die selbst nicht von einem Verstoß betroffen sind. Sinnvoll im Zuge einer Verbesserung der Rechtskultur in der Kirche und systematisch folgerichtig wäre es, wenn die von den Kirchen eingerichteten Meldestellen auch wegen Verstößen gegen kirchliches Recht angegangen werden könnten. Einige Bistümer haben das auch ermöglicht – zugleich zeigt sich aber angesichts einiger zweifelhafter Lösungen, dass bei kirchlicher Gesetzgebung einiges an Luft nach oben wäre. _Die Problemstellung wurde in der**Artikel-91-Signal-Gruppe** aufgeworfen. Viele hilfreiche Hinweise und Argumente aus der Diskussion sind in diesen Artikel eingeflossen. Die Zugangsdaten zur Artikel-91-Signal-Gruppe werden mit dem Newsletter verschickt._ * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Die Novelle der katholischen **Kirchlichen Archivordnung** (KAO) steht seit Jahren aus. Jetzt ist Bewegung in die Sache gekommen: Ende Mai endete ein Anhörungsverfahren des VDD, in dem Rückmeldungen der Diözesen und ausgewählter Institutionen eingeholt wurden. (Foto von Zetong Li auf Unsplash) Wieder einmal ist das Gesetzgebungsverfahren nicht öffentlich. Mir liegt mittlerweile der Anhörungsentwurf vor, aus Archivkreisen wurde mir die Authentizität bestätigt. Datenschutzfragen nehmen einen bedeutenden Teil der geplanten Änderungen ein. **Inhalte** Verbergen 1 Allgemeines 1.1 Organisatorischer Anwendungsbereich 1.2 Weiterer Unterlagen-Begriff 2 Wechselwirkungen mit dem Datenschutzrecht 3 Schutzfristen 4 Kleinere relevante Änderungen 5 Fazit ## Allgemeines Generell sind viele Änderungen **Anpassungen ans KDG**; die geltende KAO nimmt noch auf die Vorgängernorm, die KDO, Bezug. Dazu kommen **begriffliche Klarstellungen** , wie sie auch in anderen Gesetzen mittlerweile üblich sind, etwa die ausdrückliche Formulierung »kirchliche Archive« statt »Archive«. Viele Änderungen betreffen auch den **weiter gefassten Unterlagen-Begriff** , der Sonderregelungen für Digitales entbehrlich werden lässt – dazu unten mehr. An einigen Stellen wird auf eine zu erstellende »**kommentierende Begründung** « verwiesen. Derartige Erläuterungen gibt es bereits bei der Grundordnung des Kirchlichen Dienstes in Gestalt der »Bischöflichen Erläuterungen zum kirchlichen Dienst«. Zur Auslegung des kirchlichen Arbeitsrechts sind diese Erläuterungen sehr hilfreich; dass etwas Vergleichbares im kirchlichen Datenschutzrecht fehlt, merkt man immer wieder. Insofern ist es zu begrüßen, dass die KAO eine quasi-amtliche Auslegungshilfe erhalten soll. Anders als beim Datenschutzrecht, wo es mit DSGVO und BDSG einheitliche staatliche Pendants gibt, bedient sich die KAO nicht nur an einem staatlichen Archivgesetz, sondern nimmt Impulse aus verschiedenen Landesarchivgesetzen auf – dieses Rosinenpicken ermöglicht, aus vielen staatlichen parallelen Regelungen die herauszugriffen, die am gelungensten und passendsten ist. Eine Sache bleibt gleich: der **umständliche volle Name** »Anordnung über die Sicherung und Nutzung der Archive der katholischen Kirche«. Weiterhin gibt es also keine kirchenrechtlich saubere Terminologie: Bei der KAO handelt es sich – wie beim KDG, das in seiner Vorversion ebenfalls »Anordnung« hieß – um ein bischöfliches Gesetz. Für die Rechtsklarheit wäre es wünschenswert, wenn kirchenrechtlich definierte Gattungen wie »Gesetz« auch da im Namen auftauchten, wo es sich der Sache nach um das handelt. ### Organisatorischer Anwendungsbereich Neu gefasst wird der **organisatorische Anwendungsbereich** in § 1 Abs. 1, und zwar in Form einer Anpassung an § 3 Abs. 1 KDG; außerdem wird im neuen Abs. 4 eine explizite Regelung zu mehrdiözesanen Rechtsträgern aufgenommen, die ebenfalls dem KDG entnommen ist. Ausdrücklich nehmen die Anmerkungen auf die Regelung parallel zum KDG Bezug: Bei der KAO handle es sich »zumindest hinsichtlich ihrer datenschutzrechtlichen Regelungen« um eine Spezialvorschrift zum KDG, daher scheine die parallele Regelung »aus Gründen der rechtlichen Klarheit sinnvoll und geboten«. Interessant ist, dass die Anmerkungen damit eingeleitet werden, dass die Bestimmung des Anwendungsbereichs »bis auf Weiteres« so geregelt wird – damit könnte sich andeuten, dass die schon bei der KDG-Novelle nicht in Angriff genommene klare Regelung des Anwendungsbereichs in Bezug auf die »sonstigen kirchlichen Rechtsträger« zumindest mittelfristig angegangen werden soll. (Was genau das Problem ist und dass der Gesetzgeber das zwar bemerkt hat, bislang aber nicht angegangen ist, habe ich anlässlich der KDG-Novelle aufgeschrieben.) In der Anwendung der KAO ist wichtig, dass trotz der gleichlautenden Regelung nicht automatisch überall die KAO gilt, wo das KDG gilt: Wer nur über einen Satzungsverweis kirchliches Datenschutzrecht anwendet, ohne der bischöflichen Gesetzgebung zu unterliegen oder ohne Anwendung des gesamten kirchlichen Rechts per Verweis, muss die KAO ebenfalls in die Satzung aufnehmen, soll sie gelten. Weiterhin soll die Regelung aus § 1 Abs. 3 KAO gelten, dass die Ordnung auch für die Archivierung von Unterlagen gilt, die **von nicht anbietungspflichtigen Stellen oder Personen übergeben** wurden. Dazukommen soll jetzt aber die Bestimmung, dass das nur gilt, »sofern mit diesen nichts anderes schriftlich vereinbart ist« – nicht anbietungspflichtige Stellen haben also künftig eine bessere Verhandlungsposition, wenn sie Archivalien an kirchliche Archive übergeben wollen. Die Anmerkung dazu erwähnt, dass kirchliche Archive bereits jetzt derartige Depositalverträge geschlossen haben und die Neuregelung nur das Gesetz an die gelebte Realität anpasst. Ohnehin verweist § 8 Abs. 4 KAO bereits jetzt auf »Vereinbarungen mit Eigentümern privaten Archivguts«. ### Weiterer Unterlagen-Begriff Die relevanteste Änderung bei den Begriffsbestimmungen gilt dem Begriff der »**Unterlagen** «, also der Dinge, die archiviert werden. Anstelle einer kleinteiligen Aufzählung heißt es jetzt allgemein, dass Unterlagen »aufgezeichnete Informationen [sind], unabhängig vom Datenträger, sowie alle Hilfsmittel und ergänzenden Daten, die für das Verständnis der Informationen und deren Nutzung nötig sind«. Damit werden digitale Unterlagen klarer erfasst als durch die Aufzählung vieler Arten physischer Informationsträger. Diese Änderung zieht eine Vielzahl von Folgeänderungen nach sich, weil sich aus dem neuen, Digitales umfassenden Unterlagen-Begriff vieles organisch ergibt, was bisher eigens geregelt werden musste im Umgang mit digitalen Medien. Eine Relevanzschwelle gibt es weiterhin nicht: Der Unterlagen-Begriff umfasst zunächst wirklich alle Unterlagen; »Weglegesachen« gibt es streng genommen weiterhin nicht, auch wenn hier über Verständigungen über die Anbietung doch einiges gelöst werden kann. (Den KAO-kompatiblen Papiermülleimer in einer anbietungspflichtigen Einrichtung habe ich trotz Nichtexistenz von Weglegesachen noch nicht gesehen.) ## Wechselwirkungen mit dem Datenschutzrecht § 6 Abs. 5 KAO zum Umgang mit personenbezogenen Daten soll künftig zunächst nur die Anbietung regeln, die Übergabe und damit die Regelungen zur Übergabe fallen aus diesem Absatz heraus. Hier sind die Anmerkungen besonders ausführlich, weil weiterhin auch **unrechtmäßig erhobene Daten anbietungspflichtig** sind. Hier stelle sich die Frage, ob die Erforderlichkeit für im kirchlichen Interesse liegende Archivzwecke anders zu bewerten sei als bei anderen personenbezogenen Daten. »Jedenfalls darf das Interesse der Kirche nicht per se über das Recht betroffener Personen gestellt werden. Ggf. muss eine vermittelnde Lösung gefunden werden.« In den Anmerkungen zeigt sich wohl eine kontroverse Diskussion bei der Entstehung des Anhörungsentwurfs: > »**Weitere Hinweise/Überlegungen:** > > * Unzulässig gespeicherte Daten stellen eine erhebliche Verletzung persönlicher Belange dar; bei den ausführenden Stellen ist unrechtmäßiges Handeln zu konstatieren! > * Aber: Die Löschung unzulässig gespeicherter Daten > * verfälscht den Kontext > * benachteiligt Betroffene, denen der Nachweis für eine unrechtmäßige Handlung ihnen gegenüber genommen wird > * exkulpiert Täter, die für unrechtmäßiges Handeln nicht (mehr) zur Rechenschaft gezogen werden können > * die Löschverpflichtung fördert unrechtmäßiges Handeln > * verhindert Forschung gerade an den Momenten gesellschaftlicher Veränderungen, die historisch interessant sind. > * Eventuellen Bedenken gegen Anbietung, Übergabe und Archivierung unrechtmäßig erhobener personenbezogener Daten kann auf Arbeitsebene Rechnung getragen werden, indem klare und praktikable Festlegungen getroffen werden, wie bereits unzulässig gespeicherte Daten gekennzeichnet und gesichert werden. > * Unabhängig davon können bereits bei der kirchlichen Stelle einzelne Schriftstücke gelöscht /vernichtet werden, wenn sie mit Blick auf eine spätere Archivierung eindeutig unerheblich sind.« > **Daten, die durch § 203 Abs. 1 StGB** geschützt sind, also unter anderem Seelsorger*innen anvertraute Geheimnisse, dürfen künftig nur in anonymisierter Form angeboten werden. Damit wird eine Regelung in Anlehnung an § 4 Abs. 2 Satz 3 ArchivG Ba-Wü getroffen. Spezielle Regelungen für besondere Kategorien personenbezogener Daten gibt es nicht. Bei den **Kriterien für die Archivwürdigkeit** sollen personenbezogene Daten besonders geschützt werden. An den bisherigen § 6 Abs. 8 KAO (in neuer Nummerierung Abs. 9) soll ein neuer Satz 2 ergänzt werden: > »Personenbezogene Daten im Sinne des Absatz 5 Satz 1 dürfen nur dann als archivwürdig bewertet werden, wenn die archivarische Prüfung ergibt, dass ihre Verarbeitung erforderlich ist für im kirchlichen Interesse liegende Archivzwecke, eine Löschung der personenbezogenen Daten die Verwirklichung dieser Zwecke voraussichtlich unmöglich machen oder beeinträchtigen würde und schutzwürdige Belange betroffener Personen oder Dritter angemessen berücksichtigt werden.« Unterlagen mit personenbezogenen Daten müssen besonders gesichert werden. Da dazu keine weiteren Ausführungen gemacht werden, dürften technische und organisatorische Maßnahmen, wie sie sich aus dem Datenschutzrecht ergeben, diese Bestimmung erfüllen. Die **Betroffenenrechte** wurden auf Angehörige Verstorbener ausgeweitet: § 8 Abs. 4 (vorher Abs. 5) erhält zusätzlich die Regelung, dass Angehörige ein Recht auf Auskunft und Einsichtnahme haben, aber nur dann, wenn ein berechtigtes Interesse besteht und Verfügungen oder der mutmaßliche Wille der verstorbenen Person nicht entgegenstehen. ## Schutzfristen Die Schutzfristen in § 9 wurden generell an staatliche Fristen angepasst und damit größtenteils verkürzt: * **Allgemeine Schutzfrist** von 40 auf 30 Jahre * **Schutzfrist bei personenbezogenen Daten** grundsätzlich von 40 auf 30 Jahre, aber nicht vor diesen Zeitpunkten in Bezug auf die betroffene Person oder bei Gruppen der letztgeborenen oder -verstorbenen Person: * 10 statt 30 Jahre nach dem Tod * 110 statt 120 Jahren nach der Geburt * 60 statt 70 Jahre nach Entstehung, falls Geburts- und Todesdatum nicht bekannt sind * Weiterhin 60 Jahre bei **besonderen kirchlichen oder staatlichen Geheimhaltungsvorschriften** Gestrichen wurde die besondere Frist von 60 Jahren für **bischöfliche Amtsakten und Nachlässe** , da die bisherige Regelung sachfremd am Erzeuger, nicht an den betroffenen Personen anknüpfe. Eine sachliche Begründung konnten die Autor*innen des Entwurfs für die längere Frist nicht erkennen: »Im Ergebnis dürfte es sich um eine rein politische Regelung handeln, die in der Öffentlichkeit nicht mehr erklärbar ist.« Grundsätzlich sind die abgebenden Stellen selbst weiterhin nicht an die Schutzfristen für ihr eigenes Material gebunden. Eingeschränkt wird dies aber für Unterlagen, die statt einer Löschung oder Einschränkung der Verarbeitung ans Archiv übergeben wurden. Eine **Verkürzung der Schutzfristen** kann künftig nicht nur der Ortsordinarius genehmigen, sondern bei von nicht anbietungspflichtigen Stellen übergebenen Unterlagen auch die übergebende Stelle, und zwar unter den gleichen Bedingungen wie bisher schon in § 10 Abs. 1 KAO. Zusätzlich geht künftig der Antrag auf Verkürzung ans Diözesanarchiv statt direkt an den Ordinarius. Das Archiv prüft den Antrag dann auch; der Ordinarius und die anbietenden Stellen ohne Anbietungspflicht können dem Archiv die Entscheidung über die Verkürzungsanträge ganz oder teilweise delegieren. ## Kleinere relevante Änderungen * **Priorität eigener Archive:** Bislang ist die Einrichtung eines eigenen Archivs und die Übergabe ans Diözesanarchiv gleichwertig; in der neuen Fassung soll das einrichtungseigene Archiv der Regelfall werden, die Übergabe ans Diözesanarchiv oder ein anderes Archiv nur in begründeten Fällen erfolgen. * Bisher hieß es, dass das Diözesanarchiv die **Aufsicht über zugeordnete kirchliche Archive** hat. Hier wurde klargezogen, dass das Archiv keine Aufsicht im kirchenrechtlichen Sinn wahrnehmen kann, daher soll künftig von »Beratung« die Rede sein. Eine Öffnungsklausel für diözesane Bestimmungen dazu wird angesichts der »komplexen Rechtslage in den Diözesen« ergänzt. (Streng genommen ist die unnötig, weil es sich um ein diözesanes Gesetz handelt, diözesane Regelungen also auch ohne diese Öffnungsklausel möglich wären – im Zuge der Vereinheitlichung unter den Diözesen ist sie aber sinnvoll, da so eigenständige Regelungen in den diözesanen KAOs vorgebeugt wird.) * Zur Aufgabe der Öffentlichkeitsarbeit in § 5 Abs. 4 KAO soll zusätzlich die Aufgabe der **Bildungsarbeit** erwähnt werden. * Eine ausdrückliche Regelung in § 6 Abs. 11 KAO geht auf Unterlagen ein, deren besondere **Aufbewahrungsfristen noch nicht abgelaufen** sind. Diese können dennoch dem Archiv angeboten werden – das dürfte insbesondere für die besonders langen neu eingeführten Aufbewahrungspflichten in der Jugendhilfe in § 9b SGB VIII hilfreich sein, wenn solche Unterlagen den Archivprofis übergeben werden können. Die datenschutzrechtliche Verantwortlichkeit bleibt in diesem Fall bei der abgebenden Stelle. * **Anbietungspflicht:** § 6 Abs. 1 KAO zur Anbietung soll analog zu § 4 Abs. 1 Hessisches Archivgesetz geregelt werden. Explizit soll künftig eine Anbietungsliste angefertigt werden. * **Dokumentenmanagementsysteme:** Bei der Einführung und Änderung technischer Systeme zur Erstellung und Speicherung digitaler Unterlagen muss das zuständige Archiv beteiligt werden. Dieser Begriff lässt laut den Anmerkungen offen, »ob es sich um ein In-Kenntnis-Setzen, ein Benehmen oder ein Einvernehmen zwischen kirchlichem Archiv und Rechtsträger handelt«. * **Laufend aktualisierte digitalisierte Unterlagen:** Hier soll in mit dem Archiv festgelegten Intervallen angeboten werden; die Anmerkungen sprechen von Fachdatenbanken als Beispiel und nennen in Anführungszeichen »Screenshots« als Methode. Bei der angekündigten kommentierenden Erläuterung dürfte interessant sein, ob flüchtige Social-Media-Formate wie Stories im Blick sind. ## Fazit Die Änderungen wirken durchdacht und dank der Erläuterungen werden zumindest den am Anhörungsverfahren Beteiligten die Gedanken hinter den Regelungen verständlicher gemacht. Beim Umgang mit personenbezogenen Daten wird der Spagat deutlich, einerseits Betroffenenrechte wahren zu müssen, andererseits eine lückenlose Überlieferung sicherzustellen – besonders, was unrechtmäßig vorhandene Daten angeht. Bei diesen Regelungen könnte noch einiges geschehen – etwa dann, wenn vergleichbare Regelungen in staatlichen Archivgesetzen vom EuGH mit der DSGVO abgeglichen werden sollten. Die in den Erläuterungen aufgeführte differenzierte Diskussion deutet an, dass auch für den Gesetzgebungsprozess das letzte Wort wohl noch nicht gesprochen ist. Sehr gut ist die Anpassung der Schutzfristen an staatliche Regelungen. Insbesondere der geplante Wegfall des besonderen Schutzes bischöflicher Akten ist lange überfällig. Aus dem Anhörungsverfahren des KDG kann man ableiten, wie es jetzt weitergehen könnte: Beim kirchlichen Datenschutzrecht endete die Anhörungsfrist am 31. Januar 2025, im Herbst wurden das KDG und die KDG-DVO durch die Vollversammlung des KDG beschlossen, im Dezember die Beschlusstexte veröffentlicht. Am 1. März 2026 traten KDG und KDG-DVO dann als Diözesangesetze in Kraft. Bei einer vergleichbaren Zeitschiene könnte die novellierte KAO damit Anfang 2027 beschlossen werden und im Sommer 2027 in Kraft treten. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Mitarbeitenden-Apps erleichtern die Kommunikation und Arbeitsabläufe. Aber wie fast jede IT-Infrastruktur kommen sie mit personenbezogenen Daten in Kontakt – deshalb muss der Datenschutz berücksichtigt werden. Nicht nur, weil das Gesetz es so will: Die erfolgreiche Einführung neuer Software gelingt nur dann, wenn alle Betroffenen wissen, dass fair und angemessen mit ihren Daten umgegangen wird. (Foto von Rafael Oliveira auf Unsplash) Wenn der **Datenschutz von Anfang an mitgedacht** wird, wird die Einführung deutlich einfacher. Dazu gibt es ein paar Tipps, wie das Projekt einer neuen App gut begleitet werden kann. _(Der Beitrag erschien zuerst in einer kürzeren Fassung in der Zeitschrift»neue caritas«, Juni 2026. In der Ausgabe ist auch ein Best-practice-Beispiel einer Mitarbeitenden-App beschrieben.)_ **Inhalte** Verbergen 1 Funktionsumfang definieren 2 Betriebliche Datenschutzbeauftragte und MAV einbinden 3 Private Geräte und andere Sonderfälle bedenken 4 Nutzung so leicht wie möglich gestalten ## Funktionsumfang definieren Je nach gewünschter Funktion haben Mitarbeitenden-Apps unterschiedliche Risiken und Schutzbedarfe. Am Anfang des Projektes sollte daher der **Funktionsumfang klar definiert** werden: Soll nur die Mitarbeitendenbindung durch interessante Neuigkeiten gestärkt werden? Ist die App ein Arbeitswerkzeug, mit dem Dienstpläne eingesehen, Urlaubsanträge und Krankmeldungen eingereicht oder Zugänge zu Software und Räumen gesichert werden? Ermöglicht die App den Zugang zu sensiblen Systemen und Daten der Einrichtung oder von Klient*innen? Hat die App Kommunikations- und Community-Funktionen? Jede gewünschte Funktion hat ein eigenes Risikoprofil und braucht spezifische technische und organisatorische Maßnahmen zur Absicherung und datenschutzkonformenen Gestaltung der jeweiligen Funktion. Hilfreich ist es, bei jeder Funktion die Grundsätze zum Umgang mit personenbezogenen Daten (§ 5 DSG-EKD, § 7 KDG) einzeln durchzugehen und insbesondere auf den Grundsatz der Datenminimierung zu achten – Daten, die erst gar nicht anfallen, brauchen auch nicht abgesichert, verwaltet und gelöscht werden. Eine rechtzeitige möglichst umfassende Planung hilft nicht nur beim Datenschutz, sondern auch bei der Umsetzung weiterer rechtlicher Anforderungen wie Mitbestimmung und IT-Sicherheit und ermöglichen einen klaren Zeitplan ohne überraschende und teure nachträglich hinzukommende Wünsche. **Tipp:** Die Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO) definiert verschiedene Datenschutzklassen und Datenschutzniveaus (§§ 9–14 KDG-DVO). Jede gewünschte Funktion und Form der Datenverarbeitung müssen in diese Klassen einsortiert und die dort geforderten Schutzmaßnahmen umgesetzt werden. Die Methodik der KDG-DVO ist dort, wo katholisches Recht gilt, verbindlich. Aber auch in anderen Einrichtungen kann die KDG-DVO als Anregung für die Gestaltung des Datenschutzmanagements verwendet werden. ## Betriebliche Datenschutzbeauftragte und MAV einbinden Spätestens, wenn der geplante Funktionsumfang umrissen ist, sollten **betriebliche Datenschutzbeauftragte** und die **Mitarbeitendenvertretung** einbezogen werden. Betriebliche Datenschutzbeauftragte haben die Aufgabe und die Kompetenz, bei der Einführung von Software zu beraten. Sie unterstützen auch bei einer **Datenschutz-Folgenabschätzung** , die immer dann nötig ist, wenn Datenverarbeitungen besonders risikoreich sind. Vor allem, wenn private Geräte zum Einsatz kommen oder sensible Daten wie Krankmeldungen über die App verwaltet werden, dürfte das der Fall sein. Die Mitarbeitendenvertretung muss beteiligt werden, wenn **Systeme geeignet sind, Beschäftigte zu überwachen oder ihre Leistung zu kontrollieren** – das ist schon dann gegeben, wenn Protokolldaten anfallen, in jedem Fall aber, wenn Arbeitszeiten erfasst werden (§ 40 lit. j) MVG-EKD und § 36 Abs. 1 Nr. 9 MAVO). Dafür braucht es die Zustimmung der MAV. Die katholische MAV hat außerdem ein Recht auf Anhörung und Mitberatung bei Maßnahmen innerbetrieblicher Information und Zusammenarbeit (§ 29 Abs. 1 Nr. 1 MAVO). Bei Mitarbeitenden-Apps ist die MAV daher in der Regel immer zu beteiligen. **Tipp:** Betriebliche Datenschutzbeauftragte und MAV frühzeitig ins Projekt einbeziehen. Viele Probleme lassen sich aus dem Weg räumen, wenn diese Beteiligung von Anfang an berücksichtigt wird. Wenn die Beteiligung vergessen wird, drohen Vorhaben nachträglich deutlich aufwendiger zu werden oder ganz zu scheitern. ## Private Geräte und andere Sonderfälle bedenken Ein besonders heikler Punkt ist die **Nutzung privater Geräte zu dienstlichen Zwecken** – dazu gehört auch die Installation der App auf dem privaten Smartphone. Das ist nur unter sehr engen Bedingungen zulässig (ausdrücklich findet sich das im katholischen Datenschutzrecht in § 21 KDG-DVO). Der Arbeitgeber muss Beschäftigten alle Werkzeuge zur Verfügung stellen, die sie für ihre Arbeit benötigen – wenn also Funktionen der App erforderlich sind, müssen entweder dienstliche Geräte gestellt oder Alternativen angeboten werden. Einen Präzedenzfall hatte jüngst die spanische Datenschutzaufsicht zu entscheiden: Ein Arbeitgeber wollte Beschäftigte dazu verpflichten, für Zwei-Faktor-Authentifizierung das private Smartphone zu verwenden. Die Anweisung kann nach Auffassung der Aufsicht nicht auf die Erfüllung des Arbeitsvertrags gestützt werden, da damit keine Verarbeitungen abgedeckt seien, die zwar nützlich, aber objektiv nicht erforderlich seien. Eine Einwilligung komme auch nur dann in Frage, wenn es eine Alternative zum privaten Smartphone gibt. (Ausführlich auf Deutsch zu diesem Fall im Datenzirkus.) **Tipp:** Alle wirklich erforderlichen Funktionen der App (z. B. Krankmeldung, Zeiterfassung, Zwei-Faktor-Authentifizierung) müssen über einen Weg möglich sein, der kein privates Smartphone erfordert. ## Nutzung so leicht wie möglich gestalten Zu guter Letzt müssen die Mitarbeitenden die App auch tatsächlich nutzen. Neben Aspekten der Benutzerfreundlichkeit und Zugänglichkeit trägt auch ein transparenter und fairer Umgang mit Daten zur **Akzeptanz** bei. Das ist umso einfacher, je datensparsamer die App ist und je weniger Berechtigungen sie benötigt. Wenn nur Daten verarbeitet werden, die für Zwecke des Beschäftigungsverhältnisses erforderlich sind, kann eine App auch komplett auf Einwilligungen verzichten. Aber auch Nutzungsfreundlichkeit und Zugänglichkeit selbst tragen zu einem besseren Datenschutzniveau bei: Erfahrungsgemäß ist **Schatten-IT** , also die Nutzung privater Geräte und Software für dienstliche Zwecke, eines der größten Risiken. Schatten-IT lässt sich durch Verbote nicht wirksam eindämmen. Die einzige wirklich funktionierende Lösung sind offizielle Systeme, die so gut sind und so gern benutzt werden, dass Beschäftigte sie tatsächlich nutzen wollen und einen Mehrwert gegenüber ihren privaten Geräten und Diensten sieht. **Tipp:** Die App sollte möglichst wenige Berechtigungen und Einwilligungen erfordern, die Erhebung von Analysedaten aufs Nötigste beschränken und muss den Beschäftigten klar und transparent kommunizieren, wie ihre Daten verarbeitet werden. Außerdem muss es Spaß machen (oder zumindest nicht lästig sein), sie zu benutzen. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Synode tagte in Bonn

Die Socialbar Bonn bringt die vielfältigen digitalen Initiativen und Aktivitäten in und um Bonn sichtbar(er) zusammen und vernetzt so die Akteur*innen miteinander. Am Montag ging es um die **Datenschutzsszene in Bonn**. Auf dem Programm: Vorträge aus dem Haus der **Bundesdatenschutzbeauftragten** , der **Deutschen Vereinigung für Datenschutz** und von mir zu **kirchlichem Datenschutz**. Die drei Vorträge von Aline Sylla, Achim Klabunde und mir haben unterschiedliche Aspekte des Datenschutzes betont. Das Gemeinsame: alle drei sind mit Bonn verbunden, und alle drei machen Datenschutz als Grundrechtsschutz stark. Hier fasse ich die Vorträge zusammen. **Inhalte** Verbergen 1 Darf ich einmal Ihren Ausweis sehen? Altersprüfungen im Netz datenschutzkonform gestalten 2 Wunderwelt kirchlicher Datenschutz 3 Datenschutz ist Menschenrecht ## Darf ich einmal Ihren Ausweis sehen? Altersprüfungen im Netz datenschutzkonform gestalten Aline Sylla, technische Referentin BfDI, bei ihrem Vortrag zu Altersverifikation (Foto: Agathe Lukassek) »Datenschutz schützt keine Daten, sondern Menschen«, betonte Aline Sylla, technische Referentin im Referat 23 – Digitale Dienste und Messengerdienste der BfDI. Dass die Bundesdatenschutzbeauftragte überhaupt schon länger mit dem Thema Altersverifikation im Netz zu tun hat, liegt weniger an den beaufsichtigten Institutionen (Bundesbehörden und wenige Sektoren der Privatwirtschaft) als an der anderen großen Aufgabe der BfDI: der Beratung des Gesetzgebers. Dazu kommen neuerdings noch Zuständigkeiten aus dem Digital Services Act bei Onlinewerbung (Art. 26 Abs. 3 DSA) und Jugendschutz (Art. 28 Abs. 2 DSA). Sylla nannte mehrere **Risiken** , die mit Altersverifikation im Netz einhergehen: allgemein den Verlust von Teilhabe durch neue Hürden, _Chilling effects_ durch Überwachungsdruck, Biases und Diskriminierung. Spezifische Risiken sind der Verlust von Identitätsdaten, die Weiterverwertung von bei der Verifikation anfallendungen Biometriedaten, Profiling, der Verlust von Anonymität oder Pseudonymität und die Gefahr, dass Minderjährige online identifiziert und damit als Ziele ausgemacht werden können. Altersverifikation befinde sich so immer einem einem **Spannungsfeld** zwischen dem (intendierten) Schutz von Minderjährigen vor Gefahren, dem inhärenten Risiko der Verifikation und dem Recht auf Teilhabe und Befähigung, das die UN-Kinderrechtskonvention für Kinder und Jugendliche festschreibt. Diesem Spannungsfeld gelte es sich mit Fingerspitzengefühl zu nähern. Sylla betonte, dass Altersverifikationssysteme datenschutzkonform ausgestaltet sein müssen – und dass das auch möglich ist. Die klare Präferenz seien dabei Systeme, die auf dem Zero-Knowledge-Prinzip basieren, so dass personenbezogene Daten erst gar nicht zweckentfremdet oder offengelegt werden können – also _privacy_ und _safety by design_. Nicht geeignet seien KI-basierte Technologien, die etwa auf der Grundlage von Verhalten oder Biometrie das Alter schätzen. In der Diskussion wies Sylla darauf hin, dass mit der Einführung von Verifikationssystemen eine **schleichende Gewöhnung an Identifizierung** eintreten könne. Es sei kaum nachzuvollziehen, ob wirklich nur eine Altersprüfung vorgenommen wird oder noch mehr Daten abgefragt und verwendet werden. Ihr Plädoyer: Der Prozess der Altersverifikation muss sich anders »anfühlen« als der einer Identitätsfeststellung, um Gewöhnungseffekte und Phishing zu verhindern. Persönlich skeptisch zeigte sie sich, ob Altersverifikationen und Social-Media-Verbote wirklich die beabsichtigten Ziele des Jugendschutzes erreichen können. Stattdessen sprach sie sich dafür aus, das Recht, einschließlich des Datenschutzrechts, für alle konsequent durchzusetzen. Schon das würde das Schutzniveau – und zwar für alle – deutlich erhöhen. _Einen Vortrag zum Thema hat Aline Sylla bereits beim 38C3 gehalten – derVortrag kann online nachgehört werden._ ## Wunderwelt kirchlicher Datenschutz Ich bei meinem Vortrag. (Foto: Agathe Lukassek) Ich habe Artikel91.eu als Bonner Blog zur wunderlichen Welt des kirchlichen Datenschutzes vorgestellt. Vieles dazu stand bereits im Artikel zum fünfjährigen Jubiläum im vergangenen Sommer. Zu Beginn habe ich abgefragt, wer vor der Socialbar schon wusste, dass es so etwas wie einen eigenen kirchlichen Datenschutz gibt. Etwa die Hälfte der Teilnehmenden hat sich gemeldet – etwas verzerrt wurden die Zahlen wohl dadurch, dass einige Leser*innen auch dabei waren, die sonst nicht zur Socialbar kommen und über den Artikel91-Newsletter von der Veranstaltung erfahren haben. Die nächste Abfrage zeigte dann aber, dass quasi alle schon mal in Berührung mit Verantwortlichen gekommen sind, die kirchliche Datenschutzgesetze anwenden: Auf die datensparsam gestellten Fragen, wer jemanden kennt, der*die Mitglied einer Kirche ist oder war, bei einer kirchlichen Einrichtung arbeitet oder mit kirchlichen Kitas, Schulen, Vereinen, Verbänden und sozialen Einrichtungen von Caritas und Diakonie in Kontakt gekommen ist, meldeten sich alle. Inhaltlich ging es vor allem darum, wie die Kirchen überhaupt zu ihrem eigenen Datenschutzrecht gekommen sind: Beginnend mit den ersten staatlichen Datenschutzgesetzen, die auch privatrechtliche Verantwortliche im Blick hatten, wurde der Anwendungsbereich des Datenschutzrechts definiert für öffentliche Stellen des Bundes oder des jeweiligen Landes und nicht-öffentliche Stellen. Die Kirchen als Körperschaften des öffentlichen Rechts passten da in keine Schublade: Weder sind sie öffentliche Stellen des Bundes oder eines Landes, noch sind sie nicht-öffentliche Stellen. Aber anstatt die Lücke als Versäumnis der Gesetzgebe zu erkennen und auf eine Korrektur der Gesetze hinzuwirken, entdeckte man im »**beredten Schweigen** « der Datenschutzgesetze eine bewusste Öffnung für eigenen kirchlichen Datenschutz. Und wenn Kirchen Möglichkeiten zur Selbstbestimmung sehen, dann nehmen sie sich die und geben sie nicht mehr her – auch, als die DSGVO eine andere Systematik ohne beredtes Schweigen sich anzunehmen schickte. Die Konsequenz: Die Kirchen lobbyierten mit Hilfe der damaligen CDU-Bundesregierung den heutigen Art. 91 in die DSGVO, um ihren Selbstbestimmnugsraum zu erhalten. So haben die großen Kirchen (und viele kleine) heute noch eigenes Datenschutzrecht mit diversen Institutionen, insbesondere kirchlichen Datenschutzaufsichten, die damit verbunden sind. _DieFolien des Vortrags stelle ich online zur Verfügung._ ## Datenschutz ist Menschenrecht Achim Klabunde ist seit 55 Jahren im Datenschutz aktiv. (Foto: Agathe Lukassek) Achim Klabunde ist Informatiker und macht schon seit 55 Jahren Datenschutz, zuletzt beim Europäischen Datenschutzbeauftragten. Heute ist er im Vorstand der Deutschen Vereinigung für Datenschutz (DVD). Die traditionsreiche Bürgerrechtsorganisation wurde 1977 in Bonn gegründet. Kein Zufall, betonte Klabunde: Bonn als damalige Bundeshauptstadt war der Ort der Gesetzgebung, viele, die das Datenschutzrecht in Deutschland mitgestaltet haben, wirkten in Bonn. Und 1977 ist das Jahr, in dem das erste Bundesdatenschutzgesetz in Kraft getreten ist. Dass 1977 Deutschland sein Datenschutzgesetz bekam, müsse man besonders wertschätzen, betonte Klabunde: Während Horst Herold als BKA-Präsident die Rasterfahndung erfand und die Ermordung von Generalbundesanwalt Siegfried Buback durch die RAF den Deutschen Herbst einleitete, sei es keinesfalls selbstverständlich gewesen, dass die Bundesregierung **Bürgerrechte stärkt**. Klabunde erinnerte an den damaligen Bundesinnenminister Werner Maihofer, der in der Mitte einer Reihe im besten Sinne liberaler Innenminister stand – Hans-Dietrich Genscher von 1969 bis 1974, Maihofer von 1974 bis 1978 und Gerhart Baum von 1978 bis 1982, alle FDP. Klabunde zeichnete die **Geschichte des Datenschutzes** nach: Vom ersten Datenschutzgesetz in Hessen 1970 über das Bundesdatenschutzgesetz 1977 und die daraufhin entstehende Bewegung hin zu Datenschutzgesetzen in vielen insbesondere europäischen Ländern. Schon früh war damit klar, dass Datenschutz international werden muss: Typisch für Datenschutzgesetze ist und war, dass sie die Problematik der Datenübertragung an Drittländer im Blick hatten. »Europa muss ran«, betonte Klabunde. Eine jeweils unilaterale Feststellung, ob das Datenschutzniveau eines Landes akzeptabel ist, wäre nicht praktikabel. Die erste Internationalisierung erfolgte dann bereits 1981 mit der Konvention 108 des Europarats, 1995 folgte die EU-Datenschutzrichtlinie. Dass aus der Richtlinie eine Verordnung, die DSGVO wurde, war nicht ausgemacht – erst der Schock der Snowden-Enthüllungen hat für das politische Momentum gesorgt, die den politischen Willen zur DSGVO ermöglichten. Datenschutz ist eine Grundrechtsfrage, nicht einfach nur Compliance. Das wird daran deutlich, dass zur Geschichte des Datenschutzes nicht nur Datenschutzgesetze gehören, sondern auch die **Entwicklung des Datenschutzes als Grundrecht** : 1983 das Volkszählungsurteil des Bundesverfassungsgerichts, 2000 die EU-Grundrechtecharta mit seinen Rechten auf Privatheit und Datenschutz, und 2009 der Lissabon-Vertrag, der die Grundrechtecharta rechtsverbindlich machte. All diese Entwicklungen hat die DVD als **Bürgerrechtsorganisation mit dem Motto »Datenschutz ist Menschenrecht«** begleitet. Zur eigenen Rolle äußerten sich Klabunde und sein ebenfalls anwesender Vorstandskollege Reinhard Linz bescheiden: Vor allem in der Vernetzung und in der Bildungsarbeit habe die DVD gewirkt. Aktuell sei man stolz darauf, dass das Engagement der DVD für mehr Datenschutz im Handelsregister erfolgreich war und nicht mehr alle Daten über ehemalige Organmitglieder etwa von Vereinen auf ewig offen verfügbar sind – die DVD hatte das auch mit Blick auf den eigenen Registereintrag eng begleitet. Aktuell sieht Klabunde viele **Herausforderungen für den Datenschutz** : das immer noch fehlende Beschäftigtendatenschutzgesetz in Deutschland, Überwachungsphantasien in der EU von Vorratsdatenspeicherung bis Chatkontrolle und die geplante Aushöhlung des Datenschutzes im Namen des »Bürokratieabbaus«. Allzu optimistisch zeigte er sich nicht angesichts der politischen Positionen von EU-Kommissionspräsidentin Ursula von der Leyen (CDU), des EVP-Fraktionsvorsitzenden Manfred Webers (CSU) und der CDU-geführten Bundesregierung. Es gibt also viel zu tun für die Deutsche Vereinigung für Datenschutz im fünfzigsten Jahr ihres Bestehens. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Der Papst mischt sich in die gesellschaftliche Debatte um Künstliche Intelligenz ein – das Medienecho ist aller vatikanischen Widersprüche zum Trotz überwiegend positiv. Heute kommentiert Antonia Groß...

»Magnifica humanitas«

Zur Enzyklika "Magnifica humanitas"

Nach der Egenberger-Entscheidung

Ratzinger war kein Fan

Beschluss des Bundesverfassungsgerichts

Zum Abschluss der Tage in Würzburg

Gottesdienst-Pavillon auf dem Residenzplatz in Würzburg (Foto: Philipp Greifenstein). Der Katholikentag 2026 in Würzburg wird als Erfolg in die jüngere Geschichte der Kirche in Deutschland eingehen. F...

Der Bund Freikirchlicher Pfingstgemeinden bleibt seinem Ruf treu als der Zusammenschluss von Freikirchen mit der transparentesten Datenschutzaufsicht. Der Tätigkeitsbericht des BFP-Datenschutzbeauftragten für 2024/2052 zeigt, dass es in den Gemeinden dort auch nicht anders zugeht als anderswo, jedenfalls was den Datenschutz angeht: Offene Verteiler, Fragen zur Kommunikation und Bildrechten und zunehmend KI prägen den Datenschutzalltag im BFP. (Bild: BFP-Aktuell) **Inhalte** Verbergen 1 Datenschutzorganisation 2 Aufsichtstätigkeit 2.1 Beratung 2.2 Aufsichtliche Maßnahmen und gemeldete Datenschutzvorfälle 3 Kirchliche Gesetzgebung 4 Fazit 5 Bisher veröffentlichte Tätigkeitsberichte der Datenschutzaufsicht des BFP ## Datenschutzorganisation Weiterhin besteht die Datenschutzaufsicht aus einem Datenschutzbeauftragten mit einer halben Stelle, die seit 2015 von Daniel Aderhold besetzt wird. Die Webseite der Aufsicht erläutert öffentlich sichtbar die großen Linien und sammelt die bisherigen Berichte, für örtlich Beauftragte (hier übernimmt die BFP-DSO die Terminologie des DSG-EKD, ergänzt durch »Betriebs- bzw. Gemeindebeauftragte«) gibt es einen internen Bereich mit mehr Informationen. Wie im vergangenen Berichtszeitraum macht keine der Mitgliedsgemeinden des Bundes von der **Opt-out-Regelung** in der BFP-DSO Gebrauch. Seit dem vergangenen Bericht ist die Zahl der Gemeinden von 870 auf über 1095 gestiegen. Interessant wäre, ob den Gemeinden überhaupt präsent ist, dass sie eine Wahlmöglichkeit zwischen BFP-DSO und einer anderen Regelung haben – oder ob der Verbleib im eigenen Recht tatsächlich so attraktiv ist. Eine zulässige eigene Regelung einer Gemeinde muss in einer »dieser Datenschutzordnung vergleichbaren Form« vorliegen, deren Durchführung die Gemeinden auch sicherstellen müssen. Interessant wäre auch, wie diese Opt-out-Regelung europarechtlich zu bewerten wäre: Nach deutschem Religionsverfassungsrecht wären die eigenen Regelungen wohl kein Problem, nach Art. 91 DSGVO müsste man fragen, ob solche Regelungen auf Basis der BFP-DSO mit der Stichtagsregelung kollidieren, wenn sie nach Inkrafttreten der DSGVO erstmals eingeführt werden. Möglich wäre wohl entweder die unmittelbare Anwendung der DSGVO oder die weitere Anwendung einer schon vorhandenen Datenschutzregelung bei Übertritt einer Gemeinde in den BFP. ## Aufsichtstätigkeit ### Beratung Ein Schwerpunkt der Aufsichtstätigkeit stellte die Beratung dar. Im Vorwort wird eine gestiegene Bedeutung von Digitalisierungsfragen und insbesondere KI benannt. Häufig ging es um Fragen zum Umgang mit personenbezogenen Daten in der täglichen Kommunikation und Verwaltung der Gemeinden. Ausdrücklich werden Fragen zu Spendenbescheinigungen genannt. Ein Klassiker in der Beratung ist der Umgang mit Bildern. Leider beschränkt sich der Bericht darauf, die Themen zu benennen. Schön wäre gewesen, wenn man zu häufigen Fragen auch Positionen der Aufsicht lesen könnte; erfahrungsgemäß helfen serviceorientierte Fallschilderungen in Tätigkeitsberichten für die Praxis sehr. Das heißt aber nicht, dass es im BFP keine Handreichungen gibt: Der Bericht erwähnt die Ausarbeitung von zum Einsatz von Cloud-Diensten, zu Office 365 sowie zum Datenschutz in der Seelsorge durch den Datenschutzbeirat des Bundes. Die Merkblätter sind nicht öffentlich verfügbar. ### Aufsichtliche Maßnahmen und gemeldete Datenschutzvorfälle Leider verzichtet der Bericht auf absolute Zahlen. Es gab »mehrere« Meldungen von **Datenpannen** , »einzelne« **Beschwerden** sowie **Anfragen** ohne Quantifizierung. In »einigen« Fällen sei die **Aufsicht von sich aus tätig** geworden. Die geschilderten **Fälle** gehören zu den Standardsituationen: Offene E-Mail-Verteiler, Auskunftsersuchen, Probleme mit Datenlöschung und ähnliches kommt überall vor. Die Fälle werden zwar grundsätzlich verständlich geschildert, aber nicht in einer Detailtiefe, dass sich daraus viel für die Praxis ableiten ließe. ## Kirchliche Gesetzgebung Sehr knapp erfährt man, dass gerade an einer **Reform der BFP-DSO** gearbeitet wird: »Darüber hinaus wurde mit der Überarbeitung und Evaluierung der derzeit geltenden BFP-Datenschutzordnung begonnen.« Die geltende Datenschutzordnung orientiert sich lose am DSG-EKD, hat aber bislang die Änderungen durch die Novelle nicht nachvollzogen – der Bedarf dafür ist aber nicht so groß wie in Gemeinschaften, die das DSG-EKD fast komplett übernommen haben, da in der BFP-DSO die großen Probleme des alten DSG-EKD (misslungenes berechtigtes Interesse, schlechtere Betroffenenrechte) nicht auftauchen. ## Fazit Die Datenschutzaufsicht selbst zieht ein positives Fazit. Datenschutz sei im Alltag der Gemeinden angekommen. Auch wenn etwas mehr praktische Einschätzungen und Tipps zu konkreten Fragen im Tätigkeitsbericht wünschenswert wären, hinterlässt der Bericht doch einen sehr guten Eindruck vom gelebten Datenschutz im BFP. Wie bei jedem Bericht aus dem BFP muss leider auch dieses Mal betont werden, dass der Bund hinsichtlich der Transparenz ein Solitär im freikirchlichen Bereich ist. Immerhin gibt es mit der Gemeinsamen Datenschutzaufsicht von vier kleineren Freikirchen mittlerweile eine weitere Aufsicht, die Informationen transparent zur Verfügung stellt. ## Bisher veröffentlichte Tätigkeitsberichte der Datenschutzaufsicht des BFP Jahr| Besprechung| Tätigkeitsbericht ---|---|--- 2018/2019| Ausnahmen von der Ausnahme| Tätigkeitsbericht 2018/2019 2020/2021| Coronagesetzgebung| Tätigkeitsbericht 2020/2021 2022/2023| Aufsichtsbekannt archiviert| Tätigkeitsbericht 2022/2023 2024/2025| Vor der Reform| Tätigkeitsbericht 2024/2025 * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *