KI bei kirchlichen Trägern: KDG und DSG-EKD

Warum gilt für Caritas und Diakonie eigenes Datenschutzrecht?

Kirchen dürfen nach Art. 91 DSGVO eigene, umfassende Datenschutzregeln anwenden, wenn diese mit der DSGVO in Einklang stehen. Die katholische Kirche hat dafür das Gesetz über den Kirchlichen Datenschutz (KDG) mit seiner Durchführungsverordnung (KDG-DVO), die evangelische Kirche das EKD-Datenschutzgesetz (DSG-EKD). Sie gelten für Bistümer, Landeskirchen, Gemeinden und für Einrichtungen wie kirchliche Krankenhäuser, Pflegeheime, Kitas und Beratungsstellen. Die Aufsicht führen kirchliche Datenschutzaufsichten, nicht die Landesbeauftragten.

Inhaltlich sind die Pflichten ähnlich wie in der DSGVO. Bei der Auftragsverarbeitung, also wenn ein Anbieter die KI für Sie betreibt, gibt es aber Unterschiede.

Was gilt für den Vertrag mit einem KI-Anbieter?

	Katholisch (KDG, KDG-DVO)	Evangelisch (DSG-EKD)
Rechtsgrundlage	§ 29 KDG	§ 30 DSG-EKD
Form	Schriftform (§ 29 Abs. 9 KDG): eigenhändig unterschrieben oder beidseitig mit qualifizierter elektronischer Signatur	Textform genügt (§ 30 Abs. 3 DSG-EKD), etwa ein elektronischer Vertrag
Anbieter außerhalb der Kirche	AVV nach DSGVO und zusätzlich Vereinbarung, dass er das KDG anwendet (§ 22 Abs. 1 KDG-DVO)	Vertragsinhalte dürfen sich an Art. 28 DSGVO orientieren (§ 30 Abs. 5 DSG-EKD)
Unterwerfung unter die kirchliche Aufsicht	nicht verlangt	seit 1. Mai 2025 gestrichen
Prüfung des Anbieters	Nachweis des Schutzniveaus (§ 9 Abs. 7 KDG-DVO), Überprüfung mindestens alle zwei Jahre (§ 15 Abs. 5 KDG-DVO)	vor Beginn und danach regelmäßig, dokumentiert (§ 30 Abs. 3 DSG-EKD)

Die Schriftform im katholischen Bereich ist eine echte Hürde: Ein heruntergeladener AVV, eine E-Mail-Bestätigung oder ein eingescanntes Dokument genügen dafür nicht.

Welche Schutzstufe brauchen Gesundheits- und Personaldaten?

Die KDG-DVO ordnet Daten in drei Datenschutzklassen. Gesundheitsdaten, andere besondere Kategorien und Daten über Arbeitsverhältnisse gehören insbesondere in die Datenschutzklasse III, die höchste Stufe (§ 13 KDG-DVO). Ordnet eine Einrichtung ihre Daten nicht ein, gilt Klasse III (§ 9 Abs. 5 KDG-DVO). Die Einordnung treffen Sie als Verantwortlicher.

Für eine KI in Krankenhaus, Pflege oder Personalabteilung heißt das: Planen Sie mit Klasse III. Dazu gehören unter anderem verschlüsselte Übertragung, eine starke Anmeldung und klar begrenzte Zugriffsrechte.

Was gilt für KI-Dienste außerhalb der EU?

Beide Gesetze erlauben Übermittlungen in Drittländer nur mit Garantien. Das DSG-EKD lässt dafür nur einen Angemessenheitsbeschluss der EU-Kommission oder deren Standarddatenschutzklauseln zu (§ 10 Abs. 1 DSG-EKD). Prüfen Sie deshalb, ob eine KI Ihre Eingaben an das Modell eines Anbieters außerhalb der EU schickt.

Wie geht das mit basebox?

Für kirchliche Träger gilt bei basebox (Einzelheiten auf /sicherheit#sec-kirche):

• Evangelische Einrichtungen: Der AVV nach Art. 28 DSGVO genügt (§ 30 DSG-EKD).
• Katholische Einrichtungen: Zusätzlich zum AVV vereinbaren wir die Anwendung des KDG (§ 22 KDG-DVO). AVV und Ergänzung schicken wir Ihnen auf Anfrage unterschrieben, wie § 29 KDG es verlangt.
• Datenschutzklasse III: basebox überträgt verschlüsselt, ein zweiter Faktor bei der Anmeldung ist möglich.
• Nachweis: Unser ISO-27001-Zertifikat dient Ihnen als Nachweis nach § 9 Abs. 7 KDG-DVO.
• Vertragsende: Wir löschen oder übergeben alle Daten.

Ein externes Modell gibt es bei basebox nur als eigene App, wenn Sie sie einrichten lassen; ob Sie sie nutzen und für welche Daten, entscheiden Sie mit Ihrem Datenschutzbeauftragten. AVV und TOMs stehen zum Herunterladen bereit, die Ergänzung nach KDG fordern Sie über Kontakt an.

Keine Rechtsberatung: Das KDG gilt in jedem Bistum in der dort in Kraft gesetzten Fassung; Landeskirchen können zum DSG-EKD ergänzendes Recht haben. Klären Sie Einzelheiten mit Ihrem betrieblichen Datenschutzbeauftragten und Ihrer kirchlichen Datenschutzaufsicht. Stand der Recherche: 11. Oktober 2026.