Die Digitalisierung macht auch vor Kirchen und religiösen Vereinigungen nicht halt. Viele Kirchen, kirchliche Organisationen und Gruppierungen präsentieren sich im Internet und erbringen dort auf Internetseiten ihre Öffentlichkeitsarbeit. Auf den Seiten werden oft Informationen zur eigenen Tätigkeit veröffentlicht und es wird die eigene (diakonische) Arbeit beworben.
Was viele dabei nicht beachten ist, dass für christliche-religiöse Organisationen von der DSGVO und dem BDSG abweichende Rechtsgrundlagen für die Datenverarbeitung, nämlich die des eigenen Kirchendatenschutzrechts, gelten.
Dabei sind die kircheneigenen Regelungen zum Datenschutz zum Teil sogar strenger, als es bei privatrechtlichen Unternehmen und Organisationen der Fall wäre.
Die von der römisch-katholischen und der evangelischen Kirche in Deutschland erlassenen Datenschutzvorschriften, sind Ausdruck des verfassungsrechtlich garantierten Selbstbestimmungsrechts der öffentlich-rechtlich verfassten Kirchen (Art. 140 GG i.V.m. Art. 137 Abs.3 WRV).
Als kirchlicher Betreiber muss man daher bei der Erstellung der Datenschutzerklärung auch auf die abweichenden Rechtsgrundlagen achten. Die Verwendung eines Generators scheidet in vielen Fällen aus, da diese lediglich die Vorschriften der DSGVO beinhalten, die kirchenrechtlichen Besonderheiten jedoch nicht berücksichtigen.
Im Folgenden geben wir Ihnen einen Überblick über die zahlreichen Probleme und Besonderheiten beim Betrieb von Internetseiten durch kirchliche Körperschaften des öffentlichen Rechts, im Speziellen, wenn es sich bei dem Seitenbetreiber um kirchliche Stellen der römisch-katholischen oder evangelischen Kirche handelt.
Aufgrund des verfassungsrechtlich garantierten kirchlichen Selbstbestimmungsrechts können staatlich anerkannte Religionsgemeinschaften in Deutschland ihre Angelegenheiten innerhalb der Schranken des für alle geltenden Gesetzes selbstständig ordnen und verwalten (Art. 140 GG i.V.m. Art. 137 Abs. 3 WRV).
Da die DSGVO in Art. 91 Abs. 1 DSGVO Kirchen, religiösen Vereinigungen und Gemeinschaften gestattet ihre bereits zum Zeitpunkt des Inkrafttretens der DSGVO bestehenden (kirchlichen) Datenschutzvorschriften weiterhin beizubehalten, soweit diese mit der DSGVO in Einklang gebracht werden können (sog. Öffnungsklausel), dürfen die Kirchen sich eigene Regelungen geben.
Im Zuge der DSGVO überarbeiteten die katholische als auch die evangelische Kirche in Deutschland, ihre bereits bestehenden kirchlichen Datenschutzgesetze bis zur verbindlichen Anwendbarkeit der DSGVO am 25. Mai 2018 umfassend, so dass sie nun in Einklang mit der europäischen Verordnung stehen.
Die katholische Kirche hat das Gesetz über den kirchlichen Datenschutz (KDG) erlassen, das die bisher geltende Anordnung über den kirchlichen Datenschutz (KDO) ablöste. Die evangelische Kirche hat in diesem Zuge das neue Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) erlassen.
Es bestehen somit innerhalb beider Kirchen abschließende Datenschutzvorschriften, die anstelle der DSGVO gelten und sich an dem Schutzniveau der europäischen Verordnung orientieren.
Betreiber einer Internetseite stehen grundsätzlich vor der Frage, welche Rechtstexte sie ihren Nutzern zur Verfügung stellen müssen und wie diese auszugestalten sind.
Zudem sind Beim Betrieb einer Webseite durch kirchliche Körperschaften des öffentlichen Rechts sind einige rechtliche Besonderheiten zu beachten.
Wie sind also Impressum und Datenschutzerklärung auszugestalten, wenn es sich bei dem Seitenbetreiber insbesondere um Kirchengemeinden, Bistümer, Dekanate und sonstige christlich-religiöse Organisationen in Deutschland handelt?
Das Telemediengesetz (TMG) regelt in § 5, welche Pflichtangaben im Impressum zu erfüllen sind, damit der Verantwortliche seinen gesetzlich vorgeschriebenen Informationspflichten nachkommt.
Bei öffentlich-rechtlichen Religionsgesellschaften (Art. 140 GG i.V.m. Art. 137 WRV) als Seitenbetreiber sind u.a. folgende Pflichtangaben i.S.d. § 5 TMG in ihrer Anbieterkennzeichnung (Impressum) zwingend aufzunehmen:
Bei einer körperschaftsrechtlich verfassten Religionsgemeinschaft ist insbesondere deren Rechtsform ausdrücklich zu bezeichnen, sowie der/die jeweilige Vertretungsberechtigte/n zu benennen.
Im Besonderen sind hierbei folgende Rechtsformen in der Kirche zu beachten:
Diesbezüglich sind von kirchlichen Seitenbetreibern u.a. Strukturreformen zu berücksichtigen, die weitreichende Struktur- und Ausrichtungsänderungen in den betroffenen Institutionen mit sich bringen, wie etwa durch die geplanten Strukturreformen im Bistum Trier. Durch etwaige Reformen müssen die betroffenen Seitenbetreiber ihre Impressen ggf. anpassen.
Des Weiteren bieten kirchliche Seitenbetreiber zumeist auch journalistisch-redaktionelle Inhalte (z.B. Gemeindebriefe oder Freizeitberichte) an, so dass im Impressum der Name und die Anschrift des inhaltlich Verantwortlichen zu nennen sind. Bei mehreren Verantwortlichen ist zudem kenntlich zu machen, wer für welchen Teil des Dienstes verantwortlich ist.
Sofern die Internetseite im Rahmen einer Tätigkeit angeboten oder erbracht wird, die einer behördlichen Zulassung bedarf, ist die zuständige Aufsichtsbehörde zu benennen. Kirchliche Aufsichtsbehörden gehören jedoch nicht dazu.
Soweit es sich bei dem Seitenbetreiber um eine Kirche oder Religionsgemeinschaft handelt, die von ihrem in Art. 91 Abs. 1 DSGVO verankerten Selbstbestimmungsrecht Gebrauch gemacht hat, sind vorrangig die Vorschriften des jeweiligen Kirchendatenschutzrechts anzuwenden.
Wenngleich dessen Regelungen mit denen der DSGVO überwiegend in Einklangsind, treten trotz allem Besonderheiten im kirchlichen Datenschutzrecht auf, die in der DSGVO nicht vorkommen.
In den nachfolgenden Ausführungen sind daher nur die Informationspflichten näher behandelt, bei denen es zu rechtlichen Besonderheiten kommt, bedingt dadurch, dass es sich bei dem Seitenbetreiber um eine christliche Organisation der römisch-katholischen bzw. evangelischen Kirche in Deutschland handelt:
Als erstes ist der Verantwortliche zu benennen (§ 14 KDG und § 17 DSG-EKD). Der Verantwortliche ist i.S.d. § 4 Nr. 9 KDG und § 4 Nr. 9 DSG-EKD diejenige natürliche Person oder kirchliche Körperschaft des öffentlichen Rechts, die die Daten erhebt, verarbeitet oder speichert bzw. dies durch Dritte vornehmen lässt. Bei kirchlichen Körperschaften des öffentlichen Rechts ist zudem deren Rechtsform (Bezeichnung z.B. als „Körperschaft oder Stiftung des öffentlichen Rechts“) hinzuzufügen.
Schwierigkeiten in der Abgrenzung ergeben sich insbesondere bei Internetseiten, die von mehreren kirchlichen Einrichtungen gemeinschaftlich betrieben werden, hier ist ein einziger Verantwortlicher zu benennen.
Welche datenschutzrechtliche Verantwortlichkeit besteht, sollten die zuständigen Datenschutzbeauftragten der beteiligten kirchlichen KdöR, ggf. mithilfe von juristischer Unterstützung, prüfen und festlegen.
Wie im weltlichen Datenschutzrecht gilt auch im Kirchendatenschutzrecht der Grundsatz des Verbots mit Erlaubnisvorbehalt. Danach ist jede Verarbeitung personenbezogener Daten grundsätzlich verboten, sofern sie nicht ausdrücklich durch eine rechtliche Grundlage legitimiertist.
Während bei der katholischen Kirche – abseits der Verarbeitung von sensiblen Daten – die § 6 Abs. 1 lit. a, b, c, d, e, f, g KDG als Rechtsgrundlage dienen, sind bei der evangelischen Kirche die Rechtsgrundlagen in § 6 Nr. 1 bis Nr. 8 DSG-EKD aufzufinden. Die Rechtmäßigkeit der Datenverarbeitung ist z.B. dann gegeben, wenn die betroffene Person in die Datenverarbeitung einwilligt oder diese zur Vertragserfüllung (z.B. Abwicklung von Spenden, Jugendfreizeiten, etc.) erforderlich ist. Einige der in KDG und DSG-EKD aufgezählten Rechtsgrundlagen ähneln denen des Art. 6 DSGVO.
. Je nach Aufgabe des kirchlichen Trägers und der Tätigkeit auf der Internetseite sind neben dem KDG oder dem DSG-EKD weitere Vorschriften des SGB V, SGB VIII und SGB X als ergänzende Rechtsgrundlagen heranzuziehen (Sozialdatenschutz). Ob und wenn ja welche weitere Vorschriften anzuwenden sind, ergibt sich aus einer individuellen Prüfung im Einzelfall.
Eine Abweichung zu den Rechtsgrundlagen der DSGVO stellt u.a. die Rechtsgrundlage des „kirchlichen Interesses“ i.S.d. § 6 Abs. 1 lit. f) KDG bzw. § 6 Nr. 4 DSG-EKD dar.
Die Formulierung des „kirchlichen Interesses“ ist in den beiden kirchlichen Datenschutzgesetzen im Wesentlichen sehr ähnlich, aber nicht identisch.
Eine Legaldefinition des Begriffs ist jedoch weder in der KDG noch im DSG-EKD aufzufinden.
Nach einer Erläuterung der im Verband der Diözesen Deutschlands (VDD) zuständigen juristischen Referentin Martina Burke in der Datenschutz-Arbeitshilfe des Bund der Deutschen Katholischen Jugend - Bundesverbands reicht es nicht aus, dass irgendein Interesse besteht. Im kirchlichen Interesse liegt dann eine Aufgabe, die dem Verantwortlichen tatsächlich übertragen wurde und die durch eine Rechtsvorschrift (z. B. des Codex Iuris Canonici – dem Gesetzbuch des Kirchenrechts der römisch-katholischen Kirche ) definiert ist.
Von dem Anwendungsbereich dieser Rechtsgrundlage sind nach dem Wortlaut des § 6 Abs. 1 lit. f KDG ausdrücklich öffentlich-rechtlich verfasste kirchliche Stellen als Verantwortliche (wie z.B. öffentlich-rechtliche kirchliche Stiftungen) ausgeschlossen. In der Praxis ist daher die kircheneigene Rechtsgrundlage „kirchliches Interesse“ meist wie die Rechtsgrundlage des DSGVO „berechtigtes Interesse“ gem. Art. 6 Abs. 1 S. 1 lit. f und S. 2 DSGVO anzuwenden.
Im DSG-EKD fehlt dagegen ein entsprechender Ausschluss. Allerdings findet sich im DSG-EKD die Rechtsgrundlage „berechtigtes Interesse“ in § 6 Nr. 8 DSG-EKD. Nach der DSG-EKD können sich Verantwortliche - wie in der DSGVO - nicht auf eigenes berechtigtes Interesse, sondern „nur“ auf das von Dritten berufen.
Zur Anwendung dieser gesetzlichen Rechtsgrundlage muss zunächst die Datenverarbeitung zur Wahrnehmung der Aufgabe erforderlich sein. Der Umfang der Datenverarbeitung ist dabei auf das absolut Notwendige zu begrenzen.
Anschließend hat eine Abwägung zwischen dem berechtigten Interesses des Dritten an der Datenverarbeitung und den schutzwürdigen Interessen der betroffenen Person zu erfolgen. Dabei muss das berechtigte Interesse des Dritten so gewichtig sein, dass es das Interesse der betroffenen Person an dem Ausschluss der Verarbeitung ihrer personenbezogenen Daten zu dem angeführten Zweck überwiegt und damit den Eingriff in das Grundrecht auf Datenschutz rechtfertigt.
Diese spezialisierten Rechtsgrundlagen stellen ein Problem hinsichtlich der Erstellung einer Datenschutzerklärung dar.
Weiterhin unterscheiden sich die DSGVO und die kirchlichen Datenschutzgesetze in den Kriterien zur Benennung eines Datenschutzbeauftragten.
Innerhalb der katholischen Kirche sind bestimmte kirchliche Stellen, d.h. die Diözesen, Kirchengemeinden, Kirchenstiftungen und Kirchengemeindeverbände, unabhängig von der Zahl ihrer Mitarbeiter verpflichtet, einen sog. „betrieblichen“ Datenschutzbeauftragten schriftlich zu benennen (z.B. § 36 Abs. 1 KDG).
Für alle anderen kirchlichen Stellen - wie z.B. der Deutsche Caritasverband oder die Diözesan-Caritasverbände - ist eine Benennung nur bei Vorliegen der in § 36 Abs. 2 lit. a) bis c) KDG bestimmten Voraussetzungen vorgeschrieben.
Innerhalb der evangelischen Kirche ist die Bestellung eines sog. „örtlichen“ Datenschutzbeauftragten gem. § 36 Abs. 1 S. 1 DSG-EKD nur dann erforderlich, wenn bei verantwortlichen Stellen in der Regel mindestens zehn Personen ständig mit der Verarbeitung personenbezogener Daten betraut sind oder deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht.
Die Kontaktdaten des kirchlichen Datenschutzbeauftragten sind in der Datenschutzerklärung zu veröffentlichen (vgl. § 15 Abs. 1 lit. b KDG bzw. § 17 Abs. 1 Nr. 2 DSG-EKD).
Die Betroffenenrechte im Kirchendatenschutzrechts sind an die entsprechenden Bestimmungen in der DSGVO (vgl. Art. 12 ff. DSGVO) angepasst.
In der Datenschutzerklärung ist jede betroffene Person über die Betroffenenrechte aus §§ 17 bis 20 KDG und §§ 19 bis 22 DSG-EKD aufzuklären. Zu den Betroffenenrechten gehört u.a. das Auskunftsrecht, das Recht auf Berichtigung, das Recht auf Löschung und das Recht auf Einschränkung der Verarbeitung.
Gemäß §§ 22 bis 23 KDG und §§ 24 bis 25 DSG-EKD ist der Betroffene zudem über das Recht auf Datenübertragbarkeit und über das Recht auf Widerspruch der Datenverarbeitung in einzelnen Fällen aufzuklären.
Das evangelische Datenschutzrecht räumt für die Beantwortung etwaiger Betroffenenanfragen eine - von der DSGVO und der KDG abweichende - dreimonatige Bearbeitungszeit ein (vgl. § 16 Abs. 3 S. 1 DSG-EKD).
Beide Kirchengesetze legen wie die DSGVO ein Beschwerderecht für betroffene Personen fest (vgl. § 48 KDG bzw. § 46 DSG-EKD). Danach steht jedem Betroffenen das Recht zur Beschwerde bei der Datenschutzaufsicht zu, wenn er der Ansicht ist, dass die Verarbeitung der ihn betreffenden personenbezogenen Daten gegen Vorschriften dieses Gesetzes oder gegen andere Datenschutzvorschriften verstößt. Das Beschwerderecht besteht unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs.
Für Beschwerden und Fragen sind die Kontaktdaten der zuständigen kirchlichen Aufsichtsbehörde für Datenschutz bestenfalls in der Datenschutzerklärung zu veröffentlichen.
Hierbei ist zu beachten, dass Kirchen und Religionsgemeinschaften grundsätzlich der Aufsicht durch eine unabhängige Aufsichtsbehörde unterliegen. Art. 91 Abs. 2 DSGVO ermöglicht jedoch Kirchen und Religionsgemeinschaften die Errichtung einer unabhängigen Datenschutzaufsicht spezieller Art, soweit sie gemäß Art. 91 Abs. 1 DSGVO bereits zum Zeitpunkt des Inkrafttretens der DSGVO umfassende kirchliche Datenschutzregeln anwandten und diese mit der DSGVO im Einklang brachten.
Hiermit wird eine datenschutzrechtliche Aufsicht ermöglicht, ohne dass der Staat in die internen kirchlichen Angelegenheiten eingreift.
Für die Überwachung der Einhaltung der kirchlichen Datenschutzgesetze schreiben sowohl das KDG als auch das DSG-EKD die Errichtung einer kircheneigenen und unabhängigen Datenaufsicht vor. Diese müssen jeweils die Vorgaben in Kapitel VI der DSGVO erfüllen (vgl. § 43 Abs. 1 KDG und §§ 39 Abs. 1 S. 1, 40 DSG-EKD).
Innerhalb der katholischen Kirche haben die Diözesandatenschutzbeauftragten die Leitung der Datenschutzaufsicht inne (gem. § 42 Abs. 1 KDG). Die fünf Diözesandatenschutzbeauftragten der Katholischen Kirche schlossen sich zum sog. katholischen Datenschutzzentrum zusammen und teilen sich insofern die Aufsicht über die Bistümer.
Im Bereich der evangelischen Kirche besteht die Datenschutzaufsichtsbehörde „der Beauftragte für den Datenschutz in der EKD", deren Leitung zurzeit Herr Michael Jacob inne hat (gem. § 39 Abs. 1 S. 2 DSG-EKD).
Deutsche Kirchen können sich grundsätzlich dem innerstaatlichen und europäischen Datenschutzrecht unterwerfen und für Ihre Webauftritte dahingehend eine nach DSGVO und BDSG standardisiert erstelle Datenschutzerklärung verwenden.
Die Kirche hat jedoch eigene Strukturen und Bedürfnisse, für die das innerstaatliche und europäische Recht nicht geschaffen ist. Eigene kirchliche Gesetze zum Datenschutz erfüllen vielmehr die besonderen Anforderungen und Strukturen der Kirchen in Deutschland.
Neben personenbezogenen Daten der kirchlichen Mitglieder oder Mitarbeiter/innen, sind besonders in den kirchlichen Institutionen und Einrichtungen wie Krankenhäuser, Beratungsstellen oder Kindertages- und Pflegeeinrichtungen hochsensible Themen zu behandeln. Dies erfolgt beispielsweise im Rahmen der Seelsorge, Gottesdiensten und kirchlichen Amtshandlungen wie die Taufe oder die Trauung. Es handelt sich hierbei um besondere Verarbeitungssituationen, die sich von denen im weltlichen Leben unterscheiden. Die dabei verarbeiteten sensiblen personenbezogenen Daten (z.B. Gesundheits- oder Sozialdaten i.S.d. § 4 Nr. 2 KDG und § 4 Nr. 2 DSG-EKD), auch besondere Kategorien personenbezogener Daten genannt, sind in besonderer Weise schützenswert.
Aufgrund der besonderen Verarbeitungssituationen im kirchlichen Leben sind eigene Gesetze zum Datenschutz nicht nur hilfreich, sondern unerlässlich. Sie greifen die besonderen Verarbeitungssituationen auf und enthalten datenschutzrechtliche Regelungen, die an die besonderen Bedürfnisse und Strukturen der Kirchen zugeschnitten sind. Zum Teil sind die kirchlichen Regelungen zum Datenschutz auch präziser als die der DSGVO. Im KDG wird beispielsweise die Schriftformerfordernis der Einwilligung in die Datenverarbeitung (vgl. § 8 Abs. 2 KDG) ausdrücklich geregelt. In der DSGVO ist eine entsprechend explizite Regelung jedoch nicht vorhanden.
Demgegenüber stellen innerstaatliche oder europäische Regelungen weniger passende bzw. geeignete datenschutzrechtliche Regelungen für kirchliche Situationen dar.
Aus diesen Gründen sind von Kirchen und Religionsgemeinschaften, die von ihrem kirchlichen Selbstbestimmungsrecht Gebrauch gemacht haben, nur solche Datenschutzerklärungen zu verwenden, die auch die spezialisierten Regelungen des kircheneigenen Datenschutzrechts enthalten.
Bei der Erstellung von Impressum und Datenschutzerklärung für Internetauftritte von kirchlichen Körperschaften des öffentlichen Rechts sind zahlreiche rechtliche Besonderheiten zu beachten.
Insbesondere können für Kirchen und Religionsgemeinschaften in Deutschland von der DSGVO und dem BDSG abweichende, nämlich kircheneigene Regelungen zum Datenschutzrecht gelten.
Aufgrund rechtlicher Besonderheiten bei Rechtsgrundlagen für die Datenverarbeitung im kirchlichen Recht und der Einbeziehung von Regelungen des Kirchendatenschutzrechts bestehen zahlreiche rechtliche Probleme.
Nach unserer Erfahrung haben sich viele online verfügbare Legal Tech Services in der Erstellung passender Rechtstexte bislang nicht bewährt.
An einer anwaltlichen Beratung und Betreuung von kirchlichen Werbeauftritten führt daher kein Weg vorbei, wenn die zu erstellende Datenschutzerklärung nicht vollkommen an der bestehenden Rechtslage vorbeigehen soll.
Wenn Sie Unterstützung bei der Erstellung von Datenschutzerklärungen für Kirchen oder sonstigen Religionsgemeinschaften, sowie eine rechtliche Absicherung von Internetseiten benötigen, melden Sie sich einfach bei uns unter
Co-Autor: Wissenschaftliche Mitarbeiterin – Stud. jur. Martina Hajas
Bildquelle: Datenschutz-Stockfoto.de