Kirchlicher Datenschutz – anders und doch (fast) gleich
Wer im Datenschutz zum ersten Mal eine Einrichtung in katholischer Trägerschaft berät oder betreut, stellt fest, dass man sich mit speziellen kirchlichen Datenschutzregelungen beschäftigen darf, die aufgrund der Regelung des Art. 91 Abs. 1 DSGVO von den Kirchen erlassen wurden. Mit der Novellierung des „Gesetzes über den Kirchlichen Datenschutz (KDG)“ haben die katholischen (Erz-)Diözesen in Deutschland zum 1. März 2026 eine überarbeitete Version des Gesetzes auf den Weg gebracht.
Ziel der Novellierung
Ein Blick in die novellierten Normen zeigt, dass das kirchliche Datenschutzgesetz durch die Anpassung einzelner Regelungen näher an die Vorgaben der DSGVO heranrückt und so den Einklang mit der DSGVO noch deutlicher herausarbeitet. Dies wird vor allem im Bereich der Normen zu den eigenen datenschutzaufsichten deutlich, wo der neue Text des KDG Aufgaben und Befugnisse der Aufsichten stärker an den Vorgaben der DSGVO orientiert, da Art. 91 Abs. 2 DSGVO hier mehr verlangt als nur einen Einklang der kirchlichen Regelungen mit der DSGVO.
Gleichzeitig wurde mit der Neufassung des Gesetzes noch mehr Wert darauf gelegt, kirchenspezifische Regelungen herauszuarbeiten. Schließlich sind es diese spezifischen Bedürfnisse der Kirche, die vor dem Hintergrund des Art. 91 DSGVO eine eigene Regelung notwendig machen und damit auch den Aufwand eines eigenen Gesetzes und eigener Datenschutzaufsichtsbehörden rechtfertigen.
Grundsätze und Rechtmäßigkeit der Verarbeitung
Die Grundsätze der Verarbeitung aus Art. 5 DSGVO finden sich in § 7 KDG wieder, im jetzt novellierten Text des KDG auch mit den aus der DSGVO bekannten Kurzbezeichnungen (z. B. „Zweckbindung“ oder „Datenminimierung“).
Bei der Rechtmäßigkeit der Verarbeitung bleibt auch im novellierten Text des KDG mit § 6 Abs. 1 lit. a KDG ein zusätzlicher Grund für die Rechtmäßigkeit der Verarbeitung erhalten, wonach die Verarbeitung rechtmäßig ist, wenn das KDG oder eine andere kirchliche oder staatliche Rechtsvorschrift sie erlaubt oder anordnet. Danach folgen die aus der DSGVO bekannten Gründe, wobei das „öffentliche Interesse“ des Art. 6 Abs. 1 lit. e DSGVO im § 6 Abs. 1 lit. f KDG wie bisher schon durch das „kirchliche Interesse“ ersetzt ist. Auch im novellierten Text des KDG gibt es weiterhin keine Definition des „kirchlichen Interesses“, welches an verschiedenen Stellen und in verschiedenen Abstufungen im Text des KDG vorkommt.
Bei der Zweckänderung verfolgt das KDG auch im novellierten Text weiterhin einen etwas anderen Ansatz als die DSGVO. Während Art. 6 Abs. 4 DSGVO Kriterien nennt, anhand derer der Verantwortliche prüfen muss, ob eine Vereinbarkeit des ursprünglichen und des neuen Zwecks gegeben ist, wurde diese Prüfung im § 6 Abs. 4 KDG nur allgemein ausgeführt, ohne die Abwägungskriterien des Art. 6 Abs. 4 DSGVO zu nennen. Stattdessen führt das KDG in § 6 Abs. 2 KDG Fälle auf, in denen eine Zweckänderung rechtmäßig ist. Mit der Novellierung hat der kirchliche Gesetzgeber nun die Prüfung der Vereinbarkeit einer Zweckänderung im § 6 Abs. 4 KDG an die Regelung der DSGVO angeglichen, die Aufzählung der Fälle des Abs. 2 aber weiterhin beibehalten. Die bisher in § 6 Abs. 6 und 7 KDG enthaltenen Vorgaben für die Zweckänderung bei der Verarbeitung besonderer Kategorien personenbezogener Daten sind mit der Novellierung in den § 11 KDG zu den Regelungen für die Verarbeitung besonderer Kategorien verschoben worden.
Bisher enthielt das KDG mit den §§ 9 und 10 KDG auch noch zwei Normen zur Offenlegung von Daten, die aus der vorherigen, bis 2018 geltenden kirchlichen Regelung in das KDG übernommen worden waren. Bei diesen beiden Normen war in der Praxis nicht immer deutlich, wie das Verhältnis von § 6 KDG zu diesen beiden Normen sein sollte. Mit der Novellierung sind die §§ 9 und 10 KDG jetzt ersatzlos entfallen.
Die Einwilligung
Mit der Novellierung wurde auch einer der großen Kritikpunkte am kirchlichen Gesetz, dem generellen Schriftformerfordernis der Einwilligung in § 8 Abs. 2 Satz 1 KDG (alt), abgeholfen. Der neue § 8 Abs. 1 KDG nimmt die entsprechende Formulierung der DSGVO auf und gleicht damit die Anforderungen der Einwilligung an.
HINTERGRUND
Die (Erz-)Diözesen der katholischen Kirche in Deutschland haben – ebenso wie die Evangelische Kirche in Deutschland (EKD) und einige andere Religionsgemeinschaften¹ – die Möglichkeiten des Art. 91 DSGVO für sich in Anspruch genommen und ihr eigenes Datenschutzrecht an die Vorgaben der DSGVO angepasst und so ihre Regelungen mit der DSGVO in Einklang gebracht. Das im Mai 2018 in Kraft getretene „Gesetz über den Kirchlichen Datenschutz (KDG)“ der katholischen (Erz-)Diözesen in Deutschland löste die vorher bestehende Fassung des kirchlichen Datenschutzgesetzes ab und passte die kirchlichen Regelungen an die Vorgaben der DSGVO an.² Dabei hat der kirchliche Gesetzgeber, vor dem Hintergrund des notwendigen Einklangs mit der DSGVO, die im staatlichen Recht in DSGVO und BDSG verteilten europäischen und nationalen Regelungen in einem Gesetz vereint, so dass sich im KDG Teile beider Regelungen wiederfinden.
Das Gesetz enthielt in § 58 Abs. 2 KDG die Aufforderung an den Gesetzgeber, die Regelungen „innerhalb von drei Jahren ab Inkrafttreten“ zu überprüfen. Die hierfür eingesetzte Arbeitsgruppe sammelte die Anmerkungen und Änderungsvorschläge verschiedenster kirchlicher Stellen und legte im Herbst 2024 einen Entwurf für eine novellierte Fassung vor. In einem Konsultationsverfahren wurden Anmerkungen zum Gesetzentwurf eingeholt und – soweit möglich – in den Entwurf eingearbeitet. Der im Herbst 2025 von den Gremien des VDD³ beschlossene Mustertext für das Änderungsgesetz musste dann noch in den (Erz-)Diözesen als bischöfliches Gesetz erlassen werden. Vorgesehen war ein einheitliches Inkrafttreten des novellierten KDG in allen 27 (Erz-)Diözesen zum 1. März 2026.
Zukünftig „muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat“ (§ 8 Abs. 1 KDG). Wie die Erfahrungen aus der Anwendung der DSGVO zeigen, werden damit voraussichtlich auch weiterhin die für die Verantwortlichen wichtigen Verarbeitungen nur auf Basis einer schriftlichen Einwilligung erfolgen, da den Verantwortlichen sonst der Nachweis der Einwilligung in vielen Fällen nur schwer möglich sein dürfte.
Für die Verarbeitung besonderer Kategorien personenbezogener Daten auf Grundlage einer Einwilligung wurde bei der Novellierung nun auch der 2. Halbsatz des Art. 9 Abs. 2 lit. a DSGVO in das kirchliche Recht übernommen (§ 11 Abs. 2 lit. a KDG).
Das kirchliche Interesse
Das KDG verwendet den aus dem Begriff des „öffentlichen Interesses“ der DSGVO abgeleiteten Begriff des „kirchlichen Interesses“. Während die Evangelische Kirche in Deutschland bei der Novellierung ihres Datenschutzgesetzes 2024/2025 den Begriff des „kirchlichen Interesses“ an vielen Stellen nicht mehr verwendet, wird dieser (im Gesetz nicht definierte) Begriff im KDG weiterhin genutzt. Mit der Novellierung wird der Begriff sogar noch um weitere Stufen ausdifferenziert. ⁴ Vor dem Hintergrund der Auslegung des „öffentlichen Interesses“ in der DSGVO wird man auch vom „kirchlichen Interesse“ eine gewisse Ausgestaltung erwarten dürfen, um hier berücksichtigt werden zu können. Jede Datenverarbeitung im Zusammenhang mit einer kirchlichen Betätigung als im kirchlichen Interesse im Sinne des KDG zu interpretieren, würde die Regelung des § 6 Abs. 1 lit. f KDG zu einer generellen Ermächtigung zur Verarbeitung von personenbezogenen Daten erweitern, da wohl jede (rechtlich erlaubte) Betätigung kirchlicher Stellen auch im Interesse der Kirche und ihres Auftrages erfolgen dürfte.
Institutionelle Aufarbeitung sexualisierter Gewalt und anderer Formen des Missbrauchs
Mit der Überarbeitung des KDG wurden auch Regelungen in das KDG eingefügt, die verdeutlichen sollen, dass die katholische Kirche ein großes Interesse an der Aufklärung der Missbrauchstaten hat, die im kirchlichen Kontext verübt worden sind. Anlass waren Situationen in der Vergangenheit, in denen sich kirchliche Maßnahmen zur Aufklärung dieser Taten dem Hinweis auf entgegenstehende datenschutzrechtliche Vorgaben ausgesetzt sahen.
Zur Klarstellung wurde mit der Novellierung der neue § 54a KDG eingefügt. Diese neue Norm stellt in Satz 1 klar, dass „an der institutionellen Aufarbeitung sexualisierter Gewalt und anderer Formen des Missbrauchs […] ein überragendes kirchliches Interesse [besteht]“. Die Regelung ist aber nicht als eigenständige Rechtsgrundlage angelegt. Sie soll mit den nachfolgenden Ausführungen im Satz 2 der Norm eine gesetzliche Auslegungsregel bilden, die bei Abwägungen im Rahmen der Prüfung von Rechtsgrundlagen dafür sorgen soll, dass aufgrund des überragenden kirchlichen Interesses an der Missbrauchsaufarbeitung eine Abwägung zugunsten der Aufarbeitung und einer entsprechenden Verarbeitung personenbezogener Daten für diese genau definierten Ziele ausfallen sollte.
Unterstützt wird der neue § 54a KDG durch Regelungen in § 6 Abs. 2 lit. i KDG (neu) (Zweckänderung zur Aufarbeitung) und § 11 Abs. 2 lit k KDG (neu) (für besondere Kategorien personenbezogener Daten).
Übermittlung an Drittländer
Bei den Regelungen zur Übermittlung an Drittländer in den §§ 39 ff. KDG gab es durch die Novellierung eine Ergänzung zum Regelungsgegenstand. Während bisher – wie in der DSGVO – die Übermittlung von Daten an Drittländer oder internationale Organisationen geregelt war, ist im novellierten Text der §§ 39 ff. KDG das „nichtstaatliche Völkerrechtssubjekt“ zum Regelungsgegenstand hinzugekommen. Damit will der Gesetzgeber als kirchlich spezifischen Sachverhalt die Datenübermittlung kirchlicher Stellen an den Heiligen Stuhl festlegen. Der Heilige Stuhl ist als nichtstaatliches Völkerrechtssubjekt anerkannt und umfasst neben dem Papst als Leitung und Repräsentation die römische Kurie.⁵ Da weder der Staat Vatikanstadt noch der Heilige Stuhl Mitglieder der Europäischen Union sind, liegt bei der Übermittlung personenbezogener Daten durch deutsche kirchliche Stellen an den Heiligen Stuhl in Rom eine Drittlandsübermittlung vor, die nun in den Regelungen der §§ 39 ff. KDG ausdrücklich geregelt wurde.⁶
Datenschutzaufsichten
Die (Erz-)Diözesen in Deutschland haben jeweils für mehrere (Erz-)Diözesen gemeinsame Datenschutzaufsichtsbehörden gemäß Art. 91 Abs. 2 DSGVO errichtet,⁷ die die Datenschutzaufsicht über die Verarbeitung personenbezogener Daten durch die katholischen Stellen wahrnehmen. Da Art. 91 Abs. 2 DSGVO mehr als den Einklang der kirchlichen Regelungen mit der DSGVO fordert, wurden mit der Novellierung die Normen für die kirchlichen Datenschutzaufsichten neu gefasst und vom Wortlaut enger an die DSGVO angelehnt. Der Rahmen für Geldbußen in § 51 KDG, den die kirchlichen Datenschutzaufsichten ausschöpfen können, wurde moderat von 500.000 Euro auf 1.000.000 Euro bzw. 3.000.000 Euro angehoben.
Weitere Änderungen im neuen KDG
Als weitere kirchenspezifische Regelung wird mit der Novellierung der § 52a KDG eingefügt, der die Aufzeichnung, Übertragung oder Veröffentlichung von Gottesdiensten oder Veranstaltungen gottesdienstähnlicher Art zum Gegenstand hat.
Auch vor dem Hintergrund der aktuellen Diskussionen zur Löschung von Taufbucheinträgen⁸ wurde mit der Novellierung die Vorschrift des § 19 Abs. 3 lit. f KDG eingefügt, durch die das Recht auf Löschung nicht gilt, soweit die Verarbeitung „zum Erhalt und zur Gewährleistung der Nachvollziehbarkeit von Amtshandlungen sowie von Urkunden und vergleichbaren Dokumenten“ erforderlich ist. Dabei hat die neue Regelung „insbesondere die durch kirchliche Rechtsvorschriften vorgesehenen Eintragungen in die Kirchenbücher (insbesondere Taufen, Trauungen, Todesfälle) sowie Dekrete, Beschlüsse von Gremien der Diözesen und Kirchengemeinden und sonstige Urkunden“ im Blick.
Durchführungsverordnung zum KDG
Parallel zur Novellierung des Gesetzes über den kirchlichen Datenschutz wurde auch die Durchführungsverordnung zum KDG überarbeitet.
Der Begriff der „IT-Systeme“ wurde mit der Novellierung in § 4 KDG-DVO neugefasst und enthält jetzt eine ausführlichere Darstellung der umfassten Systeme, unterteilt in hardwarebasierte Komponenten, softwarebasierte Komponenten und cloudbasierte Systeme und Dienste. Ergänzt wird diese Neufassung der Definition durch die neue Vorschrift des § 18 KDG-DVO (neu) zur Nutzung von Clouddiensten.
Auch wenn das Faxgerät in vielen Prozessen im Gesundheits und Sozialbereich noch fest eingeplant ist, sieht die novellierte Durchführungsverordnung vor, dass eine Übermittlung personenbezogener Daten per Fax zukünftig grundsätzlich unzulässig sein soll. Es können aber Ausnahmen und insbesondere Übergangsregelungen mit spezifischen Bestimmungen vorgesehen werden.
Die novellierte KDG-DVO stellt jetzt an verschiedenen Stellen im Normtext bei technisch-organisatorischen Maßnahmen ausdrücklich darauf ab, dass die Maßnahmen dem Stand der Technik entsprechen müssen.
Alles neu im Datenschutz bei der katholischen Kirche nach der Novellierung?
Datenschutzpraktiker werden sich im katholisch-kirchlichen Datenschutz aufgrund des Einklangs der kirchlichen Regelungen mit der DSGVO leicht zurechtfinden. Auch wenn die Nummerierung der Normen von der der DSGVO abweicht, sind die Inhalte vergleichbar und die Abweichungen oder Ergänzungen aufgrund der kirchlichen Spezifika auch nach der Novellierung des KDG für DSGVO-Praktiker keine Herausforderung.
1 Eine Zusammenstellung der Religionsgemeinschaften, die sich in Deutschland und anderen europäischen Staaten ein eigenes Datenschutzrecht gegeben haben, findet sich in der Rechtssammlung des Blogs Artikel91.eu von Felix Neumann.
2 Für eine Übersicht zur Entwicklung des kirchlichen Datenschutzes in der katholischen Kirche in Deutschland von den 1970er-Jahren bis zum KDG siehe Steffen Pau, Kirchlicher Datenschutz – von den Anfängen bis zum KDG, in Pau (Hrsg.), Kirchlicher Datenschutz – gewachsener Baustein kirchlicher Selbstverwaltung, Dortmund 2021, S. 51 (abrufbar unter https://www.katholisches-datenschutzzentrum.de/wp-content/uploads/2025/11/sr-band-2.pdf (zuletzt abgerufen am 09.03.2026)
3 Verband der Diözesen Deutschlands, der Zusammenschluss der rechtlich und wirtschaftlich selbstständigen Diözesen der katholischen Kirche in Deutschland.
4 Z. B. „kirchliches Interesse“ in § 6 Abs. 1 lit. f KDG; „wichtiges kirchliches Interesse“ in § 20 Abs. 2 KDG; „erhebliches kirchliches Interesse“ in § 11 Abs. 2 lit. g KDG; „überragendes kirchliches Interesse“ in § 54a KDG (neu).
5 Vom Völkerrechtssubjekt des Heiligen Stuhls zu unterscheiden ist der Staat Vatikanstadt, der seit 1929 in seiner heutigen Form existiert und ebenfalls als Völkerrechtssubjekt anerkannt ist. Der Staat Vatikanstadt mit dem Papst als Staatsoberhaupt wird in internationalen Beziehungen vom Heiligen Stuhl vertreten.
6 Während bisher § 41 Satz 1 Nr. 4 KDG (alt) mit dem kirchlichen Interesse an der Übermittlung herangezogen werden musste, ist jetzt in § 41 Abs. 1 lit. d KDG die Übermittlung „aufgrund kirchenrechtlicher Vorschriften oder in Wahrnehmung kirchlicher Aufgaben an den Heiligen Stuhl oder an den Staat der Vatikanstadt“ ausdrücklich genannt.
7 Zu den Zuständigkeitsbereichen vergl. https://www.katholisches-datenschutzzentrum.de/wir-ueber-uns/konferenz-derdioezesandatenschutzbeauftragten/.
8 Siehe beispielsweise die Vorlage an den EuGH (Rs. C-12/25) und teils divergierende Entscheidungen der Datenschutzaufsichten in verschiedenen europäischen Staaten. (Links zuletzt abgerufen am 02.03.2026)
