Felix Neumann

Das Faxverbot in der neuen KDG-Durchführungsverordnung stellt viele caritative Einrichtungen vor Probleme – wie man damit umgeht, erklärt Stefan Craezer vom Diözesan-Caritasverband für das Erzbistum Köln […]

Freiwillig bestellte betriebliche Datenschutzbeauftragte im kirchlichen Datenschutzrecht? Viele Einrichtungen müssen betriebliche Datenschutzbeauftragte bestellen – bei kleineren ist das aber oft keine Pflicht. Dennoch: Betriebliche Datenschutzbeauftragte sind eine bewährte Institution, die eine große Hilfe beim Datenschutzmanagement sind. Deshalb ist es vielerorts üblich, trotz kleiner Einrichtungen freiwillig betriebliche Datenschutzbeauftragte zu ernennen. (Foto von John auf Unsplash) Dass das möglich ist, ist in der DSGVO eindeutig geregelt. Im kirchlichen Datenschutzrecht wird es oft genauso gehandhabt – nur: Ein genauer Blick in die kirchlichen Datenschutzgesetze zeigt, dass dort eine eindeutige Regelung fehlt. Wie man diese Lücke schließt, hat erhebliche Auswirkungen auf die Rechte und die Stellung von freiwillig bestellten bDSB. **Inhalte** Verbergen 1 Rechtslage 1.1 DSGVO und BDSG 1.2 Kirchliches Recht 2 Argumente zur freiwilligen Bestellung 2.1 Dafür 2.2 Dagegen 2.3 Zwischenfazit 3 Rechtsfolgen 3.1 Folgen einer freiwilligen Bestellung 3.2 Wegfall der Bestellpflicht 4 Fazit ## Rechtslage ### DSGVO und BDSG In der **DSGVO** ist die Bestellung von betrieblichen Datenschutzbeauftragten klar geregelt: Es gibt in Art. 37 Abs. 1 DSGVO einen Rahmen, wann sie verpflichtend zu bestellen sind, dazu kommt die Möglichkeit, sie freiwillig zu ernennen. Das regelt Art. 37 Abs. 4 DSGVO, zusammen mit der Öffnungsklausel für Mitgliedsstaaten, selbst zusätzliche Regelungen zur verpflichtenden Bestellung zu treffen. Genau das hat der deutsche Gesetzgeber im **Bundesdatenschutzgesetz** mit § 38 BDSG getan. Dass es freiwillige bestellte bDSB gibt, setzt § 38 Abs. 2 BDSG voraus. Anders als bei verpflichtend bestellten gilt für sie nicht der Schutz vor Abberufung und Kündigung aus § 6 Abs. 4 BDSG. ### Kirchliches Recht Im kirchlichen Datenschutzrecht findet sich **in beiden großen Gesetzen keine Regelung** zur freiwilligen Bestellung. Geregelt wird lediglich in den fast gleichlautenden Normen § 36 Abs. 6 DSG-EKD und § 36 Abs. 8 KDG, dass Verantwortliche die Erfüllung der Aufgaben von betrieblichen Datenschutzbeauftragten (im evangelischen Sprachgebrauch: örtlich Beauftragten) »in anderer Weise sicherzustellen« haben. Da beide kirchlichen Datenschutzgesetze nicht von freiwilligen Bestellungen handeln, gibt es auch keine zu § 38 Abs. 2 BDSG analogen Sonderregelungen für freiwillig bestellte bDSB. ## Argumente zur freiwilligen Bestellung ### Dafür Für die Möglichkeit, betriebliche Datenschutzbeauftragte freiwillig zu bestellen, spricht vor allem der **Verweis auf die säkulare Rechtslage**. Das kirchliche Datenschutzrecht ist durch Art. 91 Abs. 1 DSGVO zum Einklang mit der DSGVO verpflichtet; eine **europarechtskonforme Auslegung** der kirchlichen Datenschutzgesetze ist daher geboten. Um die Lücke im kirchlichen Recht zu schließen, zieht man nach dieser Auslegung die Regelung der DSGVO analog heran, die freiwillige Bestellungen kennt. Eine Analogie zu den Regelungen des BDSG als mitgliedsstaatlichem Recht ist durch eine europarechtskonforme Auslegung nicht geboten. Wo Regelungen des BDSG nicht übernommen werden, besteht keine Gefahr für den Einklang. Wo mitgliedsstaatliche Gesetzgeber frei sind, Öffnungsklauseln der DSGVO zu füllen, ist es auch der kirchliche Gesetzgeber. Für die freiwillige Bestellung spricht auch die wohl herrschende Praxis – von kirchlichen Aufsichten hört man, dass sie davon ausgehen, dass das zulässig ist, von externen bDSB hört man, dass ihre Bestellungen auch nach den Änderungen im DSG-EKD bei Unterschreiten des neuen Schwellwerts in der Regel aufrecht erhalten wurden, und im DSG-EKD-Kommentar von Wagner ist ebenfalls von der Möglichkeit der fakultativen Bestellung zu lesen. Zu diesem Ergebnis kann man auch kommen, wenn man den Auftrag, bei fehlender Bestellpflicht die Aufgaben von bDSB »in anderer Weise« zu erfüllen, so auslegt, dass die freiwillige Bestellung eine »andere Weise« als die Pflichtbestellung ist, um diese Aufgaben zu erfüllen. ### Dagegen Gegen die Möglichkeit einer freiwilligen Bestellung spricht vor allem der **Wortlaut** der kirchlichen Datenschutzgesetze: Es ist jeweils die Rede davon, dass betriebliche Datenschutzbeauftragte zu bestellen sind, »wenn« die genannten Kriterien zutreffen, eine freiwillige Bestellung wird nicht erwähnt. (Ein Gegenargument: »wenn« heißt nicht notwendig »nur dann wenn«.) Die Anforderung, die Aufgaben von bDSB »in anderer Weise« zu erfüllen, ist wohl viel eher so auszulegen, dass die Aufgaben »in anderer Weise als durch die Benennung von bDSB« zu erfüllen sind. Eine Gefahr für den Einklang besteht nicht, wenn man mit dem Einklang auf das Schutzniveau, nicht auf eine 1:1-Entsprechung aller Instrumente abhebt, die ein Gesetz bietet. Im DSG-EKD Kommentar sprechen sich Große/Wagner zwar für die Möglichkeit einer fakultativen Benennung aus – aber nicht für eine echte freiwillige Benennung, die alle Rechtsfolgen nach sich zieht: »Für die fakultative Bestellung von örtlich Beauftragten sind die Vorgaben aus §§ 36 bis 38 DSG-EKD nicht einschlägig.« (Wagner/Große in Wagner, DSG-EKD, § 39, Rn. 90.) Der KDG-Kommentar erwähnt freiwillige Bestellungen gar nicht und scheint daher davon auszugehen, dass sie nicht möglich sind. Die (nicht veröffentlichten) Begründungen zum KDG und seiner Novelle sowie die (veröffentlichten) Begründungen zum DSG-EKD (2017, 2024) gehen nicht auf die Möglichkeit einer freiwilligen Bestellung ein und erwähnen Art. 37 Abs. 4 DSGVO und § 38 Abs. 2 BDSG nicht. ### Zwischenfazit Im wesentlichen stehen zwei Argumente gegeneinander: Eine europarechtskonforme weite Auslegung oder eine am Wortlaut orientierte enge Auslegung. Im katholischen Kirchenrecht gibt es explizit festgelegte Auslegungsregeln. Legt man das KDG nach den kirchenrechtlichen Auslegungsregeln aus, ist bei klarem Wortlaut diesem Wortlaut der Vorzug zu geben (c. 17 CIC) – der Wortlaut handelt klar nur von einer verpflichtenden Bestellung. Die Regelungen über die Rechtsstellung von bDSB schränken Rechte des Verantwortlichen ein (insbesondere hinsichtlich des Direktionsrechts und durch den erhöhten Kündigungsschutz). Gesetze, die die freie Ausübung von Rechten einschränken, sind gemäß c. 18 CIC eng auszulegen – eine analoge Anwendung der für verpflichtend bestellten bDSB aufgestellten Regelungen ist damit eingeschränkt. Bei einer europarechtskonformen Auslegung stellt sich die Frage, ob eine fehlende Möglichkeit zur freiwilligen Bestellung wirklich den Einklang gefährdet, da die Aufgaben von bDSB ja ausdrücklich in anderer Weise erfüllt werden müssen. Zudem sieht die DSGVO nicht vor, dass die Aufgaben von bDSB in anderer Weise erfüllt werden müssen, wenn keine bestellt sind – demnach gibt es durch das Fehlen der freiwilligen Bestellmöglichkeit kein schlechteres Datenschutzniveau. Im Ergebnis spricht viel dafür, dass es tatsächlich nicht möglich ist, echte freiwillige Bestellungen vorzunehmen, also solche mit allen Rechtsfolgen einer Bestellung zu bDSB. Da aber insbesondere die Aufsichtspraxis und die übliche Vorgehensweise anders ist, dürfte offen sein, wie Gerichte die Frage bewerten würden. ## Rechtsfolgen ### Folgen einer freiwilligen Bestellung Wenn eine **echte freiwillige Bestellung möglich** sein sollte, dann sind auch die Rechtsfolgen dieselben wie bei einer verpflichtenden Bestellung – und zwar anders als nach § 38 Abs. 2 BDSG inklusive des Abberufungs- und Kündigungsschutzes. Wenn eine **echte freiwillige Bestellung nicht möglich** sein sollte, dann kann man zwar (mit Große/Wagner) eine Person mit Aufgaben von bDSB betrauen und diese Person »bDSB« oder »öBfD« nennen. Sie ist es aber nicht im rechtlichen Sinne und hat insbesondere nicht die Rechtsstellung aus § 37 KDG/DSG-EKD, insbesondere auch nicht den Abberufungs- und Kündigungsschutz, aber auch nicht die Weisungsfreiheit, Auskunfts- und Einsichtsrechte, das Recht auf Fortbildung, das Zeugnisverweigerungsrecht und das Beteiligungsrecht, die echte bDSB haben. (Große/Wagner empfehlen eine arbeitsvertragliche Regelung, um das zu kompensieren.) Insbesondere für externe freiwillig bestellte bDSB stellt sich in diesem Fall die Frage, ob sie die gesetzlich festgelegte Aufgabe der Rechtsberatung im Bereich des Datenschutzrechts gemäß Rechtsdienstleistungsgesetz wahrnehmen dürfen. Dass ordentlich bestellte bDSB das dürfen, ist geklärt. Art. 39 DSGVO ist eine gesetzliche Erlaubnisnorm für eine Rechtsdienstleistung, wie sie § 3 Nr. 2 RDG verlangt (dazu ausführlich Regina Mühlich). Wenn aber freiwillig bestellte externe bDSB gar keine bDSB im Sinne des (kirchlichen) Rechts sind, dann fehlt es an dieser Erlaubnisnorm und man muss den stärker auslegungsbedürftigen § 5 Abs. 1 RDG heranziehen, der Rechtsdienstleistungen »im Zusammenhang mit einer anderen Tätigkeit, wenn sie als Nebenleistung zum Berufs- oder Tätigkeitsbild gehören«, erlaubt. Im Ergebnis dürfte man aber wohl bejahen können, dass das auch für externe freiwillig bestellte kirchliche bDSB gilt. ### Wegfall der Bestellpflicht Was passiert, wenn eine Einrichtung die Kriterien für eine Bestellpflicht nicht mehr erfüllt? Der häufigste Fall dürfte sein, dass der Schwellwert an Personen unterschritten wird, ab der eine Bestellung erforderlich ist. Noch häufiger als durch Personalabbau dürfte das zum Inkrafttreten der jeweiligen Novellen der Fall sein: Sowohl im DSG-EKD wie im KDG wurde analog zur Reform im BDSG der Schwellwert von 10 auf 20 Personen angehoben, die mit der Datenverarbeitung beschäftigt sind. Beide kirchlichen Gesetze haben ähnliche **Übergangsregelungen** , die bestehende Bestellungen von betrieblichen Datenschutzbeauftragten regeln. § 55 Abs. 2 DSG-EKD und § 57 KDG legen jeweils fest, dass bestehende Bestellungen fortbestehen, allerdings jeweils unter Verweis auf die neuen Regelungen. Das DSG-EKD regelt, dass »die Regelungen der §§ 36 bis 38« gelten, das KDG, dass die Bestellungen unberührt bleiben, »soweit hierbei die Regelungen der §§ 36 ff. Beachtung finden«. Wie man diese Übergangsregelung auslegt, hängt ebenso wie die Frage nach freiwilligen Bestellung allgemein wesentlich damit zusammen, ob man eine echte freiwillige Bestellung bejaht oder nicht: * Bejaht man sie, dann werden die bisher verpflichtend zu freiwillig bestellten bDSB, deren Rechtsstellung sich im wesentlichen nicht ändert. Insbesondere behalten sie auch, anders als unter der Geltung von § 38 Abs. 2 BDSG, ihren Schutz vor Abberufung und Kündigung. * Verneint man die Möglichkeit der echten freiwilligen Bestellung, dann dürfte die Bestellung wegfallen, weil zu den referenzierten Bestimmungen auch der jeweilige Schwellwert gehört – dann wären die bisherigen verpflichtend bestellten bDSB von Gesetzes wegen abberufen und genössen lediglich noch den nachlaufenden Kündigungsschutz. Dieser Fall tritt allerdings nur ein, wenn die Personenzahl dauerhaft unter zwanzig fällt – beide Gesetze sprechen von »in der Regel« zwanzig Personen, kurzzeitiges Unterschreiten der Grenze durch Vakanzen, die wieder besetzt werden, ist unschädlich. ## Fazit Das Fehlen von Regelungen zu freiwillig bestellten betrieblichen Datenschutzbeauftragten ist eine echte Lücke in den kirchlichen Datenschutzgesetzen, die erstaunlich lange – auch in den Evaluierungen – nicht aufgefallen ist. Die herrschende Praxis ist wohl, dass regelmäßig freiwillig bDSB im kirchlichen Bereich bestellt werden. Prekär kann das werden, wenn es Konflikte über die Rechtsstellung dieser freiwillig Bestellten gibt. Bisher ist noch keine entsprechende Entscheidung (weder von den kirchlichen Datenschutz- und Verwaltungsgerichten noch von Arbeitsgerichten) bekannt. Sinnvoll wäre es, hier die Rechtslage der staatlichen anzupassen und Art. 37 Abs. 4 DSGVO und § 38 Abs. 2 BDSG in geeigneter Form in kirchliches Recht zu überführen. Die Übernahme des Verzichts auf ein Abberufungs- und Kündigungsverbot ist sinnvoll, um durch diese einschneidende Maßnahme nicht die an sich sinnvolle und wünschenswerte freiwillige Bestellung mit zu hohen Hürden zu versehen. Eine mögliche Formulierung für einen neuen § 37 Abs. 2a KDG/§ 36 Abs. 1a DSG-EKD könnte so aussehen: > »In anderen als den in Absatz 1 und 2/Absatz 1 genannten Fällen können kirchliche Stellen/verantwortliche Stellen einen betrieblichen Datenschutzbeauftragten oder eine betriebliche Datenschutzbeauftragte/örtlich Beauftragte ernennen. § 37 Abs. 4/§ 37 Abs. 2 findet in diesem Fall keine Anwendung.« * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Diese Gesetzeslücke ist acht Jahre lang fast niemandem aufgefallen: KDG und DSG-EKD kennen keine freiwillig bestellten bDSB. Was hat das für Konsequenzen?

https://artikel91.eu/2026/03/04/freiwillig-bestellte-betriebliche-datenschutzbeauftragte-im-kirchlichen-datenschutzrecht/

#TeamDatenschutz

Geht nicht wegen Datenschutz? Warum das oft nur eine Ausrede ist „Geht nicht wegen Datenschutz“ ist der Klassiker der Vermeidungsstrategie. Wir klären auf, warum Agentin Cipher recht hat und wie Sie Projekte sicher umsetzen.

Ja, is klar. Datenschutz ist wieder mal schuld ...

Echt jetzt?

#teamdatenschutz

ask-datenschutz.de/datenschutz-...

Aufbewahrungsfristen und Löschkonzept für die MAV Nichts ist für die Ewigkeit – selbst im kirchlichen Datenschutz. Das Prinzip der Speicherbegrenzung ist so zentral wie schwierig umzusetzen. Das gilt erst recht, wenn es keine expliziten Aufbewahrungsfristen gibt. (Foto von Pawel Czerwinski auf Unsplash) Im Bereich der Mitarbeitervertretungen gilt das für fast alle Daten, die die MAV in ihren Unterlagen hat. Am Ende braucht es daher begründete Entscheidungen, was warum und wie lange aufbewahrt wird. Mit ein paar praktischen Überlegungen und guter Organisation ist das aber zu schaffen. **Inhalte** Verbergen 1 Speicherbegrenzung und ihre Umsetzung 2 Aufbewahrungsfristen in MAVO und MVG-EKD 2.1 Katholische Kirche – MAVO 2.2 Evangelische Kirche – MVG-EKD und Wahlordnung 3 Faustregeln für Aufbewahrungsfristen 4 Praktische Tipps 4.1 Umgang mit MAV-Unterlagen 4.2 Umgang mit elektronischer Kommunikation 4.3 Ausstattung des MAV-Büros 5 Fazit 6 Serie Datenschutz in der MAV ## Speicherbegrenzung und ihre Umsetzung Personenbezogene Daten müssen »in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist« (§ 5 Abs. 1 lit. e) KDG, sinngemäß § 5 Abs. 1 Nr. 5 DSG-EKD) – im Ergebnis bedeutet das eine Speicherbegrenzung und damit **definierte Aufbewahrungsfristen, nach denen eine Löschung** erfolgt. Für die Dauer dieser Fristen gibt es grundsätzlich drei Konstellationen: 1. **Gesetzliche Regelung:** Es ist explizit geregelt, wie lange Daten aufbewahrt werden müssen. 2. **Frist in der Natur der Sache:** Wenn der Zweck der Verarbeitung wegfällt, ist die Aufbewahrung nicht mehr erforderlich und damit nicht mehr zulässig. 3. **Abwägung:** Gibt es weder eine gesetzliche noch in der Natur der Sache liegende Löschfrist, müssen nachvollziehbare Kriterien selbst festgelegt werden. Eine gute Faustregel ist, sich entweder an Amtszeiten oder der allgemeinen gesetzlichen Verjährungsfrist zu orientieren. Ist die Aufbewahrungsfrist erreicht, müssen Daten sicher gelöscht werden – physische Daten durch Vernichtung, digitale Daten durch Löschung, beides mit Verfahren, die dem Stand der Technik und dem jeweiligen Risiko entsprechen. Unter Umständen kann statt einer Löschung auch die Übergabe an ein (offizielles) Archiv erfolgen, bisweilen ist die Anbietung an ein Archiv sogar Pflicht (»Archivierung als Löschsurrogat«). Datenschutzrecht betrifft nur personenbezogene Daten. Für Datenbestände, die keine personenbezogenen Daten enthalten, gibt es daher auch keine Speicherbegrenzung. ## Aufbewahrungsfristen in MAVO und MVG-EKD Die kirchlichen Mitarbeitendenvertretungsgesetze enthalten kaum Regelungen zu Aufbewahrungsfristen. Einige wenige Dinge sind aber doch geregelt. ### Katholische Kirche – MAVO * Eindeutig geregelt ist die Aufbewahrungsfrist für die gesamten **Wahlunterlagen zur MAV-Wahl**: Sie sind »für die Dauer der Amtszeit der gewählten Mitarbeitervertretung aufzubewahren« (§ 11 Abs. 8 MAVO). Sinnvoll ist daher eine Vernichtung der alten Wahlunterlagen, wenn der Wahlausschuss die Unterlagen zur aktuellen Wahl an die MAV übergibt. * **Protokolle der MAV-Sitzungen** sind in § 14 Abs. 6 MAVO geregelt. Die Anfertigung ist eine Pflicht, die die MAV zu erfüllen hat. Daher ist eine Aufbewahrung zumindest über die gesamte laufende Amtszeit erforderlich, damit die MAV ihre Pflichterfüllung nachweisen kann (und auf die Protokolle zurückgreifen kann). Nicht geregelt ist, wie lange darüber hinaus die Protokolle aufbewahrt werden dürfen oder müssen. * **Dienstvereinbarungen** sind gemäß § 38 Abs. 4 MAVO schriftlich niederzulegen und von beiden Seiten zu unterzeichnen. Sie dürfen und müssen so lange aufbewahrt werden, wie sie gelten. ### Evangelische Kirche – MVG-EKD und Wahlordnung * Das MVG-EKD regelt den **Umgang mit MAV-Unterlagen**, die einzelne MAV-Mitglieder in dieser Funktion erhalten und in ihrem Besitz haben. Wenn die Mitgliedschaft in der MAV endet, müssen sie an die MAV übergeben werden, bei einer Einer-MAV an die neue MAV (§ 18 Abs. 5 MVG-EKD). Diese Regelung gilt für alle Unterlagen, nicht nur solche, die personenbezogene Daten enthalten. * Für **Protokolle von MAV-Sitzungen** (§ 27 Abs. 1 MVG-EKD) gilt dasselbe wie nach MAVO hinsichtlihc der Aufbewahrungsfristen: Festgelegt ist keine, mindestens für die laufende Amtszeit sind sie aufzubewahren, darüber hinaus ist nichts festgelegt. * **Dienstvereinbarungen** (§ 36 MVG-EKD) sind (auch wie nach MAVO) so lange aufzubewahren, wie sie gelten. * Für **Wahlunterlagen zur MAV-Wahl** legt § 13 Wahlordnung eine Aufbewahrungsfrist von fünf Jahren fest, also ein Jahr länger als die reguläre Amtszeit der MAV. Am ersten Jahrestag der Wahl muss die MAV daher die Wahlunterlagen zur Wahl ihres Vorgängergremiums vernichten. ## Faustregeln für Aufbewahrungsfristen Der Blick in die Gesetze zeigt, dass für die meisten Unterlagen der MAV keine festen Aufbewahrungsfristen vorliegen – insbesondere der Umgang mit Protokollen ist anspruchsvoll, weil sie eine unterschiedliche Arten personenbezogener Daten enthalten: Jedes Protokoll enthält die Namen der MAV-Mitglieder, dazu kommen Namen von Beschäftigten, deren Fälle (z. B. hinsichtlich der Mitbestimmung in Personalangelegenheiten) behandelt werden. Als Grundsatz für die Aufbewahrung sollte gelten, dass alle Unterlagen **so lange aufbewahrt werden, wie ihr Inhalt rechtlich bedeutend** ist. Da Protokolle zu führen eine gesetzliche Pflicht ist, die die jeweilige MAV erfüllen muss, ist eine Aufbewahrung in der laufenden Amtszeit immer unproblematisch. Darüber hinaus sollten folgende Erwägungen gelten: * Dauerhaft aufbewahrt wird, was **dauerhaft Geltung** hat – das sind insbesondere Dienstvereinbarungen und die Protokolle, die dokumentieren, dass sie gemäß dem vorgeschriebenen Verfahren verabschiedet wurden. Eine Löschung erfolgt erst dann, wenn alle daraus erwachsenden Ansprüche erledigt sind. * Alles, was **finanzielle Relevanz** hat, also etwa zum Nachweis von Kostenansprüchen der MAV-Arbeit dient, sollte gemäß der allgemeinen Verjährungsfrist aus § 195 BGB drei Jahre aufbewahrt werden. * **Unterlagen zu einzelnen Maßnahmen** (z. B. zur Beteiligung an BEM-Verfahren) sind in der Regel nach Erledigung der Maßnahme zu löschen. * Unterlagen, die in einem **laufenden oder abzusehenden Rechtsstreit** relevant sind, werden aufbewahrt, so lange der Rechtsstreit oder -anspruch nicht endgültig erledigt ist. Besonders lange ist die Verjährungsfrist für rechtskräftig festgestellte Ansprüche und Ansprüche aus vollstreckbaren Vergleichen oder vollstreckbaren Urkunden, nämlich 30 Jahre (§ 197 BGB), also auch für arbeitsgerichtliche Beschlüsse und Vergleiche. * Die **Aufbewahrung der Protokolle der jeweils vorigen Amtszeit** dürfte zur Sicherung der Kontinuität der Arbeit unproblematisch sein. ## Praktische Tipps ### Umgang mit MAV-Unterlagen * Es empfiehlt sich, eine **strukturierte Ablage** einzuführen, in der bereits beim Anlegen von Unterlagen danach sortiert wird, wie lange die Daten aufbewahrt werden müssen. Das bedeutet insbesondere, dass ein eigener Ordner für Dienstvereinbarungen angelegt wird, in dem alle Dienstvereinbarungen mit allen nötigen Dokumenten abgelegt werden. * Eine **Wissenssammlung** kann ohne personenbezogene Daten dauerhaft vorgehalten werden; treten Fälle auf, die beispielhaft sind und die dokumentiert werden sollen, können sie in dieser Wissenssammlung anonymisiert festgehalten werden. * **Protokolle** sollten möglichst datensparsam formuliert werden. Namen und andere personenbezogene Daten sollten nur aufgenommen werden, wenn das wirklich erforderlich ist. Regelmäßig nicht erforderlich sind beispielsweise die Namen von Beschäftigten, die Anliegen an die MAV herangetragen haben. Hier genügt es, wenn allgemein formuliert wird. (»Eine Kollegin hat die MAV auf eine willkürliche Genehmigung von Fortbildungsanträgen hingewiesen.«) Ebenfalls nicht erforderlich sind Verlaufsprotokolle mit Benennung der einzelnen Redner*innen. Wenn es für einen Vorgang relevant scheint, den Verlauf in der Sitzung zu dokumentieren, können die Argumente ohne Zuordnung zu Sprecher*innen aufgeschrieben werden. * In Einrichtungen, die dem jeweiligen kirchlichen **Archivrecht** unterliegen, dürfte regelmäßig eine Anbietungspflicht vor der Löschung bestehen. Hier sollte Kontakt zum Archiv aufgenommen werden, bevor Daten erstmals gelöscht werden. Ziel ist, mit dem Archiv eine allgemeine Regelung zu finden, ohne ständig anbieten zu müssen. ### Umgang mit elektronischer Kommunikation * Besonders anspruchsvoll sind **Löschfristen bei Chats und E-Mail-Konversationen**. Hier empfiehlt es sich, in der Geschäftsordnung eine pauschale Löschfrist festzulegen (die teilweise auch automatisiert ausgeführt werden kann), verbunden mit der Bestimmung, dass relevante Inhalte aus Chats und E-Mail-Konversationen im nächsten regulären MAV-Sitzungsprotokoll festgehalten werden (also analog zu Umlaufbeschlüssen). * Problematisch ist auch der Kontrollverlust, der mit **über E-Mail versandten Anhängen** einhergeht. Hier ist es sinnvoll, statt eines Anhangs eine Dateifreigabe zu verschicken, die auf die berechtigten Empfänger*innen beschränkt ist und mit einer festgelegten Frist für den Zugriff versehen ist. ### Ausstattung des MAV-Büros * Jede MAV sollte im Büro einen **Aktenvernichter** oder eine eigene **Datentonne** haben, mindestens aber unproblematische persönlich darauf Zugriff haben. (»Persönlich« heißt: Selbst vernichten statt jemandem zur Vernichtung übergeben.) * Hat die MAV keinen eigenen **Drucker** , muss sichergestellt sein, dass Ausdrucke nicht unbeaufsichtigt im Gemeinschaftsdrucker liegen (in der Regel durch eine PIN oder ein Token, die den Druck erst dann autorisieren und starten, wenn man am Drucker steht). * Neu gewählten MAV-Mitgliedern kann man einen **ansprechend gestalteten (physischen) MAV-Ordner** geben, der Datenschutzhinweise enthält und beim Ausscheiden inklusive der darin abgehefteten Unterlagen wieder abgegeben wird. ## Fazit Löschkonzepte sind der Endgegner – kaum eine verantwortliche Stelle hat ein Löschkonzept, das wirklich gut funktioniert und durchgehalten wird. Dennoch sollte man vor diesem Endgegner nicht kapitulieren – schon aus ganz praktischen Gründen: Daten, die man nicht oder nicht mehr hat, kann man auch nicht verlieren. Die vielen Hinweise in diesem Ratgeber wirken möglicherweise übertrieben und aufwendig – wenn man die Sache aber Schritt für Schritt angeht, etwa beim nächsten Protokoll anfängt, auf Datensparsamkeit zu achten, bei der nächsten Dienstvereinbarung gleich einen Ordner anlegt, dann wächst das Datenschutzmanagement langsam, aber sicher. # Serie Datenschutz in der MAV * Datenschutzkonzept der MAV – so geht’s * Datenschutz und Mitbestimmung – welche Rechte hat die MAV? * Haben MAVen ein datenschutzrechtliches Beschwerderecht? * Betriebliche Datenschutzbeauftragte und MAV-Mitglied – geht das? * Aufbewahrungsfristen und Löschkonzept für die MAV * Beschäftigtendatenschutz in KDG und DSG-EKD * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Löschen ist der Endgegner im Datenschutz – auch bei Mitarbeitendenvertretungen. Ansätze und Ideen für ein Löschkonzept der MAV habe ich hier gesammelt:

https://artikel91.eu/2026/02/25/aufbewahrungsfristen-und-loeschkonzept-fuer-die-mav/

#TeamDatenschutz

In Argentinien haben ein Transmann und eine Transfrau katholisch geheiratet. Die Ehe wurde prompt vom Erzbischof für nichtig erklärt.

Warum das zwar höchstwahrscheinlich kirchenrechtlich nicht sauber ablief und warum die beiden Liebenden trotzdem keine große Hoffnug auf eine kirchliche Ehe […]

In Salzburg gibt's eine gute Vorlage für KI-Richtlinien, und von den Methodisten kann man Datenschutzmanagementmethoden lernen.

🇦🇹 Salzburger KI-Richtlinie
📋 Datenschutz-Check der Methodist*innen
🇱🇮 Doch Aktenweitergabe in Vaduz […]

Neues KDG tritt in Kraft – das ist zu tun Am ersten März treten das neue Gesetz über den kirchlichen Datenschutz und die neue KDG-Durchführungsverordnung in Kraft. Die gute Nachricht: So vieles ändert sich nicht – und das meiste, was sich ändert, erleichtert das Leben eher. (Foto von Anton Savinov auf Unsplash) Dennoch gibt es einige Punkte, die man im eigenen Datenschutzmanagement beachten sollte, damit der Umstieg auf die neue Rechtslage gelingt. Wichtig vor allem: Von den wenigen Änderungen im KDG sollte man sich nicht täuschen lassen – die Arbeit steckt in der Durchführungsverordnung. **Inhalte** Verbergen 1 Rechtsquellen und Analysen 2 Neue Regeln für Ehrenamtliche 3 Sensibilisierung und Schulung 4 Anpassungsbedarf bei Rechtsgrundlagen 5 Betriebliche Datenschutzbeauftragte 6 Technische und organisatorische Maßnahmen 7 Dokumentationspflichten 8 Fazit ## Rechtsquellen und Analysen Einen detaillierten Überblick über das neue KDG habe ich bereits im vergangenen Jahr veröffentlicht. Bei der KDG-DVO kann ich neben meinem Überblick den von Actago empfehlen. Der aktuelle Text des neuen KDG und der Durchführungsverordnung zum KDG ist als Mustertext (nicht amtliche Fassung) hier abrufbar: * Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 20. November 2017, geändert durch Beschluss der Vollversammlung des Verbandes der Diözesen Deutschlands vom 24. November 2025 (korrigierte Fassung) * Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO) in der Fassung des Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 19. November 2018, geändert durch Beschluss der Vollversammlung des Verbandes der Diözesen Deutschlands vom 24. November 2025 ## Neue Regeln für Ehrenamtliche An einigen Stellen wurde der Umgang mit Ehrenamtlichen neu geregelt, die personenbezogene Daten verarbeiten. Im Idealfall ändert sich im Datenschutzmanagent dadurch nichts, weil es bisher schon sinnvoll war, so vorzugehen, wie es jetzt in den Normen steht. Folgendes ist zu beachten: * Ehrenamtliche sind nun wie Beschäftigte auf das **Datengeheimnis zu verpflichten** (§ 5 Abs. 2 KDG) – das stellt aber nur im Gesetz klar, was auch in der alten Durchführungsverordnung so geregelt war. * Weiterhin keine gute Lösung gibt es dafür, dass viele Ehrenamtlichen keine dienstlichen Geräte gestellt bekommen und daher private Systeme verwenden – die Verwendung der Formulierung »Mitarbeitende« in § 21 KDG-DVO macht aber klar, dass für diese Verarbeitungssituation alles erfüllt werden muss, was bisher schon bei der **Nutzung privater IT** durch Beschäftigte gilt. * § 21 Abs. 4 KDG-DVO verbietet nun grundsätzlich jede **Weiterleitung personenbezogener Daten an private Mail-Konten** , nicht nur die automatisierte. Es können zwar Ausnahmen festgelegt werden – die einzige wirklich tragfähige Lösung ist aber, Ehrenamtlichen dienstliche E-Mail-Konten zur Verfügung zu stellen. ## Sensibilisierung und Schulung * Bei **langjährigen Beschäftigten** kann eine erneute Verpflichtung aufs Datengeheimnis erforderlich sein: Die Übergangsregelung in § 3 Abs. 3 KDG-DVO, dass Verpflichtungen nach der alten KDO weiter gelten, findet sich in der neuen KDG-DVO nicht mehr. * Der neue § 2 Abs. 7 KDG-DVO legt fest, dass Mitarbeitende regelmäßig zu **schulen** sind, zusätzlich zur bereits vorher bestehenden Informations- und Belehrungspflicht über Datenschutzregelungen. Schulungen sind weiter zu verstehen als die auf die Gesetzeslage und das jeweilige Einsatzfeld beschränkte Information und Belehrung. ## Anpassungsbedarf bei Rechtsgrundlagen * **Einwilligungen** werden einfacher: Schriftform ist nicht mehr der Normalfall. Hier können gegebenenfalls Einwilligungsprozesse erleichtert werden. (§ 8 Abs. 1 KDG) – unter der Maßgabe, dass Einwilligungen weiterhin nachweisbar sein müssen. * §§ 9 und 10 zur **Offenlegung** fallen weg. Falls Prozesse bestehen, die sich auf diese Normen stützten, müssen sie jetzt mit dem Instrumentarium der allgemeinen Rechtsgrundlagen und der Zweckänderung abgebildet werden, gegebenenfalls auch mit Spezialgesetzen wie im Bereich der Datenverwendung zur Aufarbeitung. * § 52a KDG stellt nun eine ausdrückliche Rechtsgrundlage für **Streaming von kirchlichen Veranstaltungen** zur Verfügung – ein Segen vor allem für Pfarreien, die Gottesdienste streamen, da sie sich bisher nicht auf das berechtigte Interesse als Rechtsgrundlage berufen konnten. In jedem Fall ist beim Streaming zu überprüfen, ob die in der Norm vorgesehenen Schutzmaßnahmen erfüllt werde (hinreichende Information, Berücksichtigung schutzwürdiger Interessen und Ausweisung übertragungsfreier Bereiche). ## Betriebliche Datenschutzbeauftragte * Wie im BDSG müssen betriebliche Datenschutzbeauftragte jetzt **erst ab 20** , nicht schon ab 10 mit der Datenverarbeitung betrauten Personen bestellt werden (§ 36 Abs. 2 lit. a) KDG). * Gemäß den Übergangsbestimmungen (§ 57 KDG) bleiben **bestehende Bestellungen von betrieblichen Datenschutzbeauftragten** bestehen, »soweit hierbei die Regelungen der §§ 36 ff. Beachtung finden« – zu diesen Regelungen gehört der Schwellwert; eine Bestellung in Einrichtungen mit weniger als 20 relevanten Personen dürfte also wegfallen. Der nachlaufende Kündigungsschutz gemäß § 37 Abs. 4 KDG bleibt aber erhalten, wenn man unter der »Abberufung« auch eine Amtserledigung durch die neue Rechtslage versteht. Das ist plausibel, weil es keine Abberufung im eigentlichen Sinne gibt, sondern lediglich das Ende der Amtszeit oder die Kündigung aus wichtigem Grund. * § 36 Abs. 5 KDG stellt klar, dass auch **juristische Person zu betrieblichen Datenschutzbeauftragten** benannt werden können. Das ist interessant für alle, die bisher natürliche Personen bei externen Dienstleistern bestellt hatten; nun ist es möglich, die Dienstleistungsgesellschaft direkt zu bestellen. ## Technische und organisatorische Maßnahmen In der KDG-DVO gibt es einige Änderungen, die im wesentlichen aber Vorgaben technikoffener formulieren und Standards aus dem weltlichen Datenschutzmanagement und der IT-Sicherheit übernehmen und kompatibler machen. Die Nutzung von cloudbasierten Systemen und die zunehmende Bedeutung mobiler Arbeit spiegelt sich nun auch wieder. * § 4 Abs. 1 KDG-DVO fasst den **Begriff der IT-Systeme** weiter. »sämtliche technischen Einrichtungen, mittels derer personenbezogene Daten automatisiert verarbeitet werden«, erfasst eindeutig auch cloudbasierte Systeme und Dienste, anders als das engere »alle elektronischen Geräte und Softwarelösungen«, das bisher verwendet wurde. * § 6 zu den ToMs verweist nun unter anderem bei **Verschlüsselung** auf den Stand der Technik; vorher sollten aber schon »geeignete« Maßnahmen ergriffen werden, was wohl auch schon eine Berücksichtigung des Stands der Technik beinhaltete. * Neu in § 6 Abs. 2 lit. b) KDG-DVO ist die ausdrückliche Vorgabe, zum Schutz personenbezogener Daten und zur **Vermeidung von Identitätsdiebstahl** geeignete ToMs nach dem jeweiligen Stand der Technik zu ergreifen. Zuvor war dort nur Zugangskontrolle geregelt * Etwas misslich war im alten § 7 Abs. 2 KDG-DVO der Verweis lediglich auf **anerkannte Zertifikate** gemäß § 26 Abs. 4 KDG, also eines nach dem EU-Recht zertifizierten Verfahrens – so viele davon gibt es nicht. Das ist weiterhin möglich, die Verfahren müssen sich aber an BSI-Veröffentlichungen orientieren. (Ob das den Kreis der Zertifizierungen erhöht?) Erleichtert wird der Nachweis nun aber, da auch eine Orientierung an anderen Regelungen zulässig ist, »die einen vergleichbaren Schutzstandard gewährleisten (insbesondere ISO/IEC27001)«. * **Zwei-Faktor-Authentifizierung** (§ 11 Abs. 2 lit. b)) ist jetzt schon in Schutzklasse 1 bei Zugriffen von außerhalb oder in sicherheitskritischen Bereichen erforderlich – wo mobil gearbeitet wird also wohl immer. * Für **Cloud-Systeme** gibt es mit § 18 KDG-DVO sehr klare Vorgaben, die insbesondere die Verfügbarkeit absichern sollen. Ein gutes Datenschutzmanagement berücksichtigt diese Kriterien wohl jetzt schon. Wichtig und neu ist vor allem die klare Vorgabe, eine Exit-Strategie vorzuhalten. * Nicht mehr nur die automatisierte Weiterleitung von Mails an private Accounts, sondern grundsätzlich jede Weiterleitung ist unzulässig (§ 21 Abs. 4 KDG-DVO), Ausnahmeregelungen sind aber möglich. * Bei der **dienstlichen Nutzung von privaten Systemen** muss ein Zugriff von Dritten unterbunden werden (§ 21 Abs. 5 KDG-DVO). Will man das nicht allein mit organisatorischen Ansagen lösen, braucht es wohl Terminal-Lösungen und ähnliches. * Eine große Erleichterung ist der **Wegfall des Verbots der Auftragsverarbeitung in Drittstaaten ohne Angemessenheitsbeschluss** in § 29 Abs. 11 KDG. Das dürfte einige schon bestehende Auftragsverarbeitungen legalisieren. Weggefallen ist auch § 29 Abs. 12 KDG zur analogen Anwendung auf **Fernwartung** ; hier ist individuell zu prüfen, ob tatsächlich eine Auftragsverarbeitung vorliegt. * Das **Verbot der Übermittlung von personenbezogenen Daten per Fax** in § 25 KDG-DVO ist entweder problemlos umzusetzen oder eine große Herausforderung: Vor allem in der Behördenkommunikation gibt es oft keine andere Wahl, als das Fax zu verwenden. Immerhin können Ausnahmen, »insbesondere Übergangsbestimmungen«, für das Fax-Verbot festgelegt werden. Die wohl häufigste Übergangsbestimmung dürfte mit »Solange die Behörde XY noch auf Fax besteht« beginnen. ## Dokumentationspflichten * Beim **Verarbeitungsverzeichnis** sind nun gemäß § 1 Abs. 3 KDG-DVO: Überprüfung _und_ Aktualisierung regelmäßig zu dokumentieren, zuvor war nur die Überprüfung zu dokumentieren. * So nützlich der neue § 18 KDG-DVO zu Cloud-Systemen auch ist: Dummerweise kommen danach noch zehn Paragraphen, so dass sich **alle Nummern ab 18 (alt) um eins erhöhen** – das muss in der Dokumentation stupide nachgetragen werden. ## Fazit Der Umstieg aufs novellierte katholische Datenschutzrecht sollte in der Regel recht reibungslos gelingen – jedenfalls da, wo schon ein gutes Datenschutzmanagement besteht und wo Lücken in der KDG-DVO etwa zu mobiler Arbeit und Clouddiensten mit gesundem Menschenverstand und mit Blick auf den Stand der Technik geschlossen wurden. Was anspruchsvoll bleibt, ist die Umsetzung der KDG-DVO in ehrenamtlichen Kontexten. Hier hat die neue Fassung engere Grenzen gezogen, so dass man sich jetzt nicht mehr so leicht in Lücken und Interpretationsspielräumen verstecken kann. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

In anderthalb Wochen tritt die katholische Datenschutzreform in Kraft. Jetzt wäre ein guter Zeitpunkt, sich schonmal drauf vorzubereiten. Zum Beispiel so:

https://artikel91.eu/2026/02/18/neues-kdg-tritt-in-kraft-das-ist-zu-tun/

#TeamDatenschutz

Ironisch, am Ende ausgerechnet von Schulte anzuführen, wenn's um die Frage nach mit Notstandssituationen begründeten Bischofsweihen ohne päpstliches Mandat geht.

Aufsicht am Ende – Wochenrückblick KW 7/2026 _**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** (Bildquelle: ali syaaban on Unsplash) **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Weniger spezifische Aufsichten 1.2 Medienbuddies 1.3 Nicht alle Rechtswege führen nach Rom 1.4 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Weniger spezifische Aufsichten Der erste Tätigkeitsbericht für 2025, der des NDR-Rundfunkdatenschutzbeauftragten, ist zugleich der letzte seiner Art: Einen Rundfunkdatenschutzbeauftragten des NDR wie anderer einzelner Anstalten wird es künftig nicht mehr geben, der »Reformstaatsvertrag« sieht stattdessen einen »Gemeinsamen Rundfunkbeauftragten für den Datenschutz« vor, der für die ARD, das ZDF und das Deutschlandradio zuständig ist. Damit gibt es dann nur noch zwei spezifische Aufsichten von Medien nach Art. 85 DSGVO; die Deutsche Welle hat weiterhin eine eigene Aufsicht. Die Zukunft der Rundfunkdatenschutzkonferenz steht daher in Frage, die dann nur noch aus zwei Mitgliedern bestünde, wie der NDR-Rundfunkdatenschutzbeauftragte in seinem Bericht schreibt. Die RDSK gehörte immer zu den deutlichsten Stimmen, die eine stärkere Beteiligung der spezifischen Aufsichten an der Datenschutzkonferenz forderten – auch im letzten NDR-Tätigkeitsbericht ist das kurz Thema: > »Die Mitglieder der RDSK und der Kirchen betonen in diesem Zusammenhang regelmäßig, dass der Gaststatus zwecks Informationstransfers zwar begrüßenswert ist, jedoch eine Zusammenarbeit auf „Augenhöhe“ noch nicht erreicht sei, weil es an einer engeren Anbindung fehle.« ### Medienbuddies »Medienbuddies – Spielerisch stark in Netz und Gesellschaft« heißt ein medienpädagogisches Projekt, das vom katholischen Ludwig-Windthorst-Haus Lingen und dem Bundesjugendministerium getragen wird. Ziel ist, mit den Jugendlichen auf einen verantwortungsvollen Umgang mit Medien hinzuarbeiten: »Spielerische Methoden, unterhaltsame Infobits und thematisch passende Energizer befähigen junge Menschen, Onlineinhalte kritisch zu hinterfragen, Risiken zu erkennen und sich für ein faires und respektvolles Online-Umfeld einzusetzen.« Dazu werden Siebt- und Achtklässler*innen zu Multiplikator*innen ausgebildet. Ein Thema dabei ist Datenschutz – die Unterlagen dazu (Hintergründe, Methoden und detaillierte Ablaufpläne) sind online unter einer CC-Lizenz veröffentlicht. ### Nicht alle Rechtswege führen nach Rom »Dr. Datenschutz« hat sich das für Datenschutzverfahren relevante Prozessrecht der großen Kirchen angeschaut. Mich hat das zu motiviert, den Stand bei den kleineren Gemeinschaften herauszufinden. Zum katholischen Datenschutzrecht wird im ursprünglichen Artikel folgende Feststellung getroffen: »Teilweise wird noch der Apostolische Stuhl als dritte Instanz betrachtet, denn in der katholischen Kirche führen alle Wege nach Rom.« Das ist grundsätzlich korrekt: Die Position, dass Entscheidungen des Datenschutzgerichts der Deutschen Bischofskonferenz, der zweiten Instanz, vor die Kirchengerichte im Vatikan weiter getragen weden, wird vertreten. Es gibt aber auch Indizien, die dagegen sprechen: Genau dieser Fall war nämlich für den Kirchlichen Arbeitsgerichtshof, also die letzte Instanz der katholischen Arbeitsgerichtsbarkeit in Deutschland, zu klären. Hier stellte die Apostolische Signatur, das höchste Kirchengericht, fest, dass im Fall von mit päpstlichem Mandat beschlossenen Gerichtsordnungen – wie es die KAGO fürs Arbeitsrecht und die KDSGO fürs Datenschutzrecht sind – der dort festgehaltene Rechtsweg abschließend ist. Eine reguläre höhere Instanz in Rom gibt es also nicht. Was jedoch immer offensteht, ist der Appell direkt an den Papst, der an keine Verfahrensordnungen gebunden ist. Da führen dann tatsächlich alle Wege nach Rom. ### In eigener Sache * Beim Könzgenhaus im Bistum Münster biete ich einen **Kurs für die Mitglieder (katholischer) MAVen** an: Datenschutz für die MAV, 4.–6. März 2026, 695 Euro. ## Auf Artikel 91 * Rechtsbehelfe im Datenschutz der kleineren Religionsgemeinschaften ## Aus der Welt * Vom DSG-DBK kommt die unselige Formulierung, dass das **Löschen von Daten** kein **Datenschutzverstoß** sein kann, »weil durch Löschung der datenschutzrechtlich rechtfertigungsbedürftige Persönlichkeitseingriff ja gerade beendet wird«. Den gegenteilige Fall eines Datenschutzverstoß durch unrechtmäßige Löschung sieht man relativ selten. In Spanien wurde in so einem Fall nun ein Bußgeld gegen ein Krankenhaus in Höhe von 1,2 Millionen Euro verhängt: Das Krankenhaus hatte MRT-Bilder gelöscht, die eigentlich in die Krankenakte gehören, und außerdem vom Patienten auf CD übergebene alte Bilder verloren. (Auf das Bußgeld wurde ich durch den aktuellen c’t-Auslegungssache-Podcast aufmerksam, wo es um Datenschutz als Wirtschaftsvorteil geht.) ## Kirchenamtliches **Diözese Linz:** Videoüberwachungsordnung der Diözese Linz * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Es gibt deutlich weniger spezifische Datenschutzaufsichten – an den Kirchen liegt's nicht.

🔎 Weniger spezifische Aufsichten
👥 Medienbuddies
🏛️ Nicht alle Rechtswege führen nach Rom

https://artikel91.eu/2026/02/13/aufsicht-am-ende-wochenrueckblick-kw-7-2026/

#TeamDatenschutz

Die großen Kirchen haben Datenschutz- und Verwaltungsgerichte. Wo kommt aber der wirksame gerichtliche Rechtsbehelf bei den kleineren Gemeinschaften mit eigenem Datenschutzrecht her?

Ich hab mich tief in viele Eigenrechte reingekniet, um das rauszufinden […]

Ich habe mit dem DPSG-Bundesvorsitzenden Sebastian Becker über die Missbrauchsstudie geredet. Sieht er es auch so, dass sein Verband von sexualisierter Gewalt "durchsetzt" sei?

https://katholisch.de/artikel/67191-missbrauchsstudie-die-dpsg-wird-jetzt-ganz-sicher-nicht-aufgeloest

Die DPSG hat Missbrauch im Verband aufarbeiten lassen. Die Ergebnisse sind erschreckend. Vieles, was die Pfadfinderei stark macht, ist zugleich ein Risikofaktor.

Meine Analyse der Aufarbeitungsstudie […]

Die Piusbrüder sind wieder auf Schisma-Kurs. Warum man wirklich das böse Sch-Wort in den Mund nehmen kann (und warum Rom sich damit schwer tut), habe ich hier aufgeschrieben:

https://katholisch.de/artikel/67122-geschichte-des-ungehorsams-die-piusbrueder-bleiben-auf-schisma-kurs

Das Bistum Trier durfte einen AfD-Abgeordneten aus einem Verwaltungsrat einer Pfarrgemeinde entlassen, hat der Vatikan entschieden.

Mir liegt das Dekret vor – das ist eindeutig, die Begründung könnte aber bischöflicher Willkür vorschub leisten, analysiere ich […]

Zum Welttag der sozialen Kommunikationsmittel hat Papst Leo XIV. die kirchliche Position zu KI geschärft.

🤓 Papst Leo XIV. fordert KI-Kompetenz
👋 Offboarding von Ehrenamtlichen
💸 Refinanzierung von Digitalisierung im Sozialwesen […]

Und schon gibt's die ersten Korrekturen am neuen katholischen Datenschutzrecht. Verweise sind aber auch kompliziert.

✏️ Erste Korrekturen am KDG
🖋️ Die ersten KDG-Promulgationen sind da
🎪 Zirkus liest Dortmund

https://artikel91.eu/2026/01/23/kdg-korrigenda-wochenrueckblick-kw-4-2026/ […]

KI im Betrieb regeln: Vorbild Schorndorf Alle Institutionen müssen ihren Umgang mit KI-Systemen klären und reflektieren – wer darauf verzichtet, setzt nicht keine KI-Systeme ein, sondern lebt mit schlecht zu regulierender Schatten-IT. Deshalb ist der Umgang mit »Künstlicher Intelligenz« am Arbeitsplatz auch zunehmend ein Thema für Betriebs- und Personalräte und Mitarbeitervertretungen. (Bildquelle: Sigmund auf Unsplash) Die baden-württembergische Stadt Schorndorf geht dieses Thema aktiv an. Im vergangenen Jahr hat sie für eine Dienstanweisung zum Umgang mit KI einen Anerkennungspreis der »Deutschen Gesellschaft für Gesetzgebung« beim »Preis für gute Gesetzgebung« erhalten. Die Dienstanweisung und die später geschlossene Dienstvereinbarung, die die Anweisung abgelöst hat, sind mittlerweile dank einer Anfrage nach dem baden-württembergischen Landesinformationsfreiheitsgesetz öffentlich. Damit steht eine gute Grundlage für eigene Regelungen zur Verfügung. **Inhalte** Verbergen 1 Inhalt der Dienstvereinbarung 1.1 Ziel 1.2 Verständliche KI-Definition 1.3 Grundsätze 1.4 Prüfung und Freigabe von KI-Systemen 1.5 Zuständigkeiten 1.6 Durchsetzung 2 Adaption für kirchliche Einrichtungen 3 Fazit ## Inhalt der Dienstvereinbarung Beide Dokumente sind online verfügbar: * Dienstanweisung für den dienstlichen Umgang mit Künstlicher Intelligenz in der Stadtverwaltung Schorndorf * Dienstvereinbarung für den dienstlichen Umgang mit Künstlicher Intelligenz in der Stadtverwaltung Schorndorf ### Ziel Ziel der Dienstvereinbarung ist es, KI-Systeme für die Stadtverwaltung nutzbar zu machen. Die Nutzung soll »mit den rechtlichen, ethischen und sozialen Anforderungen in Einklang stehen« und die Rechte und Interessen aller Mitarbeitenden wahren. ### Verständliche KI-Definition KI-Systeme werden dabei eigens definiert. Anders als die umfangreiche und so unverständliche wie weite Definition in Art. 3 Nr. 1 KI-VO hebt die Dienstvereinbarung auf eine verständliche Definition ab. »Künstliche Intelligenz« im Sinne der Dienstvereinbarung wird so gefasst: > »Hard- oder Software-Systeme, die basierend auf Algorithmen und maschinellem Lernen Entscheidungen treffen, Inhalte generieren, Daten analysieren oder Prozesse automatisieren können« ### Grundsätze Der Dreiklang aus Recht, Ethik und Sozialem wird in **Allgemeinen Grundsätzen** (§ 2) aufgegriffen. Die Einhaltung des geltenden Rechts ist (zumal für eine Behörde) selbstverständlich. Spannender sind die drei Punkte, die unter der Überschrift »Ethik und Schutz der Persönlichkeitsrechte« aufgezählt werden: 1. »Alle KI-Anwendungen sind so einzusetzen, dass Menschenwürde, Persönlichkeitsrechte und der Grundsatz der Nichtdiskriminierung gewahrt bleiben.« 2. »Die Entscheidungshoheit des Menschen bleibt gewahrt«. 3. »KI-Systeme dürfen die menschliche Fach- und Ermessensentscheidung nicht ersetzen, sondern lediglich unterstützen.« Schon unter die allgemeinen Grundsätze wird das Verbot der Preisgabe vertraulicher oder personenbezogener Daten gefasst. Sie gilt grundsätzlich für die Verarbeitung in öffentlichen und externen KI-Systemen, kann aber nach ausdrücklicher Freigabe doch erfolgen. Mit diesen Grundsätzen ist bereits eine klare Systematik vorgegeben, die einfach nachvollziehbar und damit gut vermittelbar einen Rahmen absteckt. ### Prüfung und Freigabe von KI-Systemen Die Dienstvereinbarung definiert ein Prüfverfahren (§ 4), das auf Grundlage der Risikoklassen der KI-Verordnung eine systematische Einordnung konkreter KI-Systeme ermöglicht. Dazu wird ein **vereinfachtes KI-Audit** definiert (§ 4 Abs. 4), in dessen Rahmen fünf Punkte abgearbeitet werden: 1. Anforderungsprofil und Informationssammlung 2. Datenschutz und IT-Sicherheit 3. Ethische Bewertung (insbesondere mit Blick auf Diskriminierungspotential) 4. Auswirkungen auf Beschäftigte 5. Dokumentation und Freigabe Freigegebe Anwendungen sollen in eine kommentierte **Whitelist** (§ 3) aufgenommen werden. Die individuelle Erlaubnis zur Nutzung von KI-Systemen wird erst nach erfolgreicher Basisschulung erteilt, dazu kommen freiwillige regelmäßige Fortbildungsangebote. ### Zuständigkeiten Fünf Rollen werden aufgezählt: die Stabsstelle Digitalisierung, der*die KI-Beauftragte (ggf. in Personalunion mit der Leitung der Stabsstelle), Personalrat, Führungskräfte und Beschäftigte. Beim **Personalrat** wird betont, dass alle Beteiligungsrechte unberührt bleiben und die Vertretung insbesondere dann zustimmen muss, wenn es um hochriskante Verfahren geht. ### Durchsetzung Zu den Aufgaben des*der KI-Beauftragten gehört, als zusätzliche vertrauliche Meldeinstanz bei Fragen, Unsicherheiten oder dem Verdacht auf Verstöße gegen die Dienstvereinbarung zu fungieren. Die Nutzung von KI-Systemen durch Beschäftigte wird nicht fortlaufend und systematisch überwacht. Lediglich beim konkreten Verdacht auf schwerwiegende Verstöße gegen Vorgaben dürfen »stichprobenhafte Prüfungen oder eine Einsicht in einzelne KI-Anfragen erfolgen, um den Sachverhalt zu klären«, immer unter der Einbeziehung des Personalrats. ## Adaption für kirchliche Einrichtungen Auch in kirchlichen Einrichtungen besteht die Notwendigkeit, den Einsatz von KI-Systemen rechtssicher und ethisch vertretbar zu regulieren. Im Umgang mit KI-Systemen gibt es grundsätzlich keine kirchlichen Besonderheiten. (Es ist allerdings damit zu rechnen, dass Regelungen kommen. Im Erzbistum Köln gibt es für den verfasst-kirchlichen Bereich bereits eine verbindliche KI-Nutzungs-Ordnung.) Die spezifische KI-Gesetzgebung, insbesondere die KI-Verordnung, gelten auch im kirchlichen Bereich, und die beiden großen kirchlichen Datenschutzgesetze haben keine relevanten Abweichungen von der DSGVO, die ein anderes Vorgehen nötig machen würde. Im Bereich des kollektiven Arbeitsrechts kommt es stark auf die Konfession an. (Hier kann der Artikel zu Mitbestimmungsrechten der MAV in Datenschutzfragen zusätzlich herangezogen werden.) Das **evangelische Recht** kennt eine dem staatlichen Recht vergleichbare Regelung zu Dienstvereinbarungen (§ 36 MVG-EKD) und einige explizite Mitbestimmungstatbestände, die geeignet sind, die Einführung und Anwendung von KI-Systemen in den Bereich der Mitbestimmung zu bringen. (Konkret die Einführung grundlegend neuer Arbeitsmethoden, Maßnahmen zur Hebung der Arbeitsleistung und zur Erleichterung des Arbeitsablaufs, die Einführung und Anwendung zur Überwachung geeigneter Systeme und die Regelung der Ordnung in der Dienststelle.) Damit dürfte eine Dienstvereinbarung nach Schorndorfer Vorbild möglich sein. Das **katholische Recht** dagegen beschränkt Dienstvereinbarungen auf den Rahmen des § 38 MAVO, der einen abgeschlossenen Katalog an dienstvereinbarungsfähigen Tatbeständen aufzählt. Für die Regulierung der Anwendung von KI-Systemen in der Einrichtung greift hier nur für Teilaspekte die »Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Mitarbeiterinnen und Mitarbeiter zu überwachen« (§ 38 Abs. 1 Nr. 11 MAVO). Ansonsten dürften Regelungen wie in der Schorndorfer Dienstvereinbarung höchstens der Anhörung und Mitberatung unterliegen, namentlich in Gestalt der Tatbestände der grundlegenden Änderungen von Arbeitsmethoden und der Maßnahmen zur Hebung der Arbeitsleistung und zur Erleichterung des Arbeitsablaufes (§ 29 Abs. 1 Nr. 14 und 15 MAVO). Im Ergebnis dürfte es daher in der Regel auf eine Dienstanweisung herauslaufen, vor deren Erlass die MAV angehört wird. ## Fazit Das Schorndorfer Vorgehen wirkt **durchdacht und pragmatisch** : Insbesondere der vereinfachte KI-Audit gibt ein praktisches Werkzeug an die Hand, um Entscheidungen über Freigaben systematisch zu ermöglichen. Das Instrument einer kommentierten Whitelist schafft Übersicht und Sicherheit für Beschäftigte und vermeidet doppelte Arbeit. Mit dem Fokus auf verständliche Definitionen, nachvollziehbare Prinzipien und kontinuierliche Schulung arbeitet die Dienstvereinbarung auf die von Art. 4 KI-VO geforderte KI-Kompetenz hin. Nicht explizit erwähnt wird Schatten-IT wie frei verfügbare Online-Tools und die Verwendung privater Endgeräte (etwa für Übersetzungen); implizit ist klar, dass das nicht zulässig ist. Zumindest in der Schulung sollte dieser Aspekt betont werden. Auch wenn die Dienstvereinbarung nach Angaben der Stadt die vorherige Dienstanweisung ersetzt hat, lohnt sich ein Blick in das ältere Dokument: Dort werden wichtige Aspekte einer KI-Richtlinie wie der Grundsatz der Letztentscheidungsbefugnis des Menschen, konkrete Datenschutzfragen, der Umgang mit Amtsgeheimnissen und Urheberrecht sowie Ethik, Integrität, Verantwortung und Diskriminierungsverbot noch etwas detaillierter ausformuliert. Für den kirchlichen Bereich ist die Schorndorfer Vorlage ein guter Start, um – mit den nötigen Anpassungen hinsichtlich des geltenden Datenschutzrechts und der jeweiligen Mitarbeitendenvertretungsgesetze – KI-Nutzung klug zu regulieren. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Die Stadt Schorndorf hat preisgekrönte Regelungen für den dienstlichen Umgang mit KI-Systemen – davon kann man auch im kirchlichen Bereich lernen.

https://artikel91.eu/2026/01/21/ki-im-betrieb-regeln-vorbild-schorndorf/

#TeamDatenschutz

Eule-Podcast (55): Datenschutz-Update 2026 mit Felix Neumann Wie steht es um die digitale Resilienz der Kirchen und welche Probleme verursacht der Einsatz von „Künstlicher Intelligenz“? Felix Neumann erklärt, welche Entwicklungen beim Datenschutz in diesem Jahr...

Eigentlich ist es garni so erstaunlich, dass in der Digitalität viele wichtige politische Themen am Ende Fragen des Datenschutzes sind. @fxneumann.de erklärt Datenschutz bei @herrpfarrerin.bsky.social im „Eule-Podcast“ zudem wunderbar anschlussfähig:

Das Datenschutzgericht der Deutschen Bischofskonferenz hat in aller Stille einen neuen, sehr prominenten Vorsitzenden bekommen.

🧑‍⚖️ BVerwG-Präsident ist Datenschutzgerichtspräsident
🇵🇰 Digitalisierte Ungleichheit in Pakistan
🌵 Beichtgeheimnis in Arizona […]

Eule-Podcast (55): Datenschutz-Update 2026 mit Felix Neumann Wie steht es um die digitale Resilienz der Kirchen und welche Probleme verursacht der Einsatz von „Künstlicher Intelligenz“? Felix Neumann erklärt, welche Entwicklungen beim (kirchlichen) Datenschutz in diesem Jahr wichtig werden:

Wie steht es um die digitale Resilienz der Kirchen? Welche Probleme verursacht der Einsatz von generativer KI? Felix Neumann erklärt, welche Entwicklungen beim (kirchlichen) Datenschutz in diesem Jahr wichtig werden:

Standpunkt: Gott ist Fleisch geworden – auch an Weihnachten eine Provokation Ein Kommentar von Felix Neumann

Die größte Provokation des Christentums ist die Fleischwerdung Gottes – selbst für fromme Christ*innen kann die manchmal religiöse Gefühle verletzen, kommentiere ich heute.

https://katholisch.de/artikel/66782-gott-ist-fleisch-geworden-auch-an-weihnachten-eine-provokation

Die Landeskirchen in Baden und Württemberg haben ihre Mitarbeitendenvertretungsgesetze novelliert – endlich gibt's flächendeckend in der EKD eine Regelung zum Datenschutz analog § 79a BetrVG.

👷 MAV-Datenschutz in Baden und Württemberg
🦁 KDSZ Bayern unterstützt Digital Independence Day
🇵🇱 […]

Umsetzen und Hoffen – Jahresausblick 2026 2026 können katholische Verantwortliche da einsteigen, wo evangelische hoffentlich schon fertig sind: Die Anpassung des eigenen Datenschutzkonzept an das reformierte KDG steht an. Im Kern des Datenschutzrechts dürfte damit erst einmal Konstanz anstehen – wenn nicht Reformen an der DSGVO und dem BDSG doch noch Wirklichkeit werden. Und manche Neujahrswünsche sind mittlerweile schon traditionell: dass diverse (Verwaltungs-)Gerichte tätig werden, dass Alt-Katholik*innen ihre Aufsicht in den Griff bekommen und dass die KDSA Nord KdÖR wird. Blick in die Glaskugel. (Bildquelle: Michael Dziedzic/Unsplash) **Inhalte** Verbergen 1 Was uns von den Aufsichten erwartet 2 Was uns von den Gerichten erwartet 2.1 Kirchliche Gerichte 2.2 Staatliche Gerichte 3 Was uns in der Gesetzgebung erwartet 3.1 Kirchliche Gesetzgebung 3.2 Staatliche Gesetzgebung 4 Was sonst noch ansteht 5 Bisherige Jahresausblicke ## Was uns von den Aufsichten erwartet * Die **Konferenz der Diözesandatenschutzbeauftragten** wird von Andreas Bloms, Diözesandatenschutzbeauftragter der Nord-Bistümer, geleitet. * Das KDSZ Bayern hat einen Stand beim **Katholikentag in Würzburg**. * Die zweite und letzte Amtszeit des **NRW-Diözesandatenschutzbeauftragten** Steffen Pau läuft am 31. August aus, die Suche nach einer Nachfolge wurde schon früh gestartet. * Weiterhin unklar ist, wie es mit der **alt-katholischen Datenschutzaufsicht** weiter geht. Vom Bistumsdatenschutzbeauftragten hat man während seiner bis Ende 2024 laufenden Amtszeit nichts gehört, seither ist der Posten vakant. 2026 stehen aber sowohl die Synode als auch eine Bischofswahl an – vielleicht wird das genutzt, um den unhaltbaren Zustand zu verändern. * Die **KDSA Nord** könnte eine KdÖR werden – aber das Thema ist im kirchlichen Datenschutz, was im weltlichen ein Beschäftigtendatenschutzgesetz ist. (Schon mindestens seit dem Tätigkeitsbericht für 2019 wurde das angekündigt.) * Nachdem die Landesdatenschutzaufsicht Sachsen-Anhalt 2025 ein laufendes Verfahren gegen eine Gliederung von **Jehovas Zeugen** hat, könnte ein eventuell ergehender Bescheid vor Gericht angegriffen werden. Dann müsste die Justiz klären, ob das Datenschutzrecht der Religionsgemeinschaft den Anforderungen von Art. 91 DSGVO entspricht. * 2026 ist ein gerades Jahr – damit gibt’s **keinen Tätigkeitsbericht des BfD EKD**. Möglicherweise gibt es aber schon erste Ergebnisse der Prüfung kirchlicher Verwaltungen. ## Was uns von den Gerichten erwartet ### Kirchliche Gerichte * Die Klage der Aufarbeitungskommission Nord liegt beim IDSG. Es geht um die Frage, ob sie zurecht von der Datenschutzaufsicht als eigene verantwortliche Stelle betrachtet wird. * … und irgendwann wird sicherlich auch mal ein evangelisches Gericht Fälle mit DSG-EKD-Bezug zu bearbeiten haben. ### Staatliche Gerichte * Beim Niedersächsischen Oberverwaltungsgericht Lüneburg liegt noch die Berufung zum Urteil, mit dem im November 2022 das **Datenschutzrecht der SELK** kassiert wurde. Ende November gab es dazu noch keinen Termin für das Verfahren mit dem Aktenzeichen 2 LC 95/24. * Ebenfalls eine Wiedervorlage: Beim EuGH liegen Fragen zum **Löschrecht im Taufbuch**, die der belgische Marktgerichtshof im März 2025 vorgelegt hat. Mit etwas Glück kommen 2026 zumindest die Schlussanwälte des Generalanwalts. * Wiedervorlage die Dritte: Beim Streit zwischen der BfDI und dem Bundespresseamt um die **Facebook-Seite der Bundesregierung** gab es 2025 eine erstinstanzliche Entscheidung zugunsten des Bundespresseamts, die BfDI hat aber Berufung eingelegt. Hoffentlich ist das OVG Münster schneller als das OVG Lüneburg. * Das Bundesverfassungsgericht dürfte die Verfassungsbeschwerde im **Streit um die Einsicht in ein Kirchengemeinderatsprotokoll** entscheiden und hat damit Gelegenheit, wieder einmal zu Religionsverfassungsrecht zu entscheiden. ## Was uns in der Gesetzgebung erwartet ### Kirchliche Gesetzgebung * Schon Ende 2024 wurde der Entwurf der **Novelle des KDG** veröffentlicht. Im November 2025 wurden das neue KDG und die neue KDG-DVO dann als Muster beschlossen, am 1. März sollen sie in Kraft treten. * Das bedeutet, dass auch die Orden päpstlichen Rechts anfangen, die Übernahme der KDG-Reform in die KDR-OG zu beraten. * Für die **Reform der katholischen Mitarbeitervertretungsordnung** sieht es trotz noch fehlendem Termin wahrscheinlich auch gut aus, schon weil der Druck höher ist, das Gesetz auf die Höhe der Zeit zu bringen. Dringend nötig ist etwa die geplante Regelung zum Datenschutz der MAV. * Schon lange fällig ist auch die **Novelle der katholischen Archivordnung**. Status: unbekannt. ### Staatliche Gesetzgebung * Das **Beschäftigtendatenschutzgesetz** steht im Sofortprogramm der Bundesregierung. Auf Anfrage teilte das Bundesarbeitsministerium mit, dass derzeit regierungsinterne Vorarbeiten laufen. Zusammen mit dem Arbeitsministerium ist das Innenministerium federführend. Ganz bei null startet man nicht: „Die in der letzten Legislaturperiode gewonnenen Erkenntnisse fließen in das aktuelle Vorhaben ein“, heißt es vom BMAS. Der viel kritisierte, reichlich kleinteilige Referentenentwurf aus der Vorgängerregierung hat aber wahrscheinlich wenig Zukunft. * Eine Reform des **Bundesdatenschutzgesetzes** steht immer noch aus – aus Sicht des kirchlichen Datenschutzes wird vor allem eine Klarstellung des Geltungsbereichs für öffentlich-rechtlich verfasste Religions- und Weltanschauungsgemeinschaften erwartet. * Der **Digital-Omnibus der EU-Kommission** dürfte die netzpolitische Diskussion des Jahres prägen – und hat das Potential, die erste wirkliche DSGVO-Reform nach sich zu ziehen. Die hier diskutierten ursprünglichen Vorschläge zur Reform von Art. 9 DSGVO wurden zum Glück schon abgeschwächt. ## Was sonst noch ansteht * Die EKD-Synode hat dem Rat einige Aufträge im Bereich KI mitgegeben: eine Datenkompetenzstrategie, eine KI-Strategie und ein digitales Liturgie-Tool. ## Bisherige Jahresausblicke * Das passiert **2021** im kirchlichen Datenschutz * Kommt der Facebook-Crackdown? Jahresausblick **2022** zum kirchlichen Datenschutz * Endlich Evaluierung? Jahresausblick **2023** zum kirchlichen Datenschutz * Vor Gericht und bei der Evaluierung – Jahresausblick **2024** * Jahr der Reform, Jahr des Gerichts – Jahresausblick **2025** * Umsetzen und Hoffen – Jahresausblick **2026** * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Das wird im Neuen Jahr Thema im kirchlichen Datenschutz: viele Dauerbrenner und (hoffentlich) einige interessante Gerichtsentscheidungen.

https://artikel91.eu/2026/01/02/umsetzen-und-hoffen-jahresausblick-2026/

#TeamDatenschutz

Fertig novelliert – Jahresrückblick kirchlicher Datenschutz 2025 2025 war das **Jahr des neuen Datenschutzrechts** : Das novellierte DSG-EKD trat in Kraft, das novellierte KDG wurde beschlossen. 2025 war außerdem das Jahr, in dem KI-Themen endgültig nicht mehr aus dem kirchlichen Datenschutz wegzudenken sind – nicht zuletzt, weil Papst Leo XIV. den **Umgang mit künstlicher Intelligenz als soziale Frage unserer Zeit** identifiziert hat. (Bildquellen: Nazym Jumadilova auf Unsplash und Ingmar auf Unsplash, Montage fxn) Der Artikel-91-Jahresrückblick zeigt, welche Themen den kirchlichen Datenschutz 2025 geprägt haben. Wieder einmal sind viele Dauerbrenner dabei – manche Themen kommen aber langsam zu einem Abschluss. **Inhalte** Verbergen 1 Aus den Aufsichten 1.1 Tätigkeitsberichte 2 Aus den Gerichten 2.1 Kirchliche Gerichte 2.2 Staatliche Gerichte 3 Themen 3.1 Aufarbeitung 3.2 Jehovas Zeugen 3.3 Aus dem Vatikan 3.4 Beichtgeheimnis 3.5 Künstliche Intelligenz 4 Gesetzgebung 4.1 Kirchliche Gesetzgebung 4.2 Staatliche Gesetzgebung 5 Gastbeiträge und Interviews 6 Praktisches 7 In eigener Sache 8 Aus der Welt 9 Bisherige Jahresrückblicke ## Aus den Aufsichten * Seit dem 1. Januar 2025 gibt es nur noch **eine evangelische Aufsicht** – mit dem Ende des DSBKD hat der BfD EKD die Aufsicht über alle EKD-Gliedkirchen übernommen. * In die Frage nach der Aufsichtszuständigkeit für Jehovas Zeugen kam endlich Bewegung. Nachdem sich Hessen und Berlin über die Zuständigkeit für die Körperschaft über Jahre nicht einig werden konnten, ist das jetzt klar (Berlin übernimmt). Außerdem hat erst die Landesdatenschutzaufsicht Sachsen-Anhalts ihre Zuständigkeit für lokale Gliederungen erklärt, anschließend haben die meisten Landesdatenschutzaufsichten nachgezogen. * Der NRW-Diözesandatenschutzbeauftragte geht nicht in eine dritte Amtszeit. * Beim Bund Freier evangelischer Gemeinden in Deutschland gibt es einen neuen Bundesbeauftragten für den Datenschutz. * Die KDSA Nord ist **immer noch keine KdÖR.** * Bei der Datenschutzkonferenz dürfen die kirchlichen Aufsichten weiterhin nur am Spielfeldrand dabei sein. * Die **alt-katholische** Datenschutzaufsicht war mit dem Auslaufen der Amtszeit des bisherigen Bistumsdatenschutzbeauftragten (der nicht viel getan hat) seit Anfang des Jahres vakant. Eine neue Besetzung steht noch aus. ### Tätigkeitsberichte Bei den Tätigkeitsberichten treten die Corona-Nachwehen langsam in den Hintergrund. Das nächste große Thema ist **KI in der Kirche**. Die Reihenfolge der Berichte hat sich mittlerweile recht verlässlich eingependelt: Die Ordensdatenschutzbeauftragten sind am schnellsten, Dortmund kommt auf den letzten Drücker. Erstmals gab es auch einen Bericht aus Bayern, seit das KDSZ Bayern errichtet wurde. Ungerade Jahre sind evangelische Berichtsjahre – mit nur noch einer Aufsicht bleibt das so. * **Ordensdatenschutzbeauftrage:** Ein einziger Ort für viele Beschwerden (2024) * **Datenschutzbeauftragter des Bundes freikirchlicher Pfingstgemeinden:** Aufsichtsbekannt archiviert (2022/23) * **KIOD (Polen):** Tätigkeitsbericht 2024 * **KDSA Ost:** Klare Kante für Grundrechte (2024) * **Datenschutzaufsicht Jehovas Zeugen:** Tätigkeitsbericht 2021 * **BfD EKD:** Grundrechtsbasierte Datennutzung (2023/2024) * **KDSZ Frankfurt:** ToMs für die Plazenta (2024) * **KDSA Nord:** KI ist da (2023) * **KDSZ Bayern:** Alles neu in Nürnberg (2023/2024) * **KDSZ Dortmund:** Pflichtbericht (2024) ## Aus den Gerichten ### Kirchliche Gerichte 2025 wurden eine Fülle von Entscheidungen zum kirchlichen Datenschutz veröffentlicht – aber wieder ausschließlich katholische. Nach wie vor ist unklar, warum Fälle mit Datenschutzbezug in der evangelischen Verwaltungsgerichtsbarkeit eine viel geringere Rolle spielen. * Die Aufarbeitungskommission Nord hat eine Klage beim IDSG eingereicht. Es geht um die Frage, ob sie zurecht von der Datenschutzaufsicht als **eigene verantwortliche Stelle** betrachtet wird, wie es die katholische Datenschutzkonferenz in einem ihrer seltenen Beschlüsse festgehalten hat. Auch der BfD EKD sieht in den URAKs eigene Verantwortliche. * Das IDSG hat zur **Anonymisierung von Betroffenendaten** und insbesondere Tathergangsschilderungen im Kontext der Münsteraner Studie entschieden – eine Entscheidung, die wichtige Weichen für weitere Aufarbeitungsbemühungen stellt. * Ebenfalls vom IDSG kam die Klärung einer zentralen Frage des kirchlichen Datenschutzes: Wie funktioniert eigentlich **gemeinsame Verantwortlichkeit** , wenn mehrere Datenschutzgesetze beteiligt sind? Das Ergebnis ist sehr praxisrelevant und gut umzusetzen. * Inwiefern **Löschen eine Datenschutzverletzung** ist, beschäftigte den IDSG in mindestens zwei Fällen. Ich habe die erste Entscheidung eher positiv, Matthias Ullrich eher negativ besprochen – hier ging es darum, dass zuviel gelöscht wurde. Im zweiten Fall hat das IDSG seine Rede vom Löschen als bestem Datenschutz wieder aufgegriffen. * Das KDG hat einen notorisch schlecht bestimmten Geltungsbereich – was »**sonstige kirchliche Rechtsträger** « sind, braucht zur sachgerechten Auslegung kirchenrechtliche Kompetenz. Die hat beim IDSG leider völlig gefehlt, als es darüber entschied, ob Kolping das KDG anwenden muss. * Das **DSG- DBK** hatte weniger zu tun; im Fall der Haustürwerbung einer Kirchenzeitung hat es das IDSG bestätigt. ### Staatliche Gerichte * Das BAG hatte zugunsten einer Kirchenmusikerin entschieden, die **Einsicht in ein Kirchengemeinderatsprotokoll** eingeklagt hatte, in der es um ihre Personalsache ging. Dagegen hat die Gemeinde Verfassungsbeschwerde eingelegt, die immer noch nicht bearbeitet wurde – aber eben auch nicht abgewiesen wurde. Pikant: Verfassungsbeschwerden haben keine aufschiebende Wirkung, dennoch hat die Gemeinde erst spät eine einstweilige Anordnung beantragt, um auch legal das eingeklagte Protokoll bis zu einer Entscheidung zurückhalten zu dürfen. * Im März gingen beim EuGH die Vorlagefragen aus Belgien zum **Löschen aus Taufbüchern** ein. Noch ist in dem Verfahren nichts terminiert. Der Vatikan hat sich aber durch das Gesetzesdikasterium geäußert und erläutert, warum Taufbücher nicht gelöscht werden dürfen, und Papst Leo XIV. ist persönlich an dem Thema interessiert. * Das LAG Düsseldorf hat entschieden, dass das **staatliche Arbeitsgericht für eine arbeitsrechtliche Frage mit Datenschutzbezug zuständig** ist und hat damit die herrschende Meinung bestätigt. In der eigentlichen Sache steht das Urteil noch aus. ## Themen ### Aufarbeitung * Das Dikasterium für die Gesetzestexte hat sich noch einmal deutlich dagegen gestellt, die **Namen verstorbener Beschuldigter** zu nennen. Unter anderem (aber nicht vorrangig) auf Grundlage dieser Äußerung hat das Bistum **Aachen** seine Liste mutmaßlicher und verurteilter Täter offline genommen. * Der Streit um die **Anonymisierung** in der Münsteraner Studie führt dazu, dass Anonymisierung in Studien einen größeren Stellenwert einnimmt. In **Würzburg** gab es Kritik aufgrund von Schwärzungen in Akten, die für die Studie herangezogen wurde. Kurz darauf veröffentlichte das IDSG seine Entscheidung zu Münster. In **Augsburg** und insbesondere in **Passau** hat die IDSG-Entscheidung deutlichen Niederschlag gefunden. * Ein Dauerbrenner ist die Frage, wie kirchliche Akten zur Missbrauchsaufarbeitung verwendet werden können. Die Aufarbeitungskommission für die Diözesen **Berlin, Dresden-Meißen und Görlitz** hat in ihrem Tätigkeitsbericht Grundsatzkritik an der Musterordnung zur Akteneinsicht geübt. In **Trier** gab es eine neue Akteneinsichtsordnung für die Einsicht durch Betroffene und Angehörige, eine Premiere. * Die EKD hat in ihrer **Anerkennungsrichtlinie** auch Regelungen für den Datenschutz und die Akteneinsicht durch Betroffene. * Die NRW-Bistümer haben ihre Rechtsgrundlagen für die **Verwendung von Personal- und Sachakten zur Aufarbeitung** weitgehend vereinheitlicht. * Der **IT-Vorfall** , der die Deutsche Bischofskonferenz zeitweise lahmgelegt hat, hat auch Betroffenenreaktionen ausgelöst. Der »Eckige Tisch« fordert eine unabhängige IT für unabhängige Aufarbeitungsinstitutionen. ### Jehovas Zeugen Am Umgang der staatlichen Aufsichten mit Jehovas Zeugen bin ich schon länger dran – lange konnten sie Berlin und Hessen nicht einigen, wer für die zentrale Körperschaft zuständig ist. In diesem Jahr kam Bewegung in die Sache. * Der Aufschlag kam aus Sachsen-Anhalt: Die dortige Landesdatenschutzbeauftragte erkennt das Datenschutzrecht und damit die eigene Aufsicht der Zeugen nicht an. * Eine Abfrage unter allen Landesdatenschutzaufsichten hat gezeigt: Die sachsen-anhaltinische Meinung wird von fast allen geteilt. Damit ist es nur noch eine Frage der Zeit, bis die Zulässigkeit des eigenen Datenschutzrechts gerichtlich überprüft wird. * Jehovas Zeugen selbst bleiben wenig überraschend bei ihrer Rechtsauffassung. ### Aus dem Vatikan * Im Vatikan-Dokument »Antiqua et nova« wurde **Datenschutz erstmals lehramtlich gewürdigt** und begründet. Das Verständnis von personenbezogenen Daten als Beziehungsdaten, deren Schutz Freiheitsräume bewahrt, ist erstaunlich nah am Verständnis des Bundesverfassungsgerichts im Volkszählungsurteil. * Die KI-Kommission des Vatikanstaats wurde eingerichtet. Seither hat man nichts mehr von ihr gehört. * **Papst Franziskus** war der erste Papst, dessen Pontifikat von Fragen der Digitalität mitgeprägt war. Deshalb habe ich nach seinem Tod zurückgeblickt: Franziskus und die Daten – ein netzpolitischer Blick auf sein Pontifikat. ### Beichtgeheimnis * Weltweit ist das Beichtgeheimnis unter Druck: Im US-Bundesstaat Washington, in Großbritannien und in Ungarn gab es Gesetzesinitiativen, die unterschiedlich weit gediehen sind. * Das Beichtgeheimnis ist nicht nur eine katholische Angelegenheit: In Washington haben auch die Orthodoxen geklagt. ### Künstliche Intelligenz * Gleich zu Beginn seines Pontifikats hat **Leo XIV.** den Umgang mit KI zu einem wichtigen Thema erklärt. Im Laufe des Jahres äußerte er sich immer wieder dazu und wurde sogar als »TOP-KI-Denker« ausgezeichnet. * Auch die lateinamerikanischen Bischöfe haben sich umfassend mit KI befasst, der Wiener Altkardinal Schönborn knapper und pointierter. * In der Evangelischen Kirche von Kurhessen und Waldeck wurde es praktisch: Sieben Leitsätze sollen den KI-Einsatz prägen. Noch kompakter sind die vier knappen Anweisungen der niederländischen katholischen Kirche zum Einsatz von KI. * Die Caritas hat untersucht, wie KI im Verband genutzt wird: 44 Prozent der beim Caritas-Panel befragten Rechtsträger haben sich schon mit KI befasst, davon gibt die Hälfte eine Nutzung im Einrichtungsalltag an. * Ausführlich hat sich das Katholische Büro Berlin zur KI-Regulierung geäußert. ## Gesetzgebung ### Kirchliche Gesetzgebung * Am 1. Mai trat das novellierte **DSG- EKD** in Kraft. Im Spätjahr erschien dann auch eine (leider nur online verfügbare) zweite Auflage des DSG-EKD-Kommentars, der die Änderungen berücksichtigt. * Die **Novelle des KDG** wurde durch den VDD beschlossen. Kurz vor Weihnachten wurde sie auch veröffentlicht, so dass ich das neue KDG und die neue KDG-DVO noch in diesem Jahr analysieren konnte. Jetzt liegt es an den Diözesanbischöfen, es so rechtzeitig in Kraft zu setzen, dass der 1. März 2026 als Startdatum bleibt. * Die anderen katholischen Reformprojekte laufen weiter, ohne dass ein Abschluss in Sicht wäre: **keine neue MAVO, keine neue KAO**. Immerhin wurde der Anhörungsentwurf der neuen MAVO bekannt – die geplante Regelung zum Datenschutz der MAV habe ich mir angeschaut. ### Staatliche Gesetzgebung * Das **Beschäftigtendatenschutzgesetz** hat es zwar ins Sofortprogramm der neuen Bundesregierung geschafft, passiert ist aber noch nichts. * Anders sieht’s beim **BDSG **aus. Hier gibt es einige konkrete Pläne zur »Entbürokratisierung«, die betreffen aber nicht den kirchlichen Datenschutz. Relevant wäre vor allem, die Frage nach der Zuständigkeit der Aufsichten für körperschaftlich verfasste Religionsgemeinschaften ohne eigene Aufsicht zu klären. ## Gastbeiträge und Interviews Das meiste hier schreibe ich. Das muss nicht sein: Über Angebote von Gastbeiträgen freue ich mich immer. Leider ist es gar nicht so einfach, Menschen zum Schreiben zu bewegen – umso mehr freut es mich, wenn die wenigen Gastbeiträge von so hoher Qualität sind wie in diesem Jahr sind. * Matthias Ullrich hat eine **Entscheidung des IDSG zum Löschen** kritisch kommentiert. * Sven Braun und Sascha Kremer haben für mich den neuen § 50b DSG-EKD zur **Mitgliederkommunikation** analysiert. * Emmanuel S. Caliwan ist Rechtsanwalt und Datenschützer auf den Philippinen. Seinen Beitrag zum **Löschrecht für Taufbücher** durfte ich in deutscher Übersetzung veröffentlichen. * Mit dem Leiter der Essener Bahnhofsmission habe ich über die Kampagne zum **Schutz von Menschen auf der Straße vor »Charity«-Influencer*innen** gesprochen. * Mit dem Projektkoordinator von **ELOKI** habe ich darüber gesprochen, warum die evangelische Kirche eine eigene KI braucht und wie sie das angeht. ## Praktisches Die (datensparsam erhobenen) Zugriffszahlen zeigen: Praxisrelevantes läuft besonders gut. Hier wäre auch ein guter Ansatzpunkt für Gastbeiträge aus dem Datenschutz-Alltag von Leser*innen. * In diesem Jahr hatte ich einen MAV-Schwerpunkt – sowohl bei Schulungen und Workshop als auch hier. Eine kleine Serie befasst sich mittlerweile mit dem **Datenschutz der MAV**: * Datenschutzkonzept der MAV – so geht’s * Datenschutz und Mitbestimmung – welche Rechte hat die MAV? * Haben MAVen ein datenschutzrechtliches Beschwerderecht? * Betriebliche Datenschutzbeauftragte und MAV-Mitglied – geht das? * Beschäftigtendatenschutz in KDG und DSG-EKD * Nach der Niederlage der BfDI in Sachen Bundesregierungs-Facebook-Seite in erster Instanz hat sie eine Handreichung für **Behörden-Social-Media** veröffentlicht. Wie man die im kirchlichen Bereich fruchtbar machen kann, habe ich aufgeschrieben. * Eine hilfreiche technische **Checkliste für Webseiten** gab es vom KDSZ Frankfurt * **Messenger-Dienste** sind Telekommunikationsdienste – das ist nicht allen bekannt, macht aber den Einsatz datenschutzrechtlich etwas einfacher. * Gilt das **Kunsturhebergesetz** noch und wie spielt es mit dem kirchlichen Datenschutzrecht zusammen? * Datenschutz bei **Gebetsanliegen** und Fürbittbüchern ## In eigener Sache * Am 14. Juli wurde **Artikel91.eufünf Jahre alt** (den offiziellen Geburtstag markiert ein Tweet). * 2025 ist nach langem Vorlauf der **Taeger/Gabel in fünfter Auflage** erschienen – ab dieser Auflage kommentiere ich zusammen mit Karsten Kienast den Art. 91 DSGVO. * Dreimal war ich in Podcasts zu Themen des kirchlichen Datenschutzes: Einmal beim Eule-Podcast, zweimal im MAV-Podcast (davon ist aber bislang nur die erste Folge erschienen). ## Aus der Welt * Die Jahresrückblicke des **Dresdner Instituts für Datenschutz** – Teil 1 (Januar bis Juni) und Teil 2 (Juli bis Dezember) – und von **Dr. Datenschutz** – Teil 1 (Januar bis März), Teil 2 (April bis Juni), Teil 3 (Juli bis September) und Teil 4 (Oktober bis Dezember) – haben im Blick, was allgemein in der Welt des Datenschutzes passiert ist. * Wer lieber hört als liest: Im **c’t-Datenschutz-Podcast** Ausgelegt gibt’s einen launigen und kontroverse Jahresrückblick zum weltlichen Datenschutz. ## Bisherige Jahresrückblicke * Corona und Schrems II: Das war **2020** * Corona, Kirchengesetze und Konsolidierung: Das war **2021** * Dauerbrenner und kontraintutive konfessionelle Transparenz – das war **2022** * Fake-Facebook-Verbot und kontroverse Aufarbeitung – Jahresrückblick **2023** * Das Jahr der Novellen – **Jahresrückblick 2024** * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Neues DSG-EKD, neues KDG, neuer Papst – das alte Jahr 2025 war von Neuem geprägt.

https://artikel91.eu/2025/12/29/fertig-novelliert-jahresrueckblick-kirchlicher-datenschutz-2025/

#TeamDatenschutz

Neuer koptischer Metropolit: Wir gehen mit unserem Erbe nicht lasch um Nicht nur ein Ehrentitel für Bischof Anba Damian

Bischof Anba Damian ist seit 40 Jahren in Deutschland und seit 30 Jahren Bischof – nun wurde er vom koptischen Papst Tawadros II. zum Metropoliten erhoben. Was das für seine #Kirche in Deutschland bedeutet und was Katholiken von #Kopten lernen können, erklärt er im #Interview mit @fxneumann.de:

Pflichtbericht – Tätigkeitsbericht des KDSZ Dortmund 2024 Wie in den vergangenen Jahren schließt das KDSZ Dortmund den Reigen der Tätigkeitsberichte kirchlicher Aufsichten ab – am Freitag vor Weihnachten ist der Tätigkeitsbericht für 2024 erschienen. Trends und Entwicklungen lassen sich kaum ablesen – das meiste darin sind Varianten des Altbekannten, auch die KI als großes Compliance-Thema wirft nur gelegentlich ihre Schatten voraus. **Inhalte** Verbergen 1 Rechtsprechung und Gesetzgebung 1.1 Kirchlicher Bereich 1.2 Staatlicher Bereich 2 Aufsichtstätigkeit 2.1 Statistik 2.2 Struktur der Aufsicht 2.3 Beratungen 2.4 Fälle 2.5 Fotofragen 2.6 Betriebliche Datenschutzbeauftragte 3 Fazit 4 Bisher besprochene Tätigkeitsberichte des KDSZ Dortmund ## Rechtsprechung und Gesetzgebung ### Kirchlicher Bereich Die Prämisse des Tätigkeitsberichts für 2024 ist, dass er tatsächlich aus der Sicht von 2024 geschrieben ist, obwohl er erst Ende 2025 erscheint. Das führt zu bestenfalls noch historisch interessanten Berichtsgegenständen, vor allem der Evaluation des KDG. An kirchlichen Rechtsakten werden folgende erwähnt: * Ordnung zum Betrieb einer Meldestelle nach Hinweisgeberschutzgesetz * Einsicht in Missbrauchs-Akten in der Diözese Essen * Ordnung für die Aufbewahrung und Kassation von pfarramtlichen Unterlagen in der Erzdiözese Köln * Rahmenschulordnung für Schulen in der Trägerschaft des Bistums Essen * KI-Nutzungs-Ordnung der Erzdiözese Köln * Datenschutz-Gesetz des Vatikanstaats Die spezifischeren wurden hier bereits verhandelt und offensichtlich auch von der Aufsicht wahrgenommen – insbesondere beim Datenschutzgesetz des Vatikans gibt es nicht gekennzeichnete Textübernahmen aus der Berichterstattung hier. ### Staatlicher Bereich * Die **KI -Verordnung** lässt das Datenschutzrecht unberührt: »Damit ist im kirchlichen Bereich auch die Anwendung der Normen des KDG für datenschutzrechtliche Sachverhalte aus dem Anwendungsbereich der KI-VO zu prüfen.« * Zu einigen **Entscheidungen staatlicher Gerichte** gibt es praxisrelevante Anmerkungen, so etwa zum berechtigten Interesse, zu Grenzen von Betriebsvereinbarungen, zur namentlichen Nennung von betrieblichen Datenschutzbeauftragten oder zu Negativauskünften – die Praxistipps sind aber jeweils identisch: Es wird keine Entscheidung angeführt, bei der im kirchlichen Datenschutzrecht anders vorzugehen wäre als unter Geltung der DSGVO. * Später heißt es auch noch einmal explizit zu **Positionen weltlicher Aufsichten** : »Unter Beachtung der kirchlichen Spezifika des KDG sind die Aussagen der Veröffentlichungen des EDSA beziehungsweise der DSK auf die Rechtslage nach dem KDG übertragbar.« ## Aufsichtstätigkeit ### Statistik Absolute Zahlen zur Aufsichtstätigkeit fehlen erneut. Aus einem Kuchendiagramm geht hervor, dass die Meldungen von Datenpannen bei weitem vorne lagen mit mehr als drei Viertel der Vorgänge, gefolgt von Anfragen, Beschwerden und Hinweisen. * Die Meldungen von **Datenpannen** sind im Vergleich zum Vorjahr gestiegen. Wieder machen Fehlversände (die getrennt von offenen Verteilern ausgewiesen werden) und Einbrüche einen großen Teil der Pannen aus. Die Probleme mit der Kita-App »StayInformed«, die zu einem meldepflichtigen Vorfall der jeweiligen Einrichtung führte, trugen zur Steigerung bei. Kurios: »Das Katholische Datenschutzzentrum weist daraufhin, dass es auch immer wieder zu einem meldepflichtigen Tatbestand kommt, weil versehentlich Unterlagen/Dokumente mit personenbezogenen Daten an das Katholische Datenschutzzentrum gesendet werden, die eigentlich für eine Einrichtung in dessen Zuständigkeitsbereich bestimmt sind.« * Bei den **Beschwerden** machten Fälle zum Auskunftsersuchen etwa ein Drittel der Fälle aus, gefolgt von Beschwerden über Datenweitergaben, der Rest wird unter »Sonstiges« gefasst. Nicht in jedem Fall waren die Beschwerden begründet: Ausdrücklich nennt die Aufsicht Beschwerden über zurecht geschwärzte Daten Dritter in Auskünften. Daher empfiehlt die Aufsicht, den Grund für Schwärzungen transparent und nachvollziehbar anzugeben. * Zu den **Prüfungen** erfährt man wenig; anlassunabhängige Prüfungen wurden im Berichtszeitraum nicht abgeschlossen. * Erfreulich ist, dass die **Bußgelder** eine eigene Rubrik erhalten. Die Aufsicht berichtet von zwei Geldbußen in dreistelliger Höhe im Rahmen einer Prüfung. Beide Bußgelder waren eindeutig aus der Kategorie »selber schuld, kein Mitleid verdient«: »Die beiden Einrichtungen hatten sich auf mehrfache Schreiben des Datenschutzzentrums nicht gemeldet.« * Im Berichtszeitraum waren zwei Verfahren beim **IDSG** , eins beim **DSG- DBK** anhängig. Eines der Verfahren beim IDSG wurde abgeschlossen, weil der Antrag als erledigt erklärt wurde. Entscheidungen zu Verfahren aus 2022 und 2023 stehen noch aus. ### Struktur der Aufsicht * Weiterhin sind **elf Planstellen** vorgesehen, die nicht alle besetzt waren. * Für 2024 sah der **Haushaltsplan** 1.264.000 Euro vor, für 2025 sinkt das genehmigte Budget auf 1.239.000 Euro. * Die neue Satzung des **KDSZ Dortmund** wird erwähnt, aber nicht ausführlich dargestellt. ### Beratungen Hilfreich ist, dass typische Beratungsanfragen dargestellt werden: die Frage nach Ehrenamtlichen als Beschäftigte im Sinne des § 53 KDG (nein), die Übermittlung von Arbeitsverträgen zu Prüfzwecken an den Medizinischen Dienst (Erforderlichkeit prüfen), der Austausch über Patientendaten per Microsoft Teams (schwierig), zur Cloud-Speicher-Nutzung (Verweis auf eine Veröffentlichung der Aufsicht zu MS365) und zur **Nutzung von Gemeindemitgliederdaten zur Information von Angehörigen von Verstorbenen**. Der letzte Fall hat aufgrund seiner spezifisch kirchlichen Gestaltung eine hohe Relevanz: Es wurde gefragt, ob die Meldedaten genutzt werden dürfen, um lebende Angehörige von Verstorbenen für Einladungen zu Gedenkmessen einzuladen. Die Aufsicht sieht hier nur eine Einwilligung als taugliche Rechtsgrundlage an. Ob eine Aufgabenwahrnehmung im kirchlichen Interesse denkbar wäre, wird jedenfalls nicht explizit geprüft. Als Hinweis an den kirchlichen Gesetzgeber wäre noch hilfreich gewesen, auf die Möglichkeit einer kirchengesetzlichen Erlaubnisnorm hinzuweisen. ### Fälle Viele der geschilderten Fälle aus der Praxis sind Standardsituationen: Falsche Berechtigungen und Zugriffskonzepte sowie versehentliche Veröffentlichung oder Offenlegung von Daten in verschiedenen Konstellationen. ### Fotofragen Die **Bildaufnahme von Patient*innen mit privaten Handys** wird erneut thematisiert. Hier handelt es sich zwar meist um einen Mitarbeiterexzess, mithin keinen Vorgang, der in der Regel der verantwortlichen Stelle zuzurechnen ist. Dennoch lässt die Aufsicht Verantwortliche nicht ganz so einfach vom Haken: »die Aufsicht schaut in diesen Fällen, ob die Einrichtung als die für die Verarbeitung der personenbezogenen Daten der behandelten oder betreuten Personen verantwortliche Stelle, alle notwendigen technischen oder organisatorischen Schutzmaßnehmen ergriffen hat, um solche Vorfälle bestmöglich zu verhindern.« Vorgeschlagen werden organisatorische Maßnahmen wie explizite Anweisungen zum Fotografierverbot. Hilfreich sind die Hinweise zu **Fotos in Kitas und anderen Einrichtungen**. Neben der richtigen Rechtsgrundlage (in der Regel der Einwilligung) und dem Löschkonzept nennt die Aufsicht drei Anforderungen ans Fotografieren: 1. nur durch Kita-Personal und nicht durch Eltern oder sonstige Personen 2. nur mit Dienstgeräten zu dienstlichen Zwecken 3. nicht von sensiblen Situationen Damit ist also nur der Standardfall abgedeckt; etwas detaillierter auch zur Frage von Fotos durch Eltern hatte sich die KDSA Nord in ihrem Tätigkeitsbericht geäußert. ### Betriebliche Datenschutzbeauftragte * **Betriebliche Datenschutzbeauftragte** und ihre Bestellungen scheinen mehr Probleme zu machen, als der Gesetzeswortlaut es nahelegt – es kam wohl häufiger vor, dass die Aufsicht auf Interessenkonflikte hinweisen musste. * Wo es **keine bDSB** braucht, muss man sich trotzdem um Datenschutz kümmern. Schon jetzt baut die Aufsicht der Erhöhung des Schwellwerts für die Bestellung (ab 20 statt ab 10 mit der Verarbeitung befassten Personen) vor und weist darauf hin. ## Fazit Obwohl das KDSZ Dortmund sich viel Zeit genommen hat, gehört der Bericht zu den kompakteren unter den Aufsichten. Vieles bleibt vage, was die Aufsichtstätigkeit angeht. Alles in allem wirkt dieser Bericht wie eine Pflichtübung, die auf den letzten Drücker abgegeben wurde – dafür sprechen auch die ohne Nachweis übernommenen Textteile aus hier erschienenen Artikeln. Positiv ist, dass den Fällen und Sachverhalten weiterhin viele praktische Hinweise in grauen Texten beigegeben werden, auch wenn die nicht immer besonders neu, überraschend oder tiefgreifend sind. Zur KI-Nutzung heißt es etwa: »Die beim Einsatz der Tools oftmals entstehenden Gefahren für personenbezogene Daten oder Betriebs- und Geschäftsgeheimnisse der Einrichtung sind von der Einrichtung zu regeln. Mit diesen Regelungen sollte eine gesetzeskonforme Nutzung der KI-Tools durch die Mitarbeitenden erreicht werden.« No shit, Sherlock. Interessant dürfte es sein, wie es im nächsten Jahr weitergeht: Schließlich scheidet der Diözesandatenschutzbeauftragte Mitte 2026 aus dem Amt – liefert er vorher noch einen Tätigkeitsbericht ab, oder bleibt es bei dem Bericht auf den letzten Drücker, dann unter Ägide der Nachfolge? ## Bisher besprochene Tätigkeitsberichte des KDSZ Dortmund * Die Schonzeit ist vorbei: Der Tätigkeitsbericht des Datenschutzzentrums NRW **2019** * Betroffenenrechte mangelhaft – Tätigkeitsbericht **2020** des Katholischen Datenschutzzentrums NRW * Flut, Kita und Videoüberwachung – Tätigkeitsbericht des KDSZ Dortmund **2021** * Rechtsgrundlagenarbeit – Tätigkeitsbericht des KDSZ Dortmund **2022** * Sehr externe Datenschutzbeauftragte – Tätigkeitsbericht des KDSZ Dortmund **2023** * Pflichtbericht – Tätigkeitsbericht des KDSZ Dortmund **2024** * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Auf den letzten Drücker kommt der letzte kirchliche Tätigkeitsbericht des Jahres. Die katholische NRW-Aufsicht berichtet eher pflichtgemäß.

https://artikel91.eu/2025/12/23/pflichtbericht-taetigkeitsbericht-des-kdsz-dortmund-2024/

#TeamDatenschutz

Die neue KDG-DVO – Datenschutz durchführen Die Durchführungsverordnung zum KDG ist so etwas wie die unscheinbare kleine Schwester des KDG: Sie steht im Schatten des KDG und ist wohl viel weniger präsent als das eigentliche kirchliche Datenschutzgesetz. Dennoch hat sie eine hohe Praxisrelevanz für alle Verantwortliche, die das KDG anwenden. (Foto von Philippe Krief auf Unsplash) Mit der Novelle des KDG wurde dieses Mal gleich auch die KDG-DVO novelliert – 2018 erfolgte der Beschluss der neuen Durchführungsverordnung erst im November, im März 2019 trat sie in Kraft. Damit ist jetzt das katholische Datenschutzrecht in einem Guss erneuert. **Inhalte** Verbergen 1 Grundprinzipien der Novelle 2 Wesentliche Neuerungen 2.1 § 2 Schulungspflicht 2.2 § 3: Verpflichtungserklärungen 2.3 § 4: IT-Systeme 2.4 § 6: Technische und organisatorische Maßnahmen 2.5 § 7: Überprüfung der ToMs 2.6 Datenschutzklassen und Datenschutzniveau 2.7 Kapitel 5: Besondere Gefahrenlagen 2.7.1 § 18: Cloud-Systeme 2.7.2 § 21: Nutzung privater Systeme 2.7.3 § 25: Faxen 3 Fazit ## Grundprinzipien der Novelle Der Normtext der neuen KDG-DVO ist als Lesefassung beim VDD abrufbar. Vieles in der neuen KDG-DVO ist Hausmeisterei. Übergangsvorschriften braucht es nun nicht mehr, sie sind durchweg weggefallen. Generell wird technikoffener und häufiger mit Bezug auf den »Stand der Technik« und damit zukunftssicherer formuliert. Während 2018 Arbeiten außerhalb der Arbeitsstätte noch Ausnahmen waren, ist Remote-Arbeiten jetzt eine Selbstverständlichkeit. Das vollzieht die Novelle an einigen Stellen nach. Ein deutliches Beispiel ist die Seelsorge (§ 14 KDG-DVO). War dort bisher die Seelsorge »im Rahmen einer Online-Beratung« eher als Ausnahme formuliert, wird die medial vermittelte Seelsorge mit der neuen Formulierung nun als Normalfall gesehen, bei dem nur noch zu regeln ist, was außerhalb geschlossener Netze zu beachten ist. ## Wesentliche Neuerungen ### § 2 Schulungspflicht § 2 KDG-DVO, mit dem bisher die Belehrung und Verpflichtung auf das Datengeheimnis geregelt wurde, erhält einen neuen Absatz 7, der zu einer regelmäßigen Schulung von Mitarbeitenden (dazu gehören in diesem Kontext auch Ehrenamtliche) verpflichtet – implizit galt das bisher schon. Weitere Ausführungen gibt es zur Schulungspflicht nicht. »Regelmäßig« sollte daher risikoangemessen ausgelegt werden. Der Unterschied zwischen der bisher schon geregelten »Belehrung« und der »Schulung« liegt laut der Begründung darin, dass eine Belehrung sich auf das konkrete Aufgabengebiet bezieht, die Schulung allgemeiner ist. ### § 3: Verpflichtungserklärungen Bei den Inhalten der Verpflichtungserklärungen auf das **Datengeheimnis** ändert sich nichts. Gestrichen wird aber die Bestimmung, dass auf Grundlage der KDO abgegebene Erklärungen wirksam bleiben. Unklar ist, ob der Gesetzgeber damit beabsichtigt, nun nur noch Verpflichtungserklärungen nach KDG zu aktzeptieren, oder ob man davon ausgeht, dass es keine KDO-Verpflichtungserklärugen gibt – das dürfte unwahrscheinlich sein, weil das KDG erst seit sieben Jahren gilt. Da in § 2 Abs. 6 »Verpflichtung auf das Datengeheimnis _gemäß § 5 KDG_« (eigene Hervorhebung) ergänzt wurde, dürfte wohl der ersten Interpretation der Vorzug zu geben sein. Die Abweichungen zwischen § 4 KDO und § 5 Abs. 1 KDG sind minimal: Eine Anpassung auf DSGVO-Terminologie (»verarbeiten« statt »erheben, verarbeiten, nutzen«) und eine Pflicht, nicht nur auf das Datengeheimnis, sondern auch auf die »Einhaltung der einschlägigen Datenschutzregelungen« zu verpflichten. Da das Datengeheimnis nach KDO schon die unbefugte Verarbeitung umfasst, ist diese Ergänzung lediglich klarstellend und regelt nichts Neues. ### § 4: IT-Systeme Was als IT-System gilt, wurde nun technikoffen und umfassend definiert: »sämtliche technischen Einrichtungen, mittels derer personenbezogene Daten automatisiert verarbeitet werden« (Abs. 1). Auch der zweite Absatz formuliert nun allgemeiner und zählt beispielhaft aktuellere Systeme auf. Genannt werden die drei Kategorien hardwarebasierte IT-Komponenten, Softwarelösungen sowie cloudbasierte Systeme und Dienste. ### § 6: Technische und organisatorische Maßnahmen * Bei der **Verschlüsselung** (§ 6 Abs. 1 lit. b)) wird nun »geeignet« näher ausgeführt: auf dem Stand der Technik und dem jeweiligen Sicherheitsbedarf angemessen. * Bei der **Zugangskontrolle** (§ 6 Abs. 2 lit. b)) wird nun neben IT-Systemen auch auf Benutzerzugänge abgehoben. ToMs sollen ausdrücklich Datenpannen Identitätsdiebstahl verhindern, insbesondere auch außerhalb geschlossener und gesicherter Netzwerke. * Das **Trennungsgebot** (§ 6 Abs. 2 lit. i)) bezieht sich nun ausdrücklich nur auf personenbezogene Daten; zuvor waren es allgemein Daten. * Ein neuer Punkt ergänzt die Pflicht, **Datenminimierung** bei der Auswahl von IT-Systemen zu berücksichtigen (§ 6 Abs. 2 lit. k)). ### § 7: Überprüfung der ToMs Es wird nicht mehr nur auf geeignete Zertifikate gemäß § 26 Abs. 4 KDG verwiesen, sondern spezifiziert, dass sich solche Zertifikate an den Veröffentlichungen des BSI orientieren sollen. Alternativ ist auch eine Orientierung an anderen Regelungen zulässig, die einen vergleichbaren Schutzstandard gewährleisten (insbesondere ISO/IEC 27001). ### Datenschutzklassen und Datenschutzniveau Die beiden Paragraphen zu Datenschutzklassen und Datenschutzniveau (§§ 8 und 9 KDG-DVO) wurden neu organisiert. Das soll eine größere Klarheit ohne inhaltliche Änderungen bewirken. Bei den Bestimmungen zu den einzelnen Klassen und Niveaus gibt es einige Veränderungen: * Ausdrücklich geregelt wird nun bereits in Klasse I eine **Mehr-Faktor-Authentifizierung** für sicherheitskritische Bereiche und für Zugriffe außerhalb gesicherter Netze – faktisch dürfte damit eine allgemeine Zwei-Faktor-Pflicht bestehen (§ 11 Abs. 2 lit. b)). * In Klasse II werden die **Anforderungen an Passwörter** genauer und zeitgemäßer bestimmt (§ 12 Abs. 2 lit. a)). Erfreulich ist, dass eine regelmäßige Erneuerung in Übereinstimmung mit den Empfehlungen des BSI nun nicht mehr zwingend vorgesehen ist. Stattdessen müssen Passwörter »ausreichend komplex« sein, die Erneuerung muss »nach dem jeweiligen Sicherheitsbedarf« erfolgen. Praktisch ist eine regelmäßige anlasslose Erneuerung persönlicher Passwörter damit unnötig. ### Kapitel 5: Besondere Gefahrenlagen Im Kapitel 5 über »besondere Gefahrenlagen« werden Cloud-Systeme in einem neuen § 18 KDG-DVO geregelt. Das ist strukturell sehr ungeschickt: § 18 eröffnet das Kapitel, damit verschieben sich alle bisherigen Paragraphen ab da um eins. Das hätte man schöner regeln können, ohne dass aus rein formalen Gründen unzählige Datenschutzkonzepte fehleranfällig mit neuen Nummern versehen werden müssen. #### § 18: Cloud-Systeme Inhatlich wirkt § 18 sinnvoll. Es sollen primär geprüfte und freigegebene Cloud-Systeme eingesetzt werden (Abs. 1). Für die Prüfung wird ein Kriterienkatalog genannt, der Aspekte wie den Speicherort, Portabilität und Abhängigkeit vom Anbieter berücksichtigt (Abs. 2). Sehr sinnvoll ist die ausdrückliche Vorgabe, beim Einsatz zugleich eine Exit-Strategie zu definieren (Abs. 3). #### § 21: Nutzung privater Systeme Die Regeln zur **Weiterleitung von Mails an private Accounts** wurden deutlich verschärft: Zuvor war lediglich die automatische Weiterleitung dienstlicher E-Mails untersagt, nun ist allgemein die Weiterleitung personenbezogener Daten an private Accounts unzulässig. Dennoch sind Ausnahmeregelungen möglich, »soweit das datenschutzrechtliche Schutzniveau, insbesondere nach dem KDG oder dieser Durchführungsverordnung, nicht unterschritten wird« (§ 21 Abs. 4 KDG-DVO). Ein neuer Absatz 5 legt fest, dass Mitarbeitende sicherstellen müssen, dass unberechtigte Dritte keinen Zugriff auf dienstliche personenbezogene Daten haben. #### § 25: Faxen Der Paukenschlag kommt ganz zum Schluss. Statt detaillierter Regelungen zum Faxen heißt es nun ganz kompakt: »Die Übermittlung personenbezogener Daten per Fax ist grundsätzlich unzulässig.« Es können aber »Ausnahmen, insbesondere Übergangsbestimmungen« vorgesehen werden, dazu braucht es »spezifische Bestimmungen«. Angesichts der apodiktischen Formulierung dürften solche Ausnahmen langfristig eigentlich nur zu rechtfertigen sein, wo Behörden auf die Übermittlung per Fax bestehen. Die komplette Streichung kam im Laufe des Anhörungsverfahrens dazu – der Anhörungsentwurf hatte den Fax-Paragraphen noch unverändert gelassen. ## Fazit Die Änderungen an der KDG-DVO sind durchweg **schlüssig** und tragen zu einem **zeitgemäßen Datenschutzniveau** bei. Hilfreich ist vor allem, dass der jeweilige Stand der Technik stark gemacht wird und auf Entwicklungen wie die Normalisierung von Remote-Arbeit reagiert wurde. Sehr gelungen sind die (erst im Anhörungsverfahren) neu hinzugekommenen Regelungen zu Cloud-Systemen und der Mut, sich vom Faxgerät zu verabschieden. Weiterhin ist mit der KDG-DVO der hauptberuflich-dienstliche Kontext im Blick, wo Ehrenamtliche nur zusätzlich vorkommen. Und das, obwohl sie unterschiedslos auch für rein ehrenamtliche Strukturen wie viele kirchliche Vereine und Verbände gilt. Mit einer vereinseigenen IT-Infrastruktur ist § 21 KDG-DVO wahrscheinlich irgendwie umzusetzen; hier gibt es aber nach wie vor viel zu tun, um übliche Arbeitsweisen in ehrenamtlichen Kontexten abzusichern. Das wäre eine Aufgabe für die Dachorganisationen und oberen Ebenen der Verbände und Handreichungen der Datenschutzaufsichten – und perspektivisch auch für den kirchlichen Gesetzgeber: Wenn er schon so detaillierte und spezifische Regelungen aufstellt, sollte er auch die Fülle der verschiedenen kirchlichen Verantwortlichen im Blick haben. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Die neue KDG-Durchführungsverordnung endet mit einem Paukenschlag: Schluss mit den Faxen! Was sonst so drinsteht:

https://artikel91.eu/2025/12/22/die-neue-kdg-dvo-datenschutz-durchfuehren/

#TeamDatenschutz

Nicht nur das neue KDG ist da – auch die zweite Auflage des DSG-EKD-Kommentars auf Stand der evangelischen Novelle.

📒 2. Aufl. DSG-EKD-Kommentar
🤫 Keine Namensnennung mehr im Bistum Aachen
📡 Zuständigkeit für kirchlichen Rundfunk
🕵️ Papst schärft Geheimdiensten Grundrechte ein […]

Besondere Freude hatte ich heute daran, dass sich das Bischofsdikasterium damit befassen musste, wie man »östlich von der B 13« in lateinischer Sprache formuliert: »Bernhardswinden (quod in
orientali parte viae publicae B XIII situm est)« […]

Jetzt ist's umso spannender, wie's mit der alt-katholischen ans KDG angelehnten KDO weitergeht.