Immer noch sind die wissenschaftlichen Veröffentlichungen zum Datenschutzrecht der Kirchen sehr übersichtlich; vieles ist noch unklar, auch weil der Art. 91 DSGVO, der Religionsgemeinschaften eigenes Datenschutzrecht ermöglicht, bei näherer Betrachtung einige Unklarheiten aufweist. Dem Wortlaut nach schreibt der Artikel nur einen Bestandschutz für bereits bestehendes Datenschutzrecht der Religionsgemeinschaften fest – auch wenn das kaum mit dem Religionsverfassungsrecht (mancher) Mitgliedstaaten vereinbar ist, dem der Vertrag über die Arbeitsweise der EU (AEUV) in seinem Art. 17 wiederum Bestandschutz gewährt.

Während etwa die deutsche Datenschutzkonferenz Art. 91 wörtlich-restriktiv auslegt, reihen sich Mario Martini und Jonas Botta ein unter die Kommentatoren, die den Artikel im Licht von Religionsfreiheit und Selbstverwaltungsrecht interpretieren. Die Juristen am Deutschen Forschungsinstitut für öffentliche Verwaltung (FÖV) – Martini als Leiter des Programmbereichs Digitalisierung, Botta als Forschungsreferent – haben in der aktuellen Ausgabe von »Die Öffentliche Verwaltung« einen Aufsatz mit dem Titel »Kirchliche Datenschutzgerichtsbarkeit zwischen Selbstbestimmungsrecht und Rechtsschutzgarantie« (DÖV 2020, S. 1045–1054) veröffentlicht, in dem sie sich schwerpunktmäßig mit dem Verhältnis kirchlicher Datenschutzgerichtsbarkeit zu Rechtsschutzvorgaben der DSGVO und des Unionsrechts befassen. Über die Frage der Datenschutzgerichtsbarkeit hinaus liefern sie einige gute Argumente zur Interpretation von Art. 91 DSGVO.

Der Artikel zu »Bestehende[n] Datenschutzvorschriften von Kirchen und religiösen Vereinigungen oder Gemeinschaften« interpretieren die Autoren als »Öffnungsklausel sui generis«, die sich nicht an Mitgliedstaaten, sondern unmittelbar an die Religionsgemeinschaften richte. Die Norm solle »die Autonomie der Kirchen wahren, nicht aber ihren Status infrage stellen«. Eigenes Datenschutzrecht hänge dabei nicht von einer mitgliedstaatlichen Rechtsgrundlage ab: »Die Kirchen sind vielmehr kraft unionsrechtlichen Befehls unmittelbar dazu befähigt, eigenes Datenschutzrecht zu erlassen.« Interessant wäre, wie der Staat im laizistischen Frankreich reagieren würde, wenn sich dort eine Kirche diese religionsfreiheitsfreundliche Lesart zu eigen machen würde – aber auch in Deutschland klingen die Verlautbarungen der Aufsichten bisweilen, als brauche es für die Inanspruchnahme eigenen Datenschutzrechts ein staatliches Plazet.

Gegen enge Auslegung von Art. 91 DSGVO

Martini und Botta wenden sich auch gegen eine allzu wörtliche Auslegung von Art. 91 DSGVO, derzufolge tatsächlich alle Religionsgemeinschaften, die nicht bis zum Inkrafttreten der DSGVO, also dem 25. Mai 2016, von der Möglichkeit einer eigenen Regelung ausgeschlossen wären: »Ein objektiver sachlicher Grund, der eine derartige zeitlich bedingte Ungleichbehandlung zwischen Religionsgemeinschaften rechtfertigen könnte, erschließt sich nicht. Ein solcher wäre aber erforderlich, damit sich die Vorschrift mit Art. 20 GRCh vereinbaren ließe.« Ein reiner Bestandschutz inklusive eines Verständnisses, das Weiterentwicklung des Rechts ausschlösse, widerspreche im übrigen auch dem Ziel von Art. 91 DSGVO, das Datenschutzniveau der Religionsgemeinschaften in Einklang mit den EU-Schutzstandards zu halten. Den Kirchen sei dabei auch ein »Mindestmaß regulatorischen Spielraums« zu gewähren; eine Ansicht, die mit Blick auf die Kommentarliteratur nicht immer selbstverständlich ist.

Dass beide große Kirchen in Deutschland eine eigene für Datenschutzfragen zuständige Gerichtsbarkeit unterhalten – die katholische mit eigenen Datenschutzgerichten, die EKD im Rahmen ihrer schon zuvor etablierten Verwaltungsgerichtsbarkeit – ist in der DSGVO nicht explizit geregelt; die Autoren sehen ihre Einrichtung aber als möglich an, solange sie den Vorgaben des EU-Rechts entsprechen, indem sie unabhängig und ihre Rechtsbehelfe wirksam sind. Das bejahen Martini und Botta für die kirchlichen Gerichte. Auch die Ehrenamtlichkeit der Richter*innen und das Erfordernis der Kirchenzugehörigkeit sei dafür kein Hindernis. Die fehlende Zwangsvollstreckungsbefugnis der Kirchen sei ebenfalls kein Hindernis, da hier subsidiär die staatlichen Gerichte einspringen können. (Ähnlich argumentiert auch der bayerische Diözesandatenschutzbeauftragte Jupp Joachimski in seinem online veröffentlichten Aufsatz »Das Datenschutzgesetz der katholischen Kirche und das Recht der Ordnungswidrigkeiten«).

Können kirchliche Gerichte beim EuGH vorlegen?

Ein interessanter Aspekt ist die Frage, ob kirchliche Gerichte beim Europäischen Gerichtshof vorlageberechtigt sind, die Martini und Botta bejahen: »Allein die mittelbare Bindung an die EuGH-Rechtsprechung – ohne gleichzeitig bestehende Vorlageberechtigung – gewährleistete nicht hinreichend, dass Betroffene innerhalb eines zumutbaren Zeitkorridors Rechtssicherheit erlangen. Aufgrund der Funktion als ›Vorschaltgerichtbarkeit‹ der staatlichen Justiz sind die Kirchengerichte mithin zwar nicht nach Art. 267 Abs. 3 AEUV verpflichtet, sehr wohl aber berechtigt«, so die Autoren.

Lohnend (allerdings Aufgabe der Kanonistik) wäre hier die kirchenrechtliche Gegenblende: Sind die katholischen Datenschutzgerichte nach kirchlichem Recht zur Vorlage berechtigt, wenn sie Zweifel an der Europarechtskonformität einer kirchlichen Norm haben? Die (katholische) Kirchliche Datenschutzgerichtsordnung schließt nämlich eine Normenkontrolle durch die Kirchengerichte explizit aus (§ 2 Abs. 1 S. 2 KDSGO). Eine Normenkontrolle kennt das kirchliche Recht grundsätzlich nicht, wobei seit der Apostolischen Konstitution Pastor Bonus (Art. 158) immerhin der Päpstliche Rat für die Gesetzestexte die Kompetenz hat, die Vereinbarkeit von kirchlichem Partikularrecht mit gesamtkirchlichen Gesetzen zu überprüfen.

Insbesondere das Erfordernis des »Einklangs« aus Art. 91 DSGVO wirft Fragen nach der Europarechtskonformität von Regelungen des kirchlichen Datenschutzrechts auf. Ob etwa die deutliche Reduzierung der Höchstsumme für Bußgelder (§ 51 Abs. 5) oder die Möglichkeit einer »Selbstzertifizierung« von Drittlandtransfers durch Verantwortliche (§ 40 Abs. 2 lit. b)) noch »im Einklang« stehen, ist fraglich. Hier wäre zu erörtern, ob eine entsprechende Vorlage beim EuGH durch eines der kirchlichen Datenschutzgerichte eine unzulässige »Überprüfung der Rechtmäßigkeit von kirchlichen Rechtsnormen« darstellen würde. Eine explizite Ermächtigung zur Vorlage enthält die KDSGO jedenfalls nicht.

(Im Bereich der EKD bestehen die ekklesiologischen Probleme, die im katholischen Bereich eine Normenkontrolle durch Gerichte ausschließen, wohl nicht; anders als in der katholischen Kirche ist dort Gewaltenteilung realisiert – die Grundordnung der EKD befasst sich aber ausschließlich mit der Normenkontrolle durch den EKD-Verfassungsgerichtshof am Maßstab der Grundordnung, Art. 32c Abs. 1 GO-EKD.)

Fazit

Martini und Botta leisten einen wichtigen Beitrag auf einem rechtswissenschaftlich immer noch viel zu wenig ausgeleuchteten Bereich. Erfreulich ist, dass sie den Artikel 91 DSGVO klar von der Religionsfreiheit und dem Selbstverwaltungsrecht der Kirchen her denken – eine Interpretation, die allerdings angesichts des restriktiven Wortlauts gerade bei religiös weniger musikalischen Instanzen (wie es die deutschen Datenschutzaufsichten zu sein scheinen) nicht sonderlich eingängig und naheliegend sein dürfte. Angesichts des erkennbaren Fremdelns staatlicher Aufsichten und der bekannten Skepsis des EuGH gegenüber religiösen Sachverhalten ist der Artikel ein wertvoller Beitrag, um Verständnis für religiöse Selbstverwaltung im Kontext europäischen Rechts zu schaffen.

Mit der katholischen Datenschutzgerichtsbarkeit hat die Kirche Neuland beschritten und sich einer allgemeinen Verwaltungsgerichtsbarkeit immerhin etwas genähert. Bisher war eine Beschäftigung damit eher theoretisch. Wünschenswert wäre es, wenn zu den weltlich-juristischen Überlegungen von Martini und Botta die Frage nach dem innerkirchlichen Umgang mit Rechtsschutz auch kirchenjuristisch am konkreten Fall und mit Blick auf die Verwebung mit dem Europarecht angegangen würde.