Das schönste Gesetz nutzt nichts, wenn es nicht auch umgesetzt wird. Beim Datenschutzrecht ist ein Faktor dabei die Leistungsfähigkeit der Aufsicht. Der Europäische Datenschutzausschuss EDPB hat daher die Aufsichtsbehörden der Staaten, in denen die DSGVO gilt, unter die Lupe genommen und ihre Ressourcenausstattung verglichen: »Overview on resources made available by Member States to the Data Protection Authorities and on enforcement actions by the Data Protection Authorities«. Aufgrund des Prinzips der federführenden Behörde (»one stop shop«) hat eine schlecht ausgestattete Aufsicht Auswirkungen auf alle – »a lack of resources in a supervisory authority competent to handle cross-border cases, can after all have tangible consequences for citizens across the EU«.

Nicht betrachtet wurde die Ausstattung der kirchlichen Aufsichtsbehörden, die (mindestens in Deutschland und Polen) einen beachtlichen Teil von Stellen beaufsichtigen, die oft mit besonders sensiblen Daten hantieren. Der von den Kirchen geforderte Einklang mit dem DSGVO-Datenschutzniveau steht und fällt dort, wo eigene Aufsichten eingerichtet werden, mit deren Ausstattung. Ein Blick in Tätigkeitsberichte und Kirchenhaushalte kann zumindest ein wenig Licht ins Dunkel bringen.

Die Situation in den Staaten mit DSGVO

Man kennt die Klagen: Den Aufsichten fehlen die Ressourcen. Nur 14 Prozent der staatlichen Aufsichtsbehörden in den Ländern, die DSGVO anwenden, sehen sich personell ausreichend ausgestattet, beim Budget sind 18 Prozent zufrieden. Die finanzielle Ausstattung bewegt sich dabei für das Jahr 2021 zwischen 620.000 Euro (Malta) und knapp 95 Millionen Euro (Deutschland), übliche Ausstattungen liegen im hohen einstelligen bis niedrigen zweistelligen Millionenbereich.

Neun Staaten haben mehr als 100 Vollzeitstellenäquivalente, nämlich um die 175, auch hier wieder mit Deutschland an der Spitze (1083), das Schlusslicht ist Litauen mit 7. Insgesamt liegt der Medianwert bei 60 Stellen.

Ausstattung der landeskirchlichen Aufsichten

Im Gebiet der EKD gibt es vier Aufsichten: Der BfD EKD für die meisten Landeskirchen und diakonischen Werke, die Aufsichten der Landeskirche der Pfalz und der Nordkirche, und der Datenschutzbeauftragte für Kirche und Diakonie für je zwei ostdeutsche Landeskirchen und diakonische Werke.

Umfassende öffentlich einsehbare Transparenz über die Ausstattung gibt es dabei lediglich beim BfD EKD, der für die meisten Landeskirchen und diakonischen Werke zuständig ist: Laut aktuellem Tätigkeitsbericht hat die Aufsicht zum 31. Mai 2021 »insgesamt 22 aktivierte (Plan-)Stellen«. Das Budget geht aus dem EKD-Haushaltsplan hervor: 1,6 Millionen Euro sind für Personalkosten eingestellt, 505.000 Euro für ordentliche Aufwendungen. Budget und Personalausstattung liegen damit am nächsten an der Ausstattung der isländischen Aufsicht (1,9 Millionen Euro, 19 Stellen).

Der Datenschutzbeauftragte für Kirche und Diakonie äußert sich im Tätigkeitsbericht weder zu konkreten Zahlen noch zur Personalausstattung. Immerhin erfährt man, dass die Außenstelle Chemnitz aus je einer halben Stelle Leitung und Sachbearbeitung und die Außenstelle Radebeul von einer Person besetzt ist; zur Außenstelle Halle an der Saale gibt es keine Angaben. Dafür äußert sich der Datenschutzbeauftragte als einziger der evangelischen Aufsichten deutlich kritisch zur Ausstattung: »Sowohl kirchliche als auch staatliche (nationale) Datenschutzaufsichtsbehörden verfügen über geringe personelle Ressourcen«, so der DSB f. KD. Das treffe auch für seine Behörde zu: »Die Datenschutzaufsichtsbehörde wurde mit Anfragen geradezu überhäuft, was nur ein Reagieren ermöglichte und ein strukturiertes (effektiveres) Arbeiten überlagerte«, was sich allerdings auf die erste Zeit mit dem neuen Datenschutzgesetz konzentriert habe und später abgenommen habe.

Bei den anderen evangelischen Aufsichten ist deutlich weniger verfügbar: Aus der Pfalz und der Nordkirche sind lediglich die Datenschutzbeauftragten bekannt (im Norden mit Stellvertretung), weiteres Personal und Budget nicht, auch aus den Berichten und veröffentlichten Angaben zum landeskirchlichen Haushalt geht nichts dazu hervor.

Ausstattung der römisch-katholischen Aufsichten

Im katholischen Bereich gibt es fünf sehr unterschiedlich ausgestattete Aufsichten: NRW, Bayern, der Südwesten, der Norden und der Osten decken die Bistümer in der Fläche ab, dazu kommt die gemeinsame Aufsicht für die Orden päpstlichen Rechts. Der Verband der Diözesen Deutschlands wird von der NRW-Behörde beaufsichtigt, das Militärbischofsamt von der KDSA Ost.

Leider ist auch hier nur eine Behörde umfassend transparent, nämlich das für NRW zuständige Katholische Datenschutzzentrum Dortmund. Im aktuellen Tätigkeitsbericht werden elf Planstellen genannt, nicht besetzt ist lediglich die stellvertretende Leitung. Das Budget für 2021 liegt bei 1,39 Millionen Euro. Im europäischen Vergleich liegt das Budget damit zwischen Lettland und Bulgarien, die Personalausstattung liegt in der Mitte zwischen Liechtenstein und Malta. Im kirchlichen Vergleich steht die Aufsicht auch gut da: Vergleichbare Geldmittel und halb so viele Stellen wie die EKD-Aufsicht, die für 16 Gliedkirchen (statt fünf Bistümer) mit mehr als doppelt so vielen Mitgliedern zuständig ist.

Besonders schlecht ausgestattet ist die bayerische Aufsicht. Im vergangenen Jahr gab es einen sehr deutlichen Hilferuf des Diözesandatenschutzbeauftragten, der selbst nur in Teilzeit arbeitet (und sein Amt weit über das Rentenalter und die eigentlich vorgesehene Amtszeit hinaus ausübt) und sonst nur einen IT-Referenten hat: Er kümmere sich selbst um die Büroorganisation, vertritt sich im Urlaub selbst, die personelle und finanzielle Ausstattung reiche nicht zur Erfüllung der Mindestanforderungen des KDG: »Selbst unter gebührender Berücksichtigung der in Bayern stärker ausgeprägten Einführung „Leitender“ betrieblicher Datenschutzbeauftragter bleibt die bayerische kirchliche Datenschutzaufsicht stark hinter den vergleichbaren Dienststellen anderer Bundesländer, aber auch gegenüber staatlichen Datenschutzaufsichten zurück, so dass auf Dauer die Gleichwertigkeit in Frage steht.«

Die KDSA Nord gibt in ihrem Tätigkeitsbericht vier Vollzeitstellen an, inklusive Verwaltung, über das Budget erfährt man nichts. Die genaue Ausstattung im Osten und Südwesten ist aus den Tätigkeitsberichten nicht ersichtlich. Ein Organigramm der KDSA Ost weist neben dem Leiter der Behörde vier Referate und eine Verwaltungskraft aus, bei der Ordensaufsicht sind nur die drei Jurist*innen bekannt, die mit unbekanntem Stellenumfang die Aufsicht ausüben (und von denen einer der bayerische DDSB ist).

Im Bericht des KDSZ Frankfurt wird eine Aufstockung um eine weitere Verwaltungskraft und einen IT-Referenten erwähnt, außerdem wurde vor kurzem eine IT-Sachbearbeitungs-Stelle ausgeschrieben. Der einzige Anhaltspunkt für das Budget findet sich im detaillierten Haushaltsplan der Diözese Rottenburg-Stuttgart, der den Bistumszuschuss für 2021 auf 364.600 Euro beziffert. Unter den sieben beteiligten Diözesen ist Rottenburg-Stuttgart das nach Katholik*innenzahl zweitgrößte, das Budget dürfte also deutlich unter dem siebenfachen dieser Zahl liegen, bei einer Aufteilung nach Katholik*innenzahl wären es immer noch überraschend hohe 1,7 Millionen Euro.

Fazit

Die Vergleichbarkeit mit staatlichen Aufsichtsbehörden ist für das System des kirchlichen Datenschutzes essentiell. Der Vergleich ist aber aufgrund der sehr unterschiedlichen Struktur schwierig: Kirchliche Aufsichten sind lediglich für kirchliche Stellen zuständig, während die staatlichen Aufsichten für alle in ihrem Gebiet zuständig sind, die der DSGVO unterfallen, also auch Einzelpersonen, die mit ihrem Handeln den Bereich des Haushaltsprivilegs verlassen. Dazu kommt eine deutlich straffere Organisation kirchlicher Stellen, von denen die meisten in die bischöfliche oder landeskirchliche Hierarchie oder Caritas und Diakonie mehr oder weniger eng eingegliedert sind, anders als die unzähligen eigenständigen Stellen in der Privatwirtschaft und Zivilgesellschaft.

Da wo Zahlen umfassend bekannt sind, also beim BfD EKD und der katholischen NRW-Aufsicht, wirkt die Ausstattung unter diesen Bedingungen durchaus vergleichbar und erweckt den Eindruck, dass so die Aufgaben auch erfüllt werden können. Bedenklich ist allerdings, dass in beiden Kirchen anderswo deutliche Mahnungen bis hin zu drastischen Hilferufen in Bayern zu hören sind. Bedenklich ist auch, dass im katholischen Bereich immer weniger Statistiken zur Aufsichtstätigkeit veröffentlicht werden – soll damit verschleiert werden, dass die Personalausstattung bei weitem nicht ausreicht, um in die Fläche zu gehen? Die in der Vergangenheit veröffentlichten Zahlen wirkten jedenfalls sehr gering.

Gerade im katholischen Bayern dürfte es derzeit trotz des großen Engagements des Diözesandatenschutzbeauftragten – weit über Alters- und Stellenumfangsgrenzen hinaus – keine effektive Datenschutzaufsicht geben. Die Freisinger Bischofskonferenz wäre gut beraten, ihren schon vor Jahren getroffenen Beschluss zur Einrichtung eines Datenschutzzentrums Nürnberg endlich umzusetzen – mit adäquater Ausstattung.