2025 hat das Potential, das Jahr der Reformen zu werden: Gesetzt ist das DSG-EKD – das tritt novelliert in Kraft. Aber auch das neue KDG könnte beschlossen werden ebenso wie eine Reihe weiterer katholischer Großgesetzgebungsverfahren. All das kann sich verzögern. Die Wahrscheinlichkeit, dass dieses Jahr das Jahr der Novellen wird, ist aber deutlich größer als die Hoffnung auf ein Jahr der Entscheidungen von verschiedenen Verwaltungsgerichten und des EuGH – da geht’s eher um gut abgehangene Dauerbrenner, die auf ihren Tag vor Gericht warten.
Der Vatikanstaat hat seinen eigenen AI Act: Ab 1. Januar gelten im Kirchenstaat die »Linee Guida in materia di intelligenza artificiale« (Dekret Nr. DCCII). Wo die EU 113 Artikel in 13 Kapiteln braucht, kommt die vatikanische Regelung mit 15 Artikeln in 3 Kapiteln aus – alles ist etwas kleiner im kleinsten Staat der Welt.
Das Dekret, mit dem die KI-Richtlinien des Vatikans erlassen wurden, vor dem Regierungsgebäude des Staats der Vatikanstadt (Foto: Marek.69, CC BY-SA 4.0, zugeschnitten und bearbeitet/Staat der Vatikanstadt/Montage fxn)
Inhaltlich lehnt sich das Vatikan-KI-Gesetz an die EU-KI-Verordnung an, betont aber stärker ethische Aspekte der KI-Nutzung, die in den letzten Jahren nicht zuletzt von Papst Franziskus selbst immer wieder angemahnt wurden, und die vom Vatikan bislang unterhalb einer gesetzlichen Regelung durch die KI-Ethik-Charta des »Rome Call for AI Ethics« vorangetrieben wurde.
Für wen gilt eigentlich katholisches Datenschutzrecht? Schaut man ins KDG, findet man dort unter § 3 Abs. 1 eine sehr ausgreifende Antwort: Nicht nur in verfasster Kirche und Caritas, sondern auch für »die kirchlichen Körperschaften, Stiftungen, Anstalten, Werke, Einrichtungen und die sonstigen kirchlichen Rechtsträger ohne Rücksicht auf ihre Rechtsform« soll es gelten.
Diese Anführungszeichen sind unnötig: Das Schild markiert den Parkplatz einer katholischen Pfarrei, die ohne Zweifel kirchlich ist. Doch bei anderen Organisationen im kirchlichen Leben stellt sich in der Praxis oft die Frage, ob eine Einrichtung nur in Anführungszeichen oder im engen Sinn »kirchliche Einrichtung« ist – und was das für das für sie geltende Recht bedeutet. (Foto: Sarah Helduser)
Nur: Wann sind Rechtsträger so kirchlich, dass das kirchliche Datenschutzrecht wirklich und verbindlich gilt? Und insbesondere: Für welche kirchlichen Vereine und Verbände gilt das kirchliche Datenschutzrecht? Mit dieser Frage habe ich in meiner Masterarbeit im Studium des Vergleichenden kanonischen Rechts auseinandergesetzt: »Die Geltung kirchlichen Rechts in Vereinigungen von Gläubigen ohne kanonische Rechtsform am Beispiel des Gesetzes über den kirchlichen Datenschutz«.
Einige Arbeit ist in die Evaluation geflossen: Die Synopse der Änderungen umfasst 146 Seiten.
Die Änderungen sind umfangreich – und vieles davon deutet darauf hin, dass die Diskussionen der vergangenen Jahre in der Fachwelt aufgegriffen wurden. Der eine oder andere Wunsch bleibt aber doch offen.
Das neue Datenschutzgesetz der EKD kommt – einstimmig hat die EKD-Synode am Mittwoch der Novelle des DSG-EKD zugestimmt. Zum 1. Mai 2025 tritt damit die bislang größte Reform des evangelischen Datenschutzrechts seit der Anpassung auf die DSGVO hin in Kraft.
Für die Synode, die von der Vorsitzendenwahl und Auseinandersetzungen um den Umgang mit sexualisierter Gewalt geprägt war, war das DSG-EKD kein großes Thema. Ohne (relevante) Änderungen hat sie die Vorlage angenommen, die hier schon ausführlich besprochen und vorab geleakt wurde.
Vom 10.–13. November tagt die EKD-Synode in Würzburg. Auf der Tagesordnung: das Kirchengesetz zur 3. Änderung des EKD-Datenschutzgesetzes (DSG-EKD) – sechs Jahre nach Inkrafttreten des evangelischen Datenschutzgesetzes wird es erstmals umfassend novelliert.
Im April konnte ich bereits den ansonsten geheimgehaltenen Referentenentwurf veröffentlichen und analysieren. Nun liegt mir die Drucksache XIII / 1 (Stand: 30. September/1. Oktober) vor, mit der die Änderung in die Synode eingebracht wird. Offiziell gilt eine Sperrfrist bis zum Aufruf des Tagesordnungspunkts, mir wurden die Unterlagen dennoch bereits jetzt zugespielt.
Die Einführung eines Beschäftigtendatenschutzgesetzes ist der Running gag der Koalitionsverträge der vergangenen Jahrzehnte: Regelmäßig versprochen, nie umgesetzt. Es hat wohl niemand wirklich mehr darauf gewettet, dass ausgerechnet in dieser Legislatur doch noch etwas passieren könnte. Und dennoch: Es gibt einen Referentenentwurf, wenn auch nicht für ein Beschäftigtendatenschutzgesetz: Beschäftigtendatengesetz, in der Langform »zur Stärkung eines fairen Umgangs mit Beschäftigtendaten und für mehr Rechtssicherheit für Arbeitgeber und Beschäftigte in der digitalen Arbeitswelt«, soll das Kind heißen.
Der Entwurf liegt schon einigen Medien vor, auf LinkedIn wurde er vollständig von Stephan Schmidt veröffentlicht. 30 Paragraphen in vier Kapiteln umfasst die Norm. Auch an den kirchlichen Datenschutz wurde dabei gedacht.
Das Katholische Datenschutzzentrum Dortmund hat eine neue Satzung. Die alte war ein wenig in die Jahre gekommen – seit 2015 ist sie unverändert in Kraft. Seither ist viel passiert: Vor allem natürlich die große Datenschutzreform 2018, die bislang noch gar nicht nachvollzogen war. Dazu kommt aber auch deutliche Kritik an der Konstruktion, den Verwaltungsrat der Aufsicht mit den Diözesanbischöfen zu besetzen, die die Aufsicht beaufsichtigen soll.
Nach fast zehn Jahren haben die nordrhein-westfälischen Diözesanbischöfe ihre Datenschutzaufsicht nun auf eine punktuell angepasste neue Grundlage gestellt. Die Aufsicht selbst stapelt eher tief und spricht von »kleinere[n] Anpassungen an die praktischen Erfahrungen der letzten Jahre«. Im Detail zeigt sich aber, dass zumindest Teile der Kritik gehört wurden.
Zwei katholische Bistümer haben mittlerweile Ordnungen zur Regelung von Auskunfts- und Einsichtsrechten in Sach- und Personalakten zur Aufarbeitung sexualisierter Gewalt in Kraft gesetzt, die sich stark an die Aufarbeitungsnorm § 50a DSG-EKD anlehnen: Hildesheim und Osnabrück.
Die beiden Bistümer gehen damit einen eigenständigen Weg im Vergleich zu den bislang von anderen Diözesen in Kraft gesetzten Aufarbeitungsnormen, ohne ganz unabhängig von ihnen zu sein, wie sich bei einem genaueren Blick in die Normen zeigt.
Regelungsgehalt
Mit fünf kurz gehaltenen Paragraphen (davon einem mit den Regelungen zum Inkrafttreten) sind die beiden Normen schon vom Umfang her eher mit dem evangelischen Pendant zu vergleichen als mit den ausführlicheren Einsichtsnormen anderer Bistümer (die teilweise deutlich mehr Paragraphen aufweisen, die in jedem Fall aber insgesamt deutlich länger sind).
§ 1 statuiert ein »besonderes kirchliches und öffentliches Interesse« an der Aufarbeitung und schafft daher eine Rechtsgrundlage, die für alle kirchlichen Rechtsträger des jeweiligen Bistums gilt.
§ 2 ermöglicht die Offenlegung gegenüber der Unabhängigen Aufarbeitungskommission (Osnabrück) und (nur in Hildesheim) zusätzlich gegenüber »Wissenschaftlerinnen und Wissenschaftlern oder Rechtsanwaltskanzleien« unter definierten Bedingungen:
Erforderlichkeit für die Aufarbeitung
eine Nutzung anonymisierter Daten ist nicht möglich oder unverhältnismäßig aufwendig
überwiegendes kirchliches Interesse an der Aufarbeitung
§ 3 sieht eine Verpflichtung der empfangenden Stelle auf das Datengeheimnis gemäß § 5 KDG oder »§ 53 DSGVO [sic!]« vor (gemeint ist: § 53 BDSG, aber auch das ergibt keinen Sinn, weil § 53 BDSG zum Teil 3 des Gesetzes gilt, der die JI-Richtlinie zum Datenschutz im Bereich innere Sicherheit, Polizei und Justiz umsetzt und daher nur für öffentliche Stellen gilt, nicht für die in den Normen in § 2 geregelten möglichen Empfänger, die somit nie auf § 53 BDSG verpflichtet werden).
§ 4 regelt die Veröffentlichung personenbezogener Daten, die zulässig ist, wenn sie unerlässlich für die Aufarbeitung ist und die Persönlichkeitsrechte der genannten Personen gewahrt werden.
§ 5 regelt das Inkrafttreten mit Veröffentlichung im jeweiligen Amtsblatt.
Unterschiede zu § 50a DSG-EKD
Die evangelische Norm stellt ein »überragendes kirchliches Interesse« an der Aufarbeitung fest, in der katholischen ist das Interesse ein »besonderes kirchliches und öffentliches«.
Anders als im DSG-EKD ist der mögliche Empfängerkreis durch genauere Definition eingeschränkter auf Kommission und ggf. Wissenschaft und Rechtsanwaltskanzleien. Im DSG-EKD wird allgemeiner von »von der zuständigen kirchlichen Stelle Beauftragten« gesprochen. (In der Praxis dürfte das bei Nennung aller drei Empfängerkreise wie in Hildesheim aber keinen Unterschied machen.)
Das DSG-EKD nennt drei Bedingungen für eine Offenlegung:
Vorlage eines Datenschutzkonzeptes
Verpflichtung auf das Datengeheimnis und auf Zweckbindung
Maßgaben zur Anonymisierung falls möglich, ansonsten zur pseudonymen Speicherung (Trennung von Einzelangaben und Schlüssel, eine Zuordnung von Personen ermöglicht)
Die katholischen Normen nennen also zusätzlich die Erforderlichkeit (die im DSG-EKD ohnehin aufgrund der allgemeinen Prinzipien zum Umgang mit personenbezogenen Daten gegeben sein muss) und ein »überwiegendes kirchliches Interesse«. Hier ist unklar, ob das etwas anderes ist als das in § 1 schon statuierte »besondere kirchliche Interesse«: Kann es sein, dass zwar das besondere Interesse gemäß § 1 besteht, es aber nicht »überwiegend« gemäß § 2 ist? § 50a DSG-EKD ist hier schlüssiger formuliert, indem hier klar ist, dass die Interessensabwägung in jedem Fall »überragend« ist, also zugunsten der Aufarbeitung ausfällt. Die katholischen Normen sind dagegen grundrechtsschonender formuliert, weil anscheinend noch eine tatsächliche Abwägung nötig ist. Dann stellt sich aber die Frage, was § 1 darüber hinaus noch leistet. Die Vorlage eines Datenschutzkonzeptes wird nicht ausdrücklich gefordert.
§ 50a Abs. 3 DSG-EKD schließt § 17 Abs. 3 DSG-EKD von der Anwendung aus: betroffene Personen müssen also nicht informiert werden, wenn ihre Daten gemäß der Norm zu einem anderen als dem ursprünglichen Zweck verarbeitet werden. Eine derartige Regelung gibt es in den katholischen Normen nicht, damit sind betroffene Personen gemäß § 15 Abs. 3 KDG (der materiell identisch mit § 17 Abs. 3 DSG-EKD ist) zu informieren.
Die Veröffentlichung personenbezogener Daten ist im DSG-EKD deutlich ausführlicher geregelt. Sie erfordert dort die Zustimmung der offenlegenden Stelle, die zu erteilen ist, wenn sie »unerlässlich« für die Aufarbeitung ist, weil es sich um eine Person der Zeitgeschichte handelt, oder wenn die betroffene Person eingewilligt hat. Auch im ersten Fall ist die betroffene Person anzuhören. Daten von Betroffenen sexualisierter Gewalt dürfen nur auf Grundlage einer Einwilligung veröffentlicht werden. Dagegen ist in der katholischen Norm nur die Unerlässlichkeit und eine Wahrung der Persönlichkeitsrechte erforderlich, eine Zustimmung der offenlegenden Stelle braucht es nicht. Niedrigere Standards für Personen der Zeitgeschichte und Einwilligungen sind nicht ausdrücklich normiert, dürften aber in der Wahrung der Persönlichkeitsrechte impliziert sein.
Unterschiede zu katholischen Einsichtsnormen
Die Ordnungen in Hildesheim und Osnabrück sind nicht nur an § 50a DSG-EKD angelehnt, sondern auch an die bereits anderswo bestehenden katholischen Regelungen. Das zeigt sich insbesondere an den Bedingungen für die Offenlegung. Die drei Kriterien – Erforderlichkeit, möglichst anonym, überwiegendes Aufarbeitungsinteresse – sind so auch in den anderen katholischen Einsichtsnormen zu finden. (Teilweise wird dort noch eine vierte Bedingung, die Zustimmung des Diözesanbischofs oder einer von ihm benannten Vertretung, verlangt.)
Trotz der sehr unterschiedlichen Umfänge der Normen sind materiell nicht allzu große Unterschiede festzustellen: Die ausführlicheren Auskunfts- und Einsichtsnormen regeln vor allem technische und organisatorische Maßnahmen und machen so explizit, was ohnehin gemäß Datenschutzrecht zu tun wäre. Sinnvoll ist die ausführliche Regelung zur Schaffung vergleichbarer Standards und zur Rechtsklarheit. Hildesheim und Osnabrück verzichten dagegen sogar auf die im DSG-EKD vorgeschriebene Vorlage eines Datenschutzkonzepts.
Bei der Veröffentlichung werden Personen der Zeitgeschichte in den anderen Normen ausdrücklich genannt.
Fazit
Eine Rechtsgrundlage für die Offenlegung von Sach- und Personalakten zur Missbrauchsaufarbeitung ist dringend nötig, um Rechtssicherheit für die Aufarbeitung zu schaffen. Das IDSG hat zwar bereits in erster Instanz ein generelles »überwiegendes« kirchliches Interesse festgestellt, mit klaren Normen dürfte für die Gestaltung von Aufarbeitungsprozessen aber eine höhere Rechtssicherheit einhergehen.
Über die Fragen der Aufarbeitung hinaus ist bemerkenswert, dass sich hier katholische Gesetzgeber von evangelischem Recht inspirieren lassen. Das sollte angesichts ähnlicher Herausforderungen viel häufiger geschehen.
Ob das in diesem Fall zu einem besseren Ergebnis geführt hat, kann man kontrovers diskutieren. Für das von anderen Bistümern verwendete Muster spricht die detailliertere Regelung, die den mit der Aufarbeitung beauftragten Institutionen klare Vorgaben machen. Für die kompaktere Regelung spricht, dass die Norm so deutlich übersichtlicher ist. Weniger gelungen scheint, dass aus beiden Inspirationsquellen jeweils eine Festlegung zum Aufarbeitungsinteresse übernommen wurde – das Zusammenspiel von § 1 und § 2 Nr. 3 ist unklar.
Eine Kuriosität am Rande ist, dass bei der Entstehung der Norm wohl noch das BDSG a. F. im Hinterkopf war, das tatsächlich in § 5 eine Verpflichtung aufs Datengeheimnis für alle vorgesehen hatte, während das geltende BDSG das nur noch im Geltungsbereich der JI-Richtlinie tut und derartiges in der DSGVO nur implizit steht.
Die aktuelle Evaluierung des DSG-EKD soll im Folgenden dafür genutzt werden, unbefangen (und unbesorgt um Fragen der Durchsetzbarkeit oder Opportunität) einige mögliche Änderungen darzustellen.
Hinsichtlich der für Gesetzesänderungen bestehenden Spielräume fußen die hiesigen Überlegungen auf der im vorigen Beitrag dargestellten Überzeugung: Art. 91 DSGVO verlangt mit dem „Einklang“ kirchlicher Datenschutz-Regeln keine Wortlaut- oder Sinn-Identität zur DSGVO, sondern ein nach den Maßstäben der DSGVO „angemessenes“ Datenschutzniveau.
Ein Beitrag zur Evaluierung des DSG-EKD von Ralph Wagner
