Externer Datenschutz­beauftragter für Soziale Arbeit und Pflege.

Ein weltlicher Träger muss einen benennen, wenn er „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt oder wenn eine seiner Verarbeitungen eine Datenschutz-Folgen­abschätzung erfordert (§ 38 Abs. 1 BDSG). Unabhängig davon gilt die Pflicht nach Art. 37 Abs. 1 lit. c DSGVO, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten oder anderen besonderen Kategorien besteht.

Bund und Länder haben sich am 4. Dezember 2025 darauf verständigt, dass der Bund bis zum 31. Dezember 2026 die Aufhebung von § 38 Abs. 1 BDSG einbringt. Ein Gesetzgebungsvorgang dazu ist im Bundestag bisher nicht verzeichnet. Art. 37 DSGVO bliebe bestehen, ebenso die eigenen Regeln für kirchliche Träger in KDG und DSG-EKD (Übersicht nach Rechtskreisen).

Wie die Pflicht für Pflegedienst, Wohngruppe und Beratungsstelle im Einzelnen aussieht und wer dabei mitzählt, erklärt der Fachbeitrag Datenschutz­beauftragter in sozialen Einrichtungen.

An den Pflichten aus der DSGVO ändert sich dadurch nichts: Verarbeitungs­verzeichnis, Verträge zur Auftrags­verarbeitung, Schutzmaßnahmen und die Meldung von Datenpannen bleiben Aufgabe Ihres Trägers. Es entfiele nur die Pflicht aus dem BDSG, dafür eine fachkundige Person zu benennen. Freiwillig benennen können Sie einen Datenschutz­beauftragten weiterhin; für ihn gelten dann ebenfalls Art. 38 und 39 DSGVO.

Die Rechtsform entscheidet nicht. Die Pflicht entsteht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten oder anderen besonders geschützten Daten besteht oder wenn eine Verarbeitung eine Datenschutz-Folgen­abschätzung erfordert. Die Mitgliederverwaltung allein löst sie nicht aus. Für kirchliche Träger gelten KDG und DSG-EKD mit eigenen Schwellen.

Auch ohne Pflicht bleiben Verarbeitungs­verzeichnis, Verträge und die Meldung von Datenpannen Aufgabe Ihres Trägers. Bis 49 Beschäftigte gilt das untere Ende der Preisspanne. Was ein Verein, eine gemeinnützige GmbH oder ein soziales Startup vom ersten Pilotprojekt an braucht, steht im Fachbeitrag Datenschutz und KI für Vereine und soziale Startups.

Sie benennen nach eigenem Recht: katholische Träger nach § 36 KDG, evangelische nach § 36 DSG-EKD. Beide Gesetze haben eine eigene Schwelle von 20 Personen und eine eigene Regel für die Kerntätigkeit. Die geplante Änderung im BDSG berührt sie nicht. Ich übernehme die Funktion nach dem Gesetz, das für Ihren Träger gilt.

Sozialdaten sind personenbezogene Daten, die ein Leistungsträger wie Jugendamt, Träger der Eingliederungs­hilfe oder Pflegekasse für seine Aufgaben nach dem Sozialgesetzbuch verarbeitet (§ 67 Abs. 2 SGB X). Sie stehen unter dem Sozialgeheimnis (§ 35 SGB I). Neben der DSGVO regelt das Sozialgesetzbuch abschließend, wann der Leistungsträger sie verarbeiten und an wen er sie übermitteln darf (§ 35 Abs. 2 SGB I, §§ 67a bis 77 SGB X).

Freie und private Träger von Einrichtungen sind keine Leistungsträger. Für sie gelten DSGVO und BDSG, KDG oder DSG-EKD. Unmittelbar an das Sozialgeheimnis gebunden sind sie nur, wo § 35 Abs. 1 Satz 4 SGB I sie eigens nennt, etwa als Integrationsfachdienst oder anerkannte Adoptionsvermittlungsstelle. Sozialdaten, die sie von einem Leistungsträger erhalten, müssen sie im selben Umfang geheim halten und dürfen sie nur für den Zweck verwenden, zu dem sie übermittelt wurden (§ 78 SGB X). In der Kinder- und Jugendhilfe muss das Jugendamt sicherstellen, dass freie Träger die Daten in entsprechender Weise schützen (§ 61 Abs. 3 SGB VIII). Unabhängig davon gilt für Berufs­geheimnis­träger in Ihrem Team, etwa staatlich anerkannte Sozialarbeiterinnen und Sozialarbeiter oder Pflegefachkräfte, die Schweigepflicht nach § 203 StGB.

Andere Aufgaben dürfen einen Datenschutz­beauftragten nicht in einen Interessenkonflikt bringen (Art. 38 Abs. 6 DSGVO). Wer als Leitungskraft oder in der Leitung der IT mitentscheidet, wofür und womit Daten verarbeitet werden, würde als interner Datenschutz­beauftragter die eigenen Entscheidungen überwachen. Ein externer Datenschutz­beauftragter steht außerhalb dieser Entscheidungen.

Die Funktion als Datenschutz­beauftragter kostet 400 bis 900 € im Monat, zusammen mit der KI-Compliance 700 bis 1.500 € im Monat. Bis 49 Beschäftigte gilt das untere Ende der Spanne. Von 50 bis 249 Beschäftigten steigt der Betrag in Stufen nach Richtwerten, verbindlich nennt ihn das Angebot. Ab 250 Beschäftigten erhalten Sie ein Angebot. Gezählt werden alle Personen, die mit personenbezogenen Daten arbeiten, auch in Teilzeit, im Minijob oder auf Honorarbasis. Ehrenamtliche zählen mit, wenn sie Zugang zu Daten von Klientinnen und Klienten haben. Die Erstaufnahme ist enthalten, eine Einrichtungsgebühr fällt nicht an.

Das hängt davon ab, nach welchem Recht Ihr Träger benennt.

Weltliche und katholische Träger: Die ersten sechs Monate sind eine Kennenlernphase, in die Erstaufnahme und Jahresplan fallen. Zu ihrem Ende können beide Seiten die Zusammenarbeit ohne Angabe von Gründen beenden, mit vier Wochen Vorlauf. Sonst folgt auf die sechs Monate das erste Vertragsjahr. Sie binden sich dann bis zum Ende des 18. Monats. Danach verlängert sich der Vertrag jeweils um ein Jahr, wenn keine Seite spätestens drei Monate vor Ablauf kündigt. Feste Vertragsjahre stützen die Unabhängigkeit, die das Datenschutzrecht vom Datenschutz­beauftragten verlangt.

Evangelische Träger: Im DSG-EKD heißt die Benennung „Bestellung“. Für eine befristete Bestellung sieht das Gesetz mindestens drei Jahre vor. Bestellung und Vertrag laufen deshalb von Beginn an drei Jahre, ohne Kennenlernphase. Kündigt keine Seite spätestens drei Monate vor Ablauf, verlängern sich beide mit einer neuen Bestellung um jeweils drei Jahre.

KI-Compliance in Stufe 2: Den Anteil können Sie getrennt beenden, zum Ende der Kennenlernphase mit vier Wochen Vorlauf, danach mit drei Monaten Frist zum Monatsende. Die Funktion als Datenschutz­beauftragter läuft dann als Stufe 1 weiter. Buchen Sie den Anteil später dazu oder ist Ihr Träger evangelisch, hat er eine eigene Kennenlernphase von drei Monaten.

Ende des Vertrags: Ihr Träger benennt mich jeweils für die Laufzeit des Vertrags. Endet der Vertrag, halten wir das Ende meines Amtes schriftlich fest. Ihr Träger meldet es der Datenschutzaufsicht. Die Einzelheiten stehen unter Rahmen der Zusammenarbeit.

Das ist Aufgabe Ihres Trägers. Als Datenschutz­beauftragter berate ich, ob eine Folgen­abschätzung nötig ist und wie sie aufgebaut wird, und überwache ihre Durchführung (Art. 39 Abs. 1 lit. c DSGVO). Würde ich sie selbst erstellen, müsste ich danach mein eigenes Werk überwachen.

Ja, sobald mit ihnen personenbezogene Daten verarbeitet werden (Art. 30 DSGVO). Verarbeitet ein Anbieter die Daten in Ihrem Auftrag, braucht es außerdem einen Vertrag zur Auftrags­verarbeitung (Art. 28 DSGVO). Das gilt auch für KI-Funktionen, die per Update in die Fachsoftware kommen.