Evangelische Nordkirche

Der BBA in der Kategorie Zivilgesellschaft geht an das

Landeskirchenamt der evangelischen Nordkirche

– weil sie für ihre Kirchen-IT ausschließlich auf Microsoft-Dienste setzt. Daten über religiöses und gesellschaftliches Engagement ihrer Mitglieder geraten so in die Hände eines unzuverlässigen US-Konzerns. Diese Preisgabe der Datensouveränität birgt unkalkulierbare Gefahren.

Ich verdanke der evangelischen Kirche viel. Als Kinderkirchhelfer lernte ich gesellschaftliche Verantwortung. Als Organist entwickelte ich dort mein musisches Talent. In den 80er Jahren war ich mit vielen Christen für Frieden und Umwelt aktiv. Bis heute ist die Kirche ein Ort für soziales Engagement – ein Grund für meine Mitgliedschaft in der Nordkirche, die ich mit meiner Kirchensteuer unterstütze.

Datenschutz ist dort bei Funktionären kein wichtiges Thema. Die europäische Datenschutz-Grundverordnung enthält für Kirchen eine Sonderregelung. Und die evangelische Kirche in Norddeutschland nutzt das für einen Irrweg.

Am 25. Februar 2023 verabschiedete die Synode der Nordkirche auf Vorschlag des Landeskirchenamtes ein IT-Gesetz „zur Erfüllung des kirchlichen Auftrags“.¹ Das Gesetz regelt, dass in Hamburg, Schleswig-Holstein und Mecklenburg-Vorpommern einheitlich Microsoft 365 eingeführt wird. Das Landeskirchenamt schafft für die über 17.000 Anwendenden – für Pfarrerinnen, Sozialarbeiter, Angestellte bis hin zu Ehrenamtlichen – Lizenzen für Exchange, SharePoint, OneDrive, Teams, Office und viele weitere 365-Anwendungen an. Und es verpflichtet die Kirchengemeinden, bis 2028 in die Cloud von Microsoft zu wechseln.

Auch andere Kirchen nutzen M365 – bedauerlich genug. Aber die Nordkirche zwingt ihre Mitglieder per Gesetz zur Nutzung und Bezahlung der Microsoft-Cloud-Dienste. Und das, nachdem gerade die Konferenz der staatlichen Datenschutzbeauftragten und der gemeinsame Beauftragte der evangelischen Kirche festgestellt hatten, dass M365 nicht datenschutzkonform eingesetzt werden kann.² Auch das Bundesamt für die Sicherheit in der Informationstechnik – das BSI – befand, dass der Einsatz von M365 kaum möglich ist, ohne dass dabei Nutzungs- und Metadaten unkontrolliert in den USA landen.³ Innerhalb der Kirche kam es zu massiven Kontroversen.⁴ Kritisiert wurde u.a., dass die Lizenzgebühren langfristig teurer sind als Linux- und freie Software-Alternativen. Im Vordergrund stand aber die Datenschutzkritik, die vom Landeskirchenamt abgetan wurde.

Laut Kirchendatenschutzgesetz ist das Landeskirchenamt als Auftraggeber für die Einhaltung des Datenschutzes verantwortlich. Auftragnehmer sind „sorgfältig auszuwählen“.⁵ Aufforderungen aus den Gemeinden an das Landeskirchenamt, sein IT-Konzept und seine Datenschutz-Folgenabschätzung⁶ vorzulegen, wurden ignoriert. Was mit den Daten vom Kirchenpersonal, von den Pastoren, von den Mitgliedern, aus der Seelsorge passiert und wie die Gemeinden mit den Risiken umgehen sollen, ist völlig unklar. Welche Daten in den USA landen, will – und kann wahrscheinlich – das Landeskirchenamt nicht offenlegen.⁷

Das ist verantwortungslos. Denn jüngst wurde die Grundlage des „Data Privacy Framework“ ins Wanken gebracht. Diese Vereinbarung regelt, dass Daten aus der EU rechtmäßig in die USA übertragen werden dürfen – wenn zwei unabhängige Stellen darüber wachen. Die Federal Trade Commission – FTC – kontrolliert, ob sich Unternehmen an ihre Datenschutzzusagen halten. Der „Data Protection Review Court“ prüft Beschwerden über Zugriffe von US-Geheimdiensten auf EU-Daten. Die Unabhängigkeit dieser Instanzen hat der US-Supreme-Court im Juni 2026 erschüttert – indem er es Donald Trump erlaubte, demokratisch bestimmte Mitglieder dieser Behörden zu entlassen. Die unabhängige Kontrolle der aus Europa stammenden Daten ist aber die zentrale Voraussetzung dafür, dass sie in die USA übermittelt werden dürfen.⁸

Trump schert sich nicht um den Datenschutz und nimmt US-Unternehmen in die Pflicht, seine Kritiker in Europa zu kontrollieren und zu schädigen. Unter dem Vorwand, Terrorismus und Kriminalität zu bekämpfen, sammelt seine Regierung Daten, um Kritiker zu denunzieren, auszuweisen, an der Einreise zu hindern – kurzum: sie mundtot zu machen. Die US-Unternehmen sind u.a. über den CLOUD-Act verpflichtet, in Europa verarbeitete Daten an US-Behörden herauszurücken. Missliebigen Richtern des Internationalen Strafgerichtshofs in Den Haag wurden z.B. die Microsoft-Accounts gesperrt – ebenso wie die Bezahlmöglichkeiten mit Visa, Mastercard oder PayPal. Entsprechend sanktioniert wurden u.a. auch ein EU-Kommissar und die deutschen Geschäftsführerinnen von HateAid, weil sie sich für rechtsstaatliche Rahmenbedingungen im Internet einsetzen.⁹

Derweil präsentiert sich Donald Trump auf Social Media als Christus und Erlöser.¹⁰ Für seine Wiederwahl warb er mit dem Verkauf von Bibeln.¹¹ Eine Kritikerin wie die Bischöfin Mariann Budde diffamiert er als „linksradikale Trump-Hasserin“.¹² Die instrumentalisierten US-Unternehmen wehren sich nicht dagegen, auch nicht Microsoft. Vielmehr beugen sie sich seinen Forderungen. Es besteht also die reale Gefahr, dass die Microsoft-Daten der Nordkirche zum Nachteil der Betroffenen genutzt werden – insbesondere, wenn sie Kritik an der unchristlichen US-Politik äußern.

Selbst die Bundesregierung, der Bundestag und Landesregierungen wollen unabhängiger von US-Digitalkonzernen werden.¹³ In Frankreich wechseln Behörden und Schulen von Microsoft auf europäische Produkte.¹⁴ Das Land Schleswig-Holstein versucht, sich vollständig von US-Anbietern und insbesondere Microsoft zu befreien.¹⁵

Die Nordkirche geht den entgegengesetzten Weg und verpflichtet selbst jene Gemeinden, die kein M365 nutzen, für die M365-Lizenzen zu bezahlen. Die digitalen Dienste, die Kirchen benötigen, könnten sie auch von vertrauenswürdigen Unternehmen in Europa beziehen. Solche datenschutzkonformen Alternativen sollten gezielt gefördert werden. Kirchengemeinden per Gesetz zum Wechsel in die digitale Abhängigkeit von Microsoft zu zwingen, verstößt nicht nur gegen Grund- und Freiheitsrechte – sondern auch gegen christliche Grundsätze und die Pflicht zur Fürsorge für die Gemeindemitglieder.

Das Seelsorge- und Beichtgeheimnis ist eine der ältesten Datenschutzregeln.¹⁶ Aus der Seelsorge stammende Daten werden bei M365 ebenso gespeichert wie alles andere, was in der Kirche, in den Gemeinden, in den Kirchenverwaltungen passiert. Bei fast allem handelt es sich um besonders sensible Daten, die wegen der Diskriminierungsgefahr und ihrem höchstpersönlichen Charakter unter hohem rechtlichen Schutz stehen. Kirchen müssen bei aller religiös begründeten Autonomie ihre Datenverarbeitung „in Einklang“ mit der DSGVO vornehmen.¹⁷ Davon kann bei dem IT-Gesetz der Nordkirche keine Rede sein.

Die Nordkirche ist ein extremes Beispiel dafür, wie christliches und generell gesellschaftliches Engagement durch Digitalisierung in Gefahr gebracht wird. Auch andere kirchliche und zivilgesellschaftliche Organisationen zwingen uns zur Nutzung unzuverlässiger IT-Dienstleister. So ist für mich unerklärlich, dass z.B. Greenpeace mit seinem wichtigen Engagement für Natur und Umweltschutz auf Google-Angebote setzt und damit die Daten seiner Unterstützer der US-Regierung auf dem Präsentierteller anbietet.¹⁸ Daten über politisches Engagement fallen ebenso unter den besonderen Schutz der DSGVO wie religiöse Überzeugungen.¹⁹ Wer für eine „gerechtere Welt“ eintritt, sollte nicht mit Unternehmen kooperieren, die zwar vor vielen Jahren mit dem Slogan „don’t be evil“ warben, aber „evil“ sind.

Es fällt mir schwer, eine Organisation zu unterstützen, deren gespeicherte Informationen letztlich in Computern von US-Sicherheitsbehörden zu teuflischen Zwecken landen können. Es ist nicht hinnehmbar, dass Kirchengemeinden gezwungen werden, die Daten ihrer Millionen Mitglieder – und damit auch meine – kontrollfrei einem Unternehmen zu überlassen, das sich zum Komplizen der bestehenden US-Regierung gemacht hat.

Damit Kirchen und generell zivilgesellschaftliche Organisationen nicht nur analog emanzipatorische Ziele verfolgen, sondern dabei auch digitale Kommunikationsmittel nutzen, die mit diesen Zielen vereinbar sind, deshalb erhält das Landeskirchenamt der Nordkirche den BigBrotherAward 2026 in der Kategorie „Zivilgesellschaft“.