Kirchlicher Datenschutz: Was gilt für Kirchen und ihre Einrichtungen?

Kirchen und religiöse Einrichtungen verarbeiten täglich personenbezogene Daten – etwa bei Taufen, Trauungen, Seelsorge, Gemeindearbeit, Beschäftigung oder der Betreuung in kirchlichen Schulen und sozialen Einrichtungen. Dabei gelten besondere Datenschutzregeln. In Deutschland spricht man häufig vom kirchlichen Datenschutz: einem eigenständigen Datenschutzrecht, das die kirchliche Selbstbestimmung berücksichtigt und zugleich den Schutz persönlicher Daten gewährleisten soll.

Warum gibt es eigene kirchliche Datenschutzgesetze?

Die Datenschutz-Grundverordnung (DSGVO) eröffnet Kirchen und bestimmten religiösen Gemeinschaften die Möglichkeit, eigene umfassende Datenschutzregeln anzuwenden. Voraussetzung ist, dass diese Regeln mit der DSGVO in Einklang stehen. Diese Möglichkeit knüpft an Artikel 91 DSGVO an.

In Deutschland nutzen insbesondere die katholische und die evangelische Kirche eigene Datenschutzordnungen. Sie regeln unter anderem, wann Daten verarbeitet werden dürfen, welche Informationspflichten bestehen und wie die Rechte betroffener Personen geschützt werden. Die kirchlichen Vorschriften orientieren sich dabei an den grundlegenden Anforderungen der DSGVO.

Die wichtigsten Regelwerke

Katholische Kirche: KDG

Für viele katholische kirchliche Stellen gilt das Gesetz über den kirchlichen Datenschutz (KDG). Es enthält Vorgaben zur Verarbeitung personenbezogener Daten, zu technischen und organisatorischen Schutzmaßnahmen sowie zu den Rechten der betroffenen Personen. Welche konkreten Regelungen gelten, kann von der zuständigen kirchlichen Stelle und ihrem Anwendungsbereich abhängen.

Evangelische Kirche: DSG-EKD

Im Bereich der Evangelischen Kirche in Deutschland gilt das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD). Es bildet den Rahmen für den Datenschutz in der EKD und ihren Gliedkirchen sowie in weiteren erfassten kirchlichen Einrichtungen. Ergänzende Regelungen können je nach Landeskirche oder Einrichtung relevant sein.

Andere Religionsgemeinschaften können ebenfalls eigene Datenschutzregelungen haben. Ob ein kirchliches Datenschutzgesetz auf eine bestimmte Organisation anwendbar ist, hängt von deren rechtlicher Zugehörigkeit und dem jeweiligen Regelwerk ab. Nicht jede Einrichtung mit religiösem Bezug fällt automatisch darunter.

Besonders sensible Daten

Informationen über religiöse Überzeugungen gehören nach der DSGVO zu den besonderen Kategorien personenbezogener Daten. Solche Angaben können beispielsweise aus Mitgliedschaftsverzeichnissen, Spendenunterlagen, seelsorgerischen Kontakten oder der Teilnahme an religiösen Angeboten hervorgehen.

Für ihre Verarbeitung gelten erhöhte Anforderungen. Eine kirchliche Stelle benötigt eine passende Rechtsgrundlage und muss den Zugriff auf die Daten angemessen beschränken. Auch der Grundsatz der Datenminimierung ist wichtig: Es sollen nur solche Informationen erhoben und genutzt werden, die für den jeweiligen Zweck tatsächlich erforderlich sind.

Welche Rechte haben betroffene Personen?

Werden personenbezogene Daten verarbeitet, stehen den betroffenen Personen grundsätzlich verschiedene Rechte zu. Dazu gehören insbesondere:

• das Recht auf Information darüber, wie und zu welchem Zweck Daten verwendet werden,
• das Recht auf Auskunft über gespeicherte personenbezogene Daten,
• das Recht, unrichtige Daten berichtigen zu lassen,
• unter bestimmten Voraussetzungen das Recht auf Löschung oder Einschränkung der Verarbeitung,
• das Recht, einer Verarbeitung zu widersprechen, soweit die gesetzlichen Voraussetzungen erfüllt sind,
• das Recht, sich bei der zuständigen Datenschutzaufsicht zu beschweren.

Diese Rechte können im Einzelfall gesetzlichen Einschränkungen unterliegen. So kann beispielsweise die Löschung bestimmter Informationen ausgeschlossen sein, wenn eine kirchliche Stelle sie aufgrund einer rechtlichen Pflicht oder eines berechtigten Aufbewahrungszwecks weiterhin speichern muss. Ob eine Einschränkung greift, ist anhand des konkreten Falls zu prüfen.

Datenschutzaufsicht in der Kirche

Kirchliche Datenschutzgesetze sehen eigene Aufsichtsstrukturen vor. Je nach kirchlicher Zugehörigkeit ist eine kirchliche Datenschutzaufsichtsbehörde zuständig. Diese überwacht die Einhaltung der Datenschutzregeln, bearbeitet Beschwerden und kann kirchliche Stellen beraten oder Maßnahmen anordnen.

Auch innerhalb kirchlicher Organisationen können Datenschutzbeauftragte eine wichtige Rolle spielen. Sie unterstützen Verantwortliche und Beschäftigte, beraten bei datenschutzrechtlichen Fragen und helfen dabei, Risiken frühzeitig zu erkennen. Die Zuständigkeit richtet sich nach dem jeweils geltenden kirchlichen Regelwerk.

Was müssen kirchliche Einrichtungen praktisch beachten?

Kirchengemeinden, Verbände, Schulen, Krankenhäuser und soziale Träger sollten zunächst feststellen, welches Datenschutzrecht für sie gilt. Anschließend empfiehlt sich eine systematische Prüfung der Datenverarbeitung. Dazu zählen unter anderem:

• Verarbeitungszwecke und Rechtsgrundlagen nachvollziehbar festzuhalten,
• betroffene Personen verständlich über die Verarbeitung zu informieren,
• Zugriffsrechte nach dem Erforderlichkeitsprinzip zu vergeben,
• Daten durch angemessene technische und organisatorische Maßnahmen zu schützen,
• Aufbewahrungs- und Löschfristen festzulegen,
• Auftragsverarbeitungsverträge mit externen Dienstleistern zu prüfen,
• Beschäftigte regelmäßig für den Umgang mit personenbezogenen Daten zu sensibilisieren.

Besondere Aufmerksamkeit verdienen Daten aus Seelsorge und Beratung. Hier können Informationen anvertraut werden, deren Offenlegung erhebliche persönliche Folgen hätte. Deshalb sollten kirchliche Stellen klare Zuständigkeiten, sichere Kommunikationswege und passende Zugriffsbeschränkungen vorsehen.

Fazit

Kirchlicher Datenschutz verbindet den Schutz persönlicher Daten mit den besonderen Strukturen und Aufgaben religiöser Gemeinschaften. Für viele katholische und evangelische Einrichtungen bilden KDG beziehungsweise DSG-EKD die maßgeblichen Regelwerke. Welche Vorschriften konkret gelten, hängt jedoch von der jeweiligen Organisation ab. Eine sorgfältige Prüfung der Zuständigkeit und der verarbeiteten Daten ist daher ein wichtiger erster Schritt zu einem wirksamen Datenschutz.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle rechtliche Beratung. Maßgeblich sind die jeweils geltenden Gesetze und die konkrete Situation der betreffenden Einrichtung.