Ein Rechercheartikel zur Causa Mirko Hilger ./. Diakonie Arche Bremerhaven gemeinnützige GmbH
Wer bei einer kirchlichen oder diakonischen Einrichtung beschäftigt war oder ist, hat – wie jeder andere Beschäftigte auch – ein grundlegendes Recht: zu erfahren, welche personenbezogenen Daten über ihn verarbeitet werden, zu welchem Zweck, an wen sie weitergegeben wurden und wie lange sie gespeichert bleiben. Im staatlichen Recht ergibt sich dieser Anspruch aus Art. 15 DSGVO, im Bereich der evangelischen Kirche aus der nahezu wortgleichen Parallelvorschrift des § 19 DSG-EKD (Datenschutzgesetz der Evangelischen Kirche in Deutschland).
Dieses Recht ist kein bürokratisches Nebenrecht. Es ist – gerade im Kontext eines vorangegangenen, später durch Vergleich beendeten Kündigungsschutzprozesses – häufig die einzige Möglichkeit für Beschäftigte, nachzuvollziehen, welche Bewertungen, Vermerke, Krankmeldungen, Leistungsbeurteilungen oder sonstigen Eintragungen über sie in den Systemen eines Arbeitgebers kursieren. Gerade deshalb stattet der Gesetzgeber dieses Recht mit klaren Fristen, einer grundsätzlichen Kostenfreiheit und einem engen Ausnahmekatalog aus.
Nach § 19 DSG-EKD ist die Auskunft unverzüglich, spätestens aber innerhalb von drei Monaten nach Eingang des Antrags zu erteilen. Diese Frist kann – anders als im Regime der DSGVO mit einem Monat plus zwei Monaten Verlängerung – bereits von vornherein bis zu drei Monate betragen, in begründeten Ausnahmefällen mit Information der betroffenen Person nochmals um bis zu zwei weitere Monate verlängert werden. Eine Verlängerung muss aber begründet und der betroffenen Person rechtzeitig mitgeteilt werden; sie ist kein Freibrief für beliebiges Zuwarten.
Stellt man dem die im vorliegenden Fall behauptete Chronologie gegenüber – Erstantrag im Januar 2025, inhaltlich relevante Erfüllung erst Mitte Juni desselben oder des Folgejahres durch Übersendung der Personalakte –, so ergibt sich rechnerisch ein Zeitraum, der die gesetzliche Höchstfrist von fünf Monaten (drei plus zwei) um ein Mehrfaches überschreitet. Selbst wenn man zugunsten der Diakonie unterstellt, dass zwischenzeitlich Rückfragen zur Identifikation oder zum Umfang des Begehrens erforderlich waren, rechtfertigt dies keine Verzögerung in dieser Größenordnung. Die einschlägige Praxiskommentierung zum DSG-EKD betont ausdrücklich, dass die organisatorischen Abläufe kirchlicher Stellen so aufgestellt sein müssen, dass die Drei-Monats-Frist tatsächlich nicht gerissen wird – sie ist kein unverbindlicher Richtwert, sondern eine harte gesetzliche Obergrenze.
Besonders aufschlussreich ist das vorliegende Antwortschreiben der Diakonie vom 16. Februar 2026. Darin reklamiert Geschäftsführer Thorsten Büsker, man habe das Auskunftsrecht "bereits vollumfänglich erfüllt" – bezugnehmend auf Schreiben des Betroffenen vom 25. Januar und 4. Februar desselben Jahres, mit denen dieser offenkundig erneut Auskunft verlangt hatte, weil die vorangegangene "Erfüllung" aus seiner Sicht nicht ausreichte.
Diese Behauptung verdient eine genauere Betrachtung. Was der Diakonie als Anlage offenbar als "Auskunft" diente, ist eine mehrseitige tabellarische Übersicht im Stil eines Verzeichnisses von Verarbeitungstätigkeiten (vergleichbar einem VVT nach § 31 DSG-EKD): Sie listet abstrakt Kategorien wie "Bewerbungsunterlagen", "Personalstammdaten", "Lohn- und Gehaltsabrechnungsdaten" auf, benennt pauschal Auftragsverarbeiter (von der Finanzverwaltung über IT-Dienstleister bis zum Betriebsarzt), zitiert Rechtsgrundlagen und Speicherfristen – jedoch ohne einen einzigen individuellen, auf die Person des Antragstellers bezogenen Datensatz.
Das ist nach § 19 DSG-EKD nicht ausreichend. Die Norm verlangt zwar tatsächlich auch die in der Tabelle aufgeführten Begleitinformationen (Zwecke, Kategorien, Empfänger, Speicherdauer) – das ist der sogenannte "Metainformations-Teil" der Auskunft. Der Kern des Auskunftsrechts ist aber die Mitteilung der konkret zur Person gespeicherten Daten selbst, einschließlich – nach inzwischen gefestigter Rechtsprechung auch im kirchlichen Bereich – eines Rechts auf eine Kopie dieser Daten. Eine generische Übersicht über Verarbeitungskategorien, wie sie jedem Mitarbeiter der Einrichtung gleichermaßen ausgehändigt werden könnte, ersetzt diese individualisierte Auskunft nicht. Eine solche Tabelle beantwortet die Frage "Was wird über mich verarbeitet?" nicht – sie beantwortet bestenfalls die Frage "Was wird bei euch grundsätzlich verarbeitet?".
Dass der Betroffene nach Erhalt dieser Unterlage erneut Auskunft verlangte, ist vor diesem Hintergrund nachvollziehbar und kein Zeichen von Querulanz, sondern die logische Reaktion auf eine unzureichende Erstauskunft.
Bemerkenswert ist die Reaktion der Diakonie auf das erneute, berechtigte Auskunftsverlangen. Statt die Lücken der ursprünglichen Auskunft zu schließen, kündigt das Schreiben vom 16.02.2026 an, eine "nochmalige Bearbeitung" sei gemäß § 19 Abs. 4 DSG-EKD kostenpflichtig, und macht die weitere Bearbeitung von einer Vorauskasse der "anfallenden Verwaltungskosten" abhängig.
Diese Argumentation hält einer rechtlichen Prüfung kaum stand. § 19 Abs. 3 DSG-EKD stellt klar, dass die Auskunft unentgeltlich zu erteilen ist. Eine Kostenpflicht kommt nach § 19 Abs. 4 DSG-EKD nur in engen Ausnahmefällen in Betracht – namentlich bei offenkundig unbegründeten oder exzessiven Anträgen, etwa bei häufiger Wiederholung identischer Anfragen ohne sachlichen Anlass. Die einschlägige Auslegungspraxis der EKD-Datenschutzaufsicht betont ausdrücklich, dass diese Ausnahme eng und restriktiv zu handhaben ist und sich nicht aus dem subjektiv empfundenen Aufwand der verantwortlichen Stelle ergeben darf, sondern objektiv vorliegen muss.
Im vorliegenden Fall verhält es sich jedoch gerade andersherum: Der Betroffene verlangt kein neues, unabhängiges Auskunftsbegehren, sondern beanstandet die Unvollständigkeit der bereits erteilten Auskunft. Ein Anspruch auf vollständige Erfüllung eines bereits gestellten, nicht erledigten Antrags kann aber denknotwendig nicht dadurch "exzessiv" werden, dass die verantwortliche Stelle ihn beim ersten Mal nicht ordnungsgemäß erfüllt hat. Wer eine Bringschuld nur unvollständig erfüllt, kann für die Nacherfüllung keine Vergütung verlangen. Die in dem Schreiben anklingende Logik – erst eine unzureichende Auskunft erteilen, sie dann als "vollumfänglich" deklarieren, und für jede weitere Nachfrage eine Kostenvorleistung verlangen – konterkariert den Schutzzweck der Norm in einer Weise, die kaum als Zufall erscheint.
Es fällt schwer, in der Kombination aus monatelanger Verzögerung, einer im Kern unzureichenden Auskunft in Gestalt einer anonymisierten Verarbeitungsübersicht und der anschließenden Inrechnungstellung weiterer Bearbeitung ein bloßes Versehen zu erkennen. Vielmehr zeichnet sich das Bild einer Einrichtung, die ihre datenschutzrechtlichen Pflichten gegenüber einem ehemaligen Mitarbeiter, mit dem zugleich ein arbeitsgerichtlicher Konflikt anhängig war, nicht mit der gebotenen Sorgfalt und Zügigkeit behandelt hat. Gerade Betroffene, die sich – wie im vorliegenden Fall parallel im Kündigungsschutzprozess 10 Ca 10051/26 – ohnehin schon in einer rechtlichen Auseinandersetzung mit ihrem (ehemaligen) Arbeitgeber befinden, sind in besonderem Maße auf eine vollständige und fristgerechte Auskunft angewiesen, um ihre Position sachgerecht beurteilen und etwaige weitere Ansprüche prüfen zu können.
Aus datenschutzrechtlicher Sicht hätte der Betroffene bereits nach Ablauf der gesetzlichen Frist die Möglichkeit gehabt, sich an die zuständige kirchliche Datenschutzaufsicht (den Beauftragten für den Datenschutz der EKD) zu wenden oder den Anspruch gerichtlich – etwa im Wege einer Stufenklage auf Auskunft – durchzusetzen. Dass es im vorliegenden Fall letztlich erst nach mehrfacher Nachfrage und über ein Jahr nach dem Erstantrag zu einer wenigstens ansatzweise individualisierten Auskunft – der Übersendung der Personalakte – kam, ist ein Vorgang, der dokumentationswürdig bleibt, gerade weil er sich bei einer diakonischen, dem kirchlichen Auftrag der Fürsorge verpflichteten Einrichtung ereignete.