Schon lange fordern die Gewerkschaften ein eigenes Beschäftigtendatenschutzgesetz, passiert ist bisher kaum etwas – immerhin hat die Ampelkoalition »Regelungen zum Beschäftigtendatenschutz« in ihrem Koalitionsvertrag angekündigt und das Arbeitsministerium einen Bericht des zuständigen Beirats veröffentlicht. Nun sollen der Regierung Beine gemacht werden.

Der Deutsche Gewerkschaftsbund hat nun die Sache in die eigenen Hände genommen und einen Entwurf für ein eigenständiges Beschäftigtendatenschutzgesetz vorgelegt. Erklärtes Ziel des DGB ist es, dabei auch die kirchlichen Beschäftigten zu erfassen, so hat es schon der 21. DGB-Bundeskongress 2018 beschlossen. Ein Blick in den Gesetzesentwurf zeigt aber: Auch wenn dieses Gesetz den Kirchen wahrscheinlich endlich einen ausführlich geregelten Beschäftigtendatenschutz bescheren würde, bleiben doch einige Fragen im Zusammenspiel mit dem kirchlichen Datenschutz offen. (Eine Presseanfrage dazu an den DGB vom Montag ist bisher noch nicht beantwortet.)

Die aktuelle Rechtslage

Immer noch ist der Beschäftigtendatenschutz sehr sparsam reguliert. § 26 BDSG regelt die Materie in acht wenigstens nicht allzu knappen Absätzen, die kirchlichen Datenschutzgesetze sind mit § 53 KDG und § 49 DSG-EKD recht unterschiedlich ausgeprägt. Dass das BDSG entsprechende Regelungen überhaupt trifft und ein ausführliches Beschäftigtendatenschutzgesetz europarechtlich zulässig wäre, regelt die Öffnungsklausel in Art. 88 DSGVO, die Mitgliedstaaten einen eigenen Beschäftigtendatenschutz zubilligt.

Das katholische Datenschutzgesetz kommt mit vier Absätzen aus. In der Praxis fällt dabei vor allem auf, dass die detaillierten Regeln zur Einwilligung fehlen, außerdem tauchen Dienstvereinbarungen als Rechtsgrundlage nicht auf, dafür dürfen »Daten über die Religionszugehörigkeit, die religiöse Überzeugung und die Erfüllung von Loyalitätsobliegenheiten« explizit verarbeitet werden.

Das evangelische Datenschutzgesetz fällt in § 49 DSG-EKD durch die Abs. 4–7 auf, die in ihren Regelungen zur Weitergabe an Dritte, zum Umgang mit medizinischen oder psychologischen Untersuchungen und expliziten Löschpflichten über das BDSG hinausgehen. Hier taucht auch eine Regelung zur Verwendung von Daten für die Missbrauchsaufarbeitung im Rahmen des erst kürzlich eingefügten § 50a DSG-EKD auf.

Der DGB-Vorschlag

Der Entwurf wurde von Peter Wedde zusammen mit den Gewerkschaften verfasst. Weddes zusammen mit Thilo Weichert herausgegebener DSGVO-Kommentar hält den Spielraum für den kirchlichen Datenschutz so kompakt wie kein anderer. Der DGB-Vorschlag ist sehr ausführlich, daher soll es hier nur um die Wechselwirkungen mit dem kirchlichen Datenschutz gehen. Mehr zu den materiellen Regelungen gibt es bei Heise und im Interview mit DGB-Bundesvorständin Anja Piel beim Bund-Verlag.

Anwendungsbereiche

Drei Paragraphen regeln den Anwendungsbereich: § 2 den sachlichen, § 3 den persönlichen und § 4 den räumlichen. Eine Bestimmung zieht sich durch: »für alle«. Das Gesetz gilt »für alle Verarbeitungen«, »für alle Beschäftigtendaten«, »für alle beteiligten Beschäftigten und Arbeitgeber«, »für alle natürlichen oder juristischen Personen, Behörden, Einrichtungen oder andere Stellen« im In- und Ausland.

Damit klingt der Anwendungsbereich möglichst weit gespannt. Dem Wortlaut nach fallen auch kirchliche Einrichtungen darunter: sie fallen unter »alle Arbeitgeber«, sie sind juristische Personen, mindestens aber »andere Stellen«. Daten ihrer Beschäftigten fallen unter »alle Beschäftigtendaten«. Das »beredte Schweigen« des alten BDSG, das den kirchlichen Datenschutz erst ermöglicht hat, gibt es hier nicht: Den Fehler, von öffentlichen und nicht-öffentlichen Stellen zu sprechen und die öffentlichen so zu definieren, dass die kirchlichen Körperschaften nicht darunter fallen, wiederholt das DGB-BeschDSG nicht.

Dennoch lässt sich diskutieren, ob ein solches BeschDSG im Bereich der Kirche gelten würde: Für den katholischen Bereich liest sich § 2 Abs. 2 KDG sehr eindeutig. Besondere staatliche Rechtsvorschriften gehen dem KDG vor, sofern sie dessen Niveau nicht unterschreiten. Das dürfte gegeben sein, § 53 KDG demnach eher sicher ausgehebelt sein. Das evangelische Datenschutzgesetz ist weniger eindeutig formuliert: »Soweit andere Rechtsvorschriften, die kirchliche Stellen anzuwenden haben, die Verarbeitung personenbezogener Daten regeln, gehen sie diesem Kirchengesetz vor«, regelt § 6 Abs. 2 DSG-EKD. Haben kirchliche Stellen das BeschDSG nun anzuwenden oder gerade nicht, weil das DSG-EKD selbst den Beschäftigtendatenschutz regelt, wenn auch rudimentärer als der Entwurf? Immerhin gibt es in § 49 DSG-EKD schon einige Regelungen, die im BDSG noch fehlen. Da das TTDSG recht selbstverständlich vom BfD EKD als in der Kirche anwendbar erklärt wurde, darf man ähnliches eigentlich auch von einem BeschDSG erwarten – allerdings ist das Konfliktpotential bei Beschäftigungsverhältnissen deutlich höher als bei Cookie-Gedöns, da könnte es zu Streit kommen.

Besondere Regelungen für Religionsgemeinschaften

Nur eine einzige Norm nimmt explizit Bezug auf religiöse Besonderheiten, sieht man einmal von den allgemeinen Verweisen (sowie einem konkreten in § 20 Abs. 1 Nr. 3 BeschDSG) auf die besonderen Kategorien personenbezogener Daten aus Art. 9 DSGVO ab. Beim Fragerecht des Arbeitgebers werden direkte oder indirekte Fragen zur religiösen Anschauung als unzulässig erklärt, »es sei denn, es handelt sich um eine Beschäftigung bei einer Religionsgemeinschaft im Verkündungs- oder verkündungsnahen Bereich« (§ 13 Abs. 4 Nr. 6); für Weltanschauungsgemeinschaften gilt sinngemäß das gleiche (Nr. 10).

Verweise auf staatliche Gesetze mit kirchlichen Äquivalenten

Naturgemäß wird auf Regelungen der DSGVO, des BDSG und (einmal) des BetrVG verwiesen – also Gesetze, die in den Kirchen nicht angewandt werden. Ein paralleler Fall im Bereich des Datenschutzrechts liegt bereits mit dem TTDSG vor. Hier haben die kirchlichen Datenschutzaufsichten die Position vertreten, dass die entsprechenden Verweise sinngemäß als Verweise auf die äquivalente kirchliche Norm anzuwenden sind.

Interessanter dürften die Verweise auf Tarifverträge und Kollektivvereinbarungen sein, die als Rechtsgrundlagen herangezogen werden können. § 9, Erforderlichkeit, nennt keine Arbeitsverträge als Rechtsgrundlage – das dürfte bei kirchlichen Verträgen, die auf die kirchlichen Arbeitsvertragswerke als AGB, nicht aber auf Tarifverträge verweisen, zu Problemen führen. Kirchliche Dienstvereinbarungen dürften dafür weniger problematisch sein, da durchgängig allgemein auf Kollektivvereinbarungen verwiesen wird, einmal in Klammern nach Betriebs- und Dienstvereinbarungen (gemeint sind allerdings wohl die Dienstvereinbarungen von Personalräten, die kirchlichen Dienstvereinbarungen wohl eher zufällig erfasst).

Damit würde die Rechtslage für die Anwender*innen des KDG sogar verbessert: Dort fehlt aus unerfindlichen Gründen der Verweis auf Dienstvereinbarungen als Rechtsgrundlage, lediglich bei der Verarbeitungen besonderer Kategorien werden sie explizit genannt (§ 11 Abs. 2 lit. b)). (Fuhrmann kommentiert allerdings in Sydows KDG-Kommentar zu § 53, RN 9: »In datenschutzrechtlicher Hinsicht stellen die kirchlichen Kollektivvereinbarungen spezifisch kirchenarbeitsrechtliche Verpflichtungen im Sinne des § 6 Abs. 1 d) KDG dar, denen der Verantwortliche unterliegt.«)

Das DGB-BeschDSG führt in § 34 ein Verbandsklagerecht ein: »In Betrieben oder Dienststellen vertretene Gewerkschaften können die Verletzung der Rechte der Beschäftigten nach diesem Gesetz und nach anderen gesetzlichen datenschutzrechtlichen Vorschriften durch kollektive Maßnahmen gegen die Verantwortlichen gerichtlich geltend machen.« Hier wäre der Rechtsweg interessant: Könnte eine Gewerkschaft dann vor dem kirchlichen Datenschutzgericht klagen? Das gibt die KDSGO momentan nicht her. Oder würde sie vor dem staatlichen Gericht klagen? Das käme beim kirchlichen Gesetzgeber kaum gut an.

Fazit

Das DGB-BeschDSG ist natürlich eine gewerkschaftliche Maximalforderung, die sicher nicht so kommen wird – auch wenn Innen- und Arbeitsministerium in SPD-Hand sind. In der Sache wäre ein solches BeschDSG sicher kein Schaden, weder für kirchliche noch für alle anderen Arbeitsverhältnisse. Gerade im Bereich des KDG täte eine bessere und ausführlichere Regelung Not.

Es spricht einiges dafür, dass ein Entwurf wie der vom DGB trotz eigenem kirchlichen Datenschutz auch in den Kirchen anzuwenden sein dürfte – der Weg dahin, und vor allem die Schaffung von Rechtsklarheit, könnte aber steinig werden. Hier wäre eine explizite Formulierung im BeschDSG zur Geltung auch in Religionsgemeinschaften, die von Art. 91 Abs. 1 DSGVO Gebrauch machen, sicher hilfreich.