Dass Kirchen und Religionsgemeinschaften unter Umständen ein eigenes Datenschutzrecht haben, dürfte zu den weniger bekannten Aspekten des Datenschutzes gehören. Besonderheiten und Probleme des kirchlichen Arbeitsrechts finden sich immer wieder durch medienwirksame Konflikte in der Öffentlichkeit. Das kirchliche Datenschutzrecht dagegen spielt in der Öffentlichkeit in der Regel keine Rolle. Kirchliche Institutionen, die das Datenschutzregime mitgestalten – als Gesetzgeber, als Aufsichtsbehörden und als Gerichte – sind kaum bekannt.
Der Beitrag erschien zuerst in Ausgabe 3/2026 der Datenschutz-Nachrichten.
Dabei ist wohl ein Großteil der Menschen in Deutschland bereits als betroffene Person in den Geltungsbereich des kirchlichen Datenschutzes gelangt: Das gilt für alle Menschen, die in einer Kirche mit eigenem Datenschutzrecht getauft sind – also nicht nur die etwa 45 Prozent an Kirchenmitgliedern in der deutschen Bevölkerung, sondern auch die aus der Kirche Ausgetretenen. Dazu kommen alle, die in Berührung mit kirchlichen Einrichtungen gekommen sind: Wer Dienstleistungen der Caritas oder der Diakonie in Anspruch genommen hat, wer in christlichen Krankenhäusern Patient*in war, wer eine kirchliche Schule oder Kita besucht hat, wer Bildungs- und Freizeitveranstaltungen kirchlicher Einrichtungen wahrgenommen hat. Da kirchliches Datenschutzrecht institutionenbezogen durch kirchliche Verantwortliche angewendet wird, nicht personenbezogen nur für Kirchenmitglieder, ist die Reichweite des kirchlichen Datenschutzrechts in Deutschland ungemein groß.
Gerade die großen Kirchen – die katholische Kirche und die Evangelische Kirche in Deutschland (EKD) – haben ein umfassendes Datenschutzregime eingerichtet, das in weiten Teilen grundsätzlich autark agieren kann: Zu den eigenen Datenschutzaufsichtsbehörden, die gemäß Art. 91 Abs. 2 DSGVO die regional zuständigen staatlichen Datenschutzbehörden ersetzen, kommt ein eigenes Gerichtswesen. Katholischerseits wurde mit dem Interdiözesanen Datenschutzgericht und dem Datenschutzgericht der Deutschen Bischofskonferenz eine eigene zweistufige Datenschutzgerichtsbarkeit eigens eingerichtet, evangelischerseits übernehmen die seit längerem bestehenden kirchlichen Verwaltungsgerichte Fälle aus dem kirchlichen Datenschutzrecht. Staatliche Gerichte sind mit kirchlichem Datenschutzrecht in der Regel nur dahingehend betraut, dass sie ihre Nicht-Zuständigkeit feststellen, mit Ausnahme der Arbeitsgerichtsbarkeit, die in Streitigkeiten aus kirchlichem Individualarbeitsrecht regelmäßig kirchliches Datenschutzrecht anwenden muss.
Unbekanntes Recht
Das Transparenzproblem des kirchlichen Datenschutzrechts beginnt schon hier: Überhaupt darüber Bescheid zu wissen, dass ein besonderes Datenschutzrecht gilt und nicht das allgemeine staatliche und EU-Recht. Für betroffene Personen wird das durch im Datenschutzrecht vorgesehene Transparenzmechanismen immerhin gemildert. Das Einklanggebot aus Art. 91 Abs. 1 DSGVO führt dazu, dass im kirchlichen Datenschutzrecht im Ergebnis dieselben Informationspflichten bestehen wie im staatlichen. Spätestens in den analog zu Art. 13 DSGVO zu erteilenden Informationen sind die Rechtsgrundlagen für die jeweiligen Verarbeitungen zu nennen, ein Verweis auf die kirchlichen Rechtsquellen ist also unerlässlich. Beide großen kirchlichen Datenschutzgesetze, das katholische Gesetz über den kirchlichen Datenschutz (KDG) und das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), formulieren die Pflicht zur Angabe der Beschwerdemöglichkeit zudem anders als Art. 13 Abs. 2 lit. d) DSGVO mit dem bestimmten Artikel („das Bestehen eines Beschwerderechts bei der Datenschutzaufsicht/Aufsichtsbehörde” statt „bei einer Aufsichtsbehörde”), so dass dem Wortlaut nach auch tatsächlich die zuständige und in diesem Fall kirchliche Aufsichtsbehörde anzugeben ist. Rechtsbehelfsbelehrungen in den Bescheiden kirchlicher Aufsichten verweisen auf den kirchlichen Rechtsweg. Dank umfassender Internetpräsenzen sind die Aufsichten der großen Kirchen auch gut auffindbar.
Bei kleineren Religionsgemeinschaften mit eigenem Datenschutzrecht ist es dagegen oft schon schwer, auch nur die geltenden Regeln einzusehen. Nicht alle Gemeinschaften, die ausweislich von Datenschutzinformationen ihrer Einrichtungen eigenes Recht anwenden, veröffentlichen dieses Recht auch öffentlich, und nicht alle von Religionsgemeinschaften eingerichteten spezifischen Aufsichtsbehörden haben eigene Online-Präsenzen.
Die Zugänglichkeit kirchlichen Rechts ist sehr uneinheitlich: Alle Bistümer, die EKD und die Landeskirchen mit Ausnahme der bayerischen Landeskirche stellen ihre aktuellen Amtsblätter und oft auch ein lange zurückreichendes Archiv online zur Verfügung. Vollständige Rechtssammlungen haben aber nicht alle Kirchen, so dass Spezialrecht mit Datenschutzbezug nicht immer unmittelbar zugänglich ist. In kleineren Gemeinschaften gibt es in den meisten Fällen weder ein Amtsblatt (Ausnahmen sind etwa Jehovas Zeugen und die alt-katholische Kirche) noch eine Rechtssammlung (Ausnahmen sind etwa die methodistische und wieder die alt-katholische Kirche).
Schwerer als die individuelle Betroffenheit durch kirchliches Datenschutzrecht wiegt aber die Problematik, dass die kirchlichen Datenschutzinstitutionen als kirchliche Institutionen weniger transparent als vergleichbare weltliche Institutionen sind: Im kirchlichen Recht gibt es keine Informationsfreiheitsgesetze, mit denen in Deutschland (mit Ausnahme von Bayern und Niedersachsen) ein Anspruch auf den Zugang zu amtlichen Informationen auch der Datenschutzaufsichtsbehörden besteht. Auskunftsrechte der Presse bestehen, anders als gegenüber staatlichen Behörden und Gerichten, gegenüber kirchlichen Datenschutzaufsichten und Gerichten nicht. Die Veröffentlichung von kirchlichen Gerichtsentscheidungen liegt im Benehmen der Gerichte, Dritte haben keinen Anspruch darauf, Entscheidungen der Gerichte einsehen zu können.
Tätigkeit der kirchlichen Datenschutzaufsichten
Für institutionelle Transparenz sorgen vor allem die Tätigkeitsberichte der kirchlichen Datenschutzaufsichten. Art. 91 Abs. 2 DSGVO bindet diese spezifischen Aufsichtsbehörden eng an die in Kapitel VI DSGVO niedergelegten Bedingungen, die auch für staatliche Aufsichtsbehörden gelten – insbesondere also auch an die Berichtspflicht aus Art. 59 DSGVO. Dieser sieht vor, dass alle Aufsichtsbehörden „einen Jahresbericht über ihre Tätigkeit” anfertigen, „der eine Liste der Arten der gemeldeten Verstöße und der Arten der getroffenen Maßnahmen nach Artikel 58 Absatz 2 enthalten kann”. Diese Berichte werden „dem nationalen Parlament, der Regierung und anderen nach dem Recht der Mitgliedstaaten bestimmten Behörden” übermittelt, außerdem werden sie „der Öffentlichkeit, der Kommission und dem Ausschuss” zugänglich gemacht. Pflicht ist also ein jährlicher Tätigkeitsbericht, seine Vorlage an Exekutive und Legislative und die öffentliche Zugänglichmachung, Kür die Listen über Verstöße und Maßnahmen.
Trotz des klaren Wortlauts bleibt das evangelische Datenschutzrecht hinter diesen Vorgaben teilweise zurück, indem es lediglich einen mindestens zweijährlichem Turnus für Tätigkeitsberichte verlangt (§ 41 DSG-EKD). Das wiegt im Bereich der EKD umso schwerer, als es dort nur noch eine einheitliche Aufsichtsbehörde gibt, den Beauftragten für den Datenschutz der EKD (BfD EKD). Damit erscheint nur einmal alle zwei Jahre ein Tätigkeitsbericht im Geltungsbereich des DSG-EKD. Dagegen stehen sechs jährliche katholische Tätigkeitsberichte (fünf regionale Aufsichten für jeweils mehrere Diözesen sowie die Ordensdatenschutzaufsicht).
Allen Tätigkeitsberichten ist gemeinsam, dass sie anders als die staatlichen deutschen Aufsichtsbehörden keine absoluten Fallzahlen angeben. Lediglich das Katholische Datenschutzzentrum Bayern hat für seine Tätigkeitsberichte ab dem Berichtsjahr 2026 angekündigt, absolute Zahlen zu liefern. Damit ist insbesondere keine systematische Übersicht bekannt, ob und wie hohe Bußgelder verhängt wurden – angesichts der deutlich niedrigeren Obergrenzen für die Bußgeldhöhe und des eingeschränkten Adressatenkreises wäre das besonders interessant, um die Effektivität des kirchlichen Datenschutzregimes mit dem staatlichen zu vergleichen. (Zur Höhe und zum Adressatenkreis von Bußgeldern vgl. § 51 Abs. 5 und 6 KDG sowie § 45 Abs. 1 und 5 DSG-EKD.) Im evangelischen Bereich ist nicht einmal bekannt, ob seit der Datenschutzreform 2018 überhaupt jemals ein Bußgeld verhängt wurde.
Die Veröffentlichung der Tätigkeitsberichte der Aufsichten der großen Kirchen ist eingespielt und funktioniert. Das von der Stiftung Datenschutz betriebene Datenschutzarchiv sammelt auch die Berichte der katholischen und evangelischen Aufsichten und dokumentiert sie so unabhängig von kirchlichen Institutionen. Schlecht dagegen sieht es bei den kleineren Religionsgemeinschaften mit eigenem Datenschutzrecht aus. Viele Aufsichten veröffentlichen erst gar keine Tätigkeitsberichte, falls es sie überhaupt gibt.
Berichte der Datenschutzaufsicht der alt-katholischen Kirche etwa sind nicht bekannt – auch nicht der Kirche selbst –, obwohl sie gemäß der Datenschutzordnung der Kirche zu veröffentlichen wären. Viele der evangelischen Freikirchen mit eigenem Datenschutzrecht orientieren sich am DSG-EKD und sehen daher einen zweijährlichen Turnus vor. Oft ist aber lediglich eine Berichterstattung gegenüber kirchlichen Gremien vorgesehen. Die Selbständige Evangelisch-Lutherische Kirche (SELK) sieht in ihrer Datenschutzrichtlinie etwa vor, dass lediglich alle vier Jahre und nur gegenüber der Synode Bericht erstattet wird. Die Aufsicht von Jehovas Zeugen berichtet zwar im Jahresturnus, aber vier Jahre versetzt: Der jüngste Bericht für 2022 erschien Anfang 2026. Ähnlich sieht es bei der Gemeinsamen Datenschutzaufsicht aus, die durch die Anskar-Kirche, die Apostolische Gemeinschaft, die Kirche des Nazareners und die Heilsarmee errichtet wurde. Ihr jüngster (und einziger) Tätigkeitsbericht bezieht sich auf 2021/2022 – bei zwei der Gemeinschaften ist das Datenschutzrecht nicht online verfügbar, sondern muss per Mail angefordert werden.
Presseanfragen werden durch die verschiedenen Aufsichten sehr unterschiedlich behandelt. Die katholischen Aufsichten und der BfD EKD antworten professionell, verlässlich und vergleichbar mit den Pressestellen staatlicher Aufsichtsbehörden. Bei kleineren Aufsichten ist das Bild sehr durchwachsen, teilweise bleiben Presseanfragen unbeantwortet oder versanden nach einer Eingangsbestätigung.
Rechtsbehelfe und Gerichtswesen
Zum von der DSGVO von kirchlichem Datenschutzrecht geforderten Einklang gehört die Existenz wirksamer gerichtlicher Rechtsbehelfe. In den großen Kirchen ist das durch die jeweils zuständigen Gerichtsbarkeiten gegeben. Bei kleineren Gemeinschaften ist dagegen oft unklar, ob und welche internen Rechtswege bestehen.Teilweise herrscht selbst innerhalb einer Religionsgemeinschaft Unklarheit darüber, wie die Rechtswege aussehen: Die Aufsicht von Jehovas Zeugen hatte jahrelang in ihrer Rechtsbehelfsbelehrung den Rechtsweg zum staatlichen Verwaltungsgericht – Jehovas Zeugen sind eine Körperschaft des öffentlichen Rechts – angegeben; das VG Berlin lehnte allerdings in einem Fall seine Zuständigkeit ab, obwohl es keine religionsinterne kirchliche Gerichtsbarkeit gibt, die angerufen werden könnte (VG Berlin, Urteil vom 1. August 2024, VG 1 K 29/23).
In den großen Kirchen ist das jeweilige Prozessrecht (die katholische Kirchliche Datenschutzgerichtsordnung (KDSGO) und das evangelische Kirchengerichtsgesetz auf Ebene der EKD sowie die jeweiligen landeskirchlichen Regelungen) ans staatliche Prozessrecht angelehnt. Hinsichtlich der Öffentlichkeit und Transparenz bleiben die kirchlichen Gerichte hinter staatlichen aber zurück.
Evangelische Verfahren sind zwar grundsätzlich öffentlich, es ist aber ausgesprochen schwer, herauszufinden, wann, wo und in welcher Sache eine Verhandlung stattfindet. Entscheidungen können zwar veröffentlicht werden, Fälle mit DSG-EKD-Bezug wurden bislang aber so gut wie keine veröffentlicht. Grundsätzlich werden nach Auskunft der EKD-Pressestelle zweitinstanzliche Entscheidungen veröffentlicht, die einen amtlichen Leitsatz erhalten haben. Bis Anfang 2023 seien bei der Verwaltungskammer des EKD-Kirchengerichts lediglich 23 Fälle mit Datenschutzrechtsbezug anhängig geworden.
Besser sieht es bei der katholischen Datenschutzgerichtsbarkeit aus – aber nicht aufgrund des katholischen Prozessrechts. Die KDSGO sieht weder öffentliche Verhandlungen noch eine Veröffentlichung von Entscheidungen vor. Die sehr seltenen mündlichen Verhandlungen werden dennoch kurzfristig vorab online angekündigt und sind öffentlich zugänglich. Seit Einrichtung der Gerichte 2018 wurden mehrere Dutzend Entscheidungen anonymisiert online veröffentlicht. Die Öffentlichkeit der Verhandlungen und die Veröffentlichung der Entscheidungen gehen aber allein auf die Entscheidung der vom staatlichen Recht geprägten Richter*innen zurück, gesetzlich abgesichert sind sie nicht.
Presseanfragen beantwortet die Geschäftsstelle der katholischen Datenschutzgerichte zuverlässig; auch Bitten um eine Veröffentlichung bestimmter Entscheidungen wird in der Regel nachgekommen. Die Kirchengerichte der EKD sind dagegen nur schwer zu erreichen, Anfragen haben oft lange Laufzeiten.
Defizite in Art. 91 DSGVO
Im Kirchenartikel der DSGVO sind Transparenzprobleme bereits angelegt. Festgeschrieben werden zwar Anforderungen an kirchliches Datenschutzrecht (Art. 91 Abs. 1 DSGVO) und an kirchliche Aufsichten (Abs. 2). Es werden aber weder Instanzen noch Prozesse festgelegt, unter denen die Anforderungen geprüft oder auch nur die Anwendung eigenen Rechts mitgeteilt werden muss. Anders als bei Art. 85 DSGVO, der Mitgliedstaaten aufträgt, das Recht auf freie Meinungsäußerung mit dem Datenschutzrecht in Einklang zu bringen und der die zweite Kategorie der spezifischen Aufsichten neben den religiösen, nämlich die der Medien, ermöglicht, fehlt es in Art. 91 DSGVO an einer Notifizierungsklausel. Keine Religionsgemeinschaft ist verpflichtet, irgendeiner Stelle die Anwendung eigenen Datenschutzrechts oder die Existenz eigener Aufsichtsbehörden anzuzeigen.
Wie viele Religionsgemeinschaften daher in den EU-Mitgliedstaaten von Art. 91 DSGVO Gebrauch machen, ist unbekannt. Schätzungen können nur auf der Grundlage aufwendiger Recherchen vorgenommen werden. In Deutschland gibt es mindestens 15–20 religiöse Datenschutzgesetze, europaweit noch in etwa zehn weiteren Mitgliedstaaten Religionsgemeinschaften mit eigenem Datenschutzrecht. Dabei handelt es sich ausschließlich um christliche Kirchen und Gemeinschaften, außerhalb von Polen und Deutschland gibt es nur katholische Datenschutzgesetze.
Bei den aktuellen Reformdebatten zur DSGVO spielt Art. 91 DSGVO keine Rolle. Wünschenswert wäre, eine Notifikationspflicht zu ergänzen. Verbunden werden könnte damit eine klare Zuständigkeit für die Überprüfung der Anforderungen an kirchliches Datenschutzrecht und spezifische Aufsichten. Aktuell zeichnet sich dafür der Rechtsweg ab, dass zunächst eine Datenschutzaufsicht die rechtmäßige Einrichtung einer spezifischen Aufsicht bezweifelt. Der kirchliche Verantwortliche legt dann Rechtsmittel gegen den Bescheid der Aufsicht ein, die das zuständige staatliche Verwaltungsgericht behandelt. Aktuell wartet ein derartiges Verfahren zwischen der niedersächsischen Landesdatenschutzaufsicht und der SELK auf eine Entscheidung zweiter Instanz; zu rechnen ist damit, dass dieser Fall den EuGH beschäftigen wird (VG Hannover, Urteil vom 30. November 2022, 10 A 1195/21, nicht rechtskräftig).
Licht ins Dunkel
Kirchliche Rechtskultur hängt wesentlich davon ab, dass kirchliches Recht und seine Durchsetzung nachvollziehbar ist. Trotz der Reichweite und Bedeutung des kirchlichen Datenschutzrechts wird es deutlich weniger reflektiert als anderes kirchliches Recht, etwa kirchliches Arbeitsrecht oder das Universalkirchenrecht.
Seit 2020 betreibt der Verfasser daher das Blog „Artikel91.eu – Datenschutz in Kirchen und Religionsgemeinschaften”, das sich zum Ziel gemacht hat, Transparenz in das Feld des kirchlichen Datenschutzes zu bringen. Damit ist das nach wie vor einzige Fachmagazin zum kirchlichen Datenschutz einer der wenigen diskursiven Orte, die kirchliches Datenschutzrecht reflektieren und Kirchen in der Rechtssetzung und Anwendung kontrollieren.
Das grundrechtlich abgesicherte Selbstbestimmungsrecht der Kirchen ist ein hohes Gut und ein wichtiger Bestandteil der kollektiven Religionsfreiheit. Es darf aber nicht dazu führen, dass dadurch in Bereichen wie dem Datenschutz ein geringeres Schutzniveau entsteht. Die zumindest in den großen Kirchen funktionierenden Datenschutzinstitutionen sind nur ein Element davon, dass das gelingt. Unerlässlich sind zudem die wachen Augen der Öffentlichkeit, die kirchliches Handeln kritisch reflektieren und überprüfen.