Die Woche im kirchlichen Datenschutz

Etappensieg für Bundesfacebook

Das Bundespresseamt hat vor dem Verwaltungsgericht Köln einen Etappensieg erreicht: »Das Presse- und Informationsamt der Bundesregierung darf seine „Facebook-Fanpage“ weiterbetreiben«, heißt es in der Pressemitteilung des Gerichts. Die BfDI, die (als sie noch der war) die Untersagung ausgesprochen hatte, prüft, ob sie in die nächste Instanz geht.

Überraschend ist, dass das Gericht anscheinend sehr klar zu dem Schluss gekommen ist, dass keine gemeinsame Verantwortlichkeit zwischen Facebook und der Bundesregierung besteht. Das wundert auch das KDSZ Bayern in der ersten Reaktion einer kirchlichen Aufsicht zu dem Urteil: »Diese Auffassung steht im Gegensatz zu der vom EuGH vertretenen Argumentation aus dem Jahr 2018.« Gemeint ist das Wirtschaftsakademie-Urteil (C-210/16 vom 5. Juni 2018), die BfDI spricht in ihrer Pressemitteilung außerdem noch »Zeugen Jehovas« und »Fashion-ID« als die großen Entscheidungen des EuGH zu gemeinsamer Verantwortlichkeit an. Angesichts dieser Rechtsprechung wäre es eine Überraschung, wenn die BfDI nicht versuchen würde, den Fall vor den EuGH zu bringen. »Es bleibt also spannend, auch für Betreiber von kirchlichen Fanpages«, kommentiert der bayerische Diözesandatenschutzbeauftragte. (Zu Beginn seiner Amtszeit hatte er mir im Interview etwas zu seinem Umgang mit kirchlichen Facebook-Seiten gesagt.)

Wechsel in der Aufsicht beim FEG

Der Bund Freier evangelischer Gemeinden in Deutschland hat einen neuen Bundesbeauftragten für den Datenschutz. Stephan Eschenbacher folgt auf Reiner Dienlin, der seit 1. September 2019 das Amt innehatte. Eschenbacher ist als externe betrieblicher Datenschutzbeauftragter tätig. Das Amt hat er zum 1. Juli übernommen.

Der FEG ist eine der kleineren Kirchen und Bünde, die eigenes Datenschutzrecht anwenden. Die zuletzt 2022 geänderte Datenschutzordnung (DSO) ist dabei durchaus eigenständig und übersetzt nicht lediglich das DSG-EKD oder die DSGVO ins eigene Recht, wie andere Freikirchen das tun.

Schutz vor E-Mail-Spoofing

Die Datenschutz-Notizen schauen sich einen Fall im Tätigkeitsbericht des KDSZ Frankfurt genauer an. Es ging um einen Betrugsfall, bei dem eine Einrichtung eine gefälschte E-Mail mit angeblich geänderten Kontodaten eines Beschäftigten erhalten hatte. Der Beitrag kritisiert die Empfehlung, solche Änderungen per Post entgegenzunehmen – schließlich fehle beim Brief eine sicherere Identifizierung. Besser sei es, (sichere) Self-Service-Portale zu verwenden und die Firmen-E-Mail gegen Spoofing abzusichern. (Den Tätigkeitsbericht 2024 hatte ich auch schon besprochen.)

Schweizer Geheimarchive

Im Zuge der Missbrauchsaufarbeitung haben die Schweizer Bischöfe früh angekündigt, entgegen geltendem Kirchenrecht keine Akten aus dem bischöflichen Geheimarchiv zu vernichten. Lange hat es gedauert, bis mit dem Vatikan eine Einigung über dieses Vorgehen vereinbart wurde – wie genau die Einigung aussieht, halten sowohl der Vatikan als auch die Schweizer Bischofskonferenz geheim. In Nomokanon analysiert die Kirchenrechtlerin Martina Tollkühn (die sowohl mit Schweizer Verhältnissen wie mit kirchlichem Datenschutz vertraut ist) die Lage:

Die Schweizer Bischöfe haben de lege ferenda die Streichung von c. 489 § 2 CIC/1983 für das gesamtkirchliche Recht vorgeschlagen. Das wäre wünschenswert. Der Gesetzgeber könnte damit für Klarheit sorgen. Die Tolerierung des Vorgehens der Schweizer Bischöfe, die Norm nicht mehr anzuwenden, weist in diese Richtung. Aber auch in der geltenden Rechtslage wäre die Anwendung verschiedener Rechtsinstrumente möglich gewesen, die eine solche direkte Konfrontation vermieden hätten.

Etappensieg für das Beichtgeheimnis in Washington

Die drei katholischen Diözesanbischöfe des US-Bundesstaats Washington haben einen ersten Erfolg gegen das Gesetz erzielt, das Geistliche zur Meldung von Informationen über Missbrauchstaten verpflichtet, auch wenn sie in der Beichte erlangt wurden. Das zuständige Bundesbezirksgericht hat eine einstweilige Verfügung erlassen, die katholische Priester der drei Bistümer von den Bestimmungen ausnimmt – und nur diese: Aufgrund der jüngsten Supreme-Court-Entscheidung zu »universal injunctions« konnte das Gericht nur die Parteien binden; die ebenfalls klagenden orthodoxen Kirchen müssen daher auf eine Entscheidung in ihrem Fall warten.

Ausschlaggebend war vor allem die Ungleichbehandlung: Für andere Berufsgruppen sieht das Gesetz Ausnahmen vor. Dass diese Argumentation erfolgsversprechend ist, war hier schon auf Grundlage eines Artikels des Religionsrechtlers Mark Movsesian zu lesen.

In eigener Sache

• Für JHD|Bildung biete ich wieder Online-Seminare an. Am 8. Oktober 2025, 16.30–19 Uhr gibt es das Seminar zu Bildrechten (20 Euro, Anmeldeschluss 24. September 2025).

Auf Artikel 91

• Datenschutzkonzept der MAV – so geht’s

Aus der Welt

• Warum sind europäische Krankenhäuser dankbare Ziele für Ransomware-Angriffe? Politico ist dieser Frage nachgegangen: »Despite the risks, only 27 percent of health care organizations have a dedicated ransomware defense program, and 40 percent don’t offer any security awareness training for non-IT staff, a separate ENISA report found.«

Kirchenamtliches

• Landeskirche Hannovers: Rechtsverordnung zur Ergänzung und Durchführung datenschutzrechtlicher Vorschriften (Datenschutzdurchführungsverordnung – DATVO)
• KDSA Ost: Kann ein Arbeitnehmer auf einen Auskunftsanspruch gem. § 17 KDG (Art. 15 DS-GVO) verzichten?
• KDSZ Frankfurt: Sicherheitslücke bei Microsoft wird zum Einfallstor für Hacker
• BfD EKD: Aufbauseminare – es sind noch Plätze frei …
• Erzbistum Bamberg: Kirchlicher Datenschutz – Veröffentlichung von Priester- und Diakonenjubiläen im Jahr 2026