»Mit dem Recht auf informationelle Selbstbestimmung wären eine Gesellschaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß« – so heißt es schon in einem der wichtigsten Grundlagentexte des Datenschutzes, dem Volkszählungsurteil des Bundesverfassungsgerichts von 1983. Datenschutz ist nicht nur passiv. Datenschutzrecht schafft auch die Instrumente, um informationelle Selbstbestimmung zu ermöglichen. Eines der wichtigsten ist das Auskunftsrecht: Wer was wann und bei welcher Gelegenheit über mich weiß, lässt sich damit herausfinden.
Auskunftsrechte geltend zu machen ist für Betroffene verhältnismäßig einfach. Auskunftsrechte zu erfüllen, ist für Verantwortliche deshalb oft anspruchsvoll. Wie beides richtig geht, ist auch in den kirchlichen Datenschutzgesetzen geregelt – mit einigen Abweichungen.
Wo finde ich meine Auskunftsrechte?
In der DSGVO regelt Artikel 15 das Auskunftsrecht, dazu kommen einige Einschränkungen in § 34 BDSG. Art. 12 DSGVO regelt allgemeine Transparenzpflichten und Grundsätze für Betroffenenrechte.
Im evangelischen Rechtskreis findet sich das Auskunftsrecht in § 19 DSG-EKD, im katholischen in § 17 KDG, allgemeine Grundsätze zu Betroffenenrechten in § 16 DSG-EKD und § 14 KDG. Für die Orden päpstlichen Rechts gilt in der Regel die KDR-OG, die mit Ausnahme weniger Formulierungen identisch zum KDG ist. Alles, was hier über das KDG gesagt wird, gilt auch für die KDR-OG
Die Formulierungen sind dabei grundsätzlich sehr ähnlich, so dass in der Regel alle Hinweise, Handreichungen und auch die Rechtsprechung zum Auskunftsrecht nach der DSGVO auch für den kirchlichen Datenschutz zumindest sinngemäß herangezogen werden können. Vor allem die Rechtsprechung ist umfangreich, und sie wird noch umfangreicher. Das zeigen die Übersichten von Kevin Leibold zu Urteilen, EuGH-Vorlagefragen und einigen anderen Themen.
Wer darf Auskunft verlangen?
In allen drei Gesetzen lautet die Überschrift der jeweiligen Norm »Auskunftsrecht der betroffenen Person« – das ist die Person, deren personenbezogene Daten verarbeitet werden. Nicht explizit geregelt ist, ob es noch andere Personen gibt, die Auskunftsansprüche ausüben können. Das ist besonders bei Kindern relevant, gerade wenn sie so jung sind, dass sie ihr Auskunftsrecht nicht selbst ausüben können, aber auch dann, wenn Interessen von Kindern und ihren Erziehungsberechtigten auseinandergehen.
Im katholischen Bereich hatte das Interdiözesane Datenschutzgericht über einen Fall zu entscheiden, in dem ein Vater gegen den Willen seiner 15-jährigen Tochter Auskunft gegenüber einer Einrichtung verlangte. Das Gericht hat der Einrichtung Recht gegeben, der Vater durfte das Auskunftsrecht nicht gegen den Willen seiner Tochter ausüben.
Grundsätzlich ist davon auszugehen, dass Eltern für ihre Kinder das Auskunftsrecht ausüben können, Minderjährige es aber auch selbst ausüben können, und dass im Konfliktfall das Recht auf informationelle Selbstbestimmung des Kindes den Auskunftswunsch von Eltern schlägt.
Wie kann ich Auskunft verlangen? Muss ich mich ausweisen?
Grundsätzlich gibt es keine besondere Form. Im einfachsten Fall kann man per Mail, Kontaktformular oder mündlich Auskunft verlangen. Die verantwortliche Stelle muss aber sicherstellen, dass sie die Auskunft nur an berechtigte Personen erteilt. Eine Auskunft an die falsche Person wäre eine Datenpanne. Die Prüfung kann auf verschiedene Art kontrolliert werden: Eine persönliche Auskunft an persönlich bekannte Menschen, eine Auskunft über mit einer Telefonnummer, E-Mail- oder Post-Adresse verknüpfte Daten an genau diese Adressen, über Kund*innen-Portale oder ähnliches.
Die Hürden für eine Auskunft dürfen nicht zu hoch gehängt werden. Nur bei begründeten Zweifeln dürfen zusätzliche Informationen zur Identifikation eingeholt werden (§ 14 Abs. 6 KDG). Den Ausweis vorweisen oder gar Kopien einschicken ist nur nötig, wenn nur so die Identität sichergestellt werden kann. Dabei darf alles geschwärzt werden, was zur Identifikation nicht nötig ist. Wer für Dritte Auskunftsrechte geltend macht (z. B. als Vater oder Anwältin), muss die Berechtigung nachweisen können.
Wer nicht selbst Auskunftsbegehren formulieren will, kann auf Generatoren zurückgreifen. Besonders komfortabel für den kirchlichen Datenschutz ist der Generator des Datenanfragen.de e. V., der auch Mustertexte nach KDG und DSG-EKD generieren kann.
Von wem kann ich Auskunft verlangen?
Grundsätzlich von jeder Stelle, die personenbezogene Daten verarbeitet. Besondere Regelungen wie im staatlichen Bereich für Strafverfolgung und Gefahrenabwehr gibt es im kirchlichen Bereich nicht: Alle kirchlichen Stellen unterliegen dem kirchlichen Datenschutzrecht.
Worüber darf ich Auskunft verlangen?
§ 19 Abs. 1 DSG-EKD und § 17 Abs. 1 KDG zählen einen grundsätzlich ähnlichen Katalog auf, über den Auskunft erteilt werden muss: Verarbeitungszwecke, Kategorien der verarbeiteten personenbezogener Daten, Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind, Speicherdauer oder Kriterien für die Speicherdauer, Rechte auf Berichtigung, Löschung, Widerspruch, Einschränkung der Verarbeitung und Beschwerde. Wenn die Daten nicht direkt bei der betroffenen Person erhoben wurden, also von anderen Stellen kamen, besteht ein Auskunftsrecht über alle verfügbaren Informationen über die Herkunft der Daten.
Dem Wortlaut nach ist das Auskunftsrecht sehr weitreichend. Grundsätzlich sind Anfragen nach »allen Daten über mich« zulässig, das kann aber schnell als missbräuchlich oder exzessiv ausgelegt werden. Daher bietet es sich an, genau nach den Daten zu fragen, die man auch wirklich braucht.
Das DSG-EKD ist etwas kompakter als DSGVO und KDG: Hier müssen nur die Empfänger von Datenübermittlungen genannt werden, wenn die Übermittlung schon geschehen ist, außerdem fehlt ein besonderes Auskunftsrecht über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling. Das DSG-EKD kennt auch, anders als KDG und DSGVO, kein Recht, über die besonderen Schutzmaßnahmen informiert zu werden bei Datenübertragungen in ein Drittland oder an eine internationale Organisation.
Das Auskunftsrecht ist ein Recht auf Auskunft, also eine Aushändigung der gewünschten Informationen, in der Regel per Post oder auf elektronischem Weg (§ 14 Abs. 1 S. 2 KDG, keine explizite Regelung im DSG-EKD, aber Informationen sind »leicht zugänglich zu übermitteln«, § 16 Abs. 1 DSG-EKD). Es wird nicht durch eine bloße Akteneinsicht, womöglich ohne das Recht, Notizen oder Ablichtungen zu machen, erfüllt.
Habe ich ein Recht auf Kopien von Unterlagen?
Im KDG steht explizit ein Recht auf Kopie (§ 17 Abs. 3 KDG). Was genau unter dem Recht auf Kopie zu verstehen ist, ist aus dem Wortlaut nicht völlig klar und auch gerichtlich noch nicht endgültig entschieden. Eine praktische Auslegung ist, hier von Kopien von ganzen Schriftstücken oder Dateien auszugehen, und nicht nur von den Daten, die darin stehen. (Daten von Dritten müssen vor der Herausgabe geschwärzt werden, das Recht auf Kopie ist also kein Schlupfloch, um an Informationen über Dritte zu kommen.)
Das DSG-EKD kennt dem Wortlaut nach kein Recht auf Kopie. In einem (sehr umstrittenen) Urteil hat der Verwaltungssenat des EKD-Kirchengerichtshof entschieden, dass dennoch ein Recht auf Kopie besteht, weil die fehlende Regelung aus der DSGVO zu ergänzen sei. Aber auch wenn man die Argumentation des Gerichts nicht teilt, lässt sich für ein Recht auf Kopie auch im DSG-EKD argumentieren: »Erhofft oder erwartet sich der Antragsteller von einer Kopie einen Mehrwert, ist nach dem Transparenz-Grundsatz des § 16 DSG-EKD, der auf das Auskunftsrecht gemäß § 19 DSG-EKD ausstrahlt, diesem Ansinnen nachzukommen«, schreibt der ehemalige EKD-Jurist Gerhard Eibach in einer Besprechung dieses Urteils. Verantwortliche im Geltungsbereich des DSG-EKD sind also gut beraten, sich nicht auf die fehlende Norm zu berufen, wenn Betroffene ein Recht auf Kopie einfordern.
Wie lange muss ich auf eine Auskunft warten?
Nach dem DSG-EKD sind Auskünfte innerhalb von drei Monaten nach Eingang des Antrags zu erteilen, die Frist kann bei Bedarf um zwei Monate verlängert werden. Die betroffene Person ist nach drei Monaten über eine Fristverlängerung unter Angaben von Gründen zu informieren. (§ 16 Abs. 3 DSG-EKD) Über die Ablehnung von Anträgen ist unverzüglich, spätestens aber innerhalb von drei Monaten unter Angaben, wie man gegen die Ablehnung vorgehen kann, zu informieren. (§ 16 Abs. 4 DSG-EKD)
Nach dem KDG sind Auskünfte unverzüglich, spätestens aber innerhalb eines Monats zu erteilen, die Frist kann bei Bedarf um zwei Monate verlängert werden. Die betroffene Person ist nach einem Monat über eine Fristverlängerung unter Angaben von Gründen zu informieren. (§ 14 Abs. 3 KDG) Über die Ablehnung von Anträgen ist unverzüglich, spätestens aber innerhalb von einem Monat unter Angaben, wie man gegen die Ablehnung vorgehen kann, zu informieren. (§ 14 Abs. 4 KDG)
Welche Grenzen hat das Recht auf Auskunft?
Einschränkungen in den Datenschutzgesetzen
Das DSG-EKD beschränkt das Recht auf Auskunft nur, wenn die Auskunft unverhältnismäßigen Aufwand erfordern würde (§ 19 Abs. 4 DSG-EKD).
Das KDG kennt dagegen deutlich mehr Beschränkungen, die alle aus § 34 BDSG übernommen wurden; im Vergleich zum staatlichen Rechtskreis ist das KDG also nicht wesentlich restriktiver, sondern das DSG-EKD deutlich weiter. In der Praxis dürfte sich der Unterschied aber nivellieren, da über das Argument eines unverhältnismäßigen Aufwands allein schon viel abgelehnt werden kann, was im KDG explizit geregelt ist.
Beschränkt ist das Auskunftsrecht bei nicht namentlich erschlossenen kirchlichen Archiven. Das Auskunftsrecht kann aber auch in diesem Fall geltend gemacht werden, wenn Angaben gemacht werden, die das Auffinden des betreffenden Archivguts mit vertretbarem Verwaltungsaufwand ermöglichen (§ 17 Abs. 5 KDG).
Abs. 6 regelt weitere Beschränkungen, etwa wenn Daten nur für die Datensicherung oder der Datenschutzkontrolle vorgehalten werden oder sie aufgrund von gesetzlichen Bestimmungen aufbewahrt werden müssen. Diese Beschränkung kann aber nur geltend gemacht werden, wenn die Auskunft einen unverhältnismäßigen Aufwand erfordern würde und die Verarbeitung zu anderen Zwecken ausgeschlossen ist.
Gemäß KDG ist es nicht zulässig, das Auskunftsrecht durch ein Rechtsgeschäft auszuschließen oder zu beschränken (§ 25 Abs. 1 KDG). Im DSG-EKD fehlt eine solche Regelung. Gemäß beiden kirchlichen Gesetzen muss die verantwortliche Stelle aber der betroffenen Person die Ausübung ihrer Rechte erleichtern. (§ 16 Abs. 2 DSG-EKD, § 14 Abs. 2 KDG).
Vorrang von höherrangigem Recht
Außerhalb des Datenschutzrechts kann das Auskunftsrecht durch höherrangige kirchliche Spezialgesetze beschränkt sein. Das ist vor allem das Seelsorge- und Beichtgeheimnis (wenn solche Daten überhaupt verarbeitet werden dürfen), aber im katholischen Bereich auch die universalkirchenrechtlich geregelte Aufbewahrung bestimmter Daten im bischöflichen Geheimarchiv und die Daten der Kirchenjustiz.
Vorrang von Spezialgesetzen nach dem DSG-EKD
Das DSG-EKD regelt einen generellen Vorrang spezieller Rechtsvorschriften (§ 2 Abs. 6 DSG-EKD) – hier wäre es also dem Wortlaut nach zulässig, mittels anderer (Kirchen-)Gesetze die Auskunftsrechte zu beschränken. Ob das so pauschal noch mit dem von der DSGVO geforderten Einklang der kirchlichen Datenschutzgesetze mit den Wertungen der DSGVO vereinbar ist, ist fraglich.
Bedingter Vorrang von Spezialgesetzen nach dem KDG
Das KDG kennt auch einen grundsätzlichen Vorrang von Spezialgesetzen, allerdings nur, wenn sie das Datenschutzniveau des KDG nicht unterschreiten (§ 2 Abs. 2 KDG). Leider neigen vor allem kirchliche Schuldatenschutzordnungen dazu, die Auskunftsrechte von Schüler*innen empfindlich zu beschränken. Wer als Schüler*in einer kirchlichen Schule, die solchen Regelungen unterliegen, dennoch die vollen Rechte geltend machen will, wird das in der Praxis wohl über eine Beschwerde bei den zuständigen Diözesandatenschutzbeauftragten oder eine Klage beim IDSG durchsetzen müssen.
Wenn gesetzliche Regelungen spezielle Auskunftsrechte normieren, stehen diese neben den Regelungen des KDG und ersetzen sie nicht. Das wichtigste Beispiel ist die »Ordnung für das Verfahren zur Anerkennung des Leids«, das ein sehr eingeschränktes Akteneinsichtsrecht kennt, das hinter dem datenschutzrechtlichen Auskunftsrecht zurückbleibt. Hier müssen sich Betroffene nicht auf das Akteneinsichtsrecht der Ordnung beschränken, sondern können einen datenschutzrechtlichen Auskunftsanspruch geltend machen.
Kostet eine Auskunft etwas?
In der Regel nicht. Das regeln das DSG-EKD und das KDG explizit (§ 19 Abs. 3 DSG-EKD, § 14 Abs. 5 KDG). Beide Gesetze erlauben aber ein angemessenes Entgelt bei »offenkundig unbegründeten« und »exzessiven« Anträgen. Beim Recht auf Kopie ist im KDG geregelt, dass eine Kopie zur Verfügung gestellt wird, für alle weiteren Kopien kann der Verantwortliche »ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten« verlangen (§ 17 Abs. 3 KDG), daraus ergibt sich im Umkehrschluss, dass die erste Kopie kostenlos ist, sofern nicht schon diese Auskunft offenkundig unbegründet oder exzessiv ist.
Was kann ich tun, wenn das Auskunftsrecht verweigert oder nicht angemessen erfüllt wird?
Es besteht ein Beschwerderecht bei der zuständigen Datenschutzaufsicht. Am schnellsten geht es, sich gleich an die örtlich (Bistum, Landeskirche) oder funktional (Diakonisches Werk, Katholische Militärseelsorge, Orden päpstlichen Rechts) zuständige Datenschutzaufsicht zu wenden. Man kann sich aber bei jeder beliebigen (auch staatlichen) Datenschutzaufsicht beschweren, die dann den Fall an die zuständige Behörde weitergibt. Das dauert dann aber entsprechend länger.
Außerdem kann beim zuständigen Kirchengericht (IDSG, Kirchengericht der EKD) geklagt werden (§ 47 Abs. 1 Nr. 3 DSG-EKD, § 49 Abs. 2 KDG). Das Auskunftsrecht ist dem Wortlaut nach sehr umfassend; daher gibt es regelmäßig Rechtsstreitigkeiten über den tatsächlichen Umfang des Auskunftsrechts.
Das KDG kennt noch weitere Rechte bei Auskunftsverweigerung. So sind die Gründe einer Ablehnung zu dokumentieren und der betroffenen Person mitzuteilen (§ 17 Abs. 7 KDG). Verweigern Diözesen, Kirchengemeinden, Kirchenstiftungen oder Kirchengemeindeverbände eine Auskunft, kann die betroffene Person verlangen, dass die Auskunft gegenüber dem*der Diözesandatenschutzbeauftragten erteilt wird, wenn nicht die bischöfliche Behörde im Einzelfall feststellt, dass dadurch kirchliche Interessen erheblich beeinträchtigt würden. Bei einer Auskunft gegenüber Diözesandatenschutzbeauftragten erfährt man selbst zwar nicht die Daten, die Datenschutzaufsicht kann aber eventuelle Fehleinschätzungen und Fehlverhalten der jeweiligen Einheit feststellen und gegebenenfalls darauf reagieren.
Kontaktdaten und Informationen zu Aufsichten und Gerichten
Katholisch
- Gerichtliche Rechtsbehelfe: Interdiözesanes Datenschutzgericht
- Beschwerden bei der Aufsicht: Liste der Diözesandatenschutzbeauftragten, Gemeinsamer Ordensdatenschutzbeauftragter
- Handreichung: KDG-Praxishilfe Betroffenenrechte
- Pau/Melzow: Das Auskunftsrecht nach § 17 KDG in der aufsichtsrechtlichen Praxis
Evangelisch
- Gerichtliche Rechtsbehelfe: Verwaltungskammer bei dem Kirchengericht der Evangelischen Kirche in Deutschland
- Beschwerden bei der Aufsicht: Beauftragter für den Datenschutz der EKD, Datenschutzbeauftragter für Kirche und Diakonie
- Handreichung: Checkliste zum Ablauf von Auskunftsanfragen