Nach der eingefrorenen Plazenta und den Exorzismen des Vorjahres musste der Tätigkeitsbericht des KDSZ Frankfurt 2025 wohl zwingend etwas weniger spektakulär ausfallen. Dabei gab es viel zu tun: Die KI-Beschwerdewelle rollt auch im Südwesten – und anscheinend schwappt sie gigabyteweise bis zum Interdiözesanen Datenschutzgericht.

Recht und Gesetzgebung

Staatlicher Rechtsbereich

Der Abschnitt über staatliche Gesetzgebung enthält sich der Urteile; auch Praxishinweise zur Anwendung im Geltungsbereich des kirchlichen Datenschutzrechts gibt es nicht. Wenn überhaupt, dann spricht die Auswahl der sachlich dargestellten Gesetze für sich und gibt Hinweis auf Felder, die die Aufsicht für besonders relevant hält.

Genannt werden insbesondere einige Aufsichtspositionen zum KI-Einsatz: die DSK-Orientierungshilfen zu TOMs bei Entwicklung und Betrieb von KI-Systemen und zu KI-Systemen mit Retrieval Augmented Generation (RAG) sowie die Leitlinie des EDPS zum Risikomanagement von KI-Systemen. Wer KI-Systeme anwendet oder betreibt, sollte diese Veröffentlichungen also gut im Blick haben.

Kirchlicher Rechtsbereich

Im Berichtsjahr wurde der Text des novellierten KDG zwar bekannt – in Kraft getreten ist es aber erst 2026. Daher verschiebt die Aufsicht ihre Einschätzungen dazu auch in den nächsten Bericht. Allzu viele Veränderungen sind aber wohl ohnehin nicht zu erwarten, jedenfalls nicht im materiellen Datenschutzrecht. Umso interessanter dürfte es sein, ob sich die umfangreiche Umgestaltung des Kapitels über die Datenschutzaufsicht bewährt hat. Aber wie gesagt: Erst nächstes Jahr.

Das KDSZ Frankfurt weist auf zwei Dokumente aus den beaufsichtigten Bistümern hin: die Datenschutzhinweise für neue Kirchengemeinden im Erzbistum Freiburg und die Betreuungsvertragsbedingungen und Datenschutzhinweise für katholische Kitas im Bistum Fulda. Erwähnt werden aus Speyer das IT-Gesetz und das Gesetz zur Umsetzung des Hinweisgeberschutzgesetzes. Das Speyerer Gesetz ist eine der kirchlichen Normen, die den Umgang mit Meldungen zu Datenschutzverstößen regeln – ohne kirchliche Regelung sind die Hinweisgeberstellen nicht zuständig, in Speyer wird eine Regelung zum Umgang getroffen: Datenschutzverletzungen sind an den bDSB durchzureichen.

Interessant wäre eine Bewertung der Trierer Regelung von Einsichts- und Auskunftsrechten von Betroffenen sexuellen Missbrauchs in Sachakten, die leider unterbleibt. Einerseits stärken solche Einsichtsnormen die Rechte von Angehörigen von verstorbenen Betroffenen, da postmortal keine Betroffenenrechte mehr ausgeübt werden können, andererseits bergen Spezialnormen zur Akteneinsicht immer die Gefahr, hinter dem mächtigen datenschutzrechtlichen Auskunftsrecht zurückzubleiben, können zugleich aber auch Zugang zu Beständen eröffnen, die über das Auskunftsrecht nicht zugänglich sind.

Ausführlich geschildert wird das IDSG-Urteil zum widerrechtlichen Löschen einer Akte in einer Caritas-Einrichtung (IDSG 26/2022, hier besprochen). Hier war das KDSZ Frankfurt die beteiligte Aufsicht, daher ist deren Sicht auf den Vorgang eine weitere Perspektive auf den Fall. Die Entscheidung ist nicht rechtskräftig und liegt dem DSG-DBK vor (Az. 09/2025).

Aufsichtstätigkeit

Vorgänge

Datenschutzverletzungen

Leider gibt es wieder einmal nur relative Zahlen. Die Zahl der Datenschutzverletzungen stieg um 30 Prozent – und das, obwohl 2024 die Panne der Kita-App »Stay Informed« ins Kontor schlug. (Und sogar trotz dieser Vielfach-Panne ging in Frankfurt die Zahl 2024 leicht zurück.) Zwei Sektoren werden herausgehoben: 41 Prozent der Pannen kommen aus dem Bereich der (nicht weiter aufgeschlüsselten) Kinder-, Jugend-, Alten- und Behindertenhilfe (Vorjahr: 48 Prozent), 15 Prozent aus dem Gesundheitswesen (Vorjahr nicht aufgeführt). Die verfasste Kirche (Vorjahr 8 Prozent) wird in diesem Jahr nicht aufgeführt.

Nach Art der Datenpanne dominieren wieder Klassiker: 18 Prozent sind Fehlversände, 12 Prozent offene E-Mail-Verteiler, 11 Prozent der Verlust von Endgeräten und Dokumenten. Fotos, Videos und Fälle im Zusammenhang mit Social Media machen 16 Prozent der Pannen aus.

Man hört das Seufzen: »So manches Mal mag es auf die Hektik im Arbeitsalltag zurückzuführen sein, wünschenswert wäre trotzdem eine rückläufige Zahl – allmählich müssten sich die Auswirkungen des ›offenen E-Mail-Verteilers‹ doch herumgesprochen haben.« Typische technische Probleme sind fehlerhafte Rechte- und Zugriffskonzepte. Ein Fall erzählt von einer Kita, in der in kurzem Abstand fünfmal hintereinander trotz Nachschulung offene Verteiler genutzt wurden.

Beschwerden

2025 gingen die Zahlen an Beschwerden so stark nach oben, dass gleich die Einleitung damit aufmacht. »Die Gründe dafür sind mannigfaltig, neben einem erhöhten Bewusstsein für den Schutz personenbezogener Daten und den sich daraus ergebenden Betroffenenrechten, spielt sicher die KI-gestützte Formulierung von Beschwerden auch eine Rolle. Diese steigert zwar die Anzahl, nicht aber zwingend die inhaltliche Qualität der Beschwerden«, heißt es dort. Die Zahl habe sich im Vergleich zum Vorjahr nahezu verdoppelt. 36 Prozent davon kommen aus dem Krankenhausbereich, absolut hätten sich die Zahlen verdreifacht.

Anfragen

Die Zahl der Anfragen stieg um 45 Prozent an. Interessant sind Fälle zur Zuständigkeit. Leider nur aufgezählt werden »komplexe Zusammenhänge wie geltendes Recht bei ökumenischen Einrichtungen« (eine auch hier schon und durch das IDSG thematisierte Problematik).

Ausführlicher geht es um eine Hochschule, die »auf den ersten Blick katholisch« wirkte, deren Trägerschaft sich aber nicht unmittelbar erschlossen hat. Die Datenschutzerklärung war »stramm auf DSGVO gebürstet«. Am Ende stellte sich heraus, dass der Ordensdatenschutzbeauftragte zuständig ist. Um welche Hochschule es geht, wird nicht verraten. Auf die Beschreibung passt aber die Datenschutzerklärung der von den Pallottinern getragenen »Vinzenz Pallotti University« in Vallendar. (Die von den Jesuiten getragene Philosophisch-Theologische Hochschule Sankt Georgen hat nicht nur einen seriöseren Namen, sondern auch eine Datenschutzerklärung nach KDR-OG.) Warum die Zuordnung zu einem Orden so schwierig war, erschließt sich nicht – eine einfache Suche im zwar behäbigen, aber öffentlich zugänglichen Handelsregister hätte genügt, wenn man die Angaben auf der Webseite nicht eindeutig genug findet. (Die Vinzenz Pallotti University gGmbH wird zu 100 Prozent von der Vinzenz Pallotti gGmbH getragen, die wiederum zu 100 Prozent den Pallottinern KdÖR gehört.)

Hoffentlich erfährt man von diesem Fall im Bericht der Ordensdatenschutzbeauftragten mehr: Die Zuordnung im Ordensbereich ist noch einmal spannender, weil Orden einerseits keine Gesetzgebungsgewalt im eigentlichen Sinn haben, wie es bei Diözesen der Fall ist, andererseits aber die Formulierung der Geltung in der KDR-OG klarer ist. Dort ist in § 3 KDR-OG festgehalten, dass sie in von der jeweiligen Gemeinschaft »ganz oder mehrheitlich getragenen Werke und Einrichtungen« gilt. (Dem Sinn nach müsste das auch für mittelbare Trägerschaften wie hier gelten, dem Wortlaut nach ist das nicht so klar.)

Gerichtsverfahren

Die Zahl der Klagen gegen Bescheide nahm »moderat« zu. »Eine davon hat es vom Umfang her allerdings in sich, bewegt dieser sich doch im Gigabyte-Bereich – viel Lesestoff für die ehrenamtlichen Richterinnen und Richter beim IDSG in Bonn. Für die Aufsicht stellen solche Umfänge zwischenzeitlich allerdings keine Ausnahme mehr dar.«

Zwei anhängige Verfahren konnten durch Vergleich beendet werden. Dabei wurden jeweils Bußgelder reduziert. »In diesen Fällen konnte die Datenschutzaufsicht aufgrund besonderer – oder vielleicht noch treffender – absolut außergewöhnlicher Vorkommnisse in der Rechtsabteilung des Verantwortlichen diesem bei den Höhen der Bußgelder wie vom Gericht angeregt entgegenkommen.« Man wüsste gerne mehr. Abseits dieser beiden Fälle gibt es keine Informationen zu verhängten Bußgeldern.

Es klingt außerdem Kritik an den Verfahrenslaufzeiten an: »Einige Verfahren verharren in der ersten Instanz, andere sind in die zweite Instanz gegangen bzw. befinden sich dort teils schon seit Längerem.« Angesichts der sonst großen Zurückhaltung im Bericht stellt das doch eine sehr deutliche Wertung dar.

Prüfungen

Die Prüfung von Schulwebseiten wurde fortgesetzt. Im Vorjahr hatte die technische Prüfung von 240 Schulen erhebliche Mängel festgestellt. Bei der Nachprüfung wurde es nicht besser, deshalb geht es jetzt in die Tiefenprüfung.

Außerdem fand die Umfrage über den Umgang mit Datenschutzverletzungen statt. Die Ergebnisse wurden bereits überblicksmäßig vorab veröffentlicht. Das Fazit lautet jetzt: »Zusammenfassend lässt sich sagen: Es war alles dabei. Die Bandbreite reichte vom versierten und verantwortungsvollen Umgang mit personenbezogenen Daten bis hin zur Aussage ›personenbezogene Daten haben wir nicht‹ (die übrigens von einer Kirchengemeinde kam).«

Fälle

Wie immer sind die Frankfurter Fälle besonders anschaulich und unterhaltsam formuliert, eignen sich also sehr gut als Schulungsmaterial.

»Stay Informed« war wieder Thema, dieses Mal aber mit einer handgemachten Datenschutzverletzung: In einer Kita wurde darüber die Schwangerschaft einer Erzieherin ohne deren Einwilligung mitgeteilt. »Auch wenn die Bekanntgabe der Schwangerschaft in guter Absicht geschah, um bei eventuell auftretenden Betreuungsengpässen frühzeitig um Verständnis bei den Eltern zu werben, so handelte es sich hier jedoch eindeutig um die Übermittlung von besonderen Kategorien personenbezogener Daten ohne Rechtsgrundlage.«

Ein Fall berichtet über eine TikTok-Challenge, »die Schülerinnen und Schüler dazu verleiten sollte, ihre Notdurft bewusst neben, statt in Toiletten zu verrichten. Ein Phänomen, das Schulen wohl bundesweit betroffen hat.« Der Aufsicht aufgefallen ist diese Challenge, weil sie dazu führt, dass der Zugang zu den Schultoiletten nur noch nach Eintrag in eine im Sekretariat offen ausliegende Liste ermöglicht wurde. Da die Maßnahme nur kurzfristig stattgefunden hat, wurde die Beschwerde als erledigt betrachtet. Hier verwundert, dass nicht einmal die Einsehbarkeit der Liste größer problematisiert wurde.

Ein weiterer Fall zeigt, wann ein Auskunftsbegehren verweigert werden kann: Ein Beschwerdeführer hatte nicht näher bezeichnete Auskunft begehrt, die ihm mit Verweis auf den Schutz von Dritten verweigert wurde. »Im Rahmen der Sachverhaltsaufklärung stellte sich heraus, dass bei einer Veranstaltung der Kirchengemeinde Anwesende vom Beschwerdeführer nicht nur mit Wein (der eigentlich zum Genuss gedacht war) überschüttet wurden, sondern auch mit erheblichen unangebrachten verbalen Äußerungen. Diese waren der Bibel entliehen und deuteten drohendes Ungemach für die Anwesenden an.« Hier hätte man gerne gewusst, um welche Daten es sich handelte und warum eine Anonymisierung nicht möglich war.

Fazit

Die Tendenzen überraschen nicht: Fast alle Datenschutzaufsichten berichten über den enormen Anstieg von KI-unterstützten Beschwerden. Die Ressourcen der Aufsichten steigen dagegen nicht. Möglicherweise schießen die kirchlichen Aufsichten sich selbst ins Knie, indem sie konsequent auf absolute Zahlen verzichten und nur mal mehr, mal weniger nebulös relative Veränderungen kommunizieren.

Wie immer sind die lebendig geschilderten Fälle der Höhepunkt des Berichts. Zu einigen nur erwähnten Punkten hätte man sich aber mehr gewünscht. Vor allem die Fragen zur Zuordnung zum kirchlichen Datenschutzrecht gehören zu den noch weitgehend ungeklärten Dingen.

Im Vorwort fällt eine Klage auf: Es zeige sich, dass Datenschutz als »Vehikel zur Durchsetzung anderweitiger Forderungen« benutzt werde, »denn einem Teil der Beschwerden ist die datenschutzrechtliche Komponente nicht oder nicht direkt zu entnehmen«. Weiter ist die Rede von »rechtsmissbräuchliche[r] Nutzung gesetzlich festgeschriebener Datenschutzrechte« – hier täte es gut, diese Fälle konkret zu benennen, um die Stichhaltigkeit der Beschwerden zu beurteilen. Geklagt wird auch darüber, dass diese Nutzung den Datenschutz »zum bloßen Werkzeug« diskreditiere (sic!).

Wenn es tatsächlich nicht um personenbezogene Daten und den Umgang damit geht, kann man das nachvollziehen. Auch dann, wenn das sehr mächtige Auskunftsrecht nur als Schikane benutzt wird. Wenn aber Datenschutzrechte ausgeübt werden, um mit den Ergebnissen noch weitere Ziele zu erreichen, dann ist die Kritik problematisch: Als gäbe es den reinen Raum des Datenschutzgrundrechts, der nicht mit anderen Lebenssachverhalten interagieren würde. Was ist informationelle Selbstbestimmung wert, wenn man die gewonnenen Informationen über die Verarbeitung eigener Daten nicht nutzen kann – etwa in arbeitsrechtlichen Streitigkeiten? Was ist daran denn schlimm, wenn man ein Grundrecht ausübt, um etwas zu erreichen?