Das Symptom
Der Kindergarten der Gemeinde hat Fotos der Gruppe auf seiner Seite, ohne dass jemand gefragt hätte. Oder das kirchliche Krankenhaus hat Unterlagen weitergegeben. Oder der Beitragsservice hat eine Anschrift, die du dort nie angegeben hast. Du machst das Naheliegende: Du suchst die Datenschutzaufsicht, findest die BfDI oder die Landesbeauftragte deines Bundeslandes, schilderst alles sauber und schickst es ab. Vier Wochen später kommt ein freundlicher Brief. Er sagt nicht, dass du unrecht hast. Er sagt, dass diese Behörde nicht zuständig ist. Von vorn.
Die „Layer 8“-Wahrheit
Der Fehler liegt nicht in der Beschwerde, sondern in der Landkarte. Die BfDI formuliert die Grundregel selbst: Welche Aufsichtsinstanz zuständig ist, bestimmt sich danach, gegen welche Stelle sich die Beschwerde richtet – und in ihrem Überblick über die Betroffenenrechte steht unter der Überschrift „Presse, Rundfunk, Kirche“ der Satz, um den es hier geht: „In diesen Bereichen gelten besondere Zuständigkeiten. Kirchen und öffentlich-rechtlicher Rundfunk verfügen z. B. über eigene Datenschutzbeauftragte. Auch für andere Organisationen sind die Aufsichtsbehörden des Bundes und der Länder nicht zuständig.“ Das ist kein Kleingedrucktes, das ist die Zuständigkeitsgrenze.
Für die Kirchen steht der tragende Grund in der DSGVO selbst. Artikel 91 Absatz 1 erlaubt es einer Kirche oder religiösen Vereinigung, umfassende Datenschutzregeln, die sie zum Zeitpunkt des Inkrafttretens der Verordnung angewandt hat, weiter anzuwenden, sofern sie mit der Verordnung in Einklang gebracht werden. Absatz 2 zieht die Konsequenz: Wer solche Regeln anwendet, „unterliegen der Aufsicht durch eine unabhängige Aufsichtsbehörde, die spezifischer Art sein kann, sofern sie die in Kapitel VI niedergelegten Bedingungen erfüllt“. Erwägungsgrund 165 nennt den Hintergrund beim Namen: Im Einklang mit Artikel 17 AEUV achtet die Verordnung den Status, den Kirchen und religiöse Vereinigungen in den Mitgliedstaaten nach deren bestehenden verfassungsrechtlichen Vorschriften genießen, und beeinträchtigt ihn nicht. Deutschland hat davon Gebrauch gemacht: Die evangelische Seite hat das EKD-DSG, die römisch-katholische das KDG, und die BfDI hält dazu fest, dass beide Kirchen nach Art. 91 Abs. 2 DSGVO eigene kirchliche Datenschutzaufsichtsbehörden eingerichtet haben und die Aufsichtsbehörden des Bundes und der Länder „in diesem Bereich keine Zuständigkeiten“ haben. Dass es diese Sonderaufsichten gibt, ist sogar im deutschen Recht sichtbar: § 18 Absatz 1 Satz 4 BDSG verpflichtet die Aufsichtsbehörden des Bundes und der Länder, „die nach den Artikeln 85 und 91 der Verordnung (EU) 2016/679 eingerichteten spezifischen Aufsichtsbehörden“ zu beteiligen, sofern diese betroffen sind. Beteiligen, nicht beaufsichtigen.
Beim Rundfunk läuft dieselbe Mechanik über einen anderen Artikel. Die BfDI ordnet die spezifischen Rundfunkaufsichten Artikel 51 Absatz 1 in Verbindung mit Artikel 85 Absatz 2 DSGVO zu – jener Vorschrift, die die Mitgliedstaaten verpflichtet, für die Verarbeitung zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken Abweichungen und Ausnahmen unter anderem von Kapitel III und Kapitel VI vorzusehen. Kapitel VI sind die unabhängigen Aufsichtsbehörden; genau dort wird die Aufsicht abgezweigt. Auf ihrer Anschriftenseite wird die BfDI so knapp, wie es nur geht: „Die Anstalten des öffentlich-rechtlichen Rundfunks unterliegen nicht der Aufsicht durch die klassischen Datenschutzbehörden.“ In der Praxis bündelt ein gemeinsamer Rundfunkbeauftragter für den Datenschutz zehn Anstalten – BR, HR, MDR, NDR, rbb, SR, SWR, WDR, Deutschlandradio und ZDF –, die Deutsche Welle und Radio Bremen haben eigene Beauftragte. Der Beitragsservice ist übrigens keine eigene Behörde, gegen die man sich separat beschweren könnte: Er ist nach Darstellung der BfDI rechtlich nicht selbständig und wird ausschließlich im Auftrag der einzelnen Landesrundfunkanstalten tätig.
Und dann kommen die Ausnahmen von der Ausnahme, die genau der Grund sind, warum Pauschalantworten hier nichts taugen. In Berlin, Brandenburg, Bremen und Hessen sind für den Datenschutz im Verwaltungsbereich der Rundfunkanstalten die jeweiligen Landesdatenschutzbeauftragten zuständig. Bei der Deutschen Welle hat der eigene Datenschutzbeauftragte die ausschließliche Zuständigkeit für den journalistisch-redaktionellen Bereich, während die Verarbeitung zu wirtschaftlich-administrativen Zwecken bei der BfDI liegt – die führt die Deutsche Welle für genau diesen Ausschnitt selbst in ihrer Zuständigkeitsliste. Auf der kirchlichen Seite ist es ähnlich gestuft: Die BfDI weist darauf hin, dass einzelne Landeskirchen nicht der Aufsicht des EKD-Beauftragten unterliegen, dass sich im römisch-katholischen Bereich fünf Diözesandatenschutzbeauftragte die Bistümer regional aufteilen und dass Ordensgemeinschaften einem eigenen gemeinsamen Ordensdatenschutzbeauftragten unterstehen. Es kann außerdem, so die Behörde ausdrücklich, weitere Kirchen oder religiöse Vereinigungen geben, die legitimerweise ein eigenes Datenschutzrecht mit eigener Aufsicht haben.
Die schwierigste Frage ist meistens die erste: Ist der Kindergarten, das Krankenhaus, der Pflegedienst überhaupt „kirchlich“ im rechtlichen Sinn? Die BfDI antwortet darauf nicht mit der Rechtsform, sondern mit der Aufgabe. Ihr Fazit lautet: Ist die Tätigkeit einer Einrichtung dem kirchlichen Verkündigungsauftrag zuzurechnen, gilt ausschließlich das kirchliche Datenschutzrecht – und zwar unabhängig davon, ob die Kirche sich einer Organisationsform des staatlichen Rechts bedient. Dass du selbst keiner Kirche angehörst, ändert daran nichts; ausschlaggebend ist nach derselben Darstellung, dass du die Leistungen der Einrichtung in Anspruch genommen hast. Umgekehrt endet der kircheneigene Bereich dort, wo die institutionelle Verbindung fehlt: Bei Brauereien, bei der Vermietung von Wohnungen, bei eigenständigen Praxen, die sich nur in ein kirchliches Krankenhaus eingemietet haben, und bei externen Dienstleistern gelten DSGVO und BDSG – und damit die staatliche Aufsicht, die § 40 Absatz 1 BDSG den Ländern für nichtöffentliche Stellen zuweist.
Bleibt der unangenehme Teil. Die staatlichen Behörden sind keine Poststelle für die kirchlichen: Zwischen BfDI, Landesbehörden und den spezifischen Aufsichtsbehörden besteht laut BfDI kein hierarchisches Verhältnis, sie haben schlicht verschiedene sachliche Zuständigkeiten. Und der Rechtsweg wandert mit: Entscheidungen und Handeln der kirchlichen Datenschutzbeauftragten unterliegen nach Angabe der BfDI „ausschließlich der Kontrolle durch die jeweilige innerkirchliche Verwaltungsgerichtsbarkeit“. Wer also die falsche Behörde anschreibt, verliert nicht nur Wochen, sondern landet am Ende in einem anderen System, als er dachte. Der ganze Aufwand, das zu vermeiden, besteht aus einer einzigen Frage, die vor dem Absenden zu klären ist: Wer genau ist die verantwortliche Stelle – und in welche der drei Landkarten gehört sie?