Kirchen in Deutschland reformieren ihr Datenschutzrecht

von C. Dorner

Nahezu ohne großes Aufsehen haben die beiden großen Kirchen in Deutschland – die evangelische Kirche und die römisch-katholische Kirche – ihr Datenschutzrecht reformiert und an die Vorgaben der Datenschutz-Grundverordnung (DSGVO) angepasst.

Die Vorgabe hierfür folgt aus Art. 91 DSGVO, wonach Kirchen und religiöse Vereinigungen oder Gemeinschaften bisher angewandte Datenschutzregelungen auch nach Inkrafttreten der DSGVO weiterverwenden können, sofern sie mit der DSGVO in Einklang gebracht werden. Dieser Anforderung ist nun die evangelische Kirche am 17.11.2017 mit dem Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) und die katholische Kirche am 20.11.2017 mit dem Gesetz über den Kirchlichen Datenschutz (KDG) nachgekommen.

Die Datenschutzgesetze der Kirchen finden Anwendung auf die Verarbeitung personenbezogener Daten durch – und auch für! – kirchliche Stellen, wie Diözesen, Kirchengemeinden und kirchliche juristischen Personen wie beispielsweise Kirchenstiftungen, kirchliche Körperschaften, Anstalten und – soweit es das KDG betrifft – auch die Caritas.

Die kirchlichen Datenschutzgesetze treffen in unterschiedlicher Ausprägung eigene und zum Teil von der DSGVO abweichende Regelungen zu diversen Themen, wie beispielsweise den Anforderungen an die Einwilligung oder zur Form des Vertrages zur Auftragsdatenverarbeitung.

Die kirchlichen Datenschutzgesetze sind auch auf nichtkirchliche juristische Personen anwendbar, wenn diese personenbezogenen Daten im Auftrag der Kirche verarbeiten. Dies hat ab dem 25.05.2018 mit Inkrafttreten dieser Gesetze und der DSGVO die Konsequenz, dass für Auftragsverarbeitungsverträge mit der katholischen Kirche eine strengere Form gilt als für solche außerhalb kirchlicher Kreise. Das KDG sieht vor, dass Auftragsverarbeitungsverträge in elektronischer Form nach dem deutschen BGB geschlossen werden können, d.h. nur mit qualifizierter elektronischer Signatur.

Damit geht das KDG deutlich weiter als die DSGVO, die nur ein elektronisches Format verlangt. Während das europäische Gesetz also die Anforderungen an den Auftragsverarbeitungsvertrag lockern wollte, zieht die katholische Kirche bei den Formerfordernissen nochmal an.
Große Relevanz hat das Thema kirchlicher Datenschutz für jeden, der mit kirchlichen Institutionen oder Anstalten in vertragliche Beziehung tritt. Wir empfehlen daher jedem aus dieser Gruppe, bei der Vorbereitung auf die DSGVO auch das kirchliche Datenschutzrecht im Auge zu behalten.