Caritas und Diakonie: Was KDG und DSG-EKD im QM-System eines kirchlichen Trägers verlangen

Wer in einem katholischen oder evangelischen Träger für Qualitäts­management oder Datenschutz zuständig ist, arbeitet nicht allein mit der Datenschutz-Grundverordnung. Seit dem 1. März 2026 gilt für katholische Einrichtungen wie Caritas ein neu gefasstes Kirchenrecht, seit dem 1. Mai 2025 für evangelische Einrichtungen wie Diakonie ebenfalls eines. Beide Regelwerke weichen an mehreren Stellen von der Grundverordnung und voneinander ab, was ein QM-System abbilden muss.

KDG: das Gesetz über den Kirchlichen Datenschutz, das eigenständige Datenschutzrecht der katholischen Kirche in Deutschland auf Grundlage von Artikel 91 DSGVO. Es gilt für die verfasste Kirche und für ihr zugeordnete Einrichtungen wie den Deutschen Caritasverband, unabhängig von deren Rechtsform (§ 3 KDG).

Warum gilt für Caritas und Diakonie ein eigenes Datenschutzrecht?

Die Datenschutz-Grundverordnung räumt Kirchen eine Ausnahme ein. Nach Artikel 91 Absatz 1 DSGVO dürfen sie ihr eigenes, schon vorher bestehendes Datenschutzrecht weiter anwenden, wenn sie es an die Verordnung angleichen. Für die katholische Kirche ist das seit 2018 das KDG, für die evangelische Kirche das DSG-EKD. Beide Gesetze ersetzen die Datenschutz-Grundverordnung nicht, sondern treten neben sie und regeln dieselben Fragen auf ihre eigene Weise.

Artikel 91 Absatz 2 DSGVO stellt dafür eine Bedingung: Die Kirche muss ihre Datenschutzregeln durch eine unabhängige Aufsichts­behörde kontrollieren lassen, die den Anforderungen der Verordnung an eine Aufsicht genügt. Welche Stelle das für einen katholischen oder einen evangelischen Träger konkret ist, zeigt der Abschnitt zur Aufsicht weiter unten.

Der Geltungsbereich des KDG reicht über die verfasste Kirche hinaus: Bistümer und Pfarreien fallen ebenso darunter wie der Deutsche Caritasverband, die diözesanen Caritasverbände und ihre Untergliederungen, unabhängig von deren Rechtsform (§ 3 KDG). Eine rechtlich selbstständige gGmbH der Behindertenhilfe unter katholischer Trägerschaft unterliegt deshalb ebenso dem KDG wie ein bischöfliches Generalvikariat.

Für die evangelische Kirche gilt entsprechend das DSG-EKD. Es erfasst die Gliedkirchen der EKD und die ihnen zugeordneten kirchlichen und diakonischen Dienste, Einrichtungen und Werke, ebenfalls unabhängig von deren Rechtsform (§ 2 DSG-EKD). Ein diakonisches Pflegeheim unterliegt damit dem DSG-EKD, auch wenn der Träger als eingetragener Verein organisiert ist. Für einen Träger ohne kirchliche Anbindung gilt dagegen keines der beiden Gesetze, für ihn bleibt es bei der Datenschutz-Grundverordnung und dem Bundesdatenschutzgesetz.

Was hat sich seit den Novellen 2025 und 2026 geändert?

Beide Gesetze wurden überarbeitet, um näher an die Datenschutz-Grundverordnung heranzurücken. Beim DSG-EKD trat die Neufassung nach dem Kirchengesetz vom 13. November 2024 am 1. Mai 2025 in Kraft. Sie ersetzt die kirchenspezifische Rechtsgrundlage des kirchlichen Interesses durch das allgemeinere berechtigte Interesse und erlaubt erstmals zentrale Verfahren für einzelne Verarbeitungen, etwa gemeinsame IT-Dienste mehrerer Landeskirchen (§ 30a DSG-EKD).

Beim KDG trat die Neufassung samt neuer Durchführungsverordnung, der KDG-DVO, am 1. März 2026 in Kraft. Beschlossen hat sie die Vollversammlung des Verbandes der Diözesen Deutschlands am 24. November 2025. Sie hebt unter anderem die Schwelle für die Pflicht zur Bestellung eines betrieblichen Datenschutz­beauftragten von zehn auf zwanzig ständig mit der Verarbeitung befasste Personen an (§ 36 KDG).

Außerdem erhöht die Neufassung den allgemeinen Bußgeldrahmen des KDG von 500.000 auf 1.000.000 Euro (§ 51 Abs. 5 KDG). Für kirchliche Unternehmen im Wettbewerb gilt eine eigene Grenze von bis zu vier Prozent des Jahresumsatzes, höchstens jedoch 3.000.000 Euro. Öffentlich-rechtlich verfasste kirchliche Stellen bleiben von Geldbußen ausgenommen, außer sie treten selbst als Unternehmen am Wettbewerb auf.

Der neue Schwellenwert von zwanzig Personen im KDG gleicht sich damit der Zahl im DSG-EKD an. Dort ist für den örtlich Beauftragten für den Datenschutz ebenfalls die Grenze von zwanzig Personen maßgeblich, allerdings ausdrücklich bezogen auf deren automatisierte Verarbeitung (§ 36 DSG-EKD).

Auch das staatliche Recht kennt diese Zahl: Nach § 38 Absatz 1 BDSG ist ein Datenschutz­beauftragter ab zwanzig ständig mit automatisierter Verarbeitung beschäftigten Personen zu bestellen. Für ein QM-System aus mehreren Rechtsformen im selben Trägerverbund, etwa einer kirchlichen Stiftung neben einer weltlichen Tochtergesellschaft, lohnt sich deshalb ein Blick auf beide Schwellen. Wie diese Zahl außerhalb des Datenschutzes noch einmal zählt, zeigt der Beitrag zur Zahl 20 bei Trägern mit 10 bis 49 Beschäftigten.

Wo unterscheiden sich KDG und DSG-EKD in der Praxis?

Für die tägliche Arbeit zählen weniger die Novellen selbst als die Punkte, an denen beide Gesetze bis heute auseinanderlaufen. Drei davon betreffen jedes QM-System unmittelbar: die Form der Auftrags­verarbeitung, die Bußgeldhöhe und, wie der nächste Abschnitt zeigt, die Aufsicht.

Bei der Auftrags­verarbeitung verlangt das KDG für den Vertrag mit einem Dienstleister die Schriftform (§ 29 KDG).

Das DSG-EKD begnügt sich dagegen mit der Textform, eine E-Mail mit eindeutiger Zuordnung reicht also aus (§ 30 Abs. 3 DSG-EKD). Ein katholischer Träger, der eine Software für die Klientenverwaltung least, braucht deshalb eine unterschriebene Vereinbarung mit dem Anbieter. Ein diakonischer Träger kommt für denselben Vertrag mit einer dokumentierten Textform aus. Beide Formen ändern nichts daran, dass der Vertrag inhaltlich dieselben Pflichtangaben braucht, etwa zu Gegenstand, Dauer und Löschung der Verarbeitung.

Auch das Verzeichnis der Verarbeitungstätigkeiten, das eine Verfahrensbeschreibung stützt, wird im katholischen Bereich strenger: Die KDG-DVO verlangt seit der Novelle genauere Angaben zu Verschlüsselung und Zugriffskontrollen sowie eine regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen. Ein Verzeichnis, das seit 2018 unverändert fortgeschrieben wurde, deckt diese neuen Anforderungen nicht automatisch ab.

Bei den Geldbußen liegt das DSG-EKD seit dessen Novelle über dem KDG. Der allgemeine Rahmen im katholischen Recht reicht bis zu 1.000.000 Euro (§ 51 Abs. 5 KDG).

Das DSG-EKD setzt den Rahmen dagegen bei bis zu 6.000.000 Euro an (§ 45 Abs. 5 DSG-EKD). Für die Praxis heißt das nicht, dass ein Verstoß im katholischen Bereich folgenlos bliebe: Beide Aufsichten können zusätzlich Abhilfemaßnahmen anordnen, etwa die Verarbeitung einzuschränken, und diese Anordnung wirkt unabhängig von einer Geldbuße.

Kernaussage: Beim Bußgeld und bei der Aufsicht liegen KDG und DSG-EKD am weitesten auseinander, bei der Auftrags­verarbeitung nur in der Form. Stand: 26. September 2026.

Wer beaufsichtigt Ihren Träger, welchen Rechtsweg gibt es dabei?

Anders als bei staatlichen Landesdatenschutzbehörden gibt es im katholischen Bereich keine einzige zentrale Stelle. Zuständig ist die Diözesandatenschutzaufsicht des jeweiligen Bistums, organisatorisch und sachlich unabhängig (§ 43 KDG). Praktisch bündeln sich die Bistümer in regionalen Stellen, etwa der Kirchlichen Datenschutzaufsicht Nord, Ost oder West sowie dem Katholischen Datenschutzzentrum Bayern. Welche Stelle für einen konkreten Träger zuständig ist, richtet sich nach dem Bistum, dem die Einrichtung angehört.

Im evangelischen Bereich ist das anders gelöst: Für den gesamten Bereich der EKD ist der Beauftragte für den Datenschutz der EKD zuständig, unabhängig davon, welcher Landeskirche ein Träger angehört. Ein diakonischer Träger in Bayern und einer in Norddeutschland wenden sich damit an dieselbe Stelle, ein katholischer Träger je nach Bistum an unterschiedliche.

Auch der Rechtsweg bei Streit unterscheidet sich zwischen beiden Kirchen.

Im katholischen Bereich prüft zunächst die Beschwerde bei der Datenschutzaufsicht. Ein gerichtlicher Rechtsbehelf gegen deren Entscheidung führt zum Interdiözesanen Datenschutzgericht mit Sitz in Köln, einem eigenen kirchlichen Fachgericht für Datenschutzfragen (§ 49 KDG).

Im evangelischen Bereich führt die Beschwerde bei der Aufsicht ebenfalls zuerst zu einer Prüfung (§ 46 DSG-EKD).

Der gerichtliche Rechtsschutz eröffnet dort anschließend den Weg zu den allgemeinen kirchlichen Verwaltungsgerichten, ohne ein eigenes Datenschutzgericht wie im katholischen Bereich (§ 47 DSG-EKD).

Was gilt daneben: Sozialdatenschutz und KI-Verordnung?

Neben KDG oder DSG-EKD kann für Leistungen der Kinder- und Jugendhilfe zusätzlich der Sozialdatenschutz aus dem Sozialgesetzbuch eine Rolle spielen. Unmittelbar bindet er allerdings nur den öffentlichen Träger der Jugendhilfe, also das Jugendamt, nicht den freien Träger selbst (§ 35 SGB I).

Ergänzt wird das Sozialgeheimnis durch die Vorschriften zum Schutz von Sozialdaten im Zehnten Buch Sozialgesetzbuch, die ebenfalls in erster Linie den öffentlichen Träger verpflichten (§§ 67 ff. SGB X).

Für einen kirchlichen Träger als freien Träger der Jugendhilfe wirkt der Sozialdatenschutz nur mittelbar: Nimmt das Jugendamt seine Einrichtungen und Dienste in Anspruch, muss es sicherstellen, dass der Datenschutz dort in entsprechender Weise gewährleistet ist (§ 61 Abs. 3 SGB VIII). In der Praxis steht diese Verpflichtung in einem Leistungs- oder Kooperationsvertrag mit dem Jugendamt, nicht unmittelbar im Gesetz gegenüber dem freien Träger.

Seit dem 2. August 2026 kommt für den KI-Einsatz im QM-System eine weitere, staatliche Pflicht hinzu: Artikel 50 der KI-Verordnung verlangt, dass Personen erkennen können, wenn sie mit einem KI-System interagieren, es sei denn, dies ist ohnehin offensichtlich. Für Kirchen sieht die KI-Verordnung keine dem Artikel 91 DSGVO vergleichbare Ausnahme vor, sie gilt für katholische und evangelische Träger deshalb wie für jeden anderen Anbieter oder Betreiber eines KI-Systems. Setzt ein Träger etwa einen Chat-Assistenten in der Beratung ein, muss den Nutzenden klar sein, dass sie mit einer künstlichen Intelligenz sprechen.

Die Pflicht reicht über Chat-Assistenten hinaus: Wer KI-erzeugte Texte zu Themen von öffentlichem Interesse veröffentlicht, etwa einen Beitrag auf der eigenen Website, muss auch das kennzeichnen. Eine Ausnahme gilt nur, wenn eine verantwortliche Person den Text redaktionell geprüft hat und dafür einsteht (Art. 50 KI-VO). Wie sich der KI-Einsatz auch beim Einkauf von KI-gestützter Fachsoftware vertraglich prüfen lässt, zeigt der Beitrag zum Vertragscheck für KI-Fachsoftware.

Wie kommen die Anforderungen in die Verfahrensbeschreibung?

Die folgenden sechs Schritte führen von der Rechtslage zu einer Verfahrensbeschreibung, die im integrierten Management­system eines Trägers Bestand hat, unabhängig davon, ob der Träger ein Zertifikat anstrebt oder ein rein internes QM-System betreibt.

1. Klären Sie das anwendbare Recht

   Stellen Sie fest, ob für Ihren Träger das KDG, das DSG-EKD oder unmittelbar die Datenschutz-Grundverordnung gilt. Nutzen Sie dafür den Wegweiser im nächsten Abschnitt.

2. Prüfen Sie Ihre Auftrags­verarbeitungsverträge

   Gleichen Sie bestehende Verträge mit Softwareanbietern und Dienstleistern gegen die richtige Form ab, Schriftform im KDG, Textform im DSG-EKD.

3. Zählen Sie die mit Verarbeitung befassten Personen

   Gleichen Sie die Zahl gegen die Schwelle von zwanzig Personen ab und dokumentieren Sie, ob eine Pflicht zur Bestellung eines Datenschutz­beauftragten besteht.

4. Legen Sie den Meldeweg schriftlich fest

   Halten Sie in der Verfahrensbeschreibung fest, welche Aufsicht bei einer Datenschutzverletzung binnen 72 Stunden zu informieren ist und wer intern dafür zuständig ist.

5. Prüfen Sie jeden KI-Einsatz vor der Freigabe

   Klären Sie für jedes KI-gestützte Werkzeug im QM-System, ob es mit Klientinnen, Klienten oder Mitarbeitenden interagiert und ob die Transparenzpflicht nach Artikel 50 KI-VO erfüllt ist.

6. Verankern Sie das Ergebnis im Management­system

   Legen Sie die Verfahrensbeschreibung im integrierten Management­system ab und lassen Sie sie vom zuständigen Datenschutz­beauftragten gegenzeichnen. Ob Ihr Träger ein Zertifikat anstrebt oder nicht, ändert daran nichts, beide Kundengruppen brauchen dieselbe Nachweisführung.

Wie sich Datenschutz, Personal und weitere Pflichtthemen in einem gemeinsamen Aufbau abbilden lassen, beschreibt der Beitrag zum integrierten Management­system im Sozialwesen. Für Träger, die kein Zertifikat anstreben, gilt dieselbe Nachweisführung, wie der Beitrag QM mit oder ohne Zertifikat zeigt. Wie lange die zugrunde liegenden Klientenakten aufzubewahren sind, ordnet der Beitrag zu Aufbewahrungsfristen und Fristenordnung ein.

Wegweiser: Welches Datenschutzrecht gilt für Ihren Träger?

Beantworten Sie drei Fragen zu Ihrem Träger. Der Wegweiser zeigt anschließend die Rechtsgrundlage, die zuständige Aufsicht und drei Punkte, die daraus für Ihr QM-System folgen. Er ersetzt keine Rechtsberatung im Einzelfall und wertet nichts, was Sie eingeben, an eine andere Stelle aus.

Was in den nächsten Wochen zu tun ist

Drei Dinge tragen die nächsten Wochen. Klären Sie mit dem Wegweiser, ob für Ihren Träger das KDG, das DSG-EKD oder unmittelbar die Datenschutz-Grundverordnung gilt. Prüfen Sie anschließend Ihre Auftrags­verarbeitungsverträge auf die richtige Form und die Zahl der mit Verarbeitung befassten Personen gegen die Schwelle von zwanzig. Und legen Sie den Meldeweg für Datenschutzverletzungen schriftlich fest, bevor eine Aufsicht danach fragt.

Wer diese drei Punkte nicht allein in eine belastbare Verfahrensbeschreibung bringen möchte, kann sie im Rahmen der laufenden Qualitäts­managementarbeit fachlich einordnen lassen. Als externer Qualitäts­management­beauftragter und Datenschutz­beauftragter (IHK) ordne ich die Anforderungen aus KDG oder DSG-EKD in ein bestehendes QM-System ein, unabhängig davon, ob ein Zertifikat angestrebt wird oder nicht.

Häufige Fragen

Zum Weiterlesen

• Die Zahl 20 zählt zweimal: Zählweisen für Träger mit 10 bis 49 BeschäftigtenDer neue Schwellenwert von zwanzig Personen für den Datenschutz­beauftragten ist nicht die einzige Stelle, an der diese Zahl für Träger mit 10 bis 49 Beschäftigten zählt.
• Leistung: Laufende Begleitung als externer QMBAls externer Qualitäts­management­beauftragter ordne ich die Anforderungen aus KDG oder DSG-EKD in ein bestehendes QM-System ein.

Quellen

1. Art. 91 DSGVO, Bestehende Datenschutzvorschriften von Kirchen und religiösen Vereinigungen oder Gemeinschaften. dejure.org, abgerufen am 26.09.2026.
2. Gesetz über den Kirchlichen Datenschutz (KDG) mit Durchführungsverordnung, Neufassung, in Kraft seit 1. März 2026, konsolidierte Fassung bereitgestellt von der Kirchlichen Datenschutzaufsicht Nord. kdsa-nord.de (PDF), abgerufen am 26.09.2026.
3. Katholisches Datenschutzzentrum Bayern: Neufassung von KDG und KDG-DVO beschlossen, Anpassung interner Datenschutzmaßnahmen erforderlich. kdsz.bayern, abgerufen am 26.09.2026.
4. kdg.info, Volltext mit Kommentierung: § 3 (Anwendungsbereich), § 29 (Auftrags­verarbeitung), § 33 (Meldung an die Datenschutzaufsicht), § 36 (Betrieblicher Datenschutz­beauftragter), § 43 (Diözesandatenschutz­beauftragter), § 51 (Geldbußen). kdg.info, abgerufen am 26.09.2026.
5. Deutsche Bischofskonferenz: Interdiözesanes Datenschutzgericht (1. Instanz). dbk.de, abgerufen am 26.09.2026.
6. Evangelische Kirche in Deutschland: Kirchliches Amtsblatt, Ausgabe 2025/1, Kirchengesetz zur Änderung des Kirchengesetzes über den Datenschutz der EKD vom 13. November 2024, in Kraft seit 1. Mai 2025. kirchenrecht-ekd.de, abgerufen am 26.09.2026.
7. dsg-ekd.de, Der Beauftragte für den Datenschutz der EKD, Volltext: § 2 (Anwendungsbereich), § 30 (Auftrags­verarbeitung), § 30a (Zentrale Verfahren), § 32 (Meldung an die Aufsichts­behörde), § 36 (Örtlich Beauftragte für den Datenschutz), § 45 Abs. 5 (Geldbußen), § 46 (Beschwerde), § 47 (Gerichtlicher Rechtsbehelf). dsg-ekd.de, abgerufen am 26.09.2026.
8. § 61 SGB VIII, Anwendungsbereich des Sozialdatenschutzes in der Kinder- und Jugendhilfe. gesetze-im-internet.de, abgerufen am 26.09.2026.
9. § 35 SGB I, Sozialgeheimnis. gesetze-im-internet.de, abgerufen am 26.09.2026.
10. § 38 BDSG, Bestellung eines Datenschutz­beauftragten durch nichtöffentliche Stellen. gesetze-im-internet.de, abgerufen am 26.09.2026.
11. Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50, Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme. ai-act-law.eu, abgerufen am 26.09.2026.
12. Taylor Wessing: Die Transparenzpflichten unter Artikel 50 KI-VO, in Kraft seit 2. August 2026. taylorwessing.com, abgerufen am 26.09.2026.

Stand aller Angaben: 26. September 2026. Wo einzelne Bistümer oder Landeskirchen von der allgemeinen Darstellung abweichen, ist das mit der zuständigen Aufsicht zu klären.

Christian Monat

Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen. Mehr über mich