DSGVO-Kommentare in deutscher Sprache gibt es quasi beliebig viele. In anderen Sprachen sieht es anders aus. So anders, dass das Vorwort zum jetzt erschienenen englischsprachigen Kommentar von Spiecker gen. Döhmann/Papakonstantinou/Hornung/de Hert erst einmal erklären muss, was so ein »Article-by-Article Commentary«, wie es auf der Titelseite heißt, eigentlich ist. Der Ansatz von »General Data Protection Regulation« ist die hier sattsam bekannte Kommentarform mit einem klar internationalen Fokus zu verbinden: Autor*innen aus verschiedenen Ländern kommentieren mit einem deutlich auf Rechtsprechung und Rechtsbestand der EU konzentrierten Ansatz.
Spiecker gen. Döhmann/Papakonstantinou/Hornung/de Hert: General Data Protection Regulation: Article-by-Article Commentary, Nomos/Beck/Hart 2023, 1241 Seiten, 290 Euro.
Art. 91 DSGVO hat in den meisten EU-Mitgliedsstaaten keine praktische Bedeutung. Es liegt also nah, dass hier mit Achim Seifert ein deutscher Autor zum Zug kommt. Seifert hat bereits im Simitis/Hornung/Spiecker gen. Döhmann diesen Artikel kommentiert. Einiges aus dieser Kommentierung findet sich nun auch in der neuen Fassung. Leider sind dabei auch einige Probleme übernommen worden.
An Kommentaren zur DSGVO mangelt es nicht. Neben der DSGVO sind in Deutschland zusätzlich das BDSG und die 16 Landesdatenschutzgesetze relevant. Während das BDSG ähnlich umfangreich kommentiert ist wie die DSGVO, gibt es zum Landesrecht weniger Literatur. Für das Landesrecht in Bayern erscheint ein Loseblattwerk: Zum Wilde/Ehmann/Niese/Knoblauch ist mittlerweile die 36. Ergänzungslieferung erschienen. Aktualisiert wurde dabei auch die Kommentierung von Art. 91 DSGVO.
Wilde/Ehmann/Niese/Knoblauch: Datenschutz in Bayern. Loseblattwerk mit 36. Aktualisierung 2023, 1892 S., 220 Euro (bei Abonnement der Aktualisierungen, sonst 420 Euro).
Herausgeber Christian Peter Wilde hat sich des Kirchenartikels angenommen – und obwohl es nicht ganz offensichtlich ist, warum es hier viel Mühe in einem Werk mit Relevanz für ein Bundesland braucht, zeigt die Kommentierung: Bei weitem nicht alles ist klar, einige interessante Rechtsfragen sind theoretisch wie praktisch offen.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Die Kirchliche Datenschutzgerichtsordnung ist bislang nur sehr knapp kommentiert. In Sydows KDG-Kommentar findet sich eine kaum zehnseitige von Ulrich Rhode besorgte Einführung, die zudem noch auf recht wenig Entscheidungen der kirchlichen Datenschutzgerichte zurückgreifen konnte. Diese Lücke schließt nun der neue Kommentar von Hermann Reichold, Thomas Ritter und Christian GohmAffiliate link, der die KDSGO neben der Mitarbeitervertretungsordnung und der Kirchlichen Arbeitsgerichtsordnung kommentiert.
Reichold/Ritter/Gohm: MAVO, KAVO, KDSGO
Die Zusammenstellung wirkt auf den ersten Blick etwas wunderlich, vor allem das Nebeneinander von KAGO- und KDSGO-Kommentar ist allerdings hilfreich, und beschweren sollte man sich ohnehin nicht, wenn diese wichtige Materie Huckepack mitkommentiert wird, wo es wohl für einen Stand-alone-Kommentar nur einen zu kleinen Markt geben würde. Trotz Kinderkrankheiten: Der erste ausführliche KDSGO-Kommentar schließt eine große Lücke.
Der Praxis-Kommentar DSGVO von Freund/Schmidt/Heep/Roschek(Affiliate link) hat den Anspruch, eine Kommentierung für den Alltag zu sein. Diese Heransgehensweise ist für einen eher abstrakten Artikel wie Art. 91 DSGVO anspruchsvoll. In der Gliederung und Schwerpunktsetzung gelingt es aber mit vertiefter Kenntnis der kirchlichen Datenschutzlandschaft, das Ziel zu erreichen.
So kenntnisreich der Kommentar auch Wissen zum kirchlichen Datenschutz sammelt: Etwas mehr Sorgfalt bei der Ausweisung der Quellen hätte ihm gut getan – und an der hybriden Form muss auch noch gearbeitet werden.
Die Kommentarlandschaft bleibt auch im Jahr 5 der DSGVO-Geltung bunt. Und anscheinend werden die Kommentare auch tatsächlich gekauft – sonst würden sie nicht in neuen Auflagen erscheinen. Zwei Standardwerke sind in diesem Spätjahr in dritter Auflage erschienen: Der Gola und der Sydow.
Zwei Kommentare in dritter Auflage – jetzt auch noch mit BDSG-Kommentar.
Nicht nur die Zahl der Neuauflagen haben die Werke gemeinsam: Im Laufe der Zeit haben beide Werke einen Co-Herausgeber bekommen (Heckmann bei Gola, Marsch bei Sydow), beide kommentieren nun auch das BDSG. Ein Blick in die Kommentierung von Art. 91 DSGVO zeigt, dass es hier tatsächliche Fortschritte gibt: Auch wenn die Rechtsprechung direkt zu Art. 91 DSGVO nach wie vor fehlt, hat sich die Literatur zum kirchlichen Datenschutz doch deutlich diversifiziert.
Loseblattsammlungen versprechen besondere Aktualität und verströmen die Ästhetik maximaler Sachlichkeit. Eine Zierde fürs Bücherregal sind sie dagegen nicht. Das gilt auch für die Sammlung in drei Ordnern des Datenschutzrechts-Kommentars von Bergmann/Möhrle/Herb.
Zur Loseblattsammlung gehören auch Normtexte. Aus dem kirchlichen Bereich sind das DSG-EKD und das KDG aufgenommen.
Die Kommentierung des Kirchenartikels ist knapp, zeichnet sich aber durch eine hohe Praxisorientierung aus. Die Aufnahme der beiden großen kirchlichen Datenschutzgesetze unter die aufgenommenen Gesetzestexte zeigt, dass die Herausgeber kirchlichen Datenschutz im Blick haben.
Die zweite Auflage des Datenschutzrechts-Kommentars(Affiliate link) von Heinrich Amadeus Wolff (seit kurzem Richter am Bundesverfassungsgericht) und Stefan Brink (bald nicht mehr baden-württembergischer Landesdatenschutzbeauftragter) ist erschienen. Neben einer Kommentierung von DSGVO und BDSG zeichnet sich dieser Kommentar auch durch einen Grundlagenteil mit Aufsätzen zu bereichsspezifischem Datenschutz aus.
Die von Daniel Mundil besorgte Kommentierung des Art. 91 DSGVO ist kompakt, bringt aber einige neue Aspekte ein, die so in anderen Kommentaren nicht zu finden sind und beleuchtet dabei insbesondere die Frage nach der Funktion und dem Spielraum, den die DSGVO kirchlichem Datenschutzrecht zuspricht.
Kommentierung des Art. 91 DSGVO
Mit sechs Seiten gehört die Kommentierung zu den kürzeren. Gut gelöst ist die Einführung: In einem Überblick wird kompakt die Problematik eines der wohl dunkelsten Artikel in der DSGVO aufgezeigt und zugleich die Perspektive transparent gemacht, unter der der Autor seine Kommentierung vornimmt: Der Kirchenartikel als Umsetzung des Art. 17 AEUV, der das mitgliedstaatliche religionsverfassungsrechtliche Gefüge schützt. Mundil macht deutlich, dass der Artikel viel Auslegung bedarf: »Die Vorgaben beruhen im Wesentlichen auf unbestimmten Rechtsbegriffen, die einen erheblichen Auslegungsspielraum lassen«, so der Autor. Daneben stelle sich bei wörtlicher Anwendung von Abs. 1 die Frage, »weshalb es überhaupt besonderer Regelungen für die Religionsgemeinschaften bedurfte, da diese offenbar ohnehin zur vollständigen Rechtsangleichung verpflichtet sind.«
Auf eine Darstellung der Rechtslage vor Inkrafttreten der DSGVO folgt die Erläuterung des Art. 91 DSGVO mit einem Schwerpunkt auf dem ersten Absatz. Der historische Teil ist dabei deutlich weniger ausführlich als in anderen Kommentaren – etwa Hense bei Sydow –, zeigt aber gut auf, welche Veränderungen die neue Rechtslage durch die erstmalige Kodifizierung kirchlichen Datenschutzes im säkularen Recht ermöglicht. Insbesondere begrüßt Mundil, dass mit Art. 91 DSGVO, der nicht zwischen öffentlich-rechtlich und privatrechtlich verfassten Religionsgemeinschaften unterscheidet, mehr Gleichbehandlung zwischen diesen verschiedenen Organisationsformen organisierter Religion möglich wird.
Die Kommentierung der aktuellen Rechtslage greift die Position des Überblicks auf und problematisiert die durchweg interpretationsbedürftigen offenen bis ungeklärten Rechtsbegriffe – allerdings ohne Reformvorschläge zu benennen. Dabei entscheidet sich Mundil aus seinem Ausgangspunkt aus den Grundrechten und Art. 17 AEUV für eine Auslegung, die das Ziel kollektiver Religionsfreiheit nicht aus dem Auge verliert, so gleich zu Beginn beim Anwendungsbereich, wo er einem zu engen, allein auf den religiösen Kernbereich konzentrierten Bereich eine Absage erteilt. Dass dabei als Beispiele ein Online-Klostershop und der religiöse Kursbetrieb eines Klosters als Beispiele angeführt werden, spricht dafür, dass tatsächlich relevante Anwendungsbereiche im Blick sind. »Um hier den von Art. 17 AEUV und Art. 91 geforderten autonomen Rechtssetzungsbereich der Religionsgemeinschaften tatsächlich zu gewährleisten gilt es, den Anwendungsbereich entsprechend weit auszulegen«, argumentiert Mundil. Das sei auch ohne die Verletzung dogmatischer Ansätze unter Verweis auf Rechtsprechung des BVerfG zu »Randbetätigungen« der Religionsgemeinschaften möglich – der Autor führt das BVerfG-Urteil vom 15. Januar 2002 – 1 BvR 1783/99 zum Schächten an. Implizit geht Mundil damit anscheinend über die von den Kirchen selbst vertretene Position hinaus, dass reine Wirtschaftsbetriebe nicht dem kirchlichen Datenschutzregime unterfallen. Hier wäre eine explizite Klärung dieser Frage wünschenswert gewesen. (Rn. 15)
Eine kollektive Religionsfreiheit achtende Auslegung von Art. 91 DSGVO muss immer mit dem Wortlaut kämpfen. So auch hier angesichts der eigentlich klaren Formulierung, die nur bestehenden Regelungen Bestandsschutz gewährt und selbst Veränderungen der bestehenden Regelungen begründungsbedürftig macht. Immerhin: Das Erfordernis von In-Einklang-Bringen deute darauf hin, dass eine »Versteinerung« des Normbestands nicht im Sinn und Zweck der Vorschrift liege. Bleibt das Problem von Neu- und Erstregelungen. Mundil konstatiert ein Dilemma, dass einerseits ein klarer gesetzgeberischer Wille zur Vereinheitlichung des Datenschutzes festzustellen ist, zugleich aber der Wille zum Schutz der kollektiven Religionsfreiheit und der jeweiligen nationalen staatskirchenrechtlichen Systeme. Im Ergebnis spricht er sich dafür dass, dass der Gleichheitsgrundsatz und das Schutzziel der Vielfalt der Religionen in der Grundrechtscharta »für eine weite Auslegung insbeonsdere zugunsten neu hinzutretender Religionsgemeinschaften« spreche. (Rn. 18)
(Ein kleiner Fehler findet sich in Randnummer 18a: Hier wird der 18. Mai 2018 als Datum des Inkrafttretens von KDG und DSG-EKD genannt, richtig ist der 24. Mai 2018.)
Bei der Auslegung des Begriffs der »umfassenden Regeln« spricht sich Mundil dafür aus, dass damit das Gesamtwerk gemeint ist anstatt einer Betrachtung je einzelner kirchlicher Normen. Die konkrete Konsequenz ist die Position, dass immer ein kirchliches Gesamtwerk zur Anwendung kommt und nicht einzelne ungenügende Normen durch DSGVO-Normen ersetzt werden. (Rn. 19)
Dieser Gedanke eines Gesamtwerks, der sicherlich der wichtigste Beitrag dieser Kommentierung ist, wird in der Diskussion des geforderten »Einklangs« noch einmal deutlicher. Mundil spricht sich gegen eine enge Auslegung aus, die Kirchen lediglich Konkretisierungen zugestehen will und ansonsten das Ziel einer Vollharmonisierung mit der DSGVO ausgibt. Stattdessen plädiert er für die Auslegung von Art. 91 DSGVO als eine Art »Richtlinienregelung«. Mundil denkt diese Analogie, die sich auch in anderen Kommentierungen findet, konsequent durch: »Ähnlich wie bei Richtlinienbestimmungen mit zwingenden Vorgaben für die Mitgliedsstaaten wären die Religionsgemeinschaften zwar gehalten, die inhaltlichen Vorgaben verbindlich in ihr Recht zu übernehmen. Sie können aber ihre Rechtsetzungsautonomie dahin wahren, dass sie die Vorgaben durch eigene Rechtsstrukturen umsetzen würden«, so der Autor. Das führe dann auch dazu, dass bei einer Kollision mit Regelungen der DSGVO nicht die EU-Verordnung über den Anwendungsvorrang zum Tragen käme, sondern vielmehr den kirchlichen Gesetzgebern aufgegeben sei, ihre Regeln anzupassen. Ausgelassen wird die Frage, wie das festgestellt werden kann. Wahrscheinlich brauchte es für die Feststellung einer Kollision kirchlichen Datenschutzrechts mit der DSGVO wohl eine EuGH-Vorlage durch ein Gericht. Während das durch die kirchlichen Gerichte seitens des EU-Rechts wohl zulässig wäre, ist die Frage von kirchenrechtlicher Seite noch nicht bearbeitet. Kirchliche Datenschutzrichter jedenfalls zeigen sich eher skeptisch, wenn eine Vorlage überhaupt realistisch ist, dann eher durch ordentliche und Arbeitsgerichte, die kirchliches Datenschutzrecht anwenden.
Wie in anderen Kommentaren wird Art. 91 Abs. 2 DSGVO zu den spezifischen Aufsichten eher schnell abgehandelt. Auch hier wird die unklare Formulierung gerügt. Mundil sieht von der Norm sowohl besondere staatliche Aufsichtsbehörden mit Zuständigkeit für die Religionsgemeinschaften wie eigene Aufsichten der Religionsgemeinschaften gedeckt. Im zweiten Fall verweist der Autor auf Art. 53 Abs. 1, 4. Spiegelstrich DSGVO, der es den Mitgliedstaaten ermöglicht, die Mitglieder von Aufsichtsbehörden »von einer unabhängigen Stelle, die nach dem Recht des Mitgliedstaats mit der Ernennung betraut wird« ernennen zu lassen; das könnte dann im Fall einer kirchlichen Aufsicht eine kirchliche unabhängigen Stelle sein. Das ist konsequent, sieht Art. 91 Abs. 2 DSGVO doch vor, dass die spezifischen Aufsichten den Anforderungen von Kapitel VI DSGVO zu erfüllen hat – Art. 53 war dabei aber bislang selten in der Diskussion. Das tatsächlich von beiden großen Kirchen praktizierte Modell wird von Mundil gar nicht erwähnt: Rein kirchliche Aufsichten ohne staatliche Beteiligung, bei denen Art. 53 Abs. 1 DSGVO derart analog angewandt wird, dass die »Regierung« (der Rat der EKD nach dem DSG-EKD) oder das »Staatsoberhaupt« (der Diözesanbischof nach KDG) die jeweilige Aufsicht bestellt, die Aufsicht also nicht von den in Art. 53 DSGVO eigentlich benannten Instanzen bestellt wird.
Kommentierung von § 18 Abs. 1 S. 4 BDSG
Die Kommentierung von § 18 BDSG wird von Olaf Kisker besorgt, der in Rn 4a auch die Beteiligung der spezifischen Aufsichten beim Verfahren der Zusammenarbeit der Aufsichtsbehörden des Bundes und der Länder berücksichtigt – keine Selbstverständlichkeit; andere Kommentare lassen diesen Aspekt gern aus. Kisker ist Regierungsdirektor beim BfDI, und so überrascht es kaum, dass er sich die Position der Datenschutzkonferenz zur sehr begrenzten Beteiligung der spezifischen Aufsichten an der Entscheidungsfindung der DSK zueigen macht. Zwar sei die für die Beteiligung der spezifischen Aufsichten notwendige »Betroffenheit« noch nicht abschließend geklärt. Außer bei im Einzelfall vorliegender Zuständigkeit im One-Stop-Verfahren aber »dürfte eine Betroffenheit nur dann vorliegen, wenn inhaltlich gerade der Bereich des Rundfunks bzw. der Kirchen in besonderer Weise tangiert wird. Es reicht nicht aus, dass die Angelegenheit für die spezifischen Aufsichtsbehörden in gleicher Weise von Belang ist, wie für alle anderen Aufsichtsbehörden«, so Kisker. Das Gebot der Beteiligung reiche auch nur so weit, dass die Stellungnahmen der Spezifischen berücksichtigt werden, daraus folge aber kein Anspruch darauf, den gemeinsamen Standpunkt auch im Sinn der Stellungnahme auszugestalten.
Fazit
Der Wolff/Brink ist auch über die für den kirchlichen Datenschutz einschlägigen Kommentierungen hinaus ein Kommentar, bei dem die Anschaffung lohnt. Das Alleinstellungsmerkmal sind Abschnitte zu bereichsspezifischem Datenschutz, die sich Gebieten wie Gerichten, freien Berufen, Medien oder Finanzwesen widmen. Leider fehlt dabei sowohl der Bereich Religionsgemeinschaften wie der Bereich Sozialdatenschutz – noch. Denn noch sind sechs Buchstaben in diesem Abschnitt unbesetzt. Insbesondere eine Aufnahme des Sozialdatenschutzes in einer möglichen Folgeauflage könnte diesen Kommentar zu einem im kirchlichen Bereich besonders relevanten machen.
Die Kommentierung von Art. 91 DSGVO verfolgt eine sehr eigenständige und konsequente Auslegung, die sowohl den Wortlaut wie das EU-Primärrecht ernstnimmt. Damit stärkt sie die mittlerweile wohl herrschende Meinung, in der Tendenz Grundrechte und die kollektive Religionsfreiheit stark zu machen, ergänzt aber auch wichtige neue Elemente: Die Interpretation als Richtlinienregelung mit all ihren Konsequenzen findet sich so nirgends sonst und verdient breitere Rezeption.
Die vierte Auflage des Taeger/Gabel(Affiliate link) ist erschienen und kommentiert neben DSGVO auch BDSG und TTDSG. Hier im Blick und interessant ist die Kommentierung von Art. 91 DSGVO, die von Anne Reiher und Karsten Kinast besorgt wurde.
Mit zwölf Seiten ist die Kommentierung kompakt, aber umfassend. In der Stoßrichtung ist sie grundsätzlich auf der Linie der Mehrheitsmeinung der hier bereits besprochenen Kommentarliteratur, im Zweifel mit einer restriktiveren Auslegung hinsichtlich des Spielraums der Kirchen, und ergänzt durchaus originelle Punkte.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Der Beauftragte für den Datenschutz der EKD hat eine Stellungnahme zur Verarbeitung des Impf- und Genesenenstatus veröffentlicht. Recht klar legt er dar, dass die Verarbeitung des Status für die Durchführung des Beschäftigungsverhältnisses grundsätzlich nicht erforderlich ist und nur in den im Infektionsschutzgesetz aufgezählten Einrichtungen eine gesetzliche Grundlage vorliegt. Tarifverträge und Dienstvereinbarungen kämen auch nicht in Frage, so dass in der Regel nur die Einwilligung bleibt, die allerdings wie immer im Arbeitsverhältnis besonders gut abgesichert sein muss in Hinblick auf die Freiwilligkeit. Gegen die Freiwilligkeit spricht laut BfD EKD »Ausüben von sozialem Druck oder eine behauptete Pflicht«. Interessant dagegen: Anreize nicht, sogar im Gegenteil. »Ein Indiz für die Freiwilligkeit besteht dann, wenn Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erhalten. Beschäftigte können beispielsweise ihren Impf- und Serostatus zweckgebunden freiwillig an den Betriebsarzt offenlegen, um die vorgeschriebenen regelmäßige Testung abzuwenden.« In jedem Fall verpflichtend ist nach Ansicht des BfD EKD eine Datenschutzfolgenabschätzung.
In der vergangenen Woche ging es um weitere Kommentare zum kirchlichen Datenschutzrecht. Auf Anfrage teilte mir der Nomos-Verlag mit, dass der dort geplante DSG-EKD-Kommentar von dem Dresdener Professor Ralph Wagner herausgegeben wird, der Erscheinungstermin wird mit voraussichtlich 2. Halbjahr 2022 angegeben – allerdings ist das der erwähnte Kommentar, der laut dem Mitautor Alexander Golland schon dieses Jahr erscheinen soll. Hoffen wir auf den früheren Termin. Außerdem ist ein weiteres Werk in Sicht: Neben Mitarbeitervertretungsordnung und Kirchlicher Arbeitsgerichtsordnung wird der ebenfalls für 2022 von Hermann Reichold, Thomas Ritter und Christian Gohm herausgegebene angekündigte Kommentar(Affiliate Link) auch die Kirchliche Datenschutzgerichtsordnung abdecken. Besondere Desiderate dafür: außerordentliche Rechtsbehelfe und § 2 Abs. 1 S. 2 KDSGO i.V.m. Art. 267 AEUV. (Also: Wie kommt der Fall vor die obersten Kirchengerichte in Rom, und wie kommt man zu Antworten vom EuGH, ob eine kirchliche Norm in Einklang mit der DSGVO steht?)
Der Datenschutzbeauftragte für Kirche und Diakonie hat eine etwas erratische Veröffentlichungspraxis. Diese Woche ist auf der Seite neben einem Text über die Prüfung von Software-Lösungen anhand der Vertragsbedingungen eine auf 10. Juni datierte Position zur »Datenübermittlung in Drittstaaten nach geltendem Recht und der Rechtsprechung des EuGH« erschienen. Ziel dabei ist eine möglichst große Kohärenz mit den Positionen anderer Aufsichten, insofern gibt es keine Überraschungen in der ausführlichen Übersicht und dem vorgestellten Prüfschema. Im wesentlichen wurde die Position des BfDI auf das kirchliche Recht übertragen. Wichtig ist vor allem die klare Ansage, dass die Ausnahmeregeln für die Übertragung auch wirklich Ausnahmen darstellen müssen: »Die Anwendung der Zulässigkeitsvoraussetzungen nach § 10 Abs. 2 Nrn. 1-6 DSG-EKD für Datenübermittlungen in sogenannte unsichere Drittstaaten, zu denen nach dem EuGH Urteil derzeit auch die USA gehören, dürfen nicht dazu führen die in § 10 Abs. 1 DSG-EKD als Grundregel geltende Voraussetzung „ad absurdum“ zu führen, wonach jede Übermittlung personenbezogener Daten in Drittländer oder an internationale Organisationen nur zulässig ist, wenn ein angemessenes Datenschutzniveau besteht.«
