Die vierte Auflage des Taeger/Gabel^{(Affiliate link)} ist erschienen und kommentiert neben DSGVO auch BDSG und TTDSG. Hier im Blick und interessant ist die Kommentierung von Art. 91 DSGVO, die von Anne Reiher und Karsten Kinast besorgt wurde.

Mit zwölf Seiten ist die Kommentierung kompakt, aber umfassend. In der Stoßrichtung ist sie grundsätzlich auf der Linie der Mehrheitsmeinung der hier bereits besprochenen Kommentarliteratur, im Zweifel mit einer  restriktiveren Auslegung hinsichtlich des Spielraums der Kirchen, und ergänzt durchaus originelle Punkte.

Lesenswert ist die Entstehungsgeschichte. Hier wird auf eine Stellungnahme des Bevollmächtigten des EKD und des Katholischen Büros zitiert, die anscheinend nicht öffentlich verfügbar ist und auch auf die IFG-Anfrage nach Lobbyaktivitäten nicht herausgegeben wurde. (Neue IFG-Anfrage läuft.) Demnach schlugen die Kirchen vor, statt des Erfordernisses des »Einklangs« von kirchlichen Datenschutzgesetzen mit der DSGVO nur von »Gleichwertigkeit« zu sprechen, erfolgreich war die Bitte, auf eine verpflichtende Einrichtung von Datenschutzaufsichten zu verzichten.

Reiher und Kinast vertreten die Ansicht, dass aus der fehlenden Kompetenz der EU, staatskirchenrechtliche Sachverhalte zu regeln, keine generelle Bereichsausnahme für Kirchen entstehe. Mit dem – auch im Kommentar zitierten – Sydow könnte man aber nachfragen: Woher zieht die EU das Recht, rein nationale innerkirchliche Sachverhalte zu erfassen? Hier erwarten die Autor*innen, dass die Frage nach der Geltung kirchlichen Datenschutzrechts außerhalb des Kernbereichs religiöser Betätigung noch einmal an Fahrt gewinnt – die enge Anwendbarkeit nur auf den Kernbereich scheint aber ansonsten (schon wegen der normativen Kraft des Faktischen) kaum noch jemand zu vertreten.

Ein dauerndes Ärgernis ist die etwas umständliche Formulierung von Art. 91 DSGVO, insbesondere, dass sie dem Wortlaut nach eine Stichtagsregelung ist. Das sehen die meisten Kommentierungen kritisch, auch diese, im Gegensatz zur Position der Datenschutzaufsichten. Reiher und Kinast schreiben, dass der Verordnungsgeber nur gemeint haben könne, dass für bereits bestehende Regeln Bestandsschutz gilt, sofern die Regelungen mit der DSGVO in Einklang gebracht werden. Mit Blick auf Art. 17 AEUV, demzufolge die EU den Status der Religionsgemeinschaften nach dem jeweiligen Staatskirchenrecht achtet, sollten demzufolge auch zukünftige Datenschutzregeln von Kirchen und religiösen Vereinigungen oder Gemeinschaften zulässig sein.

Was das Erfordernis »umfassender Regeln« bedeutet, wird als »unklar« bezeichnet. Zur Lösung wird grundrechtlich argumentiert: »Wegen der Grundrechtsbindung, Art. 6 Abs. 1 EUV, kann jedenfalls davon ausgegangen werden, dass die Anforderungen des Art. 8 GRCh bzw. 16 AEVU mindestens zu berücksichtigen sind«, daraus wird dann ein Katalog aus Mindestanforderungen gebildet: Grundsatz des Verbots mit Erlaubnisvorbehalt, Zweckbindungsgrundsatz, Rechtmäßigkeits- und Transparenzgrundsatz, die Achtung von Rechten der Betroffenen sowie die Kontrolle der Einhaltung durch eine unabhängige Stelle.

Auch das Kriterium des »Einklangs« sei unklar. Hier wird eine sehr zurückhaltende Auslegung gewählt, die nicht allzu viel Spielraum übrig lässt: Lediglich Konkretisierungen der DSGVO seien zulässig; auch wenn das nicht explizit formuliert wird, heißt das wohl: Keine Abweichungen nach oben oder unten. (Eine Position, die auch Alexander Golland vertritt, der – trotz seiner Mitwirkung am Kommentar – in der Art.-91-Kommentierung weder mitgewirkt hat noch zitiert wird.) Dass das problematisch ist, geben die Autor*innen selbst zu: Diese Interpretation wirft die Frage auf, warum es dann überhaupt ein eigenes Datenschutzrecht geben soll – hierin komme »gerade die Interessensabwägung zum Ausdruck, die der Verordnungsgeber zwischen Datenschutz und Status der Kirchen vorzunehmen hat«.

Schön: Die Recherchen hier schlagen sich auch in der Wissenschaft nieder. Unter Verweis auf die IFG-Anfrage zu DSK-Protokollen zum Umgang mit spezifischen Aufsichten heißt es: »Die Tätigkeitsberichte der Diözesandatenschutzbeauftragten und des Datenschutzbeauftragten der EKD sowie die Protokolle der DSK deuten an, dass Letztgenannte den kirchlichen Aufsichtsbehörden lediglich einen geringen Beteiligungsspielraum einräumt.«

In der grundsätzlichen Einführung sowie in der Kommentierung der Normen zur Aufsicht wird Art. 91 DSGVO mitgedacht. Bei der Kommentierung von § 18 BDSG fehlen leider Ausführungen, unter welchen Umständen spezifische Aufsichten von den staatlichen einzubeziehen sind – ein durchaus konfliktbehaftetes Thema.

Fazit

Die Art.-91-Kommentierung von Reiher und Kinast ist knapp, aber lesenswert (und angenehm lesbar). Insbesondere die Bestimmung des Kriteriums des »Umfassenden« aus den Grundrechten heraus ist originell und schafft es, einen reichlich unklaren Begriff schlüssig zu operationalisieren – und zwar aus dem EU-Primärrecht.

Überraschend sind die sehr unterschiedlichen Wertungen hinsichtlich der Stichtagsregelung und des Einklangs, die quer zu den üblichen Kommentierungen stehen: Großzügig hinsichtlich der Geltung, eng hinsichtlich des Regelungsspielraums.