Seit März 2026 gilt das novellierte Gesetz über den Kirchlichen Datenschutz (KDG) mit angepasster Durchführungsverordnung. Das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) wurde bereits zuvor weiterentwickelt. Für katholische und evangelische Träger im Gesundheits- und Sozialwesen ist damit nicht nur die Rechtsabteilung angesprochen, sondern auch die praktische Organisation von Einwilligungen, Dienstleistersteuerung, digitalen Angeboten und Datenschutzdokumentation.
Neue Anforderungen an die Praxis
Viele kirchliche Einrichtungen arbeiten in Mischstrukturen:
Krankenhaus,
Altenhilfe,
Eingliederungshilfe,
Jugendhilfe,
Kita,
Beratungsstelle,
Verwaltung,
Ehrenamt und
Seelsorge
greifen organisatorisch ineinander. Datenschutzrechtlich stellt sich dann oft die Frage, welche Stelle verantwortlich ist, wer Daten erhalten darf und ob kirchliches Datenschutzrecht oder staatliches Datenschutzrecht anwendbar ist. Fehler entstehen vor allem dort, wo historisch gewachsene Abläufe nicht mehr zur neuen digitalen Praxis passen.
Ein Beispiel sind Einwilligungen. In vielen Einrichtungen gibt es noch Papierformulare, die über Jahre gewachsen sind: Fotoeinwilligungen, Schweigepflichtentbindungen, Newsletter, Einladungen, Angehörigenkommunikation, Seelsorgekontakte oder Teilnahme an digitalen Angeboten. Wenn digitale Einwilligungsprozesse möglich sind, bleibt trotzdem entscheidend, dass die Einwilligung verständlich, freiwillig, konkret und nachweisbar ist. Ein Häkchen in einem Formular reicht nicht, wenn nicht klar ist, wofür es gilt. Im novellierten KDG wurden Erleichterungen zur Einholung von Einwilligungserklärungen hinterlegt – das bisherige Schriftformerfordernis entfällt. Einrichtungen sollten vor diesem Hintergrund prüfen, ob sich durch eine Neustrukturierung der Einwilligungsprozesse positive Effekte auf die Rechtssicherheit und Effizienz erreichen lassen.
Auch die Auftragsverarbeitung bleibt ein wichtiger Handlungsansatz. Kirchliche Träger nutzen Dienstleister für IT-Betrieb, Cloud-Computing, Abrechnung, Archivierung, Telefonie, Videodienste, Personalsoftware oder Lernplattformen. Verträge müssen zur tatsächlichen Leistung passen. Zudem müssen Verantwortliche wissen, ob Dienstleister Unterauftragnehmer einsetzen, wo Daten verarbeitet werden und wie Weisungen, Löschung und Kontrollrechte geregelt sind. Das DSK-EKD verlangt nun nicht weiter eine Unterwerfung des Auftragsverarbeiters in kirchliche Aufsichtsstrukturen. Dies kann Anlass sein, die bestehenden Auftragsverarbeitungsverträge zu überprüfen, neue Übersichten der technischen und organisatorischen Maßnahmen (TOM) anzufordern und ältere Verträge – falls erforderlich – neu abzuschließen.
Ein weiterer Punkt ist die Aufarbeitung und Dokumentation besonders sensibler Sachverhalte, etwa in Schutzkonzepten, Beschwerdeverfahren oder bei Verdachtsfällen. Hier treffen Datenschutz, Schutzpflichten, Dokumentationspflichten und Betroffenenrechte aufeinander. Einrichtungen sollten solche Fälle nicht ad hoc behandeln, sondern mit klaren Zuständigkeiten und geschützten Ablagen arbeiten - insbesondere, wenn sich um eine digitale Verarbeitung handelt. Die Durchführungsverordnung zum KDG (KDG-DVO) formuliert für die Verarbeitung besonders sensibler Datenklassen hohe Anforderungen.
Es ist zu empfehlen im Zuge der Novellierung der kirchlichen Datenschutzgesetze folgende Punkte zu überprüfen:
Einwilligungsformulare und digitale Einwilligungsverfahren auf Verständlichkeit, Nachweisbarkeit und Widerruf sowie Möglichkeiten zur Vereinfachung prüfen
Verträge mit IT- und Cloud-Dienstleistern mit der tatsächlichen Datenverarbeitung abgleichen, neue TOM-Konzepte anfordern und Verträge falls erforderlich neu abschließen
Vertrauliche Vorgänge wie Beschwerden, Schutzkonzepte oder Verdachtsdokumentationen mit besonderen Zugriffsrechten versehen
Mitarbeitende kurz und praxisnah zu Änderungen schulen, insbesondere Verwaltung, Leitung, Sozialdienst, Seelsorge und IT
Fazit
Kirchliche Einrichtungen sollten bis zum Herbst 2026 eine Umsetzungsprüfung einplanen. Priorität haben Einwilligungen, Dienstleisterverträge, Datenschutzinformationen, Verzeichnisse von Verarbeitungstätigkeiten und technische Schutzmaßnahmen.
Empfehlenswert ist eine Übersicht nach Prozessen: Aufnahme, Betreuung, Pflege, Behandlung, Angehörigenkommunikation, Ehrenamt, Seelsorge, Abrechnung und digitale Angebote. Wir unterstützen Sie hierbei sehr gerne. Jetzt Kontakt aufnehmen!
Hinweis: Dieser Beitrag wurde mit Künstlicher Intelligenz erstellt bzw. überarbeitet.