Gilt die DSGVO eigentlich auch für die Kirche?

Warum kirchliche Einrichtungen eigene Datenschutzgesetze haben

Wer an Datenschutz denkt, denkt meist sofort an die DSGVO. Doch wussten Sie, dass diese nicht für alle Organisationen unmittelbar gilt?

Gerade bei Kirchen und vielen kirchlichen Einrichtungen gelten in Deutschland besondere Regelungen. Hintergrund ist das verfassungsrechtlich geschützte Selbstbestimmungsrecht der Kirchen. Dieses ermöglicht es anerkannten Religionsgemeinschaften, unter bestimmten Voraussetzungen eigene Datenschutzgesetze anzuwenden. Grundlage hierfür sind das Grundgesetz sowie Art. 91 DSGVO.

Das bedeutet jedoch nicht, dass kirchliche Einrichtungen keinen Datenschutz einhalten müssen. Vielmehr gelten eigene Datenschutzregelungen, die sich inhaltlich eng an der DSGVO orientieren.

Welche Datenschutzgesetze gelten?

In Deutschland kommen insbesondere zwei kirchliche Datenschutzgesetze zur Anwendung:

• das Kirchliche Datenschutzgesetz (KDG) für Einrichtungen der katholischen Kirche,
• das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) für evangelische Einrichtungen.

Beide Gesetze orientieren sich in weiten Teilen an den Grundprinzipien der DSGVO. Dazu gehören unter anderem

• Rechtmäßigkeit,
• Transparenz,
• Zweckbindung,
• Datenminimierung,
• Speicherbegrenzung,
• Integrität und Vertraulichkeit
• sowie die Rechte der betroffenen Personen.

Gibt es trotzdem Unterschiede?

Ja, neben den materiellen Datenschutzvorschriften unterscheiden sich vor allem die Zuständigkeiten.

Kirchliche Einrichtungen unterliegen grundsätzlich nicht der staatlichen Datenschutzaufsicht, sondern eigenen kirchlichen Datenschutzaufsichtsbehörden und einer eigenen Datenschutzgerichtsbarkeit. Beschwerden richten sich daher regelmäßig an die jeweils zuständige kirchliche Aufsicht.

Auch einzelne Regelungen weichen von der DSGVO ab oder enthalten besondere kirchenspezifische Vorschriften.

Das bedeutet jedoch keinen „datenschutzfreien Raum“

Immer wieder besteht der Irrglaube, Kirchen seien von den Anforderungen des Datenschutzes ausgenommen. Das ist nicht der Fall.

Auch kirchliche Einrichtungen müssen personenbezogene Daten rechtmäßig verarbeiten, Betroffenenrechte gewährleisten, geeignete technische und organisatorische Maßnahmen umsetzen und Datenschutzverstöße vermeiden.

Ziel der kirchlichen Datenschutzgesetze ist es, ein Schutzniveau sicherzustellen, das mit der DSGVO vergleichbar ist. Art. 91 DSGVO verlangt ausdrücklich, dass diese Regelungen mit den Vorgaben der DSGVO in Einklang stehen.

Wer ist betroffen?

Nicht nur Kirchengemeinden. Auch zahlreiche andere Einrichtungen können unter das kirchliche Datenschutzrecht fallen, beispielsweise

• Kindergärten,
• Schulen,
• Krankenhäuser,
• Pflegeeinrichtungen,
• soziale Einrichtungen,
• Beratungsstellen
• oder Bildungseinrichtungen in kirchlicher Trägerschaft.

Gerade dort werden täglich umfangreiche personenbezogene und teilweise besonders schützenswerte Daten verarbeitet.

Was kirchliche Einrichtungen jetzt prüfen sollten

Aus unserer Beratungspraxis empfiehlt sich insbesondere,

• festzustellen, welches Datenschutzgesetz anwendbar ist,
• Datenschutzdokumentationen regelmäßig zu überprüfen,
• Mitarbeitende zu sensibilisieren und regelmäßig zu schulen,
• technische und organisatorische Maßnahmen aktuell zu halten,
• Betroffenenrechte rechtssicher umzusetzen,
• sowie gesetzliche Änderungen im kirchlichen Datenschutz im Blick zu behalten.

Fazit

Datenschutz endet nicht an den Türen einer Kirche. Kirchliche Einrichtungen unterliegen zwar häufig nicht unmittelbar der DSGVO, müssen jedoch eigene Datenschutzgesetze anwenden, die ein vergleichbares Datenschutzniveau gewährleisten sollen.

Entscheidend ist daher nicht die Frage, ob Datenschutz gilt, sondern welches Datenschutzrecht im konkreten Fall anzuwenden ist.

Unsere Unterstützung

Ob Unternehmen, öffentliche Stellen oder kirchliche Einrichtungen – wir unterstützen Verantwortliche dabei, die jeweils geltenden Datenschutzanforderungen praxisnah umzusetzen. Dazu gehören unter anderem die Erstellung und Aktualisierung der Datenschutzdokumentation, die Durchführung von Schulungen, die Begleitung bei Datenschutzprojekten sowie die Unterstützung externer Datenschutzbeauftragter. Gemeinsam sorgen wir dafür, dass Datenschutz nicht nur auf dem Papier funktioniert, sondern im Alltag gelebt wird.