Das Katholische Datenschutzzentrum Bayern nimmt Gestalt an: Als erste der bayerischen Diözesen hat das Bistum Eichstätt den Organisationsakt zur Errichtung der neuen Körperschaft und die Satzung in seinem Amtsblatt veröffentlicht.

Am 1. April soll der neue bayerische Diözesandatenschutzbeauftragte Dominikus Zettl mit der neuen Behörde seine Arbeit aufnehmen. Ein Blick in die Satzung der Aufsicht zeigt: Die Bischöfe in Bayern haben die bereits bestehenden Satzungen der anderen beiden Aufsichten mit Körperschaftsstatus nicht einfach nur abgeschrieben, sondern sinnvoll weiterentwickelt und die gebotenen Korrekturen vorgenommen.

Rahmenbedingungen der Errichtung

Der Name der neuen Behörde ist nun amtlich »Katholisches Datenschutzzentrum Bayern«, die sperrige »Gemeinsame Datenschutzaufsicht der bayerischen (Erz-) Diözesen« hat ausgedient. Sitz der Behörde ist Nürnberg mit der Erzdiözese Bamberg als Belegenheitsbistum (die explizite Nennung des Belegenheitsbistums ist wichtig, da Teile des Nürnberger Südens zum Bistum Eichstätt gehören). Das Datum der Errichtung, der 1. April, liegt über fünf Jahre nach dem Beschluss der Freisinger Bischofskonferenz, die Behörde zu errichten.

Etwas unklar ist, was passiert, wenn die KdÖR sich über den 1. April hinaus verzögern wird: In Art. I des Organisationsakts heißt es, dass die Behörde zum 1. April eingerichtet wird und ihr der Körperschaftsstatus verliehen werden soll, Art. VI unterscheidet kirchliche und staatliche Errichtung explizit und bindet die kirchliche Errichtung nicht an die staatliche. In § 13 der Satzung, die Teil des Organisationsakts ist, heißt es dagegen, dass die Satzung nach Verleihung des Körperschaftsstatus in Kraft tritt. Im Bayerischen Ministerialblatt ist die staatliche Errichtung noch nicht vermeldet. Es könnte also passieren, dass die Aufsicht erst einmal ohne Satzung startet.

Kirchliche Rechtsform

Anders als in den bereits bekannten Körperschaftssatzungen für die Aufsichten in Frankfurt und Dortmund regeln die bayerischen Bischöfe für ihre Behörde nicht nur die staatliche Rechtsform einer Körperschaft des öffentlichen Rechts, sondern auch die kirchliche, nämlich in Form einer öffentlichen juristischen Person des kanonischen Rechts. Körperschaften dieser Rechtsform zeichnen sich dadurch aus, dass sie von der zuständigen kirchlichen Autorität – hier den sieben bayerischen Diözesanbischöfen – errichtet werden, um »im Namen der Kirche die ihnen im Hinblick auf das öffentliche Wohl übertragene eigene Aufgabe [zu] erfüllen« (c. 116 § 1 CIC); damit ist die Aufsicht unzweifelhaft eine kirchliche Behörde, in der kirchliches Recht gilt, ihr Vermögen ist Kirchenvermögen.

So ist auch sichergestellt, dass die Behörde im geschilderten Fall einer verspäteten KdÖR-Anerkennung handlungsfähig ist; ohne einschlägige Statuten greifen die Regelungen des allgemeinen Kirchenrechts für die Arbeit der schon im Organisationsakt definierten Organe (c. 119 CIC zu Wahlen und Abstimmungen).

Befugnisse des Verwaltungsrats im Einklang mit dem KDG

Wie in Frankfurt und Dortmund gibt es auch in Nürnberg zwei Organe: den gemeinsamen Diözesandatenschutzbeauftragten als Leiter der Aufsicht und den Verwaltungsrat. Beim Verwaltungsrat zeigen sich bei großer Kontinuität zu den älteren Satzungen Änderungen im Detail. Den Verwaltungsrat bilden grundsätzlich die Diözesanbischöfe oder bei Sedisvakanz die Administratoren, sie können aber – wie im Südwesten – auch Vertreter*innen bestellen. Dass es sich um eine Post-Covid-Satzung handelt, erkennt man daran, dass hybride und Online-Verwaltungsratssitzungen ermöglicht werden.

Die wichtigste Änderung im Vergleich zu Frankfurt und Dortmund sind die nun KDG-konformen Aufgaben des Verwaltungsrats. Der Vorsitzende der katholischen Datenschutzkonferenz Matthias Ullrich hatte vor kurzem die Satzungen der bestehenden Körperschaften als Gefährdung für die rechtlich gebotene Unabhängigkeit bezeichnet, da dort der Verwaltungsrat entgegen den Bestimmungen des KDG zu großen Einfluss hat. In beiden älteren Satzungen hat der Verwaltungsrat ein Beratungsrecht vor der Einstellung von Mitarbeitenden und ein Vorschlagsrecht zur Herstellung des Einvernehmens für die Bestellung des Vertreters des Diözesandatenschutzbeauftragten. Beide Bestimmungen widersprechen dem eindeutigen Wortlaut des KDG (§ 43 Abs. 5 und 8). In NRW darf der Verwaltungsrat außerdem (im Widerspruch zu § 43 Abs. 1 KDG) eine Geschäftsordnung für die dort Datenschutzstelle genannte Behörde erlassen. Diese Regelungen gibt es in der bayerischen Satzung nicht. Damit haben die Bischöfe nicht auf die am 15. Februar veröffentlichte Kritik Ullrichs reagiert: Satzung und Organisationsakt sind auf den 23. Januar datiert.

Kleinere Fehler

Leider finden sich auch kleinere Fehler in den Rechtstexten: So wird fast durchgängig das KDG als »KOG« falsch abgekürzt, und die Grundordnung des kirchlichen Dienstes wird noch mit ihrem alten Titel zitiert, obwohl zum Beschlusszeitpunkt schon in allen beteiligten Diözesen die neue Fassung galt. »KOG« sieht sehr nach Tipp- oder Digitalisierungsfehler aus; eventuell klärt sich das mit der Veröffentlichung in anderen bayerischen Amtsblättern.

Fazit

Die Satzung des Katholischen Datenschutzzentrums Bayern stellt im Vergleich zu ihren Pendants im Südwesten und in NRW eine deutliche Verbesserung dar: Konflikte zum KDG bestehen nach erster Durchsicht nicht, die Unabhängigkeit der Aufsicht ist sichergestellt. Sehr erfreulich ist auf dem ansonsten sehr kirchenrechtsagnostischen Feld der bischöflichen Datenschutzgesetzgebung, dass die Bischöfe ihre eigenen Ansprüche an die Normierung kirchlicher Rechtsformen endlich auch einmal einlösen. Das schafft Rechtsklarheit.

Voraussichtlich bald soll auch die KDSA Nord als Körperschaft errichtet werden. Es ist zu hoffen, dass sich die Nord-Bischöfe stärker an ihren bayerischen Brüdern als an denen in direkter Linie südlich orientieren.