Das DSG-EKD sieht anders als die DSGVO kein eigenständiges Recht auf Erhalt einer Kopie vor – was die EU-Verordnung in Art. 15 Abs. 3 regelt, fehlt in § 19 DSG-EKD schlicht. In seiner ersten Entscheidung zum evangelischen Datenschutzrecht hatte sich der Verwaltungssenat des EKD-Kirchengerichtshof damit auseinanderzusetzen – und sorgt mit seinem Urteil für eine große Überraschung.

Die Entscheidungsgründe sind vom Kirchengericht noch nicht zur Veröffentlichung freigegeben, sie liegen mir allerdings aus ungenannter Quelle vor (Kirchengerichtshof, Verwaltungssenat, Urteil vom 9. September 2022, Az. 0135/4-2020).

Wie so oft sind Behandlungsunterlagen in dem Fall der Ausgangspunkt. Dabei bleibt es aber nicht: Die eigentlichen Akten sind verschwunden, die betroffene Person verlangte von der befassten Datenschutzaufsicht Kopien von Akten und klagte sie nun erfolgreich ein. Der Verwaltungssenat griff dabei zu einer Argumentation, die das Potential hat, das evangelische Datenschutzrecht als Ganzes ins Wanken zu bringen, wenn sich die Rechtsprechung verstetigen sollte – was aber sehr unwahrscheinlich ist.

Der Fall

Die betroffene Person hatte zwei diakonischen Einrichtungen Unterlagen mit Gesundheitsinformationen zur Vorbereitung einer Behandlung übergeben. Zur Behandlung kam es nicht, die Unterlagen hat der Kläger auch nicht zurückerhalten. Von der Datenschutzaufsicht – dem heutigen BfD EKD – forderte er die Unterlagen zurück, die diese wohl von den beiden Einrichtungen im Laufe des Verfahrens erhalten hatte. Die Aufsicht konnte aber nur feststellen, dass die Unterlagen verloren gegangen sind und die diakonischen Einrichtungen eine Datenschutzverletzung begangen haben. Daraufhin forderte der Kläger von der Aufsicht Kopien des ganzen Schriftverkehrs in dieser Sache.

Die Entscheidung

Erste Instanz

Die Verwaltungskammer des EKD-Kirchengerichts hatte für den Kläger entschieden – und zwar mit Verweis auf die DSGVO (Az. 0136/A 10-2019). Obwohl § 19 Abs. 1 DSG-EKD nur einen Anspruch auf Auskunft normiere, bestehe ein Recht auf Kopie in Rückgriff auf Art. 15 Abs. 3 DSGVO. Das folge aus dem von Art. 91 Abs. 1 DSGVO geforderten Einklang von DSGVO und kirchlichem Datenschutzrecht: »Die Schutzlücke, die § 19 DSG-EKD enthalte, dürfe nicht offen bleiben, sondern sei durch die unmittelbare Anwendung des Artikel 15 DSGVO zu schließen«, zitiert der Verwaltungssenat die erste Instanz.

Im Ergebnis wurde die Aufsicht verpflichtet, dem Kläger Kopien aller ihm vorliegenden Unterlagen in der Streitsache zu überlassen.

Zweite Instanz

Die Revision gegen die Entscheidung der Verwaltungskammer wurde vom Verwaltungssenat zurückgewiesen. Auch die zweite Instanz geht davon aus, dass die Lücke im DSG-EKD durch den Rückgriff auf die DSGVO-Norm zu füllen ist. Dazu wird festgestellt, dass § 19 DSG-EKD nicht mit Art. 15 Abs. 3 DSGVO in Einklang stehe.

Ausführlich wird die Anforderung des »Einklangs« durch das Gericht erläutert: »Der Begriff des im-Einklang-Stehens lässt sich als sprachliche Nachahmung eines außersprachlichen Schallereignisses (Laut- oder Tonmalerei) verstehen. Das kirchliche Datenschutzrecht eines Mitgliedstaats und die Vorschriften der DSGVO müssen einen Klang ergeben, müssen zusammen wie ein Ton klingen. Verlangt wird Harmonie, Dissonanzen sind unzulässig.« (Eine so blumige Auslegung ist schon deshalb schief, weil die Ton-Metaphorik nur im deutschen Normtext funktioniert und es in anderen Sprachen ganz prosaisch etwa »mettre en conformité«, »brought into line« oder »siano resi conformi« heißt.)

Das Argument der Aufsicht, dass kirchliches Datenschutzrecht bereits im Einklang stehe, »wenn es im Großen und Ganzen einen vergleichbaren Schutzstandard« biete, wird verworfen. Selbst punktuelle Abweichungen vom DSGVO-Niveau seien nicht zulässig. Wieder einmal wird Bezug auf das Zeugen-Jehovas-Urteil des EuGH genommen (Urteil vom 10. Juli 2018, C‑25/17): »Die für jedermann geltende Pflicht, die Vorschriften des Unionsrechts über den Schutz personenbezogener Daten einzuhalten, kann nämlich nicht als Eingriff in die organisatorische Autonomie der Religionsgemeinschaften angesehen werden.« (Wieder einmal wird nicht erwähnt, dass dieses Urteil gerade nicht auf den Sonderfall von kirchlichem Datenschutzrecht nach Art. 91 DSGVO abzielt, schon weil es auf eine Zeit vor Wirksamwerden der Verordnung zurückgeht.)

Doch der Verwaltungssenat geht noch weiter: Selbst wenn die Ansicht der Aufsicht zum Einklang zutreffend wäre, hätte die Revision zurückgewiesen werden müssen. Das Gericht bezweifelt letzten Endes, dass das DSG-EKD überhaupt rechtmäßig zustande gekommen ist. Begründet wird dies mit der Stichtagsregelung aus Art. 91 Abs. 1 DSGVO, das Religionsgemeinschaften erlaubt, eigene Datenschutzregelungen weiter anzuwenden, wenn sie zum Inkrafttreten der DSGVO schon umfassend bestanden haben und mit der DSGVO in Einklang gebracht werden.

Die EKD hatte zum Zeitpunkt des Inkrafttretens, also am 24. Mai 2016, zwar umfassende Datenschutzregeln. Anstatt aber das alte DSG-EKD durch ein Änderungsgesetz in Einklang zu bringen, wurde ein neues DSG-EKD erlassen und zugleich das alte Gesetz außer Kraft gesetzt. Nach dieser Erläuterung lässt das Gericht die Bombe platzen: »Als Gesetz, das erst nach dem maßgeblichen Stichtag, dem 24. Mai 2016, erlassen worden ist, fällt das DSG-EKD nicht unter die Regelung des Artikel 91 Absatz 1 DSGVO und kann deren Privilegierung nicht in Anspruch nehmen«, und etwas später: »Artikel 91 DSGVO ermächtigt die Kirchen nicht, in der Übergangszeit zwischen dem Inkrafttreten der DSGVO und dem Beginn ihrer Geltung Regelungen des Datenschutzes zu erlassen, die hinter denen der DSGVO zurückbleiben.«

Bewertung

Praktische Auswirkungen

In der Praxis hat das Urteil weniger Auswirkungen, als es auf den ersten Blick scheint: Die Entscheidung des Kirchengerichtshofs bindet nur die Parteien. Die Aufsicht muss dem Kläger die Korrespondenz in Kopie zur Verfügung stellen und die Kosten des Revisionsverfahrens tragen, mehr nicht: Eine Kompetenz zur Normenkontrolle und dazu, das DSG-EKD für nichtig zu erklären, hat der Kirchengerichtshof nicht, und folglich taucht von den grundsätzlichen Erwägungen nichts im Tenor auf.

Kritik

In der Sache überrascht die Entscheidung. Von Anfang an scheint das Kirchengericht das Kirchenrecht nicht ernst zu nehmen; argumentiert wird nur mit der DSGVO. Das ist kurios, nehmen doch staatliche Gerichte es als ganz selbstverständlich und unter Rückgriff auf entsprechende Positionen in der Literatur an, dass das DSG-EKD als umfassend und anwendbar zu bewerten ist, so etwa das OLG Hamm (Beschluss vom 23. September 2022, I-26 W 6/22) und das VG Berlin (Urteil vom 7. April 2022, 1 K 391/20). (Beide Entscheidungen machen sich auch deutlich mehr Mühe in der Literaturrecherche als der Verwaltungssenat.)

Woher das Gericht die Kompetenz zu nehmen glaubt, derartige Entscheidungen zur Interpretation von Europarecht treffen zu können und letzten Endes Kirchenrecht zu verwerfen, ist nicht ersichtlich. Zwar ist die Position vertretbar, dass Lücken in kirchlichem Datenschutzrecht im Rückgriff auf die DSGVO geschlossen werden können oder müssen. Indes: Das ist eine Frage, die nur der EuGH im Rahmen des Vorabentscheidungsverfahrens klären kann – ebenso wie die Frage, ob tatsächlich eine zu schließende Lücke besteht oder eine zulässige Abweichung vorliegt. (In der Literatur, namentlich bei Martini und Botta, wird die Möglichkeit einer EuGH-Vorlage durch kirchliche Gerichte jedenfalls bejaht.) Im System des evangelischen Rechts gibt es Normenkontrolle – die kommt aber dem EKD-Verfassungsgerichtshof zu, der über die Vereinbarkeit von Kirchengesetzen und Verordnungen mit der EKD-Grundordnung zu entscheiden hat, und natürlich nicht über die Vereinbarkeit von Kirchenrecht mit EU-Recht.

Darüber hinaus ist das Vorgehen des Verwaltungssenats inkonsequent: Wenn das Gericht wirklich der Überzeugung wäre, dass das DSG-EKD unanwendbar wäre, hätte es sich für unzuständig erklären und auf den staatlichen Rechtsweg verweisen müssen – denn ohne DSG-EKD gäbe es keine kirchliche Rechtsgrundlage, auf der ein Kirchengericht entscheiden könnte.

Ausblick

Es bleibt die Frage, was diese Entscheidung nun für das Gefüge des evangelischen Datenschutzrechts bedeutet. Normalerweise wäre mit einer gewissen Kontinuität in der Rechtsprechung zu rechnen. Die sechsjährige Amtszeit der Richter*innen lief aber zum 31. Dezember 2022 aus, im Dezember-Amtsblatt hat die EKD die neue Besetzung des Verwaltungssenats (nicht aber der Verwaltungskammer) mitgeteilt: fünf der bislang zehn Mitglieder scheiden aus, vier Richter*innen wurden neu berufen. In neuer Besetzung könnte sich das Gericht abkehren von dieser Entscheidung und stattdessen in Einklang mit staatlichen Entscheidungen und der herrschenden Meinung urteilen oder – was für die Rechtsfortbildung sehr zu wünschen wäre – die Auslegung von EU-Recht über das Vorabentscheidungsverfahren durch den EuGH vornehmen lassen.

Interessant dürfte auch sein, welche Auswirkungen dieses Urteil auf die anstehende Evaluation des DSG-EKD hat: Naheliegend wäre, Abweichungen von der DSGVO kritisch zu überdenken und nur beizubehalten, wenn es wirklich einen sachlichen im kirchlichen Proprium liegenden Grund dafür gibt – das würde die mögliche Ergänzungsbedürftigkeit reduzieren. Hilfreich wäre, im EKD-Kirchengerichtsgesetz eine Vorlagepflicht zu normieren – dann könnte der Kirchengerichtshof nicht mehr so frei schwebend agieren.