Sowohl das KDG als auch das DSG-EKD haben in ihrem Kapitel zu Vorschriften für besondere Verarbeitungssituationen eigene Normen für die Verarbeitung personenbezogener Daten in Beschäftigungsverhältnissen. § 49 DSG-EKD und § 53 KDG sind sichtlich § 26 BDSG nachgebildet – allerdings mit einigen Unterschieden.

Die verschiedenen Gesetzgeber haben dabei sehr unterschiedliche Strategien verfolgt, wie stark und wo kirchliche Besonderheiten berücksichtigt werden. Die kirchlichen Regeln haben zwar jeweils ihre Lücken und Probleme – insgesamt dürften sie aber zukunftssicherer sein als ihr BDSG-Pendant.

Systematik der Normen zum Beschäftigtendatenschutz

In der DSGVO gibt es mit Art. 88 DSGVO eine eigene Öffnungsklausel für den Beschäftigtendatenschutz. Der deutsche Gesetzgeber wollte diese Klausel mit § 26 BDSG ausfüllen – ob das wirklich gelungen ist und ob diese Norm europarechtskonform ist, ist nach einem EuGH-Urteil zum (ähnlich formulierten) hessischen Datenschutzgesetz fraglich. In acht Absätzen regelt das BDSG den Beschäftigtendatenschutz, inklusive einer Legaldefinition, was »Beschäftigte« sind.

Beide kirchlichen Gesetze haben eigene Normen für den Beschäftigtendatenschutz. Die Legaldefinition von »Beschäftigte« wurde jeweils zu Beginn des Gesetzes in den Begriffsbestimmungen aufgeführt. Im folgenden wird lediglich auf die Fundstellen in den Gesetzen verwiesen, die jeweiligen Normen nicht noch einmal wiederholt. Eine Synopse der drei Gesetzeswerke ist zum Download verfügbar.

Detailregelungen

Da sich die kirchlichen Gesetze am Aufbau der BDSG-Norm anlehnen, wird im folgenden für die Gliederung die Nummerierung von § 26 BDSG verwendet.

§ 26 Abs. 1 S. 1 BDSG – allgemeine Rechtsgrundlage

Parallelnormen: § 53 Abs. 1 KDG, § 49 Abs. 1 DSG-EKD

Der erste Absatz beginnt mit dem Erlaubnistatbestand, unter dem personenbezogene Daten von Beschäftigten verarbeitet werden dürfen.

Besonderheiten des KDG: Gleich zu Beginn wird klargestellt, dass sich die Erlaubnisnorm auch auf »Daten über die Religionszugehörigkeit, die religiöse Überzeugung und die Erfüllung von Loyalitätsobliegenheiten« erstreckt. Gestrichen wurde der Erlaubnistatbestand der Erforderlichkeit der sich »zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten«.

Besonderheiten des DSG-EKD: Das DSG-EKD formuliert kompakter, besagt aber grundsätzlich dasselbe. Da es nur im evangelischen Rechtskreis angewandt wird, müssen unter den Kollektivvereinbarungen nur Dienstvereinbarungen genannt werden.

§ 26 Abs. 1 S. 2 BDSG – Aufdeckung von Straftaten

Parallelnormen: § 53 Abs. 2 KDG, § 49 Abs. 2 DSG-EKD

Der Erlaubnistatbestand der Erforderlichkeit für die Aufdeckung von Straftaten wird in den kirchlichen Gesetzen jeweils in einem eigenen Absatz aufgenommen anstatt in den ersten Absatz integriert.

Besonderheiten des KDG: Das KDG ergänzt neben der Möglichkeit einer Abwägung, ob die Verarbeitung erforderlich ist, den Hinweis auf Rechtsvorschriften, die die Verarbeitung anordnen.

Besonderheiten des DSG-EKD: Das DSG-EKD erweitert den Anwendungsbereich des Erlaubnistatbestands von Straftaten auf Amtspflichtverletzungen und formuliert deutlich um. Zulässig ist die Verarbeitung dann, wenn die Interessen von »möglichen Betroffenen« (gemeint ist wohl der Delikte, nicht im datenschutzrechtlichen Sinn) dies erfordern.

§ 26 Abs. 2 BDSG – Einwilligung

Parallelnormen: keine im KDG, § 49 Abs. 3 DSG-EKD

Aufgrund des Machtungleichgewichts im Beschäftigungsverhältnis sieht das BDSG erhöhte Anforderungen an die Freiwilligkeit einer Einwilligung vor.

Besonderheiten des KDG: Im KDG fehlt eine Entsprechung. Da Einwilligungen nur wirksam sind, wenn sie auf der freien Entscheidung der betroffenen Person beruhen (§ 8 Abs. 1 KDG), dürfte dennoch kein großer Unterschied in der Praxis entstehen.

Besonderheiten des DSG-EKD: Formulierung im wesentlichen identisch.

§ 26 Abs. 3 BDSG – Verarbeitung besonderer Kategorien

Parallelnormen: § 11 Abs. 2 lit. b) KDG, § 13 Abs. 2 Nr. 2 DSG-EKD

Die Verarbeitung besonderer Kategorien personenbezogener Daten zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes wird in den kirchlichen Gesetzen bereits bei den Normen zu besonderen Kategorien personenbezogener Daten geregelt.

§ 26 Abs. 4 BDSG – Kollektivvereinbarungen

Parallelnormen: keine direkten

Personenbezogene Daten dürfen auf der Rechtsgrundlage von Kollektivvereinbarungen verarbeitet werden. Während Dienstvereinbarungen bereits in § 49 Abs. 1 DSG-EKD erwähnt werden, fehlt eine entsprechende Regelung im KDG, so dass dort nicht ausdrücklich geregelt ist, ob sich Verarbeitungen auf katholische Dienstvereinbarungen stützen können. Im Zweifel muss dabei auf die Erforderlichkeit für die Durchführung abgehoben werden.

§ 26 Abs. 5 BDSG – Grundsätze der Datenverarbeitung

Parallelnormen: keine direkte im KDG, teilweise § 49 Abs. 9 DSG-EKD

Die verantwortliche Stelle hat geeignete Maßnahmen zur Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten bereitzuhalten. Das doppelt das ohnehin einschlägige Recht aus Art. 5 DSGVO.

Besonderheiten des KDG: hier fehlt eine direkte Entsprechung, die Grundsätze der Datenverarbeitung werden aber ohnehin im selben Gesetz geregelt.

Besonderheiten des DSG-EKD: in § 49 Abs. 9 DSG-EKD wird der Zweckbindungsgrundsatz für im Rahmen der Maßnahmen zur Datensicherung gespeicherten explizit wiederholt, ansonsten greifen auch hier die im DSG-EKD festgeschrieben Grundsätze der Datenverarbeitung.

§ 26 Abs. 6 BDSG – Beteiligungsrecht der Interessensvertretungen

Parallelnormen: § 53 Abs. 6 KDG, keine direkte im DSG-EKD

Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt. Das KDG greift die Formulierung unter Verweis auf die jeweils geltende Mitarbeitervertretungsordnung auf, im DSG-EKD fehlt eine entsprechende Norm, im Zweifelsfall geht aber das MVG-EKD dem DSG-EKD gemäß § 2 Abs. 6 DSG-EKD vor.

§ 26 Abs. 7 BDSG – Verarbeitung ohne Dateisystem

Parallelnormen: § 53 Abs. 3 KDG, keine Entsprechung im DSG-EKD

Anders als sonst ist das Datenschutzrecht im Beschäftigungsverhältnis auch dann einschlägig, wenn Daten nicht in einem Dateisystem gespeichert werden sollen.

Besonderheiten des KDG: Über das BDSG hinaus wird zusätzlich zum fehlenden Erfordernis der Speicherung in einem Dateisystem auch die nicht-automatisierte Verarbeitung explizit genannt.

Besonderheiten des DSG-EKD: Das DSG-EKD kennt diese Erweiterung nicht, es ist also der übliche Verarbeitungsbegriff anzuwenden: Was nicht in einem Dateisystem gespeichert wird, ist auch im Beschäftigungsverhältnis nicht dem Datenschutzrecht unterworfen.

§ 26 Abs. 8 BDSG – Begriff »Beschäftigte«

Parallelnormen: § 4 Nr. 24 KDG, § 4 Nr. 20 DSG-EKD

Der Begriff »Beschäftigte« wird für den Beschäftigtendatenschutz sehr weit definiert und umfasst verschiedenste Beschäftigungsverhältnisse ebenso wie Bewerber*innen.

Besonderheiten des KDG: Das KDG regelt einige kirchliche Besonderheiten wie Kleriker und Kandidaten für das Weiheamt (lit. a)) sowie Ordensangehörige, die auf einer Planstelle in einer Einrichtung oder der eigenen Ordensgemeinschaft eingesetzt sind oder aufgrund eines Gestellungsvertrags tätig sind (lit. b)). Ordensleute in Ausbildung (Postulat und Noviziat) werden nicht unter die Ausbildungsverhältnisse gefasst (lit. d)), sie sind aber vom Beschäftigtendatenschutz erfasst, wenn sie als Ordensleute gemäß lit. b) beschäftigt sind. Neben dem Bundes- und Jugendfreiwilligendienst werden auch vergleichbare Dienste (denkbar etwa Missionar*innen auf Zeit) erfasst (lit. g)).

Besonderheiten des DSG-EKD: Das DSG-EKD ergänzt lediglich Pfarrdienstverhältnisse (lit. a)) und erwähnt auch weitere Freiwilligendienste (lit. f)).

Evangelisches Sondergut: § 49 Abs. 4–8 DSG-EKD

Die größte Abweichung besteht in deutlich detaillierteren Regelungen im evangelischen Datenschutzgesetz, die weder im BDSG noch im KDG eine Entsprechung haben. Durch dieses Sondergut hat das DSG-EKD ein deutlich ausgeprägteres Beschäftigtendatenschutzrecht als die anderen Rechtskreise.

• Abs. 4 regelt die Offenlegung an Personen und Stellen außerhalb des kirchlichen Bereichs. Hier wurde vor kurzem in der ersten inhaltlichen Änderung des DSG-EKD die Offenlegung zur institutionellen Aufarbeitung sexualisierter Gewalt verankert. Weitere rechtfertigende Gründe sind überwiegendes rechtliches Interesse, die Erforderlichkeit aus der Art und Zielsetzung der dem Beschäftigten übertragenen Aufgaben, offensichtliches Interesse der betroffenen Person und die Aufdeckung von Straftaten oder Amtspflichtverletzungen.
• Abs. 5 stellt als Bedingung für die Offenlegungen an künftige Dienstherren grundsätzlich die Einwilligung auf.
• Abs. 6 regelt den Umgang mit medizinischen oder psychologischen Untersuchungen und Tests im Beschäftigungsverhältnis.
• Abs. 7 regelt die Löschung der Daten erfolgloser Bewerber*innen und ausgeschiedener Beschäftigter.
• Abs. 8 regelt die automatisierte Verarbeitung der Ergebnisse medizinischer oder psychologischer Untersuchungen und Tests.

Fazit

Das Problem mit § 26 BDSG ist, dass er eigentlich nichts regelt, was sich nicht schon aus der DSGVO ableiten lässt. Damit ist diese Norm aufgrund des Wiederholungsverbots des EU-Rechts wohl europarechtswidrig, während ein ausführliches Beschäftigtendatenschutzgesetz noch auf sich warten lässt. Das heißt aber nicht, dass das Damoklesschwert der Europarechtswidrigkeit auch über den kirchlichen Gesetzen schwebt: Die kirchlichen Beschäftigtendatenschutz-Normen ähneln zwar wie gezeigt dem BDSG stark und fügen den DSGVO-Regelungen nicht allzu viel hinzu. Wie die KDSA Ost aber überzeugend darlegt, ist das deshalb kein Problem, weil für kirchliches Datenschutzrecht nicht das Wiederholungsverbot relevant ist, sondern der Einklang mit den Wertungen der DSGVO – und der scheint hier sehr wahrscheinlich durchweg gegeben.

Bei allen Parallelen sticht das DSG-EKD mit deutlich detaillierteren Regeln für Verarbeitungssituationen heraus. Hier wird schon einiges vorweggenommen, was für das lange geplante Beschäftigtendatenschutzgesetz im Raum steht. Anders als das KDG kann das DSG-EKD daher auf eine wirklich eigenständige und zumindest teilweise genuine Regelung des Beschäftigtendatenschutzes verweisen. Interessant dürfte dieser Unterschied werden, wenn wirklich ein Beschäftigungsdatenschutzgesetz kommt: Wollen die Kirchen weiterhin auch hier ihren Datenschutz selbst regeln, hat nach aktuellem Rechtsstand das DSG-EKD die besseren Argumente, warum ein staatliches Beschäftigtendatenschutzgesetz keinen Anwendungsvorrang genießt.

In der Praxis dürften die teilweise deutlichen Unterschiede kaum eine Rolle spielen – auch wenn es Stellen gibt, an denen Konflikte drohen können, insbesondere bei der Frage nach katholischen Dienstvereinbarungen als Rechtsgrundlage, möglicherweise aber auch im DSG-EKD bei der Frage, ob eine bloße Dienstpflichtverletzung statt einer Straftat schon Verarbeitungen legitimieren kann.