Die Woche im kirchlichen Datenschutz

Schlussanträge zum Löschen im Taufbuch

EuGH-Generalanwältin Laila Medina hat ihre Schlussanträge im Fall Bisdom Gent zum Löschrecht bei Taufbucheinträgen vorgelegt (knapper als die Anträge ist die Pressemeldung des EuGH dazu). Kurz zusammengefasst: Die Appelle der Kirche, generell nicht zu löschen, sind verhallt. Medina nimmt die Argumente der Kirche (wie sie unter anderem der Vatikan und die COMECE formuliert haben) zwar auf, besteht aber auf einer Abwägung im jeweiligen Einzelfall. Diese Abwägung müsse den nationalen Gerichten zukommen. Eine erste Auswertung der Schlussanträge habe ich für katholisch.de geschrieben, in der kommenden Woche folgt hier eine tiefer ins Detail gehende.

Lebenszeichen von der alt-katholischen Aufsicht

Die aktuellen Datenschutz-Nachrichten haben den Schwerpunkt »Kirchlicher Datenschutz«. (Ich habe auch einen Beitrag beigesteuert zum Transparenzproblem des kirchlichen Datenschutzes.) Einer der Beiträge stammt von Werner Hülsmann, dem Bistumsdatenschutzbeauftragten der alt-katholischen Kirche.

Der Beitrag ist gleich in mehreren Aspekten bemerkenswert: Einmal erfährt man, dass Hülsmann überhaupt noch als Bistumsdatenschutzbeauftragter bestellt ist. 2024 teilte mir ein Sprecher des alt-katholischen Bistums mit, dass er nur für ein Jahr bestellt worden sei. Im Beitrag schreibt er selbst nun, dass er für die vom Gesetz vorgesehenen vollen fünf Jahre, mithin also noch bis 2029, im Amt sei.

Zum Zweiten ist der Beitrag die erste öffentliche Äußerung des Bistumsdatenschutzbeauftragten seit 2021, als es eine Stellungnahme zum Brexit gab. Insbesondere wurde noch nie ein Tätigkeitsbericht veröffentlicht, und laut Kirchenleitung waren (zumindest bis 2024) dort auch keine Berichte bekannt. § 44 Abs. 7 KDO legt dagegen klar fest, dass jährlich ein Bericht dem Bischof vorgelegt und der Öffentlichkeit zugänglich gemacht werden muss.

In der Sache erfährt man aus dem Beitrag nicht viel: Ein paar Beratungen gab es, Musterformulare wurden entwickelt, und in all den Jahren wurde genau eine Beschwerde bearbeitet. Diese Beschwerde sei zwar umfangreich gewesen, aber nur zusätzliches Mittel in einem Arbeitsrechtsstreit. »Die Tätigkeit der Datenschutzaufsicht des Bistums der Alt-Katholiken in Deutschland ist auf der einen Seite wichtig, aber auf der anderen Seite auch überschaubar«, ist Hülsmanns Fazit.

Satzungsänderung beim KDSZ Dortmund

Die Satzung des KDSZ Dortmund wurde geändert. Mit dem Franz-Josef des Essener Bischofs unter der Satzung am 24. August lagen alle Unterschriften der beteiligten Bistümer vor, damit trat sie an diesem Datum in Kraft.

Eine Änderung ist kosmetisch: Einmal wird »der oder die« Diözesandatenschutzbeauftragte in § 4 ergänzt, um inklusiv zu formulieren. Die anderen beiden Änderungen beziehen sich auf das Verhältnis des oder der Diözesandatenschutzbeauftragten zum Verwaltungsrat. In § 5 Abs. 1 werden zwei Sätze ergänzt:

»Gegenüber dem oder der Diözesandatenschutzbeauftragten vertritt der oder die Vorsitzende des Verwaltungsrates bzw. der oder die stellvertretende Vorsitzende des Verwaltungsrates das Datenschutzzentrum; dies gilt auch gegenüber einer übergangsweisen Leitung nach § 43 Abs. 6 KDG. Satz 7 [das ist der direkt vorher] findet bei der dienstvertraglichen Regelung einer Neubestellung zum oder zur Diözesandatenschutzbeauftragten bzw. übergangsweisen Leitung entsprechende Anwendung.«

In § 7 Abs. 2 wird die Dienstaufsicht genauer gefasst. Statt den*die Vorsitzende*n des Verwaltungsrats als »Dienstvorgesetzten« zu bezeichnen, heißt es nun, dass er*sie die »Dienstaufsicht nach § 42 Abs. 3 S. 3 KDG« ausübt.

Auf den ersten Blick erschließt sich die Änderung nicht; anscheinend war unklar, dass der Vorsitz die Vertretung gegenüber dem DDSB wahrnimmt. In welchen Konstellationen das relevant werden kann, ist ohne nähere Kenntnisse der Arbeitsweise nicht klar.

Möglicherweise ist der Übergang vom bisherigen DDSB Steffen Pau auf seinen Interims-Nachfolger nicht ganz rund gelaufen. Die eigentlich einfach zu beantwortende Anfrage, ob eine dauerhafte Verhinderung oder ein vorzeitiges Ende des Amtsverhältnisses der Grund dafür war, dass Pau sein Amt nicht wie im KDG vorgesehen bis zum Februar ausübt, wenn die reguläre Nachfolgerin beginnt, ist seit Wochen bis auf Eingangsbestätigungen unbeantwortet.

Berliner IT-Dienstanweisung

Das Erzbistum Berlin hat eine relativ umfangreiche IT-Dienstanweisung im Amtsblatt veröffentlicht. Vom Datenmanagement bis zum Umgang mit IT-Komponenten (inklusive KI) kann die Dienstanweisung auch außerhalb Berlins als Steinbruch für ähnliche Regelungen dienen.

Aufgedrängte sensible Daten

Das LG Köln hatte im Kontext eines KI-Chatbots über aufgedrängte Daten zu entscheiden, die zu den besonderen Kategorien gehören (Urteil vom 17. September 2026 – 33 O 120/24). Die sensiblen Daten hat das Unternehmen nicht aktiv angefordert, stattdessen wurden sie freiwillig eingegeben. Carlo Piltz ordnet diese Problematik in ihrer Tragweite ein:

»Bewerber teilen im Anschreiben ungefragt eine Schwerbehinderung, eine Erkrankung oder ihre Religionszugehörigkeit mit, der Lebenslauf verrät das ehrenamtliche Engagement in der Kirchengemeinde oder die Gewerkschaftstätigkeit. Kunden schildern im Service-Chat, im Kontaktformular oder per E-Mail ihre gesundheitliche Situation.«

Die missliche und extrem extensive Auslegung von Art. 9 DSGVO führt dazu, dass man dieses Problem kaum lösen kann – ein freundlicher Hinweis, doch bitte keine sensiblen Daten zu übermitteln, reiche jedenfalls nicht. Piltz hat aber drei Empfehlungen für die Praxis, die das Problem zumindest lindern können: sensible Inhalte nicht verwerten, technisch vorbeugen statt nur hinweisen und Prognose und Maßnahmen dokumentieren.

Kirchenaustritt digital-ish

Der Kirchenaustritt per Mausklick ist eigentlich in den Teilprojekten des Onlinezugangsgesetzes vorgesehen. Weil aber dieses Teilprojekt in die Zuständigkeit des Landes Nordrhein-Westfalen fällt und NRW den Kirchenaustritt einfach nicht digitalisieren will, müssen Austrittswillige weiterhin zum Standesamt oder zum Amtsgericht. So auch im schleswig-holsteinischen Pinneberg – dort gibt es jetzt aber ein »Virtuelles Bürgerbüro«, bei dem man per Videokonferenz (und nach einer optischen Identifizierung per Ausweis, nicht etwa per eID-Online-Ausweisfunktion) Behördengänge erledigen kann. Unter den möglichen Behördengängen ist auch der Kirchenaustritt.

Auf Artikel 91

• So antwortet die Nordkirche auf ihren Big Brother Award

Aus der Welt

• Im Datenschutz-Berater befassen sich Carlo Piltz und Ilia Kukin mit datenschutzrechtlichen Aspekten der Betriebsratswahl. Auch wenn das natürlich auf Grundlage von DSGVO und BetrVG getan wird: Die Übertragbarkeit ins kirchliche Datenschutz- und Mitarbeitervertretungsrecht ist gegeben. (Der Hinweis darauf kam wie so oft aus dem Datenzirkus, der dieses Mal noch mehr lesenswerte Hinweise zum Beschäftigtendatenschutz hat.)

Kirchenamtliches

• Bistum Regensburg: Organisationserlass zur Stabsstelle Datenschutz
• KDSZ Bayern:
  • Digitale Souveränität ist eine praktische Aufgabe
  • Eigenes Recht – gemeinsame Maßstäbe: Kirchlicher Datenschutz beim GDD-Erfa-Kreis Bayern
• Bistum Augsburg: Kirchlicher Datenschutz – Veröffentlichung von Priester- und Diakonenjubiläen
• Erzbistum Köln: Satzung des Katholischen Datenschutzzentrums vom 20. August 2015 in der Fassung der Beschlussfassung des Verwaltungsrates vom 29. Juli/3. August 2026
• Erzbistum Hamburg: Hinweis auf Widerspruchsrecht nach dem Ausführungsdekret zur Veröffentlichung von Sakramentsspendungen sowie Geburtstags-, Ehe-, Weihe-, Ordens- und Dienstjubiläen im Erzbistum Hamburg
• Erzbistum Berlin: Dienstanweisung zur Nutzung der Informationstechnologie im Erzbistum Berlin
• Bistum Münster: Satzung des Katholischen Datenschutzzentrums
• Bischöflich Münstersches Offizialat in Vechta: Bestellung zum Gemeinsamen Diözesandatenschutzbeauftragten
• Bistum Aachen: Satzung des Katholischen Datenschutzzentrums
• Erzbistum Paderborn: Satzung des Katholischen Datenschutzzentrums vom 20. August 2015 in der Fassung der Beschlussfassung des Verwaltungsrates vom 29. Juli/3. August 2026