Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Am Mittwoch fand (wahrscheinlich) das zweite Treffen der Datenschutzkonferenz mit den spezifischen Aufsichten für dieses Jahr statt. Den Termin hatte ich im Sommer mit einer IFG-Anfrage herausgefunden, das Protokoll wird dann wieder per Informationsfreiheitsgesetz zu befreien sein – wie jedes Mal. Auch ohne Transparenzgesetz könnte die DSK die Informationen auch einfach immer von vornherein veröffentlichen.
Zum Ende seiner Amtszeit legt der Gemeinsame Rundfunkdatenschutzbeauftragte von BR, SR, WDR, Deutschlandradio und ZDF einen Abschlussbericht vor. Darin geht er auch noch einmal auf die mangelnde Beteiligung der spezifischen Aufsichten ander Datenschutzkonferenz ein (Rn. 28f.), die er bereits zuvor in einem Positionspapier thematisiert hatte. Konkrete Verabredungen gebe es noch nicht. »Ziel sollte es sein, den nach Auffassung aller Beteiligten bislang unbefriedigenden retrospektiven Austausch durch ein Verfahren zu ersetzen, das eine frühzeitige wechselseitige Information und gegebenenfalls gemeinsame Positionierungen ermöglicht«, so der Rundfunkdatenschutzbeauftragte.
In der aktuellen ZMV befasst sich Matthias Ullrich, der Diözesandatenschutzbeauftragte der Ost-Bistümer und Autor des hier schon besprochenen Buchs »Beschäftigtendatenschutz der katholischen Kirche« mit betrieblichen Datenschutzbeauftragten im staatlichen und kirchlichen Recht. Gewohnt gelungen ist dabei die Verknüpfung von arbeits- und datenschutzrechtlicher Expertise, die auf einige Fragen abhebt, die aus dem Datenschutzrecht allein nicht zu beantworten sind, etwa zur Bestellung (nach Ansicht Ullrichs nicht durch einseitige Übertragung, sondern in der Regel durch eine Arbeitsvertragsänderung vorzunehmen), Probezeit (nicht zulässig, da Anforderungen von Tag 1 an sicher erfüllt sein müssen) sowie Befristung des Amts (in § 36 Abs. 5 KDG und § 36 Abs. 3 DSG-EKD geregelt) und der Stelle (nicht geregelt). Ullricht ist einer Befristung der Stelle zum Unterlaufen der gesetzlichen Mindestbenennungsfristen gegenüber kritisch: »In solchen Fällen ist das befristete Arbeitsverhältnis deshalb aus datenschutzrechtlicher Sicht bei der Benennung zu entfristen oder zumindest auf die Mindestbenennungsdauer für betriebliche Datenschutzbeauftragte zu verlängern.« Im Ergebnis führt das dazu, dass Datenschutzbeauftragte aus Sicht des Datenschutzrechts regelmäßig nicht sachgrundlos befristet beschäftigt werden können – im katholischen Arbeitsrecht ist die maximale sachgrundlose Befristung auf 14 Monate festgelegt, im evangelischen Bereich gilt die gesetzliche Höchstdauer von zwei Jahren.
Die russisch-orthodoxe Kirche hat man nicht als erstes auf dem Zettel, wenn es um grund- und menschenrechtsorientierte Sozialverkündigung geht. Patriarch Kyrill hat sich nun zu biometrischen Datenbanken geäußert: »Die Kirche stimmt den den Experten zu, die darauf hinweisen, dass jede Datenbank mit personenbezogenen Daten, einschließlich biometrischer Daten, nicht vollständig vor Lecks geschützt werden kann. Die Risiken von biometrischer Datenlecks sind aufgrund der Neuartigkeit der Technologie noch nicht vollständig bekannt.« Daher stehe die Kirche für das »grundsätzliche und bedingungslose Recht der Bürger, die biometrische Identifizierung abzulehnen, mit absoluten Garantien der Nicht-Diskriminierung im Falle einer solchen Entscheidung«.
Eigentlich sollte es mit der DSGVO ziemlich einfach sein, die zuständige Aufsicht zu finden: Federführend ist die Aufsichtsbehörde, die für das Gebiet zuständig ist, in der die verantwortliche Stelle oder der Auftragsverarbeiter die Haupt- oder einzige Niederlassung hat. In der Praxis gibt es aber doch einige Konstellationen, in denen das nicht ganz so klar ist. Schon 2016 hat die Artikel-29-Datenschutzgruppe daher »Leitlinien für die Bestimmung der federführenden Aufsichtsbehörde eines Verantwortlichen oder Auftragsverarbeiters« beschlossen (WP 244, geltende Fassung rev. 01 vom 5. April 2017).
Diese Leitlinien sollen nun überarbeitet werden. Der Europäische Datenschutzausschuss, der Nachfolger der Art.-29-Gruppe, hat daher einen Entwurf für überarbeitete Leitlinien zur Konsultation gestellt. Die Konsultation läuft noch bis zum 2. Dezember. Speziell geht es dabei um die Regeln zur gemeinsamen Verantwortlichkeit – eine Frage, die auch im kirchlichen Datenschutzrecht immer wieder Rätsel aufgibt. Der Entwurf erwähnt zwar weiterhin die spezifischen Aufsichten nicht – die neuen Regeln machen aber kirchlichen Verantwortlichen in »gemischtgesetzlichen« gemeinsamen Verantwortlichkeiten das Leben doch einfacher.
Jupp Joachimski wird 80. Als bayerischer Diözesandatenschutzbeauftragter ist er immer noch im Dienst – auch wenn seine Amtszeit eigentlich schon lange abgelaufen ist: Es gibt einfach keinen Nachfolger, und Joachimski macht (wie das Gesetz es befiehlt) einfach weiter. Zum 80. schenkt das Katholische Datenschutzzentrum Dortmund dem Jubilar eine Festschrift in der Reihe »Schriften zum kirchlichen Datenschutz«.
Mit der von Steffen Pau, Christine Haumer und Stephanie Melzow herausgegebenen Festschrift »Justiz die Pflicht, Datenschutz die Kür« würdigen die Diözesandatenschutzbeauftragten und Weggefährt*innen den Vorsitzenden Richter am Bayerischen Obersten Landesgericht a.D.
Etwa die Hälfte des Bandes machen Aufsätze zum kirchlichen Datenschutz aus: Neben den anderen Diözesandatenschutzbeauftragten und ihren Mitarbeitenden kommen unter anderem der bayerische Landesdatenschutzbeauftragte Thomas Petri und der Würzburger Kirchenrechtler Martin Rehak zu Wort. Die Aufsätze sind meist historisch und deskriptiv ausgerichtet – sie geben aber auch einige neue, bislang unbekannte Informationen zum kirchlichen Datenschutz. Mehr oder weniger zwischen den Zeilen scheint es auch langsam Gewissheit zu werden, dass das lange geplante Katholische Datenschutzzentrum Wirklichkeit wird.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Die Datenschutzkonferenz will besser mit den spezifischen Aufsichtsbehörden, also auch denen der Kirchen, zusammenarbeiten. Das lief bislang nicht allzu beteiligungsfreudig. Im nun erschienenen Protokoll der 2. DSK-Zwischenkonferenz findet sich als TOP 12, wie es weitergehen soll: Bis spätestens der 104. DSK im November soll der Entwurf einer Antwort auf das hier schon besprochene Positionspapier des Rundfunkdatenschutzbeauftragten vorliegen. Ebenfalls bis dahin soll der AK Grundsatz Vorschläge für eine verbesserte Kooperation mit den spezifischen Aufsichtsbehörden vorlegen.
Bei der Experteninitiative Religionspolitik unterzieht Bruno Schrage den Entwurf für eine neue Grundordnung des kirchlichen Dienstes einer lesenswerten Generalkritik. Im dritten Teil erwähnt er auch eine Folge der Festlegung, künftig nicht nur Beschäftigte, sondern auch Ehrenamtliche der Grundordnung zu unterwerfen: »Katholische Träger müssen künftig wohl nicht nur in Bewerbungsgesprächen, sondern auch mit Ehrenamtlichen erst ein datenschutzrechtlich zweifelhaftes Gespräch über eine (bisherige) katholische Zugehörigkeit und den hoffentlich nicht erfolgten Kirchenaustritt führen.« Was caritative Träger vielleicht noch leisten könnten (aber nicht wollen), dürfte gerade bei überwiegend ehrenamtlich getragenen kirchlichen Vereinen und Verbänden sehr anspruchsvoll werden. Immerhin: die bloße Zugehörigkeit zu einer Religionsgemeinschaft zählt ja bekanntlich im kirchlichen Datenschutzrecht nicht zu den besonderen Kategorien. (Bereits jetzt hat die zuständige kirchliche Autorität allerdings darüber zu wachen, dass in privaten kanonischen Vereinen »die Unversehrtheit von Glaube und Sitte bewahrt wird«, can. 305 § 1 CIC.)
Bisher war kirchliche Gesetzgebung kaum geregelt. Die DBK ändert das nun, zumindest fürs Arbeitsrecht: Heute tritt die »Ordnung über das Zustandekommen von arbeitsrechtlichen Regelungen auf der Ebene der Deutschen Bischofskonferenz« mit Veröffentlichung im Limburger Amtsblatt in Kraft. Ziel ist die »Sicherstellung eines transparenten und rechtssicheren Verfahrens«. Neu ist dabei das Initiativrecht und die umfassende Beteiligung kirchlicher Stakeholder im Prozess, bevor die Bischöfe beschließen. (Etwas detaillierter auf katholisch.de.) Die Transparenz beschränkt sich aber dem Normtext nach leider auf die Stakeholder: Eine Veröffentlichung von Gesetzesentwürfen ist nicht vorgesehen, das Anhörungsverfahren beschränkt sich auf benannte Stakeholder. Da wäre mehr gegangen. Dennoch ist das ein Meilenstein in der katholischen Rechtskultur: So viel regelhafte Beteiligung ist ein absolutes Novum und ein Schritt in die richtige Richtung, sich innerhalb der ekklesiologischen Grenzen Macht- und Gewaltenteilung anzunähern.
Die zweite Auflage des Datenschutzrechts-Kommentars(Affiliate link) von Heinrich Amadeus Wolff (seit kurzem Richter am Bundesverfassungsgericht) und Stefan Brink (bald nicht mehr baden-württembergischer Landesdatenschutzbeauftragter) ist erschienen. Neben einer Kommentierung von DSGVO und BDSG zeichnet sich dieser Kommentar auch durch einen Grundlagenteil mit Aufsätzen zu bereichsspezifischem Datenschutz aus.
Die von Daniel Mundil besorgte Kommentierung des Art. 91 DSGVO ist kompakt, bringt aber einige neue Aspekte ein, die so in anderen Kommentaren nicht zu finden sind und beleuchtet dabei insbesondere die Frage nach der Funktion und dem Spielraum, den die DSGVO kirchlichem Datenschutzrecht zuspricht.
Kommentierung des Art. 91 DSGVO
Mit sechs Seiten gehört die Kommentierung zu den kürzeren. Gut gelöst ist die Einführung: In einem Überblick wird kompakt die Problematik eines der wohl dunkelsten Artikel in der DSGVO aufgezeigt und zugleich die Perspektive transparent gemacht, unter der der Autor seine Kommentierung vornimmt: Der Kirchenartikel als Umsetzung des Art. 17 AEUV, der das mitgliedstaatliche religionsverfassungsrechtliche Gefüge schützt. Mundil macht deutlich, dass der Artikel viel Auslegung bedarf: »Die Vorgaben beruhen im Wesentlichen auf unbestimmten Rechtsbegriffen, die einen erheblichen Auslegungsspielraum lassen«, so der Autor. Daneben stelle sich bei wörtlicher Anwendung von Abs. 1 die Frage, »weshalb es überhaupt besonderer Regelungen für die Religionsgemeinschaften bedurfte, da diese offenbar ohnehin zur vollständigen Rechtsangleichung verpflichtet sind.«
Auf eine Darstellung der Rechtslage vor Inkrafttreten der DSGVO folgt die Erläuterung des Art. 91 DSGVO mit einem Schwerpunkt auf dem ersten Absatz. Der historische Teil ist dabei deutlich weniger ausführlich als in anderen Kommentaren – etwa Hense bei Sydow –, zeigt aber gut auf, welche Veränderungen die neue Rechtslage durch die erstmalige Kodifizierung kirchlichen Datenschutzes im säkularen Recht ermöglicht. Insbesondere begrüßt Mundil, dass mit Art. 91 DSGVO, der nicht zwischen öffentlich-rechtlich und privatrechtlich verfassten Religionsgemeinschaften unterscheidet, mehr Gleichbehandlung zwischen diesen verschiedenen Organisationsformen organisierter Religion möglich wird.
Die Kommentierung der aktuellen Rechtslage greift die Position des Überblicks auf und problematisiert die durchweg interpretationsbedürftigen offenen bis ungeklärten Rechtsbegriffe – allerdings ohne Reformvorschläge zu benennen. Dabei entscheidet sich Mundil aus seinem Ausgangspunkt aus den Grundrechten und Art. 17 AEUV für eine Auslegung, die das Ziel kollektiver Religionsfreiheit nicht aus dem Auge verliert, so gleich zu Beginn beim Anwendungsbereich, wo er einem zu engen, allein auf den religiösen Kernbereich konzentrierten Bereich eine Absage erteilt. Dass dabei als Beispiele ein Online-Klostershop und der religiöse Kursbetrieb eines Klosters als Beispiele angeführt werden, spricht dafür, dass tatsächlich relevante Anwendungsbereiche im Blick sind. »Um hier den von Art. 17 AEUV und Art. 91 geforderten autonomen Rechtssetzungsbereich der Religionsgemeinschaften tatsächlich zu gewährleisten gilt es, den Anwendungsbereich entsprechend weit auszulegen«, argumentiert Mundil. Das sei auch ohne die Verletzung dogmatischer Ansätze unter Verweis auf Rechtsprechung des BVerfG zu »Randbetätigungen« der Religionsgemeinschaften möglich – der Autor führt das BVerfG-Urteil vom 15. Januar 2002 – 1 BvR 1783/99 zum Schächten an. Implizit geht Mundil damit anscheinend über die von den Kirchen selbst vertretene Position hinaus, dass reine Wirtschaftsbetriebe nicht dem kirchlichen Datenschutzregime unterfallen. Hier wäre eine explizite Klärung dieser Frage wünschenswert gewesen. (Rn. 15)
Eine kollektive Religionsfreiheit achtende Auslegung von Art. 91 DSGVO muss immer mit dem Wortlaut kämpfen. So auch hier angesichts der eigentlich klaren Formulierung, die nur bestehenden Regelungen Bestandsschutz gewährt und selbst Veränderungen der bestehenden Regelungen begründungsbedürftig macht. Immerhin: Das Erfordernis von In-Einklang-Bringen deute darauf hin, dass eine »Versteinerung« des Normbestands nicht im Sinn und Zweck der Vorschrift liege. Bleibt das Problem von Neu- und Erstregelungen. Mundil konstatiert ein Dilemma, dass einerseits ein klarer gesetzgeberischer Wille zur Vereinheitlichung des Datenschutzes festzustellen ist, zugleich aber der Wille zum Schutz der kollektiven Religionsfreiheit und der jeweiligen nationalen staatskirchenrechtlichen Systeme. Im Ergebnis spricht er sich dafür dass, dass der Gleichheitsgrundsatz und das Schutzziel der Vielfalt der Religionen in der Grundrechtscharta »für eine weite Auslegung insbeonsdere zugunsten neu hinzutretender Religionsgemeinschaften« spreche. (Rn. 18)
(Ein kleiner Fehler findet sich in Randnummer 18a: Hier wird der 18. Mai 2018 als Datum des Inkrafttretens von KDG und DSG-EKD genannt, richtig ist der 24. Mai 2018.)
Bei der Auslegung des Begriffs der »umfassenden Regeln« spricht sich Mundil dafür aus, dass damit das Gesamtwerk gemeint ist anstatt einer Betrachtung je einzelner kirchlicher Normen. Die konkrete Konsequenz ist die Position, dass immer ein kirchliches Gesamtwerk zur Anwendung kommt und nicht einzelne ungenügende Normen durch DSGVO-Normen ersetzt werden. (Rn. 19)
Dieser Gedanke eines Gesamtwerks, der sicherlich der wichtigste Beitrag dieser Kommentierung ist, wird in der Diskussion des geforderten »Einklangs« noch einmal deutlicher. Mundil spricht sich gegen eine enge Auslegung aus, die Kirchen lediglich Konkretisierungen zugestehen will und ansonsten das Ziel einer Vollharmonisierung mit der DSGVO ausgibt. Stattdessen plädiert er für die Auslegung von Art. 91 DSGVO als eine Art »Richtlinienregelung«. Mundil denkt diese Analogie, die sich auch in anderen Kommentierungen findet, konsequent durch: »Ähnlich wie bei Richtlinienbestimmungen mit zwingenden Vorgaben für die Mitgliedsstaaten wären die Religionsgemeinschaften zwar gehalten, die inhaltlichen Vorgaben verbindlich in ihr Recht zu übernehmen. Sie können aber ihre Rechtsetzungsautonomie dahin wahren, dass sie die Vorgaben durch eigene Rechtsstrukturen umsetzen würden«, so der Autor. Das führe dann auch dazu, dass bei einer Kollision mit Regelungen der DSGVO nicht die EU-Verordnung über den Anwendungsvorrang zum Tragen käme, sondern vielmehr den kirchlichen Gesetzgebern aufgegeben sei, ihre Regeln anzupassen. Ausgelassen wird die Frage, wie das festgestellt werden kann. Wahrscheinlich brauchte es für die Feststellung einer Kollision kirchlichen Datenschutzrechts mit der DSGVO wohl eine EuGH-Vorlage durch ein Gericht. Während das durch die kirchlichen Gerichte seitens des EU-Rechts wohl zulässig wäre, ist die Frage von kirchenrechtlicher Seite noch nicht bearbeitet. Kirchliche Datenschutzrichter jedenfalls zeigen sich eher skeptisch, wenn eine Vorlage überhaupt realistisch ist, dann eher durch ordentliche und Arbeitsgerichte, die kirchliches Datenschutzrecht anwenden.
Wie in anderen Kommentaren wird Art. 91 Abs. 2 DSGVO zu den spezifischen Aufsichten eher schnell abgehandelt. Auch hier wird die unklare Formulierung gerügt. Mundil sieht von der Norm sowohl besondere staatliche Aufsichtsbehörden mit Zuständigkeit für die Religionsgemeinschaften wie eigene Aufsichten der Religionsgemeinschaften gedeckt. Im zweiten Fall verweist der Autor auf Art. 53 Abs. 1, 4. Spiegelstrich DSGVO, der es den Mitgliedstaaten ermöglicht, die Mitglieder von Aufsichtsbehörden »von einer unabhängigen Stelle, die nach dem Recht des Mitgliedstaats mit der Ernennung betraut wird« ernennen zu lassen; das könnte dann im Fall einer kirchlichen Aufsicht eine kirchliche unabhängigen Stelle sein. Das ist konsequent, sieht Art. 91 Abs. 2 DSGVO doch vor, dass die spezifischen Aufsichten den Anforderungen von Kapitel VI DSGVO zu erfüllen hat – Art. 53 war dabei aber bislang selten in der Diskussion. Das tatsächlich von beiden großen Kirchen praktizierte Modell wird von Mundil gar nicht erwähnt: Rein kirchliche Aufsichten ohne staatliche Beteiligung, bei denen Art. 53 Abs. 1 DSGVO derart analog angewandt wird, dass die »Regierung« (der Rat der EKD nach dem DSG-EKD) oder das »Staatsoberhaupt« (der Diözesanbischof nach KDG) die jeweilige Aufsicht bestellt, die Aufsicht also nicht von den in Art. 53 DSGVO eigentlich benannten Instanzen bestellt wird.
Kommentierung von § 18 Abs. 1 S. 4 BDSG
Die Kommentierung von § 18 BDSG wird von Olaf Kisker besorgt, der in Rn 4a auch die Beteiligung der spezifischen Aufsichten beim Verfahren der Zusammenarbeit der Aufsichtsbehörden des Bundes und der Länder berücksichtigt – keine Selbstverständlichkeit; andere Kommentare lassen diesen Aspekt gern aus. Kisker ist Regierungsdirektor beim BfDI, und so überrascht es kaum, dass er sich die Position der Datenschutzkonferenz zur sehr begrenzten Beteiligung der spezifischen Aufsichten an der Entscheidungsfindung der DSK zueigen macht. Zwar sei die für die Beteiligung der spezifischen Aufsichten notwendige »Betroffenheit« noch nicht abschließend geklärt. Außer bei im Einzelfall vorliegender Zuständigkeit im One-Stop-Verfahren aber »dürfte eine Betroffenheit nur dann vorliegen, wenn inhaltlich gerade der Bereich des Rundfunks bzw. der Kirchen in besonderer Weise tangiert wird. Es reicht nicht aus, dass die Angelegenheit für die spezifischen Aufsichtsbehörden in gleicher Weise von Belang ist, wie für alle anderen Aufsichtsbehörden«, so Kisker. Das Gebot der Beteiligung reiche auch nur so weit, dass die Stellungnahmen der Spezifischen berücksichtigt werden, daraus folge aber kein Anspruch darauf, den gemeinsamen Standpunkt auch im Sinn der Stellungnahme auszugestalten.
Fazit
Der Wolff/Brink ist auch über die für den kirchlichen Datenschutz einschlägigen Kommentierungen hinaus ein Kommentar, bei dem die Anschaffung lohnt. Das Alleinstellungsmerkmal sind Abschnitte zu bereichsspezifischem Datenschutz, die sich Gebieten wie Gerichten, freien Berufen, Medien oder Finanzwesen widmen. Leider fehlt dabei sowohl der Bereich Religionsgemeinschaften wie der Bereich Sozialdatenschutz – noch. Denn noch sind sechs Buchstaben in diesem Abschnitt unbesetzt. Insbesondere eine Aufnahme des Sozialdatenschutzes in einer möglichen Folgeauflage könnte diesen Kommentar zu einem im kirchlichen Bereich besonders relevanten machen.
Die Kommentierung von Art. 91 DSGVO verfolgt eine sehr eigenständige und konsequente Auslegung, die sowohl den Wortlaut wie das EU-Primärrecht ernstnimmt. Damit stärkt sie die mittlerweile wohl herrschende Meinung, in der Tendenz Grundrechte und die kollektive Religionsfreiheit stark zu machen, ergänzt aber auch wichtige neue Elemente: Die Interpretation als Richtlinienregelung mit all ihren Konsequenzen findet sich so nirgends sonst und verdient breitere Rezeption.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Am 18. Mai fand das Treffen der Datenschutzkonferenz mit den spezifischen Aufsichten statt. Die Unterlagen konnte ich per Informationsfreiheitsanfrage befreien. Wieder einmal ging es um Beteiligung. Die Aufsichtsbehörden in der DSK sind bekanntlich nicht ganz freigiebig mit der Einbeziehung der spezifischen Aufsichten. Auch beim Europäischen Datenschutzausschuss können die Spezifischen nicht auf die dort verwendete Dokumentenablageplattform Confluence zugreifen, da das Innenministerium die spezifischen Aufsichten nicht nach Art. 51 Abs. 4 DSGVO notifiziert hat. Aus dem Protokoll erfährt man, dass die Frage einer nachträglichen Notifizierung durch das BMI derzeit in den kirchlichen Gremien geprüft werde. Außerdem kündigt der BfDI an, dass die Forderung des Rundfunkdatenschutzbeauftragten nach mehr Beteiligung, über die hier schon berichtet wurde, auch eine Antwort aus der DSK erfahren soll. Sehr diplomatisch heißt es, dass die Teilnehmenden »Einigkeit« erzielt hätten, »dass ein qualitativer Ausbau der Kooperation gewünscht sei«. Beim Bericht aus der Arbeit der DSK gibt es einen Ausblick auf die beabsichtigten Maßnahmen mit Blick auf Facebook-Fanpages. In Betracht kämen demnach die Untersagung und die Anordnung eines datenschutzgerechten Betriebs. Außerdem wurde das zweite Austauschtreffen für 2022 zwischen DSK und spezifischer Aufsicht angekündigt: Es findet am 14. Dezember statt.
Die KDSA Ost stellt die Entscheidung des EuGH zum Kündigungsschutz von Datenschutzbeauftragten vor. Im Vorfeld wurde vertreten, dass die EuGH-Entscheidung unabhängig vom Ausgang keine Auswirkungen auf den analogen Kündigungsschutz im KDG und im DSG-EKD haben werde. Nachdem der EuGH die BDSG-Rechtslage für zulässig erachtet, bleibt diese Frage akademisch. »Auch wenn die Rechtsprechung des EuGHs keine direkte Auswirkung auf das kirchliche Datenschutzrecht (§ 37 Abs. 4 KDG, § 37 Abs. 2 DSG-EKD) hat, stellt das Urteil doch eine Stärkung der dort verankerten inhaltsgleichen Regelungen dar«, ordnet die KDSA Ost ein.
Mit der kirchlichen Strafrechtsreform hat auch der Schutz der Persönlichkeitsrechte in der katholischen Kirche etwas mehr Zähne bekommen: Wer jemandes guten Ruf schädigt, wird nun nicht mehr nur fakultativ bestraft. Die entsprechende Strafnorm can. 1390 § 2 CIC ist Thema des aktuellen »Kanon des Monats« der Würzburger Kanonistik. Zur Erfüllung der Strafnorm müssen zum einen »Behauptungen falsch, also wahrheitswidrig« und »nicht durch irgendwie geartete, rechtfertigende Begründungen getragen« sein, so die Autorin Anna Krähe. Im folgenden zeigt sie dann auch implizit eine Möglichkeit auf, wie der Tatbestand in Verbindung mit Verstößen gegen das kirchliche Datenschutzrecht einschlägig werden könnte: »Der Tatbestand ist aber auch erfüllt, wenn es sich um eine wahre Behauptung handelt, der bzw. die Täter*in diese aber nicht an die Öffentlichkeit hätte bringen dürfen, also die Veröffentlichung bzw. Verbreitung rechtswidrig ist.«
Das Verwaltungsgericht Berlin hat eines der ersten (womöglich das erste) Urteil gefällt, in dem einige teils kontrovers angefragte Aspekte des kirchlichen Datenschutzes geprüft wurden. In seiner Entscheidung (VG Berlin, Urteil vom 07.04.2022 – 1 K 391/20) hatte es das Gericht mit der Frage zu tun, ob die Kirchensteuerstelle der staatlichen Datenschutzaufsicht unterliegt.
Briefkopf der Kirchensteuerstelle beim Finanzamt Berlin Mitte/Tiergarten (via ifw)
Die Kirchensteuerstellen in Berlin sind bei den Finanzämtern angesiedelt, aber kirchliche Stellen – konsequent, da die Religionsgemeinschaften selbst für die Feststellung der Kirchenmitgliedschaft zuständig sind, überraschend, da die Kirchlichkeit der Stellen angesichts der bis zum Briefkopf engen Anbindung ans staatliche Finanzamt nicht ganz intuitiv ist. Kritik daran gibt es seit Jahren.
Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten – hier geht’s zur Newsletter-Anmeldung.
Über eine Informationsfreiheitsanfrage habe ich das Protokoll des Austauschs der Datenschutzkonferenz mit den spezifischen Aufsichtsbehörden vom 8. Dezember 2021 besorgt. (Zu finden bei fragdenstaat.de) Daraus erfährt man, dass der BfDI während seines DSK-Vorsitzes im Jahr 2022 »das übergreifende Thema der Zusammenarbeit zwischen der DSK und den spezifischen Aufsichtsbehörden« vertiefen möchte. Wie erwartet fragt hier vor allem der Rundfunkdatenschutzbeauftragte wieder mal kritisch nach. Viel erfährt man darüber nicht; gesprochen wurde unter anderem über den Zugang zum Dokumentenmanagementsystem des Europäischen Datenschutzausschusses Confluence. Das sei auch schon bei der 102. DSK besprochen worden – der Zugang könne dann beantragt werden, wenn die jeweilige spezifische Aufsichtsbehörde betroffen ist. Wieder einmal sind von den kirchlichen Aufsichten nur der BfD EKD und die Vorsitzende der katholischen Datenschutzkonferenz anwesend – und die »Katholische Kirche Südbayern«, wer auch immer das sein mag. Möglicherweise der für Süddeutschland zuständige Ordensdatenschutzbeauftragte?
Die Landeskirche Hannovers hat eine IuK-Richtlinie erlassen. Erfreulich: Darin wird explizit auch geregelt, dass auch Ehrenamtliche dienstliche Kommunikationsgeräte erhalten können, »wenn die übertragenen Aufgaben es von ihrem Inhalt oder Umfang her erfordern«. Über die Bereitstellung für Ehrenamtliche entscheidet die beauftragende Körperschaft. Da allerdings ohne besondere Hürden auch die dienstliche Nutzung privater Kommunikationsgeräte erlaubt wird, dürfte das nicht dazu führen, dass beispielsweise Kirchenvorstände künftig für ihre Arbeit mit kirchlichen Geräten ausgestattet werden, um die IT-Sicherheit und Vertraulichkeit zu sichern. Die praktischen Auswirkungen der Richtlinie auf das tatsächliche Datenschutzniveau sind damit nicht allzu hoch anzusetzen.
Das Interdiözesane Datenschutzgericht kündigt wieder einmal eine Entscheidungsveröffentlichung an – den Stichworten nach zu urteilen mit hoher praktischer Relevanz: IDSG 04/2019, Offener E-Mail-Verteiler und Kontextinformationen. Erfahrungsgemäß dauert es etwa eine Woche von der Erwähnung in der Entscheidungssammlung bis zur Veröffentlichung der Entscheidung im Volltext.
Der Bund Katholischer Unternehmer hat sich zum Entwurf der EU-KI-Verordnung geäußert und dabei den Schwerpunkt auf die Forderung nach dem Vorrang menschlichen Handelns und Autonomie gelegt. „Die Würde des Menschen und das Recht auf Selbstbestimmung bleiben auch in der digitalen Welt unantastbar“, heißt es in dem Papier des Arbeitskreises Digitalpolitik. Insbesondere wende man sich gegen „digitale Monopole und Datenkolonialismus“. Um als „mündige Bürgerinnen und Bürger in der digitalen Welt partizipieren und die persönlichen wie gesellschaftlichen Risiken besser einschätzen und steuern zu können“, wird ein Mindestanspruch auf digitale Bildung gefordert: „dies betrifft z.B. auch den Umgang mit den eigenen personenbezogenen Daten“, so das Papier weiter. Neben der eigentlichen Regulierung brauche es daher auch eine bildungspolitische und zivilgesellschaftliche Strategie. Der BKU ist dabei nicht der einzige kirchliche Player, der sich bereits zur EU-KI-Politik geäußert hat, wie ich vor einiger Zeit durch eine Informationsfreiheitsanfrage an die EU-Kommission herausgefunden hatte.
Die Datenschutzaufsichten des Bundes und der Länder bleiben bei der Datenschutzkonferenz weitgehend unter sich – die spezifischen Aufsichten, also diejenigen für die Rundfunkanstalten und die Kirchen, werden nur über regelmäßige Austauschtreffen und die Möglichkeit beratender Ausschussmitarbeit beteiligt.
Diesen Missstand – schließlich werden so Aufsichten ausgeschlossen, die genauso legitim sind wie die staatlichen – beklagen kirchliche Aufsichten dezent, der Rundfunkdatenschutzbeauftragte von BR, SR, WDR, Deutschlandradio und ZDF immer wieder deutlich. Auch in seinem aktuellen Tätigkeitsbericht für 2021, der nun veröffentlicht wurde.
