Die Einführung eines Beschäftigtendatenschutzgesetzes ist der Running gag der Koalitionsverträge der vergangenen Jahrzehnte: Regelmäßig versprochen, nie umgesetzt. Es hat wohl niemand wirklich mehr darauf gewettet, dass ausgerechnet in dieser Legislatur doch noch etwas passieren könnte. Und dennoch: Es gibt einen Referentenentwurf, wenn auch nicht für ein Beschäftigtendatenschutzgesetz: Beschäftigtendatengesetz, in der Langform »zur Stärkung eines fairen Umgangs mit Beschäftigtendaten und für mehr Rechtssicherheit für Arbeitgeber und Beschäftigte in der digitalen Arbeitswelt«, soll das Kind heißen.

Der Entwurf liegt schon einigen Medien vor, auf LinkedIn wurde er vollständig von Stephan Schmidt veröffentlicht. 30 Paragraphen in vier Kapiteln umfasst die Norm. Auch an den kirchlichen Datenschutz wurde dabei gedacht.

Geltungsbereich

Kirchendatenschutz grundsätzlich im Blick

Die große Frage wird gleich zu Anfang aufgeworfen: Gilt das Beschäftigtendatengesetz auch da, wo Religionsgemeinschaften eigenes Datenschutzrecht anwenden? (Der DGB wollte das bei seinem Entwurf so haben.) § 1, Anwendungsbereich, formuliert in seinem ersten Absatz parallel zum BDSG: Das BeschDG gilt für »öffentliche Stellen des Bundes« und »nichtöffentliche Stellen«, die jeweils korrespondierenden BDSG-Normen werden in Bezug genommen.

Das Problem des Kirchendatenschutzes gemäß Art. 91 DSGVO war bei der Verfassung des Entwurfs präsent, wie die Erläuterung zeigt:

»Die als Körperschaften des öffentlichen Rechts organisierten Kirchen fallen nicht unter den Anwendungsbereich des Gesetzes. Die Geltung von Artikel 91 der Verordnung (EU) 2016/679 wird durch dieses Gesetz nicht beschränkt. Kircheneigene Datenschutzvorschriften, die im Einklang mit Artikel 91 der Verordnung (EU) 2016/679 stehen, bleiben innerhalb der Grenzen des verfassungsrechtlich verbürgten Selbstbestimmungsrechts der Religionsgemeinschaften anwendbar.«

Diese auf den ersten Blick monolithisch scheinende Erläuterung besteht tatsächlich aus zwei sich nicht notwendig überschneidenden Fällen:

1. Als KdÖR organisierte Religionsgemeinschaften fallen nicht unter das BeschDG.
2. Kircheneigene Datenschutzvorschriften nach Art. 91 DSGVO bleiben anwendbar.

Zwei unterschiedliche Fälle sind das, weil nicht alle körperschaftlich verfassten Religionsgemeinschaften eigenes Datenschutzrecht haben und nicht alle Religionsgemeinschaften mit eigenem Datenschutzrecht körperschaftlich organisiert sind.

Lücke für manche Religionsgemeinschaften

Der erste Fall wirft die bekannte Problematik auf, dass so eine Lücke für körperschaftlich verfasste Religions- und Weltanschauungsgemeinschaften ohne eigenes Datenschutzrecht entsteht. (Das sind zum Beispiel jüdische Gemeinden, orthodoxe Kirchen und humanistische Verbände.) Die kategorische Formulierung »fallen nicht unter den Anwendungsbereich« überrascht. Beim BDSG vertreten nur die bayerischen Landesdatenschutzaufsichten diese Position mit der Konsequenz, dass dort niemand die Datenschutzaufsicht über solche Gemeinschaften wahrnimmt. In allen anderen Ländern behandeln die Landesdatenschutzaufsichten solche Gemeinschaften wie nichtöffentliche Stellen.

Folgt man der Erläuterung des Bundesarbeitsministeriums, droht also die nächste Lücke: Kein Beschäftigtendatenschutz in körperschaftlich organisierten Religionsgemeinschaften ohne eigenes Datenschutzrecht. Durch die Verweise aufs BDSG sollte aber mit der geplanten Reform des BDSG, bei der die Lücke geschlossen werden soll, hoffentlich automatisch auch die Schutzlücke im BeschDG geschlossen werden. (Je nach Lösung müsste nur noch der Verweis ergänzt werden.) Die Alternative wäre, trotz der anscheinend vom BMAS vertretenen Rechtsauffassung die Lücke so zu schließen, dass das BeschDG in körperschaftlichen Weltanschauungs- und Religionsgemeinschaften ohne eigenes Datenschutzrecht anwendbar ist.

Bestehendes kirchliches Beschäftigtendatenschutzrecht deutlich kompakter

Der zweite Fall führt wohl dazu, dass in Religionsgemeinschaften mit eigenem Datenschutzrecht dieses zur Anwendung kommen wird und nicht das BeschDG. Sowohl DSG-EKD als auch KDG regeln den Beschäftigtendatenschutz (das evangelische ausführlicher als das katholische) – hier gäbe es zwar keine klaffende Schutzlücke, aber eine deutlich allgemeinere Regelung, die viele im BeschDG geregelten Sachbereiche nicht abdeckt.

Das Einklanggebot aus Art. 91 Abs. 1 DSGVO gilt nur für die DSGVO – Religionsgemeinschaften müssen keinen Einklang mit mitgliedsstaatlichen Regelungen herstellen, die auf Grundlage von DSGVO-Öffnungsklauseln geschaffen wurden. Es wäre also möglich, dass in den Kirchen ein deutlich niedrigeres Beschäftigtendatenschutzniveau herrscht als in sonstigen Einrichtungen.

Detailregelungen mit Religionsbezug

• § 3 BeschDG regelt die Grundlagen der Datenverarbeitung und nennt in Abs. 4 für verschiedene Situationen Daten, die inbesondere verarbeitet werden. Bei Nr. 3, Zweck der Gehaltsauszahlung, werden hier »Name, Personalnummer und, sofern nicht das Entgelt auf andere Weise als durch Banküberweisung gezahlt wird, Bankver- bindung« genannt; hier hätte man schon die Religionszugehörigkeit aufnehmen können, sofern sie steuerrelevant ist. Möglicherweise liegt das darin begründet, dass besondere Kategorien von Beschäftigtendaten eigens in § 6 geregelt sind.
• Ein Fragerecht des Arbeitgebers besteht vor Arbeitsaufnahme in Bezug auf besondere Kategorien nur, wenn dies zur Eignungsfeststellung oder zur Erfüllung von Rechtspflichten erforderlich ist (§ 14). Das ist besonders relevant für Religionsgemeinschaften, die unter das BeschDG fallen. Für diese wird das in § 14 Abs. 3 aber auch noch explizit gemacht: »Soll eine Beschäftigung bei einer Religionsgemeinschaft, einer ihr zugeordneten Einrichtung oder bei einer Vereinigung erfolgen, die sich die gemeinschaftliche Pflege einer Religion oder Weltanschauung zur Aufgabe gemacht hat, darf der Arbeitgeber unbeschadet des Artikels 91 [DSGVO] auch Auskunft über die religiöse Überzeugung, die Religionszugehörigkeit oder die Weltanschauung von Beschäftigten verlangen, soweit diese Merkmale unter Beachtung des Selbstverständnisses der jeweiligen Religionsgemeinschaft oder Vereinigung im Hinblick auf ihr Selbstbestimmungsrecht oder nach der Art der Tätigkeit eine gerechtfertigte berufliche Anforderung darstellen und die Interessen des Arbeitgebers an der Verarbeitung die Interessen der betroffenen Beschäftigten an dem Ausschluss der Verarbeitung überwiegen.«
• Besondere Kategorien – also auch Daten über Religion oder Weltanschauung – dürfen verarbeitet werden für Nachteilsverhinderung und -ausgleich (§ 15 BeschDG unter Verweis und in Analogie zu § 5 AGG).

Fazit

Das BeschDG bleibt religionsverfasungsrechtlich in den von der deutschen Tradition und der DSGVO vorgespurten Bahnen – mit allen Problemen, die damit einhergehen. Für Religionsgemeinschaften mit eigenem Datenschutzrecht bedeutet das, dass auf sie viel Arbeit zukommt, wenn sie ein ähnliches Beschäftigtendatenschutzniveau wie im weltlichen Bereich herstellen wollen.

Die Alternative wäre, kirchliche Beschäftigte deutlich schlechter zu stellen – das dürfte kaum vermittelbar sein und auch nicht dazu führen, dass der kirchliche Sonderweg im Arbeitsrecht mehr Akzeptanz gewinnt. Angesichts der sehr langsamen kirchlichen Gesetzgebungsprozesse dürfte es angezeigt sein,