Kirchlicher Datenschutz 2026: Welche Regeln gelten für Kirchen und kirchliche Einrichtungen?

Kirchen und Religionsgemeinschaften nehmen im deutschen Datenschutzrecht eine besondere Stellung ein. Während Unternehmen, Behörden und die meisten sonstigen Organisationen unmittelbar den Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes unterliegen, verfügen insbesondere die katholische und die evangelische Kirche über eigene Datenschutzregelwerke und eigene Datenschutzaufsichtsstrukturen.

Mit den Reformen des Datenschutzgesetzes der Evangelischen Kirche in Deutschland (DSG-EKD) und des Gesetzes über den Kirchlichen Datenschutz (KDG) haben sich die rechtlichen und organisatorischen Anforderungen in den Jahren 2025 und 2026 erheblich verändert. Für kirchliche Träger, soziale Einrichtungen, Krankenhäuser, Schulen, Kindertagesstätten und andere kirchlich getragene Organisationen stellt sich deshalb verstärkt die Frage, welches Datenschutzrecht im konkreten Fall anzuwenden ist und welche praktischen Konsequenzen sich daraus ergeben.

Warum Kirchen ein eigenes Datenschutzrecht haben

Die besondere datenschutzrechtliche Stellung der Kirchen beruht auf dem verfassungsrechtlich geschützten Selbstbestimmungsrecht der Religionsgemeinschaften.

Art. 140 GG übernimmt unter anderem Art. 137 Abs. 3 der Weimarer Reichsverfassung. Danach dürfen Religionsgesellschaften ihre eigenen Angelegenheiten innerhalb der Schranken des für alle geltenden Gesetzes selbstständig ordnen und verwalten.

Dieses Selbstverwaltungsrecht erstreckt sich grundsätzlich auch auf den Datenschutz. Insbesondere die katholische und die evangelische Kirche haben deshalb eigene datenschutzrechtliche Regelwerke entwickelt und eigene Aufsichtsstrukturen eingerichtet.

Mit Inkrafttreten der DSGVO wurde diese Sonderstellung nicht vollständig beseitigt. Art. 91 DSGVO ermöglicht Religionsgemeinschaften unter bestimmten Voraussetzungen weiterhin die Anwendung eigener umfassender Datenschutzregelungen. Voraussetzung ist allerdings, dass diese Regelungen mit den Anforderungen der DSGVO in Einklang gebracht werden.

Art. 91 DSGVO als europarechtliche Grundlage

Art. 91 DSGVO bildet die zentrale unionsrechtliche Grundlage für das kirchliche Datenschutzrecht.

Danach dürfen Kirchen und religiöse Vereinigungen oder Gemeinschaften, die zum Zeitpunkt des Inkrafttretens der DSGVO umfassende Datenschutzregeln anwenden, diese weiter anwenden, sofern sie mit der DSGVO in Einklang gebracht werden (Art. 91 Abs. 1 DSGVO). Kirchen, die solche Regeln anwenden, unterliegen nach Art. 91 Abs. 2 DSGVO der Aufsicht durch eine unabhängige Aufsichtsbehörde, die spezifischer Art sein kann.

Die Vorschrift besitzt damit den Charakter einer Bestandsschutzregelung.

Rechtlich diskutiert wird insbesondere, wie weit dieser Bestandsschutz reicht. Problematisch ist beispielsweise die Frage, ob Religionsgemeinschaften, die erst nach Einführung der DSGVO einen entsprechenden Status erlangen, ebenfalls ein eigenständiges Datenschutzsystem etablieren können.

In diesem Zusammenhang spielt zusätzlich Art. 17 AEUV eine Rolle. Die Vorschrift verpflichtet die Europäische Union, den Status von Kirchen und Religionsgemeinschaften nach dem jeweiligen nationalen Recht zu achten. Der Gerichtshof der Europäischen Union hat allerdings bereits entschieden, dass auch die Datenverarbeitung von Mitgliedern einer Religionsgemeinschaft im Rahmen ihrer Verkündigungstätigkeit dem unionsrechtlichen Datenschutz unterliegt (EuGH, Urteil vom 10. Juli 2018, C-25/17, Jehovan todistajat).

Das Spannungsverhältnis zwischen dem kirchlichen Selbstbestimmungsrecht und dem europäischen Datenschutzrecht ist deshalb bis heute nicht in allen Einzelheiten abschließend geklärt.

Wann gilt kirchliches Datenschutzrecht?

Entscheidend ist nicht allein, ob eine Organisation formal einer Kirche gehört. Maßgeblich ist vielmehr, ob die betreffende Tätigkeit dem kirchlichen Aufgabenbereich zuzurechnen ist.

Kirchliches Datenschutzrecht kann insbesondere bei folgenden Tätigkeiten relevant sein:

• Verwaltung von Kirchenmitgliedern,
• Seelsorge und pastorale Arbeit,
• kirchliche Bildungsarbeit,
• kirchlich getragene Kindertagesstätten und Schulen,
• Krankenhäuser und Pflegeeinrichtungen in kirchlicher Trägerschaft,
• kirchliche Sozial- und Wohlfahrtsverbände,
• Gottesdienste und Gemeindearbeit,
• kirchliche Jugend- und Verbandsarbeit.

Auch eine privatrechtliche Organisationsform schließt die Anwendung kirchlichen Datenschutzrechts nicht automatisch aus. Eine kirchliche Einrichtung kann beispielsweise als GmbH organisiert sein und dennoch dem kirchlichen Datenschutzregime unterliegen.

Anders kann die Beurteilung ausfallen, wenn eine Tätigkeit keinen hinreichenden Bezug zum kirchlichen Auftrag besitzt und überwiegend wirtschaftlicher oder sonstiger weltlicher Natur ist. In solchen Fällen können unmittelbar DSGVO und BDSG zur Anwendung kommen.

Gerade bei rechtlich selbstständigen Beteiligungsgesellschaften oder wirtschaftlichen Tätigkeiten sollte deshalb geprüft werden, welchem Datenschutzregime die konkrete Verarbeitung personenbezogener Daten unterliegt.

Welche kirchlichen Datenschutzgesetze sind besonders relevant?

Für die beiden großen Kirchen bestehen eigenständige Datenschutzregelwerke.

Für Einrichtungen der Evangelischen Kirche in Deutschland ist insbesondere das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) maßgeblich. Seine umfassende Reform trat am 1. Mai 2025 in Kraft.

Für den katholischen Bereich gilt das Gesetz über den Kirchlichen Datenschutz (KDG). Die novellierte Fassung ist seit dem 1. März 2026 anzuwenden.

Daneben bestehen bei weiteren Religionsgemeinschaften teilweise eigene Datenschutzregelungen und Aufsichtsstrukturen. In der Praxis spielen jedoch insbesondere DSG-EKD und KDG eine zentrale Rolle.

Reform des DSG-EKD seit 2025

Die Synode der Evangelischen Kirche in Deutschland beschloss die Änderung des DSG-EKD am 13. November 2024. Seit dem 1. Mai 2025 gelten die überarbeiteten Vorschriften; die Neufassung wurde am 15. Januar 2025 im Amtsblatt der EKD bekannt gemacht.

Mit der Reform wurde das evangelische Datenschutzrecht in zahlreichen Bereichen stärker an die Systematik der DSGVO angenähert.

Rechtsgrundlagen für die Datenverarbeitung

Eine wesentliche Änderung betrifft die Rechtsgrundlagen der Verarbeitung.

Die bisherige eigenständige Rechtsgrundlage für Aufgaben im kirchlichen Interesse wurde neu strukturiert. § 6 Nr. 4 DSG-EKD stellt nun auf die berechtigten Interessen der verantwortlichen Stelle oder eines Dritten ab, sofern nicht die schutzwürdigen Interessen der betroffenen Person überwiegen, insbesondere wenn diese minderjährig ist. Die Regelung orientiert sich damit an Art. 6 Abs. 1 lit. f DSGVO.

Für kirchliche Einrichtungen bedeutet dies insbesondere, dass Interessenabwägungen nachvollziehbar durchgeführt und dokumentiert werden sollten.

Auch bestehende Verzeichnisse von Verarbeitungstätigkeiten sollten daraufhin überprüft werden, ob die dort angegebenen Rechtsgrundlagen weiterhin zutreffend sind.

Einwilligungen von Minderjährigen

Besondere Bedeutung besitzt der Umgang mit personenbezogenen Daten von Kindern und Jugendlichen.

Das DSG-EKD knüpft die Einwilligungsfähigkeit Minderjähriger, wie schon die Fassung von 2017, an die Religionsmündigkeit (§ 12 DSG-EKD). Religionsmündig ist ein Kind nach § 5 des Gesetzes über die religiöse Kindererziehung mit Vollendung des 14. Lebensjahres. Ab diesem Alter können Jugendliche damit insbesondere bei elektronischen Angeboten kirchlicher Stellen selbst wirksam einwilligen.

Unterhalb dieser Altersgrenze ist die Verarbeitung nur rechtmäßig, wenn die Sorgeberechtigten die Einwilligung erteilt oder ihr zugestimmt haben. Eine Ausnahme gilt für kirchliche Präventions- oder Beratungsdienste, die einem Kind unmittelbar angeboten werden.

Relevant ist dies beispielsweise bei:

• kirchlicher Jugendarbeit,
• Konfirmandenarbeit,
• Freizeitmaßnahmen,
• Foto- und Videoaufnahmen,
• digitalen Angeboten oder Online-Plattformen.

Informationspflichten

Die Transparenzpflichten sind in §§ 16 bis 18 DSG-EKD geregelt.

Betroffene Personen müssen grundsätzlich bereits bei Erhebung ihrer personenbezogenen Daten über die Verarbeitung informiert werden (§ 17 DSG-EKD).

Kirchliche Einrichtungen sollten daher insbesondere folgende Unterlagen überprüfen:

• Datenschutzerklärungen,
• Anmeldeformulare,
• digitale Formulare,
• Informationsblätter,
• Einwilligungserklärungen,
• Hinweise zu Foto- und Videoaufnahmen.

Gerade historisch gewachsene Formulare entsprechen häufig nicht mehr vollständig den heutigen Transparenzanforderungen.

Rechte betroffener Personen

Die Rechte der betroffenen Personen sind in Kapitel 3 des DSG-EKD (§§ 16 bis 25a) geregelt.

Auskunftsersuchen müssen organisatorisch so behandelt werden, dass die maßgeblichen Fristen eingehalten werden können. Das Auskunftsrecht umfasst nach § 19 Abs. 4 DSG-EKD auch die Bereitstellung einer Kopie der personenbezogenen Daten.

Kirchliche Stellen benötigen deshalb praktikable Prozesse für die Recherche personenbezogener Informationen in unterschiedlichen Systemen.

Dazu können beispielsweise gehören:

• Fachanwendungen,
• E-Mail-Systeme,
• Dateiablagen,
• Papierakten,
• Archivsysteme,
• Personalverwaltungssysteme.

Ein definierter und dokumentierter Prozess für Betroffenenanfragen ist daher auch für kirchliche Einrichtungen empfehlenswert.

Auftragsverarbeitung

Eine erhebliche praktische Erleichterung betrifft die Zusammenarbeit mit externen Dienstleistern.

Die frühere Pflicht von Auftragsverarbeitern, die nicht dem kirchlichen Datenschutzrecht unterliegen, sich der kirchlichen Datenschutzaufsicht zu unterwerfen (§ 30 Abs. 5 DSG-EKD a. F.), ist entfallen.

Finden die kirchlichen Datenschutzbestimmungen auf den Auftragsverarbeiter keine Anwendung, dürfen sich die Vertragsinhalte nach § 30 Abs. 5 DSG-EKD nun an Art. 28 DSGVO orientieren. Damit können kirchliche Einrichtungen grundsätzlich auf übliche Auftragsverarbeitungsverträge zurückgreifen.

Dies erleichtert insbesondere den Einsatz externer:

• IT-Dienstleister,
• Hosting-Anbieter,
• Software-as-a-Service-Lösungen,
• Cloud-Dienste,
• Kommunikationsplattformen.

Bestehende Verträge sollten dennoch überprüft werden. Neben dem eigentlichen Vertrag zur Auftragsverarbeitung müssen insbesondere technische und organisatorische Maßnahmen, Unterauftragnehmer und mögliche Drittstaatentransfers (§ 30 Abs. 2 i. V. m. § 10 DSG-EKD) berücksichtigt werden.

Datenschutzbeauftragte nach dem DSG-EKD

Auch die Voraussetzungen für die verpflichtende Bestellung örtlich Beauftragter für den Datenschutz wurden angepasst.

Nach § 36 Abs. 1 Nr. 1 DSG-EKD ist eine Bestellung erforderlich, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten betraut sind. Nach der bisherigen Fassung lag die Schwelle bei zehn Personen.

Die reine Mitarbeiterzahl einer Einrichtung ist dabei nicht zwingend mit der datenschutzrechtlich maßgeblichen Personenzahl gleichzusetzen.

Unabhängig von der Personenzahl besteht die Bestellpflicht nach § 36 Abs. 1 Nr. 2 DSG-EKD auch dann, wenn die Kerntätigkeit der verantwortlichen Stelle in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht. Dies betrifft insbesondere Einrichtungen, die umfangreich Gesundheitsdaten verarbeiten. Darüber hinaus kann eine datenschutzrechtliche Betreuung auch unterhalb der Schwellen sachlich empfehlenswert sein.

Sanktionen

Mit der Reform wurde auch der finanzielle Sanktionsrahmen erweitert.

Die Bußgeldobergrenze des DSG-EKD liegt nach § 45 Abs. 5 DSG-EKD nun bei sechs Millionen Euro; bisher waren es 500.000 Euro. Gegen verantwortliche Stellen dürfen Geldbußen nach § 45 Abs. 1 DSG-EKD allerdings nur verhängt werden, soweit sie als Unternehmen am Wettbewerb teilnehmen.

Damit gewinnt ein strukturiertes Datenschutzmanagement vor allem für wirtschaftlich tätige kirchliche Einrichtungen weiter an Bedeutung.

Reform des katholischen KDG seit März 2026

Auch das katholische Datenschutzrecht wurde umfassend modernisiert.

Das KDG-Änderungsgesetz, das die Vollversammlung des Verbandes der Diözesen Deutschlands am 24. November 2025 beschlossen hat, und die überarbeitete KDG-Durchführungsverordnung gelten seit dem 1. März 2026.

Die Neuregelungen berücksichtigen insbesondere digitale Verarbeitungsprozesse stärker als das bisherige Recht.

Einwilligungen sind nicht mehr an die Schriftform gebunden

Eine wichtige praktische Änderung betrifft Einwilligungen.

Nach § 8 Abs. 1 KDG muss der Verantwortliche nun nachweisen können, dass die betroffene Person eingewilligt hat. Die bisher grundsätzlich vorgesehene Schriftform ist entfallen, eine eigenhändige Unterschrift ist daher nicht in jedem Fall erforderlich.

Je nach konkreter Ausgestaltung können beispielsweise auch folgende Verfahren eingesetzt werden:

• digitale Formulare,
• dokumentierte Checkboxen,
• elektronische Bestätigungen,
• E-Mail-Verfahren,
• digitale Anmeldesysteme.

Kirchliche Stellen müssen jedoch sicherstellen, dass Inhalt und Zeitpunkt der Einwilligung nachvollzogen werden können.

Auch ein späterer Widerruf, der nach § 8 Abs. 4 KDG so einfach wie die Erteilung sein muss, sollte organisatorisch verarbeitet und dokumentiert werden können.

Ein strukturiertes Consent-Management gewinnt damit erheblich an Bedeutung.

Für elektronische Angebote an Minderjährige gilt im KDG eine andere Altersgrenze als im DSG-EKD: Nach § 8 Abs. 6 KDG ist bis zur Vollendung des 16. Lebensjahres die Einwilligung der Personensorgeberechtigten erforderlich, mit einer Ausnahme für unmittelbar und kostenfrei angebotene Präventions- und Beratungsdienste.

Datenschutzbeauftragte nach dem KDG

Auch das KDG sieht nun eine höhere Personenschwelle für die verpflichtende Benennung eines betrieblichen Datenschutzbeauftragten vor.

Nach § 36 Abs. 2 lit. a KDG liegt die Grenze bei in der Regel mindestens zwanzig Personen, die ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind (bisher zehn). Kirchliche Stellen im Sinne des § 3 Abs. 1 lit. a KDG, also insbesondere Diözesen und Kirchengemeinden, müssen nach § 36 Abs. 1 KDG unabhängig von der Personenzahl einen Datenschutzbeauftragten benennen. Nach § 36 Abs. 5 KDG kann auch eine juristische Person benannt werden.

Dies kann insbesondere kleinere kirchliche Einrichtungen in privatrechtlicher Trägerschaft organisatorisch entlasten.

Die Frage, ob ein Datenschutzbeauftragter erforderlich ist, darf jedoch nicht ausschließlich anhand der Mitarbeiterzahl beurteilt werden. Nach § 36 Abs. 2 lit. b und c KDG besteht die Pflicht auch bei umfangreicher regelmäßiger und systematischer Überwachung oder bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten als Kerntätigkeit.

Datenverarbeitung für kirchliche Aufgaben

Das reformierte KDG regelt die Rechtmäßigkeit der Verarbeitung in § 6 neu. Neben den aus der DSGVO bekannten Tatbeständen erlaubt § 6 Abs. 1 lit. f KDG weiterhin die Verarbeitung zur Wahrnehmung einer Aufgabe, die im kirchlichen Interesse liegt.

Für die Verarbeitung zu anderen als den ursprünglichen Zwecken nennt § 6 Abs. 2 KDG ausdrücklich typische kirchliche Situationen. Hierzu zählen unter anderem:

• die institutionelle Aufarbeitung sexualisierter Gewalt und anderer Formen des Missbrauchs,
• Fälle, in denen der Auftrag der Kirche oder die Glaubwürdigkeit ihres Dienstes dies erfordert,
• die Vorbereitung, Durchführung und Nachbereitung kirchlicher Wahlen, etwa zu pfarrlichen oder kirchengemeindlichen Gremien, einschließlich Kandidatenwerbung.

Damit soll für typische kirchliche Verarbeitungssituationen eine klarere datenschutzrechtliche Grundlage geschaffen werden.

Datenschutz und Aufarbeitung sexualisierter Gewalt

Eine besonders bedeutsame Neuregelung betrifft die Aufarbeitung sexualisierter Gewalt.

Nach dem neuen § 54a KDG besteht an der institutionellen Aufarbeitung sexualisierter Gewalt und anderer Formen des Missbrauchs ein überragendes kirchliches Interesse. Personenbezogene Daten dürfen hierfür nach Maßgabe des KDG und auf Grundlage spezifischer diözesaner Bestimmungen verarbeitet werden, die Auskunft und Einsicht in Unterlagen ausdrücklich regeln. Ergänzend wurde in § 11 Abs. 2 KDG ein entsprechender Tatbestand für besondere Kategorien personenbezogener Daten aufgenommen.

Damit sollen insbesondere Aufarbeitungskommissionen, Betroffene und wissenschaftliche Untersuchungen einen klareren rechtlichen Rahmen für die Verarbeitung der hierfür erforderlichen personenbezogenen Daten erhalten.

Aufgrund der regelmäßig sehr sensiblen Datenbestände bleiben jedoch hohe Anforderungen an Vertraulichkeit, Zugriffssteuerung, Datensicherheit und Zweckbindung bestehen.

Streaming von Gottesdiensten und kirchlichen Veranstaltungen

Das KDG regelt in § 52a nun ausdrücklich die Aufzeichnung, Übertragung und Veröffentlichung von Gottesdiensten und Veranstaltungen gottesdienstähnlicher Art.

Dies kann beispielsweise betreffen:

• Gottesdienste,
• Trauungen,
• Taufen,
• Beerdigungen.

Zulässig ist dies nach § 52a Abs. 1 KDG, wenn die Teilnehmenden vor der Teilnahme durch geeignete Maßnahmen über Art und Umfang der Aufzeichnung, Übertragung oder Veröffentlichung informiert werden.

Besonderen schutzwürdigen Interessen, insbesondere von Minderjährigen, ist nach § 52a Abs. 2 KDG in angemessenem Umfang Rechnung zu tragen. Auch die Frage, wie lange Aufzeichnungen gespeichert werden, sollte in einem datenschutzkonformen Konzept berücksichtigt werden.

Nach § 52a Abs. 3 KDG sind zudem in angemessener Zahl Plätze vorzuhalten, die nicht von der Aufzeichnung oder Übertragung erfasst werden. In der Praxis empfiehlt sich daher eine klare Kennzeichnung von Aufnahmebereichen.

Für sonstige kirchliche Veranstaltungen ohne gottesdienstähnlichen Charakter gilt § 52a KDG nicht; hier bleibt es bei den allgemeinen Rechtsgrundlagen.

Cloud-Dienste unter dem KDG

Auch die Nutzung von Cloud-Lösungen wird durch die aktuelle KDG-Durchführungsverordnung stärker konkretisiert.

Vor dem Einsatz eines Cloud-Dienstes sollte insbesondere geprüft werden:

• welche Daten verarbeitet werden,
• welche Risiken für betroffene Personen bestehen,
• an welchen Standorten die Verarbeitung erfolgt,
• ob Daten in Drittstaaten übermittelt werden,
• welche vertraglichen Regelungen bestehen,
• wie Zugriffe abgesichert werden,
• welche Verschlüsselungsmaßnahmen eingesetzt werden,
• wie Daten nach Vertragsende zurückgegeben oder gelöscht werden können.

Eine dokumentierte Risikoanalyse sollte deshalb Bestandteil des Auswahl- und Freigabeprozesses für neue Cloud-Dienste sein.

Ehrenamtliche im Datenschutz

Kirchliche Organisationen arbeiten in erheblichem Umfang mit ehrenamtlich tätigen Personen.

Auch diese können im Rahmen ihrer Tätigkeit Zugriff auf personenbezogene Daten erhalten.

Das KDG stellt in § 5 Abs. 2 nun ausdrücklich klar, dass das Datengeheimnis auch für ehrenamtlich tätige Personen gilt, sofern sie personenbezogene Daten verarbeiten.

Ehrenamtliche sollten insbesondere über ihre datenschutzrechtlichen Pflichten informiert und auf Vertraulichkeit verpflichtet werden.

Je nach Tätigkeit ist zusätzlich eine kurze Datenschutzunterweisung sinnvoll.

Dies betrifft beispielsweise Personen, die Zugriff haben auf:

• Mitgliederlisten,
• Kontaktdaten,
• Teilnehmerlisten,
• Daten von Kindern und Jugendlichen,
• Informationen aus der Seelsorge,
• Gesundheitsinformationen.

Technische und organisatorische Anforderungen

Die überarbeitete KDG-Durchführungsverordnung konkretisiert zahlreiche Anforderungen der Informationssicherheit.

Relevant sind unter anderem Regelungen zu:

• Zugriffsschutz,
• Passwortmanagement,
• Verschlüsselung,
• mobiler Datenverarbeitung,
• Datensicherung,
• Löschung personenbezogener Daten,
• Videoüberwachung.

Damit wird deutlich, dass kirchlicher Datenschutz heute nicht mehr ausschließlich eine juristische Aufgabe darstellt.

Datenschutz, IT-Sicherheit und organisatorische Compliance müssen vielmehr miteinander verzahnt werden.

Höhere Bußgelder nach dem neuen KDG

Mit der Reform wurde auch das katholische Sanktionssystem verschärft.

Nach § 51 Abs. 5 KDG beträgt der allgemeine Bußgeldrahmen nun bis zu 1.000.000 Euro. Für kirchliche Unternehmen, die am Wettbewerb teilnehmen, können Geldbußen von bis zu vier Prozent des Jahresumsatzes verhängt werden, höchstens jedoch 3.000.000 Euro.

Damit nähert sich das kirchliche Datenschutzrecht auch im Bereich der Sanktionen stärker der Systematik der DSGVO an.

Für Verantwortliche bedeutet dies, dass Verstöße gegen Datenschutzvorgaben zunehmend auch ein relevantes wirtschaftliches Risiko darstellen können.

Wer kontrolliert den kirchlichen Datenschutz?

Ein wesentlicher Unterschied zum allgemeinen Datenschutzrecht besteht in der Aufsichtsstruktur.

Kirchliche Einrichtungen unterliegen in ihrem kirchlichen Tätigkeitsbereich grundsätzlich nicht den allgemeinen staatlichen Datenschutzaufsichtsbehörden.

Stattdessen bestehen eigene kirchliche Datenschutzaufsichtsbehörden im Sinne von Art. 91 Abs. 2 DSGVO.

Im katholischen Bereich existieren regionale kirchliche Datenschutzaufsichten beziehungsweise Diözesandatenschutzbeauftragte.

Für den evangelischen Bereich sind die Aufsichtsbehörden in §§ 39 ff. DSG-EKD geregelt; zuständig ist insbesondere der Beauftragte für den Datenschutz der EKD.

Daneben verfügen die Kirchen über eigene gerichtliche Strukturen für datenschutzrechtliche Streitigkeiten.

Für Verantwortliche und betroffene Personen ist deshalb zunächst entscheidend, welches Datenschutzrecht auf den konkreten Sachverhalt Anwendung findet. Erst daraus ergibt sich auch, welche Aufsichtsbehörde oder welches Gericht zuständig ist.

Verhältnis zur staatlichen Datenschutzaufsicht

Die Datenschutzkonferenz von Bund und Ländern koordiniert die Zusammenarbeit der staatlichen Datenschutzaufsichtsbehörden in Deutschland.

Kirchliche Datenschutzaufsichtsbehörden sind jedoch nicht reguläre Mitglieder dieses Gremiums.

Zwischen staatlicher und kirchlicher Datenschutzaufsicht bestehen gleichwohl fachliche Berührungspunkte.

Besonders relevant wird die Abgrenzung immer dann, wenn kirchliche Organisationen neben ihrem kirchlichen Auftrag zusätzliche wirtschaftliche oder nichtkirchliche Tätigkeiten ausüben.

Hier kann eine sorgfältige Prüfung erforderlich sein, ob kirchliches Datenschutzrecht oder das allgemeine Datenschutzrecht nach DSGVO und BDSG anzuwenden ist.

Was kirchliche Einrichtungen jetzt überprüfen sollten

Die Reformen des DSG-EKD und des KDG machen es erforderlich, bestehende Datenschutzmanagementsysteme zu überprüfen.

Besonderes Augenmerk sollte auf folgende Punkte gelegt werden:

• Anwendbares Datenschutzrecht bestimmen: Es sollte dokumentiert werden, für welche Organisationseinheiten und Tätigkeiten kirchliches Datenschutzrecht gilt und wann DSGVO und BDSG unmittelbar anzuwenden sind.
• Verzeichnis der Verarbeitungstätigkeiten aktualisieren: Verarbeitungszwecke, Rechtsgrundlagen, Empfänger, Löschfristen und technische Maßnahmen sollten auf Aktualität geprüft werden.
• Datenschutzhinweise überarbeiten: Informationspflichten bei Beschäftigten, Mitgliedern, Patienten, Bewohnern, Eltern, Kindern, Ehrenamtlichen und sonstigen Betroffenen sollten überprüft werden.
• Einwilligungsverfahren kontrollieren: Insbesondere digitale Einwilligungen müssen beweissicher dokumentiert werden; die unterschiedlichen Altersgrenzen in DSG-EKD und KDG sind zu beachten.
• Betroffenenrechte organisatorisch absichern: Auskunfts-, Berichtigungs-, Lösch- und sonstige Anträge benötigen definierte Zuständigkeiten und Fristen.
• Auftragsverarbeitungsverträge überprüfen: Bestehende Verträge mit IT-, Hosting-, Cloud- und sonstigen Dienstleistern sollten auf den aktuellen Rechtsstand gebracht werden.
• Cloud-Dienste bewerten: Datenschutz, Informationssicherheit, Drittstaatentransfers und Exit-Szenarien sollten bereits vor Einführung eines Dienstes geprüft werden.
• Bestellpflicht des Datenschutzbeauftragten neu bewerten: Nach den geänderten Schwellenwerten sollte dokumentiert werden, ob weiterhin eine gesetzliche Bestellpflicht besteht.
• Ehrenamtliche einbeziehen: Ehrenamtliche mit Zugang zu personenbezogenen Informationen sollten verpflichtet und geschult werden.
• Technische und organisatorische Maßnahmen aktualisieren: Passwortschutz, Berechtigungskonzepte, Verschlüsselung, Backup, mobile Geräte und Löschverfahren sollten regelmäßig überprüft werden.

Fazit

Mit den Reformen des DSG-EKD und des KDG wurde das kirchliche Datenschutzrecht erheblich modernisiert.

Die eigenständige datenschutzrechtliche Ordnung der Kirchen bleibt grundsätzlich erhalten. Gleichzeitig ist eine deutliche Annäherung an zentrale Strukturen der DSGVO erkennbar.

Für kirchliche Einrichtungen bedeutet dies einerseits mehr Flexibilität, beispielsweise beim Einsatz digitaler Einwilligungsverfahren oder externer Dienstleister. Andererseits steigen die Anforderungen an Dokumentation, Datenschutzorganisation und Informationssicherheit.

Besonders wichtig ist die korrekte Abgrenzung zwischen kirchlichem und allgemeinem Datenschutzrecht. Nicht jede Tätigkeit einer kirchlich getragenen Organisation unterliegt automatisch dem KDG oder dem DSG-EKD.

Für ein belastbares Datenschutzmanagement sollten deshalb Rechtsgrundlagen, Verarbeitungstätigkeiten, Dienstleister, Cloud-Lösungen, Einwilligungen, Betroffenenrechte sowie technische und organisatorische Maßnahmen regelmäßig überprüft und nachvollziehbar dokumentiert werden.