Bereits seit 2018 ist das Gesetz über den Kirchlichen Datenschutz (KDG) im Raum der katholischen Kirche in Deutschland in Kraft. Dem vorangegangen war die Europäische Datenschutz-Grundverordnung (EU-DSGVO) von 2016, die in ihrem Artikel 91 Kirchen und Religionsgemeinschaften unter bestimmten Bedingungen die Möglichkeit eröffnet, ein eigenes Datenschutzrecht anzuwenden.
Nach einer mehrjährigen Evaluation liegt nun eine Novelle des Gesetzes über den kirchlichen Datenschutz vor. Der Entwurf ist auf der Webseite der Deutschen Bischofskonferenz einsehbar. Bis 31. Januar können nun Bistümer, der Deutsche Caritasverband und katholische Verbände Rückmeldungen in den Gesetzesentwurf einbringen. Das von der Deutschen Bischofskonferenz beschlossene Gesetz könnte dann von den einzelnen Diözesanbischöfen frühestens Anfang 2026 in Kraft gesetzt werden.
Datenschutz Teil des Kirchenrechts
Die Novelle macht bereits in der Präambel deutlich, dass sie das kirchliche Datenschutzrecht im Kirchenrecht verankert, indem der Text auf Kanon 220 CIC (1983) verweist: Für die katholische Kirche ist der Schutz personenbezogener Daten Bestandteil des Rechts auf den Schutz der Intimsphäre. Dieser Schutz soll künftig in gleicher Weise ehrenamtlich Tätigen zukommen, die Hauptberuflichen gleichgestellt werden. Unklar bleibt indes der Anwendungsbereich des Gesetzes außerhalb kirchlicher Einrichtungen, die unmittelbar den Diözesanbischöfen unterstehen.
Thema Missbrauch fordert gesonderte Regelung
Ein Schwerpunkt des künftigen KDG soll in der Aufarbeitung sexuellen Missbrauchs liegen. So soll die Datenverarbeitung personenbezogener Daten zur institutionellen Aufarbeitung erleichtert werden. Dazu soll festgeschrieben werden, dass Aufarbeitung immer im "überragenden kirchlichen Interesse" ist. Eine ähnliche Formulierung findet sich an anderer Stelle des neuen Gesetzes, mit der analog zu einem "erheblichen öffentlichen Interesse" im Bundesdatenschutzgesetz (BDSG) ein erhebliches kirchliches Interesses die Verarbeitung personenbezogener Daten zulässt.
Beobachter bemängeln an dem derzeit vorliegenden Entwurf, dass dieses spezifisch "kirchliche Interesse" nicht näher inhaltlich gefasst wird. Es brauche eine konkretisierende Regelung, die Rechtsklarheit schafft.
Dennoch liegt bei der Reform ein Schwerpunkt auf spezifisch kirchlichen Besonderheiten im Datenschutzrecht, das wiederum im Einklang mit dem europäischen Recht stehen muss: Auch in der Kirche darf kein schwächerer Datenschutz herrschen als nach der Datenschutzgrundverordnung.
Berücksichtigung kirchenspezifischer Besonderheiten
Erstmals ist eine ausdrückliche Ausnahme vom Recht auf Löschung für Taufregister und andere Kirchenbücher geplant, ein Artikel regelt das "Streaming" von Gottesdiensten im Internet. Sehr spezifisch für die katholische Kirche fallen die Regelungen zur Datenübermittlung an Drittstaaten und nicht-staatliche Völkerrechtssubjekte aus: Sie soll auch dann zulässig sein, wenn sie "aufgrund kirchenrechtlicher Vorschriften oder in Wahrnehmung kirchlicher Aufgaben an den Heiligen Stuhl oder an den Staat der Vatikanstadt" erfolgt.
Vordergründige Erleichterungen für kirchliche Stellen dürften mit einer weiteren Angleichung des KDG an die DSGVO einhergehen. Künftig würde es laut Novelle keinen Zwang zur schriftlichen Einwilligung in die Datenverarbeitung mehr geben. Ebenso sollen kirchliche Einrichtungen erst ab 20 Mitarbeiterinnen und Mitarbeitern einen betrieblichen Datenschutzbeauftragten bestellen, der dann auch eine juristische Person sein dürfte. Bislang müssen kirchliche Einrichtungen bereits ab zehn Mitarbeiterinnen und Mitarbeitern einen Datenschutzbeauftragten benennen. Dennoch: Auch kleinere Einrichtungen müssen den Datenschutz voll gewährleisten.
Anpassung der Bußgelder
Kritisch kommentiert wurde in der Vergangenheit, dass der Rahmen der Bußgelder im KDG erheblich geringer ausfiel als in der DSGVO. Letztere steckt den Bußgeldrahmen mit bis zu 20 Millionen Euro oder im Fall eines Unternehmens bis zu vier Prozent des gesamten weltweit erzielten Umsatzes des vorangegangenen Geschäftsjahres ab. Dahinter bliebe das neue KDG zwar zurück, doch wird der Rahmen nach oben angepasst: Die maximale Höhe des Bußgelds soll von 500.000 Euro auf eine Million Euro steigen. Bei auf dem freien Markt tätigen kirchlichen Einrichtungen und Trägern sollen Bußgelder bis zu drei Millionen Euro möglich werden.
Neue EU-Datenschutzregelungen
Nach zweijähriger Übergangsfrist gelten in Europa einheitliche Datenschutzregeln. Alle 28 EU-Staaten müssen die sogenannte Datenschutz-Grundverordnung anwenden. Dadurch wird die Verarbeitung personenbezogener Daten durch Unternehmen, Vereine oder Behörden deutlich strenger geregelt als bisher.
