Die großen Amtskirchen und andere anerkannte Religionsgemeinschaften haben in Deutschland eine rechtliche Sonderstellung. Diese Sonderstellung erlaubt ihnen auch beim Datenschutz eigene Regeln. Doch was bedeutet kirchlicher Datenschutz konkret, welche Gesetze gelten 2026 und welche Aufsichtsbehörden sind zuständig? Dieser Beitrag gibt einen aktuellen Überblick für Datenschutzbeauftragte, kirchliche Einrichtungen und Betroffene.
Selbstbestimmungsrecht der Kirchen im Datenschutz
In Deutschland haben die Kirchen seit über 100 Jahren eine rechtliche Sonderstellung. Rechtsgrundlage ist Artikel 140 GG, der die Vorschriften der Weimarer Reichsverfassung übernimmt, darunter Artikel 137 Absatz 3 WRV. Danach ordnen und verwalten Religionsgesellschaften ihre Angelegenheiten selbständig innerhalb der Schranken des für alle geltenden Gesetzes.
Nach herrschender Auffassung fällt auch der Datenschutz unter dieses Selbstbestimmungsrecht. Die großen Amtskirchen besitzen deshalb seit langem eigene Datenschutzgesetze und eigene Aufsichtsbehörden. Der staatlichen Datenschutzaufsicht sind sie in diesen Bereichen entzogen. Mit der Einführung der DSGVO wurde in Artikel 91 DSGVO eine Bestandsschutzregelung eingeräumt. Diese steckt allerdings einen engeren Rahmen als das bisherige deutsche Recht, denn die kirchlichen Regelungen müssen mit der DSGVO in Einklang gebracht werden.
Artikel 91 DSGVO und der Bestandsschutz
Der Bestandsschutz nach Artikel 91 DSGVO ist an Voraussetzungen geknüpft. Die umfassenden Regelungen der Kirchen mussten zum Zeitpunkt des Inkrafttretens der DSGVO bereits angewendet worden sein. In der Fachliteratur wird überwiegend der 25. Mai 2018 als maßgeblicher Stichtag angesehen, weil die kurze Zeitspanne zwischen Veröffentlichung und Inkrafttreten der DSGVO eine Anpassung im Jahr 2016 kaum ermöglicht hätte.
Umstritten ist auch, ob der reine Bestandsschutz dem Selbstbestimmungsrecht ausreichend Raum gibt. Bei wortlautgetreuer Auslegung wären Religionsgemeinschaften, die erst nach Inkrafttreten der DSGVO staatlich anerkannt werden, von einem eigenen Datenschutzreglement ausgeschlossen. Eine alternative Auslegung stützt sich auf Artikel 17 AEUV, der den besonderen Status der Religionsgemeinschaften im Unionsrecht verankert.
Wann gilt kirchliches Datenschutzrecht und wann die DSGVO?
Kirchliches Datenschutzrecht gilt nur für innerkirchliche Belange. Erfasst sind alle Bereiche, in denen weltanschauliche kircheneigene Aufgaben bewältigt werden, etwa Glaubensvermittlung, Seelsorge, karitative Einrichtungen wie Krankenhäuser und Pflegeeinrichtungen, Kindergärten und Schulen sowie die Verwaltung von Mitgliederdaten. Auch bei bürgerlicher Rechtsform, etwa als GmbH, bleibt das kirchliche Datenschutzrecht anwendbar. Nicht erfasst sind Tätigkeiten ohne Bezug zu kirchlichen Institutionen, zum Beispiel die Vermietung von Räumen an Dritte oder rein wirtschaftliche Beteiligungen. Hier gelten DSGVO und BDSG unmittelbar.
Kirchliche Datenschutzgesetze im Überblick
Eigene Datenschutzgesetze haben insbesondere die katholische Kirche mit dem Gesetz über den Kirchlichen Datenschutz (KDG) in der novellierten Fassung seit 1. März 2026 sowie die Evangelische Kirche in Deutschland mit dem novellierten DSG-EKD seit 1. Mai 2025. Weitere Regelungen existieren bei der Alt-Katholischen Kirche, bei evangelischen und neuapostolischen Freikirchen, bei den Zeugen Jehovas und bei einzelnen jüdischen Religionsgemeinschaften. Eine abschließende Liste ist wegen der Unklarheiten zu Artikel 91 DSGVO schwer zu erstellen.
DSG-EKD Novelle 2025
Die Synode der EKD hat die Reform am 13. November 2024 beschlossen. Das novellierte DSG-EKD gilt seit 1. Mai 2025. Ziel ist eine stärkere Angleichung an die DSGVO, mehr Rechtssicherheit im digitalen Alltag und die Stärkung der Betroffenenrechte.
Neue Rechtsgrundlagen
Die bislang eigenständige Rechtsgrundlage des kirchlichen Interesses entfällt. An ihre Stelle tritt eine Regelung in enger Anlehnung an das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO. Kirchliche Stellen müssen deshalb Interessenabwägungen dokumentieren und ihre Verarbeitungsverzeichnisse anpassen.
Einwilligung Minderjähriger
Maßgeblich ist nun die Einwilligungsfähigkeit ab 14 Jahren in Verbindung mit der Religionsmündigkeit. Unterhalb dieser Grenze müssen die Sorgeberechtigten einwilligen. Für Konfirmandenarbeit, Jugendfreizeiten und Online-Angebote bringt das mehr Klarheit.
Informationspflichten
Datenschutzhinweise müssen aktiv bereits bei der Datenerhebung erteilt werden. Datenschutzerklärungen, Anmeldeformulare, Informationsblätter für Seelsorge und Hinweise bei Foto- und Videoaufnahmen sind zu überarbeiten. Der Beauftragte für den Datenschutz EKD hat dazu eine Handreichung veröffentlicht.
Betroffenenrechte
Anfragen sind unverzüglich, spätestens innerhalb von drei Monaten zu beantworten. Das Auskunftsrecht umfasst nun ausdrücklich das Recht auf eine Kopie der Daten. Kirchliche Einrichtungen brauchen dokumentierte Prozesse, eine funktionierende Fristenkontrolle und Auskunftsroutinen für Papierakten, E-Mail-Archive und Fachverfahren.
Auftragsverarbeitung
Die bisherige Pflicht zur Unterwerfung externer Dienstleister unter die kirchliche Aufsicht entfällt. Ein DSGVO-konformer Auftragsverarbeitungsvertrag genügt. Damit wird die Zusammenarbeit mit IT-Dienstleistern und Cloud-Anbietern deutlich einfacher. Bestehende Vertragswerke sollten geprüft und angepasst werden.
Datenschutzbeauftragte
Die Schwelle für die verpflichtende Bestellung wurde von 10 auf 20 Personen angehoben, die ständig automatisiert personenbezogene Daten verarbeiten. Bei umfangreicher Verarbeitung besonderer Datenkategorien bleibt eine Bestellung häufig weiter verpflichtend.
Bußgelder
Die Obergrenze wurde auf 6 Millionen Euro angehoben. Sie greift vor allem bei wirtschaftlichen Tätigkeiten kirchlicher Einrichtungen. Innerkirchliche Bereiche bleiben in der Regel bußgeldfrei.
Umsetzungspflichten
Kirchliche Einrichtungen sollten Verarbeitungsverzeichnisse und Rechtsgrundlagen aktualisieren, Datenschutzerklärungen überarbeiten, Einwilligungsformulare anpassen, die Bestellpflicht für Datenschutzbeauftragte neu bewerten, Auftragsverarbeitungsverträge prüfen und Mitarbeitende sowie Ehrenamtliche schulen.
KDG Novelle 2026
Das novellierte KDG und die überarbeitete KDG-Durchführungsverordnung (KDG-DVO) sind am 1. März 2026 in Kraft getreten. Die Reform bringt zahlreiche praxisrelevante Änderungen und regelt erstmals ausdrücklich neue digitale Verarbeitungsformen.
Wegfall der Schriftformpflicht
Einwilligungen müssen nicht mehr schriftlich erklärt werden. Maßgeblich ist die Nachweisbarkeit. Damit werden digitale Einwilligungen über Anmeldeportale, Apps, E-Mail-Bestätigungen, Checkboxen mit Protokollierung oder QR-Code-Verfahren zulässig. Kirchliche Stellen sollten ein Consent-Management etablieren und Inhalt, Zeitpunkt, Umfang und Widerrufsmöglichkeit dokumentieren.
Datenschutzbeauftragte
Auch im KDG wurde die Schwelle für die verpflichtende Bestellung auf 20 Personen angehoben. Kleinere Pfarreien und Werke werden dadurch entlastet. Bei sensiblen Verarbeitungen bleibt eine Bestellung oft sinnvoll.
Datenverarbeitung zu kirchlichen Zwecken
Für Mitgliederverwaltung, Sakramentenregister, Seelsorge, Gottesdienstvorbereitung, Ehe- und Familienpastoral, Jugend- und Verbandsarbeit sowie Fundraising werden differenzierte Rechtsgrundlagen bereitgestellt.
Aufarbeitung sexualisierter Gewalt
Das novellierte KDG hebt die Aufarbeitung ausdrücklich als überragendes kirchliches Interesse hervor. Datenschutzrechtlich wird sie privilegiert. Betroffene, Aufarbeitungskommissionen und wissenschaftliche Untersuchungen erhalten damit eine klarere Rechtsgrundlage.
Streaming
Für das Streaming von Gottesdiensten, Trauungen und Beerdigungen enthält das neue KDG erstmals eigene Vorgaben. Anwesende müssen umfassend informiert werden, aufgezeichnete Bereiche sind zu kennzeichnen, es braucht Rückzugsmöglichkeiten in nicht gefilmte Zonen, einen besonderen Schutz Minderjähriger und ein Löschkonzept für Aufzeichnungen.
Cloud-Dienste
In der KDG-DVO wurden die Regelungen zur Cloud-Nutzung grundlegend überarbeitet. Erforderlich sind eine Risikobewertung vor Einsatz, die Prüfung von Datenübermittlungen in Drittstaaten, DSGVO-konforme Vertragswerke, Verschlüsselungs- und Zugriffskonzepte sowie eine Exit-Strategie.
Ehrenamtliche
Sie werden im neuen KDG stärker eingebunden. Sie sind ausdrücklich auf Vertraulichkeit zu verpflichten und über ihre Rolle als Verarbeitende zu informieren. Empfehlenswert sind eine textliche Vertraulichkeitsverpflichtung und eine kurze Datenschutzschulung.
KDG-DVO
Die parallel novellierte Durchführungsverordnung konkretisiert technische und organisatorische Maßnahmen, Vorgaben zu Verschlüsselung, Passwortmanagement, mobiler Datenverarbeitung, Backups, Löschkonzept und Videoüberwachung.
Bußgelder
Mit der Novelle 2026 wurde das Sanktionssystem des KDG deutlich verschärft und stärker an die DSGVO angenähert. Die allgemeine Bußgeldobergrenze in § 51 Absatz 5 KDG wurde von bisher 500.000 Euro auf 1.000.000 Euro angehoben. Für kirchliche Einrichtungen, die als Unternehmen am Wettbewerb teilnehmen, gilt ein deutlich schärferer Rahmen: Bußgelder können nun bis zu 4 Prozent des weltweiten Jahresumsatzes betragen, höchstens jedoch 3.000.000 Euro. Damit orientiert sich das KDG erkennbar an der Systematik des Artikel 83 DSGVO, bleibt in der absoluten Höhe aber weiterhin hinter dem staatlichen Rahmen zurück.
Arbeitshilfe zur Umsetzung
Die Vollversammlung des Verbandes der Diözesen Deutschlands hat eine Arbeitshilfe mit Hinweisen zur Umsetzung der Novellierung des KDG und der KDG-DVO veröffentlicht.
Kirchliche Aufsichtsbehörden und Datenschutzgerichte
Die Kirchen betreiben eigene Aufsichtsbehörden. In der katholischen Kirche sind die Diözesandatenschutzbeauftragten regional für mehrere Bistümer zuständig. In der evangelischen Kirche gibt es einen zentralen Beauftragten für den Datenschutz der EKD. Sowohl im KDG als auch im DSG-EKD sind eigene kirchliche Datenschutzgerichte eingerichtet. Diese sind zunächst anzurufen. Staatliche Gerichte nehmen erst nach Ausschöpfung des kirchlichen Rechtswegs eine eingeschränkte Prüfung vor. Eine tiefere inhaltliche Auseinandersetzung ist möglich, wenn eine Europarechtswidrigkeit im Raum steht.
Rolle der Datenschutzkonferenz
Die Datenschutzkonferenz (DSK) ist das zentrale Koordinationsgremium der deutschen Aufsichtsbehörden. Die kirchlichen Aufsichtsbehörden haben dort keinen permanenten Sitz. Sie werden nur auf Einladung eingebunden. Faktisch findet eine Einbindung ohnehin nur bei den Aufsichtsbehörden der katholischen und der evangelischen Kirche statt. Kleinere kirchliche Aufsichtsbehörden werden teils als unzureichend abgelehnt, teils fehlt der DSK schlicht die Kenntnis, weil es kein zentrales Register gibt.
Kirchliches Datenschutzrecht auf dem Prüfstand
Das kirchliche Selbstbestimmungsrecht wirkt bis heute in den Datenschutz hinein. Ob die weitreichende Selbstverwaltung mit eigenen Aufsichtsbehörden und Datenschutzgerichten unionsrechtlich vollständig Bestand hat, ist weiterhin offen. Sollte die Auslegung des Artikel 91 DSGVO an den EuGH gelangen, wird sich zeigen, ob es beim strengen Bestandsschutz bleibt oder ob eine offenere Auslegung nötig ist, um Artikel 17 AEUV gerecht zu werden.
