Kann man Verstöße gegen kirchliches Datenschutzrecht bei internen Meldestellen der Kirchen oder der externen Meldestelle des Bundesamts für Justiz melden? Die intuitive Antwort ist: Ja, klar, schließlich ist Datenschutzrecht eines der Gebiete, das im Hinweisgeberschutzgesetz erwähnt ist.

Tatsächlich ist es aber wohl komplizierter – im Ergebnis ist Whistleblowing mit Blick auf das kirchliche Datenschutzrecht (und anderes kirchliche Recht sowieso) jedenfalls nicht von vornherein möglich.

Das Problem: Was kann gemeldet werden?

Sachlicher Anwendungsbereich des HinSchG

Das deutsche Hinweisgeberschutzgesetz setzt die EU-Hinweisgeberrichtlinie in nationales Recht um. Im § 2 HinSchG wird der sachliche Anwendungsbereich sehr kleinteilig geregelt und in zehn Nummern (und einer Unterteilung von Nr. 3 in Buchstaben a bis t) genau geregelt, welche Verstöße meldefähig sind.

Nr. 3 lit. p) betrifft das Datenschutzrecht. Gemeldet werden können »sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union und der Europäischen Atomgemeinschaft […] p) zum Schutz personenbezogener Daten im Anwendungsbereich der [DSGVO] gemäß deren Artikel 2«.

Alle Punkte haben eine naheliegende Gemeinsamkeit: Es geht um Verstöße gegen staatliches oder europäisches Recht. Die Nummern 1 und 2 (strafbewehrte und manche bußgeldbewährte Verstöße) müssen so ausgelegt werden, dass damit Verstöße gegen staatliches Recht gemeint sind, auch da, wo Religionsgemeinschaften in ihrem Religionsrecht Straf- und Bußgeldbestimmungen haben.

Bei den meisten kirchenrechtlichen Normen ist daher völlig klar, dass sie nicht in den genau definierten Anwendungsbereich des Hinweisgeberschutzgesetzes fallen und aufgrund der Trennung von Staat und Kirche auch nicht fallen können.

Europarechtlich determiniertes Kirchenrecht

Kirchliches Datenschutzrecht stellt dagegen eine Besonderheit dar: Es ist Kirchenrecht, also Recht, das Kirchen setzen und anwenden. Es ist aber zugleich ein europarechtlich determiniertes Kirchenrecht: Soll es anstelle der DSGVO angewandt werden, muss es die Bedingungen von Art. 91 Abs. 1 DSGVO erfüllen.

Die Frage, ob § 2 Nr. 3 lit. p) HinSchG kirchliches Datenschutzrecht gemäß Art. 91 Abs. 1 DSGVO erfasst, hängt daher davon ab, wie man dieses Konstrukt interpretiert:

• Gilt die DSGVO auch für Kirchen und wird lediglich nicht unmittelbar angewandt, solange eigenes Datenschutzrecht angewandt wird? Ist kirchliches Datenschutzrecht mithin lediglich eine Ausgestaltung der DSGVO?
• Oder wird kirchliches Datenschutzrecht anstatt der DSGVO angewandt, so dass Kirchen von der Geltung der DSGVO in diesem Fall ausgenommen sind?

Im ersten Fall läge bei einem Verstoß gegen Bestimmungen des kirchlichen Datenschutzrechts wohl zugleich ein mittelbarer Verstoß gegen die DSGVO vor. Im zweiten Fall nicht.

Unabhängig davon, wie man die Frage beantwortet: Das HinSchG hebt explizit auf »unmittelbar geltende Rechtsakte der Europäischen Union« ab. Selbst im ersten Fall dürfte sehr schwer zu argumentieren sein, dass die DSGVO in Kirchen mit eigenem Datenschutzrecht unmittelbar gilt.

Dazu kommt, dass die zweite Variante aus religionsverfassungsrechtlichen Erwägungen plausibler ist: Kirchliches Datenschutzrecht wird in Deutschland aufgrund des nationalen Religionsverfassungsrechts im Rahmen der kirchlichen Selbstbestimmung gesetzt (Art. 140 GG i.V.m. Art. 137 Abs. 3 WRV); die EU muss den Status von Religionsgemeinschaften in den Mitgliedsstaaten achten und darf ihn nicht beeinträchtigen (Art. 17 Abs. 1 AEUV).

Im Ergebnis spricht also kaum etwas dafür, dass das HinSchG einschlägig ist, wenn kirchliches Datenschutzrecht verletzt wird.

Position des Bundesamts für Justiz

Das Bundesamt für Justiz fungiert als Meldestelle des Bundes. Dort können Verstöße im Anwendungsbereich des HinSchG gemeldet werden. Auf Anfrage schließt sich das Amt den obigen Erwägungen an: »Nach hiesiger Auffassung führen Verstöße gegen kirchliches Datenschutzrecht nicht zur Eröffnung des sachlichen Anwendungsbereichs des Hinweisgeberschutzgesetzes.«

Der Sprecher verweist auf den Wortlaut: »Kirchliches Datenschutzrecht, das der einschlägigen Kommentarliteratur zufolge in seinem Anwendungsbereich die DSGVO und andere staatliche Gesetzgebung zum Datenschutz verdrängt, stellt nach hiesiger Einschätzung keine Rechtsvorschrift des Bundes oder eines Landes und auch keinen Rechtsakt der Europäischen Union oder der Europäischen Atomgemeinschaft dar, sondern ein kirchliches Gesetz, das von kirchlichen Organen erlassen wurde.«

Meldet man der Meldestelle des Bundes Verstöße gegen kirchliches Datenschutzrecht, wird laut dem Sprecher daher das Verfahren ohne Folgemaßnahme abgeschlossen. Das sei auch schon passiert. Wie viele derartige Meldungen es gab, werde aber statistisch nicht erfasst.

Kirchliche Umsetzungen des HinSchG

Unstreitig ist, dass Kirchen in den Anwendungsbereich des Hinweisgeberschutzgesetzes fallen. Schließlich gilt staatliches Recht, dessen Missachtung an Meldestellen gemeldet werden kann, auch in Kirchen. Die Kirchen haben daher Meldestelle eingerichtet.

Die kirchlichen Datenschutzaufsichten haben das in ihren Tätigkeitsberichten in der Regel auch verzeichnet, sich aber nicht direkt zur Frage der Anwendbarkeit des HinSchG für kirchliches Datenschutzrecht geäußert. Eine Ausnahme ist der Tätigkeitsbericht 2024 des KDSZ Dortmund. Darin heißt es:

»Gemeinsam ist diesen Regelungen [der NRW-Bistümer], dass Eingaben zu Verstößen gegen das Gesetz über den Kirchlichen Datenschutz nicht als Meldungen im Sinne der Ordnungen zu den internen Meldestellen nach HinSchG definiert werden. Für Verstöße gegen Regelungen des KDG verbleibt es daher bei den bisherigen Meldewegen und Stellen.«

Für die Einrichtung einer Meldestelle gibt es grundsätzlich zwei Strategien:

1. Die einfache Einrichtung einer Meldestelle, wie das HinSchG es verlangt. Das geht ohne eigenes kirchliches Recht, kann aber auch durch ein Errichtungsdekret der Meldestelle erfolgen.
2. Der Erlass kirchlichen Rechts, das das HinSchG ergänzt und einer kirchlichen Meldestelle weitere Aufgaben zuweist.

Im ersten Fall wird das HinSchG dann einfach 1:1 umgesetzt mit der Konsequenz, dass Verstöße gegen kirchliches Datenschutzrecht nicht in die Zuständigkeit fallen. Beispiele dafür sind die Ordnung der Gemeinsamen Meldestelle der EKD und das Umsetzungsgesetz im Bistum Speyer, die jeweils nur die Organisation der jeweiligen Stelle festlegen. Solche Stellen sind also nicht für kirchliches Datenschutzrecht zuständig – in Speyer wird das sogar ausdrücklich formuliert und eine Überweisung der Meldung an die betrieblichen Datenschutzbeauftragten verfügt.

Einige katholische Bistümer haben im Sinne des zweiten Falls den Anwendungsbereich erweitert – teils mehr, teils weniger gelungen. Eine Auswahl zeigt die Bandbreite:

• Im Bistum Münster wird definiert, dass ein Regelverstoß »jeder Verstoß gegen kirchliche und staatliche Gesetze, Rechtsverordnungen und organisationsinterne Regelungen gem. Hinweisgeberschutzgesetz« (§ 3 Abs. 1 der Ordnung der Meldestelle) ist – die Formulierung ist misslungen, weil kirchliche Regelungen gemäß HinSchG gar nicht erfasst sind. Hier ist unklar, wie das auszulegen ist: Soll man davon ausgehen, dass eine Erweiterung des Anwendungsbereichs gemeint war, aber nur die Formulierung misslungen ist? Oder ist die Aufnahme von »kirchlich« nur eine Absicherung, falls das HinSchG irgendwann einmal kirchliche Regelungen aufzählen sollte? (Das ist indes nicht zu erwarten.) Wirksam und klar ist dagegen Abs. 2, der den Anwendungsbereich auf bestimmte kirchliche Rechtsgebiete im Kontext von Vermögensrecht und Compliance, nicht aber Datenschutz erweitert.
• Grundsätzlich gleich aufgebaut, aber ohne Verweis auf kirchliche Normen in § 3 Abs. 1 ist die Variante der Ordnung im Bistum Aachen. Diese Fassung hat den Vorteil, dass sie klar formuliert ist.
• Im Erzbistum Köln wird der Meldestelle gemäß der Ordnung neben den vom HinSchG abgedeckten Bereichen und Verstößen gegen kirchliches Vermögensrecht die Zuständigkeit für »jede[n] Verstoß gegen organisationsinterne Dienstanweisungen, Richtlinien oder sonstige Regelungen innerhalb des Erzbistums Köln« gegeben; hier ist leider unklar, ob sich »organisationsintern« auf alle drei Glieder bezieht (dann wäre das sonstige kirchliche Recht außen vor).
• Unglücklich ist die Ordnung im Bistum Rottenburg-Stuttgart, die in § 4 zunächst als Anwendungsbereich den Anwendungsbereich des HinSchG angibt, dann aber mit »insbesondere« eine Aufzählung ergänzt, in der »Datenschutz/Umgang mit personenbezogenen Daten« steht – da die Aufzählung mit »insbesondere« beginnt, erweitert sie nicht den Anwendungsbereich, was dazu führt, dass wenig intuitiv das KDG nicht in den Zuständigkeitsbereich der Meldestelle fällt.
• Im Erzbistum Freiburg legen die Ausführungsbestimmungen zum Statut des Rechnungshofs, dass das HinSchG sinngemäß anzuwenden ist in Fällen von Complianceverstößen, für die der Rechnungshof zuständig ist, die das HinSchG aber nicht erfasst. Dank der in § 4 des Statuts festgehaltenen breiten Zuständigkeit auch für die Prüfung der Einhaltung des geltenden Rechts ist damit auch kirchliches Datenschutzrecht (und sonstiges kirchliches Recht) erfasst.
• Im Bistum Osnabrück wird in der Meldestellenordnung der Anwendungsbereich des HinwSchG erweitert auf »kirchliche Gesetze, Regelungen und Richtlinien«.
• Im Bistum Mainz hat man die Problematik detailliert gelöst. Das Gesetz zur internen Meldestelle nennt zum Anwendungsbereich in § 4 Abs. 1 zunächst den Anwendungsbereich des HinSchG, in Abs. 2 dann klar benannte kirchliche Rechtsmaterien, auch hier wieder aus dem Vermögensrecht, aber auch aus dem kirchlichen Strafrecht und das kirchliche Datenschutzrecht.

Alle diese Regelungen gelten grundsätzlich nur für den verfasstkirchlichen Bereich im engeren Sinn, also die Bistümer und ihre Untergliederungen sowie öffentliche juristische Personen des kanonischen Rechts (aber in der Regel nicht für Ordensgemeinschaften, die diesen Personenstand haben), andere kirchliche Rechtsträger können sich teilweise an die zentrale Bistums-Meldestelle anschließen.

Fazit

Wer nach dem Hinweisgeberschutzgesetz Verstöße gegen kirchliches Datenschutzrecht melden will, hat in manchen Fällen keinen Erfolg: Die externe Meldestelle des Bundes macht die Akte gleich wieder zu, die EKD-Meldestelle ist aus den gleichen Gründen nicht zuständig, und in den Bistümern kommt es darauf an, wo man gerade ist, um welche kirchliche Stelle es geht und ob das jeweilige Ortskirchenrecht eine Meldung hergibt.

Wahrscheinlich war es dem EU-Gesetzgeber (wie so oft) nicht präsent, dass überhaupt ein Problem hinsichtlich der Art.-91-Datenschutzgesetze besteht. Schlimm ist das aber nicht: Die Meldestellen bleiben auch dann vertraulich, wenn eine Meldung sich als gar nicht meldefähig erweisen sollte. Eine wirkliche Schutzlücke ergibt sich auch nicht: Mit den Datenschutzaufsichten stehen Behörden zur Verfügung, die Meldungen entgegennehmen, bearbeiten und wirksam Abhilfe schaffen können. Beide großen kirchlichen Datenschutzgesetze enthalten außerdem ein Maßregelungsverbot gegenüber Beschwerdeführenden (§ 46 Abs. 3 DSG-EKD, § 48 Abs. 3 KDG) – allerdings nur für betroffene Personen (im datenschutzrechtlichen Sinn), nicht für Whistleblower, die selbst nicht von einem Verstoß betroffen sind.

Sinnvoll im Zuge einer Verbesserung der Rechtskultur in der Kirche und systematisch folgerichtig wäre es, wenn die von den Kirchen eingerichteten Meldestellen auch wegen Verstößen gegen kirchliches Recht angegangen werden könnten. Einige Bistümer haben das auch ermöglicht – zugleich zeigt sich aber angesichts einiger zweifelhafter Lösungen, dass bei kirchlicher Gesetzgebung einiges an Luft nach oben wäre.

Die Problemstellung wurde in der Artikel-91-Signal-Gruppe aufgeworfen. Viele hilfreiche Hinweise und Argumente aus der Diskussion sind in diesen Artikel eingeflossen. Die Zugangsdaten zur Artikel-91-Signal-Gruppe werden mit dem Newsletter verschickt.