Dass Kirchen und Religionsgemeinschaften unter Umständen ein eigenes Datenschutzrecht haben, dürfte zu den weniger bekannten Aspekten des Datenschutzes gehören. Besonderheiten und Probleme des kirchlichen Arbeitsrechts finden sich immer wieder durch medienwirksame Konflikte in der Öffentlichkeit. Das kirchliche Datenschutzrecht dagegen spielt in der Öffentlichkeit in der Regel keine Rolle. Kirchliche Institutionen, die das Datenschutzregime mitgestalten – als Gesetzgeber, als Aufsichtsbehörden und als Gerichte – sind kaum bekannt. (Foto von Angelica Teran auf Unsplash, zugeschnitten) _Der Beitrag erschien zuerst inAusgabe 3/2026 der Datenschutz-Nachrichten_. **Inhalte** Verbergen 1 Unbekanntes Recht 2 Tätigkeit der kirchlichen Datenschutzaufsichten 3 Rechtsbehelfe und Gerichtswesen 4 Defizite in Art. 91 DSGVO 5 Licht ins Dunkel Dabei ist wohl ein Großteil der Menschen in Deutschland bereits als betroffene Person in den Geltungsbereich des kirchlichen Datenschutzes gelangt: Das gilt für alle Menschen, die in einer Kirche mit eigenem Datenschutzrecht getauft sind – also nicht nur die etwa 45 Prozent an Kirchenmitgliedern in der deutschen Bevölkerung, sondern auch die aus der Kirche Ausgetretenen. Dazu kommen alle, die in Berührung mit kirchlichen Einrichtungen gekommen sind: Wer Dienstleistungen der Caritas oder der Diakonie in Anspruch genommen hat, wer in christlichen Krankenhäusern Patient*in war, wer eine kirchliche Schule oder Kita besucht hat, wer Bildungs- und Freizeitveranstaltungen kirchlicher Einrichtungen wahrgenommen hat. Da kirchliches Datenschutzrecht institutionenbezogen durch kirchliche Verantwortliche angewendet wird, nicht personenbezogen nur für Kirchenmitglieder, ist die Reichweite des kirchlichen Datenschutzrechts in Deutschland ungemein groß. Gerade die großen Kirchen – die katholische Kirche und die Evangelische Kirche in Deutschland (EKD) – haben ein umfassendes Datenschutzregime eingerichtet, das in weiten Teilen grundsätzlich autark agieren kann: Zu den eigenen Datenschutzaufsichtsbehörden, die gemäß Art. 91 Abs. 2 DSGVO die regional zuständigen staatlichen Datenschutzbehörden ersetzen, kommt ein eigenes Gerichtswesen. Katholischerseits wurde mit dem Interdiözesanen Datenschutzgericht und dem Datenschutzgericht der Deutschen Bischofskonferenz eine eigene zweistufige Datenschutzgerichtsbarkeit eigens eingerichtet, evangelischerseits übernehmen die seit längerem bestehenden kirchlichen Verwaltungsgerichte Fälle aus dem kirchlichen Datenschutzrecht. Staatliche Gerichte sind mit kirchlichem Datenschutzrecht in der Regel nur dahingehend betraut, dass sie ihre Nicht-Zuständigkeit feststellen, mit Ausnahme der Arbeitsgerichtsbarkeit, die in Streitigkeiten aus kirchlichem Individualarbeitsrecht regelmäßig kirchliches Datenschutzrecht anwenden muss. ## Unbekanntes Recht Das Transparenzproblem des kirchlichen Datenschutzrechts beginnt schon hier: Überhaupt darüber Bescheid zu wissen, dass ein besonderes Datenschutzrecht gilt und nicht das allgemeine staatliche und EU-Recht. Für betroffene Personen wird das durch im Datenschutzrecht vorgesehene Transparenzmechanismen immerhin gemildert. Das Einklanggebot aus Art. 91 Abs. 1 DSGVO führt dazu, dass im kirchlichen Datenschutzrecht im Ergebnis dieselben Informationspflichten bestehen wie im staatlichen. Spätestens in den analog zu Art. 13 DSGVO zu erteilenden Informationen sind die Rechtsgrundlagen für die jeweiligen Verarbeitungen zu nennen, ein Verweis auf die kirchlichen Rechtsquellen ist also unerlässlich. Beide großen kirchlichen Datenschutzgesetze, das katholische Gesetz über den kirchlichen Datenschutz (KDG) und das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), formulieren die Pflicht zur Angabe der Beschwerdemöglichkeit zudem anders als Art. 13 Abs. 2 lit. d) DSGVO mit dem bestimmten Artikel („das Bestehen eines Beschwerderechts bei _der_ Datenschutzaufsicht/Aufsichtsbehörde” statt „bei _einer_ Aufsichtsbehörde”), so dass dem Wortlaut nach auch tatsächlich die zuständige und in diesem Fall kirchliche Aufsichtsbehörde anzugeben ist. Rechtsbehelfsbelehrungen in den Bescheiden kirchlicher Aufsichten verweisen auf den kirchlichen Rechtsweg. Dank umfassender Internetpräsenzen sind die Aufsichten der großen Kirchen auch gut auffindbar. Bei kleineren Religionsgemeinschaften mit eigenem Datenschutzrecht ist es dagegen oft schon schwer, auch nur die geltenden Regeln einzusehen. Nicht alle Gemeinschaften, die ausweislich von Datenschutzinformationen ihrer Einrichtungen eigenes Recht anwenden, veröffentlichen dieses Recht auch öffentlich, und nicht alle von Religionsgemeinschaften eingerichteten spezifischen Aufsichtsbehörden haben eigene Online-Präsenzen. Die Zugänglichkeit kirchlichen Rechts ist sehr uneinheitlich: Alle Bistümer, die EKD und die Landeskirchen mit Ausnahme der bayerischen Landeskirche stellen ihre aktuellen Amtsblätter und oft auch ein lange zurückreichendes Archiv online zur Verfügung. Vollständige Rechtssammlungen haben aber nicht alle Kirchen, so dass Spezialrecht mit Datenschutzbezug nicht immer unmittelbar zugänglich ist. In kleineren Gemeinschaften gibt es in den meisten Fällen weder ein Amtsblatt (Ausnahmen sind etwa Jehovas Zeugen und die alt-katholische Kirche) noch eine Rechtssammlung (Ausnahmen sind etwa die methodistische und wieder die alt-katholische Kirche). Schwerer als die individuelle Betroffenheit durch kirchliches Datenschutzrecht wiegt aber die Problematik, dass die kirchlichen Datenschutzinstitutionen als kirchliche Institutionen weniger transparent als vergleichbare weltliche Institutionen sind: Im kirchlichen Recht gibt es keine Informationsfreiheitsgesetze, mit denen in Deutschland (mit Ausnahme von Bayern und Niedersachsen) ein Anspruch auf den Zugang zu amtlichen Informationen auch der Datenschutzaufsichtsbehörden besteht. Auskunftsrechte der Presse bestehen, anders als gegenüber staatlichen Behörden und Gerichten, gegenüber kirchlichen Datenschutzaufsichten und Gerichten nicht. Die Veröffentlichung von kirchlichen Gerichtsentscheidungen liegt im Benehmen der Gerichte, Dritte haben keinen Anspruch darauf, Entscheidungen der Gerichte einsehen zu können. ## Tätigkeit der kirchlichen Datenschutzaufsichten Für institutionelle Transparenz sorgen vor allem die Tätigkeitsberichte der kirchlichen Datenschutzaufsichten. Art. 91 Abs. 2 DSGVO bindet diese spezifischen Aufsichtsbehörden eng an die in Kapitel VI DSGVO niedergelegten Bedingungen, die auch für staatliche Aufsichtsbehörden gelten – insbesondere also auch an die Berichtspflicht aus Art. 59 DSGVO. Dieser sieht vor, dass alle Aufsichtsbehörden „einen Jahresbericht über ihre Tätigkeit” anfertigen, „der eine Liste der Arten der gemeldeten Verstöße und der Arten der getroffenen Maßnahmen nach Artikel 58 Absatz 2 enthalten kann”. Diese Berichte werden „dem nationalen Parlament, der Regierung und anderen nach dem Recht der Mitgliedstaaten bestimmten Behörden” übermittelt, außerdem werden sie „der Öffentlichkeit, der Kommission und dem Ausschuss” zugänglich gemacht. Pflicht ist also ein jährlicher Tätigkeitsbericht, seine Vorlage an Exekutive und Legislative und die öffentliche Zugänglichmachung, Kür die Listen über Verstöße und Maßnahmen. Trotz des klaren Wortlauts bleibt das evangelische Datenschutzrecht hinter diesen Vorgaben teilweise zurück, indem es lediglich einen mindestens zweijährlichem Turnus für Tätigkeitsberichte verlangt (§ 41 DSG-EKD). Das wiegt im Bereich der EKD umso schwerer, als es dort nur noch eine einheitliche Aufsichtsbehörde gibt, den Beauftragten für den Datenschutz der EKD (BfD EKD). Damit erscheint nur einmal alle zwei Jahre ein Tätigkeitsbericht im Geltungsbereich des DSG-EKD. Dagegen stehen sechs jährliche katholische Tätigkeitsberichte (fünf regionale Aufsichten für jeweils mehrere Diözesen sowie die Ordensdatenschutzaufsicht). Allen Tätigkeitsberichten ist gemeinsam, dass sie anders als die staatlichen deutschen Aufsichtsbehörden keine absoluten Fallzahlen angeben. Lediglich das Katholische Datenschutzzentrum Bayern hat für seine Tätigkeitsberichte ab dem Berichtsjahr 2026 angekündigt, absolute Zahlen zu liefern. Damit ist insbesondere keine systematische Übersicht bekannt, ob und wie hohe Bußgelder verhängt wurden – angesichts der deutlich niedrigeren Obergrenzen für die Bußgeldhöhe und des eingeschränkten Adressatenkreises wäre das besonders interessant, um die Effektivität des kirchlichen Datenschutzregimes mit dem staatlichen zu vergleichen. (Zur Höhe und zum Adressatenkreis von Bußgeldern vgl. § 51 Abs. 5 und 6 KDG sowie § 45 Abs. 1 und 5 DSG-EKD.) Im evangelischen Bereich ist nicht einmal bekannt, ob seit der Datenschutzreform 2018 überhaupt jemals ein Bußgeld verhängt wurde. Die Veröffentlichung der Tätigkeitsberichte der Aufsichten der großen Kirchen ist eingespielt und funktioniert. Das von der Stiftung Datenschutz betriebene Datenschutzarchiv sammelt auch die Berichte der katholischen und evangelischen Aufsichten und dokumentiert sie so unabhängig von kirchlichen Institutionen. Schlecht dagegen sieht es bei den kleineren Religionsgemeinschaften mit eigenem Datenschutzrecht aus. Viele Aufsichten veröffentlichen erst gar keine Tätigkeitsberichte, falls es sie überhaupt gibt. Berichte der Datenschutzaufsicht der alt-katholischen Kirche etwa sind nicht bekannt – auch nicht der Kirche selbst –, obwohl sie gemäß der Datenschutzordnung der Kirche zu veröffentlichen wären. Viele der evangelischen Freikirchen mit eigenem Datenschutzrecht orientieren sich am DSG-EKD und sehen daher einen zweijährlichen Turnus vor. Oft ist aber lediglich eine Berichterstattung gegenüber kirchlichen Gremien vorgesehen. Die Selbständige Evangelisch-Lutherische Kirche (SELK) sieht in ihrer Datenschutzrichtlinie etwa vor, dass lediglich alle vier Jahre und nur gegenüber der Synode Bericht erstattet wird. Die Aufsicht von Jehovas Zeugen berichtet zwar im Jahresturnus, aber vier Jahre versetzt: Der jüngste Bericht für 2022 erschien Anfang 2026. Ähnlich sieht es bei der Gemeinsamen Datenschutzaufsicht aus, die durch die Anskar-Kirche, die Apostolische Gemeinschaft, die Kirche des Nazareners und die Heilsarmee errichtet wurde. Ihr jüngster (und einziger) Tätigkeitsbericht bezieht sich auf 2021/2022 – bei zwei der Gemeinschaften ist das Datenschutzrecht nicht online verfügbar, sondern muss per Mail angefordert werden. Presseanfragen werden durch die verschiedenen Aufsichten sehr unterschiedlich behandelt. Die katholischen Aufsichten und der BfD EKD antworten professionell, verlässlich und vergleichbar mit den Pressestellen staatlicher Aufsichtsbehörden. Bei kleineren Aufsichten ist das Bild sehr durchwachsen, teilweise bleiben Presseanfragen unbeantwortet oder versanden nach einer Eingangsbestätigung. ## Rechtsbehelfe und Gerichtswesen Zum von der DSGVO von kirchlichem Datenschutzrecht geforderten Einklang gehört die Existenz wirksamer gerichtlicher Rechtsbehelfe. In den großen Kirchen ist das durch die jeweils zuständigen Gerichtsbarkeiten gegeben. Bei kleineren Gemeinschaften ist dagegen oft unklar, ob und welche internen Rechtswege bestehen.Teilweise herrscht selbst innerhalb einer Religionsgemeinschaft Unklarheit darüber, wie die Rechtswege aussehen: Die Aufsicht von Jehovas Zeugen hatte jahrelang in ihrer Rechtsbehelfsbelehrung den Rechtsweg zum staatlichen Verwaltungsgericht – Jehovas Zeugen sind eine Körperschaft des öffentlichen Rechts – angegeben; das VG Berlin lehnte allerdings in einem Fall seine Zuständigkeit ab, obwohl es keine religionsinterne kirchliche Gerichtsbarkeit gibt, die angerufen werden könnte (VG Berlin, Urteil vom 1. August 2024, VG 1 K 29/23). In den großen Kirchen ist das jeweilige Prozessrecht (die katholische Kirchliche Datenschutzgerichtsordnung (KDSGO) und das evangelische Kirchengerichtsgesetz auf Ebene der EKD sowie die jeweiligen landeskirchlichen Regelungen) ans staatliche Prozessrecht angelehnt. Hinsichtlich der Öffentlichkeit und Transparenz bleiben die kirchlichen Gerichte hinter staatlichen aber zurück. Evangelische Verfahren sind zwar grundsätzlich öffentlich, es ist aber ausgesprochen schwer, herauszufinden, wann, wo und in welcher Sache eine Verhandlung stattfindet. Entscheidungen können zwar veröffentlicht werden, Fälle mit DSG-EKD-Bezug wurden bislang aber so gut wie keine veröffentlicht. Grundsätzlich werden nach Auskunft der EKD-Pressestelle zweitinstanzliche Entscheidungen veröffentlicht, die einen amtlichen Leitsatz erhalten haben. Bis Anfang 2023 seien bei der Verwaltungskammer des EKD-Kirchengerichts lediglich 23 Fälle mit Datenschutzrechtsbezug anhängig geworden. Besser sieht es bei der katholischen Datenschutzgerichtsbarkeit aus – aber nicht aufgrund des katholischen Prozessrechts. Die KDSGO sieht weder öffentliche Verhandlungen noch eine Veröffentlichung von Entscheidungen vor. Die sehr seltenen mündlichen Verhandlungen werden dennoch kurzfristig vorab online angekündigt und sind öffentlich zugänglich. Seit Einrichtung der Gerichte 2018 wurden mehrere Dutzend Entscheidungen anonymisiert online veröffentlicht. Die Öffentlichkeit der Verhandlungen und die Veröffentlichung der Entscheidungen gehen aber allein auf die Entscheidung der vom staatlichen Recht geprägten Richter*innen zurück, gesetzlich abgesichert sind sie nicht. Presseanfragen beantwortet die Geschäftsstelle der katholischen Datenschutzgerichte zuverlässig; auch Bitten um eine Veröffentlichung bestimmter Entscheidungen wird in der Regel nachgekommen. Die Kirchengerichte der EKD sind dagegen nur schwer zu erreichen, Anfragen haben oft lange Laufzeiten. ## Defizite in Art. 91 DSGVO Im Kirchenartikel der DSGVO sind Transparenzprobleme bereits angelegt. Festgeschrieben werden zwar Anforderungen an kirchliches Datenschutzrecht (Art. 91 Abs. 1 DSGVO) und an kirchliche Aufsichten (Abs. 2). Es werden aber weder Instanzen noch Prozesse festgelegt, unter denen die Anforderungen geprüft oder auch nur die Anwendung eigenen Rechts mitgeteilt werden muss. Anders als bei Art. 85 DSGVO, der Mitgliedstaaten aufträgt, das Recht auf freie Meinungsäußerung mit dem Datenschutzrecht in Einklang zu bringen und der die zweite Kategorie der spezifischen Aufsichten neben den religiösen, nämlich die der Medien, ermöglicht, fehlt es in Art. 91 DSGVO an einer Notifizierungsklausel. Keine Religionsgemeinschaft ist verpflichtet, irgendeiner Stelle die Anwendung eigenen Datenschutzrechts oder die Existenz eigener Aufsichtsbehörden anzuzeigen. Wie viele Religionsgemeinschaften daher in den EU-Mitgliedstaaten von Art. 91 DSGVO Gebrauch machen, ist unbekannt. Schätzungen können nur auf der Grundlage aufwendiger Recherchen vorgenommen werden. In Deutschland gibt es mindestens 15–20 religiöse Datenschutzgesetze, europaweit noch in etwa zehn weiteren Mitgliedstaaten Religionsgemeinschaften mit eigenem Datenschutzrecht. Dabei handelt es sich ausschließlich um christliche Kirchen und Gemeinschaften, außerhalb von Polen und Deutschland gibt es nur katholische Datenschutzgesetze. Bei den aktuellen Reformdebatten zur DSGVO spielt Art. 91 DSGVO keine Rolle. Wünschenswert wäre, eine Notifikationspflicht zu ergänzen. Verbunden werden könnte damit eine klare Zuständigkeit für die Überprüfung der Anforderungen an kirchliches Datenschutzrecht und spezifische Aufsichten. Aktuell zeichnet sich dafür der Rechtsweg ab, dass zunächst eine Datenschutzaufsicht die rechtmäßige Einrichtung einer spezifischen Aufsicht bezweifelt. Der kirchliche Verantwortliche legt dann Rechtsmittel gegen den Bescheid der Aufsicht ein, die das zuständige staatliche Verwaltungsgericht behandelt. Aktuell wartet ein derartiges Verfahren zwischen der niedersächsischen Landesdatenschutzaufsicht und der SELK auf eine Entscheidung zweiter Instanz; zu rechnen ist damit, dass dieser Fall den EuGH beschäftigen wird (VG Hannover, Urteil vom 30. November 2022, 10 A 1195/21, nicht rechtskräftig). ## Licht ins Dunkel Kirchliche Rechtskultur hängt wesentlich davon ab, dass kirchliches Recht und seine Durchsetzung nachvollziehbar ist. Trotz der Reichweite und Bedeutung des kirchlichen Datenschutzrechts wird es deutlich weniger reflektiert als anderes kirchliches Recht, etwa kirchliches Arbeitsrecht oder das Universalkirchenrecht. Seit 2020 betreibt der Verfasser daher das Blog „Artikel91.eu – Datenschutz in Kirchen und Religionsgemeinschaften”, das sich zum Ziel gemacht hat, Transparenz in das Feld des kirchlichen Datenschutzes zu bringen. Damit ist das nach wie vor einzige Fachmagazin zum kirchlichen Datenschutz einer der wenigen diskursiven Orte, die kirchliches Datenschutzrecht reflektieren und Kirchen in der Rechtssetzung und Anwendung kontrollieren. Das grundrechtlich abgesicherte Selbstbestimmungsrecht der Kirchen ist ein hohes Gut und ein wichtiger Bestandteil der kollektiven Religionsfreiheit. Es darf aber nicht dazu führen, dass dadurch in Bereichen wie dem Datenschutz ein geringeres Schutzniveau entsteht. Die zumindest in den großen Kirchen funktionierenden Datenschutzinstitutionen sind nur ein Element davon, dass das gelingt. Unerlässlich sind zudem die wachen Augen der Öffentlichkeit, die kirchliches Handeln kritisch reflektieren und überprüfen. * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Liz East, 30, quit her law career to start a dog-walking business and said she now earns ‘thousands’ more per month while working half the hours.

Der Bundesgerichtshof will vom EuGH wissen, wie weit die „Haushaltsausnahme“ der DSGVO bei weitergeleiteten Messenger-Nachrichten und Heimüberwachung reicht. Stefan Krempl | heise online (Bild: TimmyTimTim/Shutterstock.com) Ob das Weiterleiten privater Chat-Nachrichten an den Arbeitgeber einer Freundin oder die heimliche Videoüberwachung in der eigenen Wohnküche: Die Grenzen des europäischen Datenschutzrechts beschäftigen höchste richterliche Instanzen. Der unter anderem für das Datenschutzrecht zuständige I. Zivilsenat des Bundesgerichtshofs hat dem Europäischen Gerichtshof (EuGH) Fragen zur Auslegung der…

_**Abonnent*innen des Artikel-91-Newsletters haben den Wochenrückblick und exklusive Newsletter-Inhalte schon vor Veröffentlichung im Blog erhalten –hier geht’s zur Newsletter-Anmeldung.**_ **_Über den Newsletter gibt es außerdem Zugang zur Artikel-91-Signal-Gruppe und zu den digitalen Datenschutz-Stammtischen._** **Inhalte** Verbergen 1 Die Woche im kirchlichen Datenschutz 1.1 Interimsleitung im KDSZ Dortmund 1.2 VDD erst jetzt mit reformiertem Datenschutzrecht 1.3 KI-Muster-Dienstvereinbarung katholisch 1.4 KI-Regulierung bei den Navajo 1.5 Kleriker-Slop in Brasilien 1.6 Sensible Daten in Vermont 1.7 In eigener Sache 2 Auf Artikel 91 3 Aus der Welt 4 Kirchenamtliches ## Die Woche im kirchlichen Datenschutz ### Interimsleitung im KDSZ Dortmund Pünktlich zum 1. September teilt das KDSZ Dortmund die Übergangsregelung für die Leitung mit. Burkhard Kämper, Justitiar und stellvertretender Leiter des Katholischen Büros Nordrhein-Westfalen, wurde von den NRW-Diözesanbischöfen zur übergangsweisen Leitung bestellt. Kämper übernimmt die Leitung bis zum Amtsantritt von Jennifer Esch am 1. Februar. (Bisher wurde nur »Anfang 2027« kommuniziert.) Nicht mitgeteilt wurde, ob Kämpers Tätigkeit im Katholischen Büro während der Vertretung ruht, und die genaue Rechtsgrundlage für die Interimsleitung; in Frage kommt gemäß § 43 Abs. 6 KDG eine dauerhafte Verhinderung oder ein vorzeitiges Ende des Amtsverhältnisses des Diözesandatenschutzbeauftragten, der eigentlich bis zur Aufnahme der Amtsgeschäfte der Nachfolge im Amt bleibt. Eine Anfrage an das KDSZ blieb bislang unbeantwortet. Kämper ist mit dem kirchlichen Datenschutzrecht vertraut. Der Jurist lehrt Kirchen- und Staatskirchenrecht in Bochum und hat immer wieder zu Fragen des kirchlichen Datenschutzrechts publiziert, etwa in der Schriftenreihe des KDSZ Dortmund zur Entwicklung der kirchlichen Datenschutzaufsichten. In der Debatte um die Sinnhaftigkeit eines eigenen kirchlichen Datenschutzrechts verteidigte Kämper die eigene Regelung. Kämper hat nun die wahrscheinlich wenig dankbare Aufgabe, anderer Leute Tätigkeitsberichte zu verantworten: 2025 ist noch nicht erschienen, drei Viertel von 2026 verantwortet noch sein Vorgänger. ### VDD erst jetzt mit reformiertem Datenschutzrecht Im Amtsblatt des Vorsitzenden der Deutschen Bischofskonferenz wurde am 1. September, aber mit Geltung ab 1. August, die jetzt wahrscheinlich wirklich letzte Inkraftsetzung der KDG-Novelle veröffentlicht: Der Verband der Diözesen Deutschlands bekommt ein reformiertes KDG und eine reformierte KDG-DVO. Grundlage ist ein Beschluss der Vollversammlung des VDD vom 23. Juni 2026. Warum es bei eigentlich wenigen Anpassungen im Vergleich zum regulären KDG so lange gedauert hat, ist unklar. Die in der ersten Fassung falschen Verweise in § 36 und in § 37 sind durch den späten Beschluss hier von Anfang an korrekt. Da das KDG-VDD nur für den VDD und die Einrichtungen der Deutschen Bischofskonferenz gilt, kann § 36 KDG-VDD kompakter formuliert werden als § 36 KDG. Ansonsten scheint es keine größeren Abweichungen vom KDG zu geben. Eine Lesefassung scheint es bislang nicht zu geben. ### KI-Muster-Dienstvereinbarung katholisch Nach der evangelischen hat Nils Peters nun auch eine katholische Muster-Dienstvereinbarung zu KI veröffentlicht. Das Muster ist gewohnt umfassend kommentiert und zeigt auch deutlich auf, wo sich katholisches und evangelisches Datenschutz- und Mitarbeitervertretungsrecht unterscheiden. ### KI-Regulierung bei den Navajo Die Navajo Nation setzt auf Datensouveränität zum Schutz ihres kulturellen Erbes. Der Naabik’íyáti’-Ausschuss des Parlaments der indigenen Nation (der Ausschuss entspricht in etwa einem Hauptausschuss anderer Parlamente) hat daher eine Resolution zur KI-Regulierung verabschiedet, die die Bedeutung dieses kulturellen Erbes betont: > »The Diné have the right to know their sacred language, sacred way of thinking, and traditional cultural knowledge. The preservation of these and other elements of Diné life are a sacred obligation of the Diné and their government. We recognize that our traditional cultural knowledge is not only a valuable asset, but is integral to our identity, existence, and well-being. The preservation of our language and culture is vital to our survival as Diné.« Charakteristisch für den Ansatz ist, kommunitäre wie individuelle Aspekte in den Blick zu nehmen: Der Rahmen zum Schutz der Rechte der Diné (so die Eigenbezeichnung der Navajo in ihrer Sprache) müsse »data privacy, transparency, prior informed consent, the intellectual property rights of the owners of the information, and other knowledge at risk of unauthorized use by AI technologies« berücksichtigen. Weitere Hintergründe dazu gibt es in einer lesenswerten Reportage von azcentral: »Navajo data sovereignty has its roots in a native seed bank«. ### Kleriker-Slop in Brasilien Die Erzdiözese Aracaju in Brasilien hat jetzt eine KI-Ordnung. Zentral in der Regelung sind Vorgaben für KI-generierte Darstellungen von Klerikern – anscheinend ein großes Problem in der dortigen kirchlichen Öffentlichkeitsarbeit. (Aber nicht nur da.) Generative KI darf nicht verwendet werden, »um das Erscheinungsbild eines Bischofs, Priesters oder Diakons zu rekonstruieren oder zu simulieren, wenn das Ergebnis seine reale Fotografie ersetzt oder als authentische Darstellung seines Erscheinungsbildes oder einer von ihm erlebten Situation interpretiert werden könnte«, heißt es in der Ordnung. Mehr dazu habe ich bei katholisch.de aufgeschrieben. ### Sensible Daten in Vermont Vermont ist der neueste US-Bundesstaat mit einem Datenschutzgesetz. Der Vermont Data Privacy and Online Surveillance Act tritt am 1. Januar 2028 in Kraft. Zu den sensiblen (»sensitive«) Daten gehören Daten, aus denen religiöse Überzeugungen hervorgehen (»personal data […] revealing […] religious beliefs«, 9 V.S.A. § 2415a(b)(47)(A)(i)), nicht aber weltanschauliche. Sensible Daten dürfen nur verarbeitet werden, wenn eine Einwilligung vorliegt und die Verarbeitung »vernünftigerweise notwendig« (»reasonably necessary«) in Bezug auf den Zweck ist, mit dem die Daten erhoben wurden. Im Vergleich zu Art.-9-Daten sind die Kategorien sensibler Daten in Vermont ausführlicher geregelt, indem etwa Gesundheitsdaten sowie geschlechtliche Identität und sexuelle Orientierung noch weiter aufgeschlüsselt werden. Kein Pendant in der DSGVO gibt es bei der Einstufung als sensibel für genaue Geolokationsdaten, Daten im Zusammenhang mit Konto- und Bankzugangsdaten sowie staatlichen Identifikationsnummern. Daten von Kindern unter 13 Jahren fallen unter die sensiblen Daten, wenn der Verantwortliche weiß oder vorsätzlich ignoriert, dass es sich um Kinder handelt. Hilfreich ist die ausdrückliche Festlegung, dass Fotos, Audio- und Videoaufnahmen keine biometrischen Daten sind (9 V.S.A. § 2415a(b)(3)(B)). ### In eigener Sache * Die Gesellschaft katholischer Publizistinnen und Publizisten Deutschlands, deren stellvertretender Vorsitzender ich bin, hat sich gegen die Pläne zur **faktischen Abschaffung des Informationsfreiheitsgesetzes** geäußert. Wir unterstützen den offenen Brief von Frag den Staat. Eine Petition kann man hier mitzeichnen. IFG-Anfragen sind für die Arbeit von Artikel91.eu sehr wichtig – etwa zur Recherche zum Lobbying der Kirchen zu Art. 91 DSGVO. * Beim Ketteler-Verlag ist die neue Auflage der Checklisten MVG-EKD zum Arbeits-und Mitarbeitendenvertretungsrecht mit Erläuterungen erschienen. Ich steuere eine Checkliste zum **Datenschutzkonzept der MAV** bei. ## Auf Artikel 91 * Was in einer KI-Ordnung stehen muss, damit sie trägt ## Aus der Welt * Microsoft hat in den USA sein kostenloses Programm für Nonprofit-Organisationen umgestellt. Im Zuge der Umstellung haben laut Slate 170.000 Organisationen ihre Daten verloren – der Bericht zeigt anhand von betroffenen Organisationen, wie wichtig Exit- und Backupstrategien sind. * ## Kirchenamtliches * **KDSZ Dortmund:** Interimsleitung des Katholischen Datenschutzzentrums * **VDD:** * Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz für den Verband der Diözesen Deutschlands und die Dienststellen und Einrichtungen der Deutschen Bischofskonferenz (KDG-VDD) (KDG-VDD-Änderungsgesetz) * Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz für den Verband der Diözesen Deutschlands und die Dienststellen und Einrichtungen der Deutschen Bischofskonferenz (KDG-VDD-DVO) * **Bischöflich Münstersches Offizialat in Vechta:** Ordnung über die Nutzung Künstlicher Intelligenz * **Erzdiözese Aracaju:** A serviço da missão: Arquidiocese de Aracaju orienta sobre o uso responsável da inteligência artificial na comunicação * **Bistum Limburg:** 2. Gesetz zur Änderung des Gesetzes über den kirchlichen Datenschutz (KDG) – 2. KDG-Änderungsgesetz * * teilen * teilen * teilen * teilen * teilen * teilen * teilen * E-Mail *

Die automatisierten Bonitätsscores einer Wirtschaftsauskunftei sind datenschutzrechtlich zulässig.

Personalausweis kopieren, scannen oder als Pfand einbehalten? Der Beitrag zeigt, welche Vorgaben Datenschutzrecht und Personalausweisgesetz Unternehmen machen.

Hamburger Kanzlei für Wirtschaftsrecht: Managed Legal Services, Legal Outsourcing und Prozessvertretung. Schwerpunkte im IT-, Medien-, Urheber- und Datenschutzrecht.