Die Verwaltungskammern der EKD-Kirchengerichte haben sich mit der Veröffentlichung von Entscheidungen zum DSG-EKD bisher sehr zurückgehalten – lange war gar keine bekannt, dann leakte eine besonders zweifelhafte. Nun sind die ersten vier Entscheidungen offiziell veröffentlicht und geben einen Einblick, welche Konflikte um das evangelische Datenschutzgesetz vor Gericht ausgetragen werden.
Streit ums Recht auf Kopie
- Kirchengerichtshof der Evangelischen Kirche in Deutschland, Urteil vom 9. September 2022, Az. 0135/4-2020
- Verwaltungskammer bei dem Kirchengericht der Evangelischen Kirche in Deutschland, Beschluss vom 6. August 2020, Az. 0136/A10-2019.
Die Entscheidung des Verwaltungssenats des Kirchengerichtshofs wurde – auch hier – durchweg kritisch besprochen, nachdem es anscheinend mehrere Quellen gab, die das Urteil unter Auflagen zur Verfügung gestellt hatten. Im Volltext war die Entscheidung bislang nicht veröffentlicht. Nun sind beide Instanzen verfügbar – die der ersten Instanz, der Verwaltungskammer, war zuvor nur aus den Zitaten der zweiten Instanz bekannt.
Die zweite Instanz hatte das evangelische Datenschutzrecht – wenn auch eher in Form eines obiter dictums, dessen Konsequenzen nicht gezogen wurden – gleich ganz verworfen. Die erste Instanz war deutlich weniger radikal, wenn auch die entscheidungsrelevanten Begründungen hier schon vorhanden waren. Anstelle einer kompletten Verwerfung wird das DSG-EKD noch bezeichnet als »nur insoweit anwendbar, als es hinter den Gewährleistungen der Datenschutzgrundverordnung nicht zurückbleibt«. Einklang wird so ausgelegt, dass die EKD »nicht das Recht [hat], die Bestimmungen der Datenschutzgrundverordnung einzuschränken«.
Die Entscheidung der ersten Instanz wirkt – auch wenn sie gar keine Literatur heranzieht und auch hier eine EuGH-Vorlage nahegelegen hätte – deutlich besser vermittelbar und vertretbar. Sie kommt ohne die überschießenden und abwegigen Überlegungen aus, die in der zweiten Instanz zu der einhelligen Kritik geführt haben. Möglicherweise führt die Eskalation sogar dazu, dass die Entscheidung im Ergebnis deutlich weniger Gewicht haben wird, als es eine im Duktus der ersten Instanz gehabt hätte. Die Position von Gesetzgeber (und Aufsicht), dass die teilweise umfangreichen Abweichungen in einzelnen Regelungen zulässig sind und nur das Gesamt im Einklang mit der DSGVO stehen muss, könnte also durch die absurde zweite Instanz sogar gestärkt worden sein.
Kein Recht auf bestimmten Behelf
Der Kläger, ein Mitarbeiter der Diakonie, hatte sich bei der Datenschutzaufsicht über eine automatische E-Mail-Antwort beschwert: Seine dienstliche E-Mail-Adresse änderte sich, automatisch wurde für seine alte Adresse ein Autoresponder eingerichtet, laut dem eingehende Mail auch an ein allgemeines Funktionspostfach seiner Einrichtung weitergeleitet wurde. Nachdem die Einrichtung der Aufsicht mitgeteilt hatte, dass tatsächlich keine Weiterleitung stattgefunden hatte, mithin der befürchtete Bruch der Vertraulichkeit (der Kläger ist Sozialarbeiter und berief sich darauf, berufsbedingt vertrauliche Informationen zu erhalten) gar nicht stattgefunden hatte, sah sie von einer Beanstandung ab. (Es geht nicht ganz explizit aus dem Beschluss hervor, ob gar keine Weiterleitung eingerichtet war oder ob lediglich keine E-Mail einging, es klingt aber nach letzterem.) Gegen die Entscheidung der Aufsicht klagte der Mitarbeiter und beantragte, die Abschlussmitteilung der Aufsicht aufzuheben und stattdessen einen Datenschutzverstoß festzustellen.
Das Gericht hat die Klage abgewiesen. Im Leitsatz heißt es, dass die gerichtliche Kontrolle einer aufsichtsbehördlichen Beschwerdeentscheidung nach § 46 DSG-EKD sich grundsätzlich darauf beschränkt, »ob sich die Aufsichtsbehörde mit der Beschwerde befasst, den Beschwerdegegenstand angemessen untersucht und den Beschwerdeführer über das Ergebnis der Prüfung unterrichtet hat«, ein Recht auf einen Bescheid eines bestimmten Inhalts oder Erlass einer anderen Aufsichtsmaßnahme bestehe aber nicht. (Im Leitsatz und in den Urteilsgründen scheint ein Fehler zu sein, dort heißt es weiter, dass »auf Verpflichtung der verantwortlichen Stelle, einen datenschutzrechtlichen Verstoß der verantwortlichen Stelle festzustellen« nicht bestehe, gemeint ist wohl die Verpflichtung der Aufsicht.)
Dennoch kann eine betroffene Person gerichtlich feststellen lassen, ob ein Datenschutzverstoß vorliegt: Dafür muss sie um »Rechtsschutz unmittelbar gegenüber der datenverantwortlichen Stelle nachzusuchen, wenn sie geklärt haben will, ob sie durch einen datenschutzrechtlichen Verstoß des Verantwortlichen in subjekti-ven[sic] Rechten verletzt ist«.
Kein Verweis an die Wunsch-Aufsicht
Der Kläger war nicht damit einverstanden, dass sein kirchlicher Arbeitgeber Informationen über eine Entgeltkorrektur an die Rentenversicherung im Rahmen eines Rechtsstreits an das Arbeitsgericht übermittelt hatte. Darüber beschwerte der Kläger sich bei der niedersächsischen Landesdatenschutzaufsicht, die den Vorgang (»nach erheblichem Schriftverkehr«) an den BfD EKD abgegeben hatte. Der hielt die Datenweitergabe für zulässig. Die Klage richtete sich nur hilfsweise darauf, diese Entscheidung anzufechten – primär wollte der Kläger erreichen, dass das Verfahren an die staatliche Aufsicht zurückverwiesen wird: »Er hält den kirchlichen Datenschutz für unzuständig, da der Verstoß gegenüber einer staatlichen Stelle, dem Arbeitsgericht, erfolgt sei und der Fall öffentlich verhandelt worden sei.«
Wenig überraschend hat die Klage keinen Erfolg: Die Zuständigkeit der Aufsicht richtet sich nach der verantwortlichen Stelle, nicht nach dem Datenempfänger, und es gibt keine Norm, nach der kirchliche Stellen Vorgänge bindend an staatliche Stellen überweisen können und umgekehrt. Das folge aus dem Selbstverwaltungsrecht der Kirchen. Wenn der Kläger eine Entscheidung von der staatlichen Aufsicht wolle, müsse er sich an die Landesdatenschutzaufsicht wenden und zur Not eine inhaltliche Bescheidung über den Verwaltungsrechtsweg einklagen.
(Datenschutzverfahren sind oft Symptome anderer Probleme und Auffangbecken für Konflikte, die sich sonst nirgends platzieren lassen oder anderswo schon erledigt sind. Das zeigt auch diese Entscheidung wieder: Die Volte eines Befangenheitsantrags gegen das Gericht liest sich unterhaltsam, inklusive des Vortrags des Klägers, dass er um eine Verlegung der anberaumten Verhandlung bittet, »weil er seine „Seele baumeln lassen und verreisen“ wolle«.)
Gerichtskosten
Anders als bei der katholischen Datenschutzgerichtsordnung sieht das EKD-Verwaltungsgerichtsgesetz Regelungen zur Kostenlast vor. Dass unterliegende Parteien die Kosten tragen, könnte dazu beitragen, dass weniger evangelische als katholische Verfahren bekannt sind, weil es weniger gibt, weil das Kostenrisiko potentielle Klagende abschreckt. Für die Kosten werden über Verweisungen staatliche Regelungen herangezogen. Aus den nun veröffentlichten Entscheidungen lässt sich ein wichtiger Hinweis für den Umgang entnehmen: der Streitwert dürfte sich bei Datenschutzverfahren häufig auf den Auffangwert von 5000 Euro aus § 52 Abs. 2 GKG belaufen (wie im Beschluss vom 25. August 2021) – je nach Aufwand des Verfahrens dürfte also mit einem mittleren dreistelligen Betrag an Anwaltskosten zu rechnen sein.
Fazit
Die schon vorab bekannte Entscheidung der zweiten Instanz hat für Aufsehen gesorgt. Das Tagesgeschäft scheint in deutlich weniger spektakulär zu sein: Mehr Verfahrensfragen als materielles Datenschutzrecht. Das ist ähnlich den katholischen Datenschutzgerichten: Die großen materiellen Fragen – im DSG-EKD etwa nach der Auslegung des sehr eigenwillig konstruierten berechtigten Interesses etwa – bleiben erst einmal ungeklärt.
Sehr erfreulich ist, dass überhaupt Entscheidungen veröffentlicht wurden: Nach fast fünf Jahren Geltung des DSG-EKD wurde das wirklich höchste Zeit. Hoffentlich bleibt es nicht bei diesen vier.