Das Wichtigste in Kürze
- Sobald ein Dienstleister Daten im Auftrag und nach Weisung des Trägers verarbeitet, etwa bei Cloud, Fachsoftware oder Fernwartung, braucht es einen Vertrag zur Auftragsverarbeitung, kurz AV-Vertrag (Art. 28 Datenschutz-Grundverordnung, DSGVO; § 29 Gesetz über den Kirchlichen Datenschutz, KDG; § 30 Datenschutzgesetz der Evangelischen Kirche in Deutschland, DSG-EKD).
- Die Pflichtinhalte nennt Art. 28 Abs. 3 und 4 DSGVO. Zur Form: nach der DSGVO schriftlich oder elektronisch, nach dem KDG schriftlich, nach dem DSG-EKD in Textform.
- Als Muster dienen die Standardvertragsklauseln der Kommission, Durchführungsbeschluss (EU) 2021/915. Pflicht sind sie nicht.
- Zusätzlich kommen in Betracht: bei Berufsgeheimnissen die ausdrückliche Verpflichtung zur Geheimhaltung (§ 203 Abs. 4 Strafgesetzbuch, StGB), bei Sozialdaten die Anzeige bei der Rechts- oder Fachaufsichtsbehörde (§ 80 Zehntes Buch Sozialgesetzbuch, SGB X) und bei Servern oder Zugriffen außerhalb der EU die Regeln der Art. 44 ff. DSGVO. Die Anzeigepflicht gilt für Leistungsträger; bei freien Trägern mit übermittelten Sozialdaten ist sie ungeklärt.
- Keinen AV-Vertrag braucht es bei Dienstleistern in eigener Verantwortung, etwa einer Steuerberatung (so die Datenschutzkonferenz der Aufsichtsbehörden, kurz DSK). Bei gemeinsamer Verantwortlichkeit gilt eine Vereinbarung nach Art. 26 DSGVO.
Auftragsverarbeitungsvertrag ist der Vertrag, mit dem ein Träger einen Dienstleister bindet, der personenbezogene Daten in seinem Auftrag verarbeitet. Das Wort steht nicht im Gesetz; Art. 28 Abs. 3 und 9 DSGVO spricht von einem Vertrag oder anderen Rechtsinstrument. Im Gesetz heißt der Träger Verantwortlicher, der Dienstleister Auftragsverarbeiter (Art. 4 Nr. 7 und 8 DSGVO; § 4 Nr. 9 und 10 KDG); das DSG-EKD sagt „verantwortliche Stelle“ (§ 4 Nr. 9 und 10).
Wer Fachsoftware aus der Cloud bezieht oder einem Techniker Fernwartung mit Zugriff auf Klientendaten einräumt, braucht nach der Datenschutzkonferenz einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Kirchliche Träger wenden statt der DSGVO das KDG (katholisch) oder das DSG-EKD (evangelisch) an. Beide regeln die Auftragsverarbeitung im Kern wie die DSGVO, in Form und Einzelheiten aber abweichend.
Ist der Dienstleister überhaupt Auftragsverarbeiter?
Entscheidend ist die tatsächliche Rolle, nicht die Überschrift im Vertrag. Auftragsverarbeiter ist, wer Daten nur im Auftrag und nach Weisung des Trägers verarbeitet und keinen eigenen Zweck verfolgt (Art. 28 Abs. 3 Buchst. a DSGVO; Leitlinien 07/2020 des Europäischen Datenschutzausschusses, kurz EDSA, Randnummer (Rn.) 62). Wer selbst über Zwecke und Mittel entscheidet, ist Verantwortlicher, auch wenn der Vertrag ihn anders nennt (Rn. 28 f.; Art. 28 Abs. 10 DSGVO).
| Konstellation | Einordnung | Was daraus folgt | Fundstelle |
|---|---|---|---|
| Cloud, Hosting, E-Mail-Verwaltung, Backup, Entsorgung von Datenträgern | Beispiele der DSK für Auftragsverarbeitung; der EDSA sieht sie auch beim Hosting verschlüsselter Daten | Vertrag nach Art. 28 | DSK-Kurzpapier Nr. 13, Anhang A; EDSA, Beispiel Hosting |
| Fernwartung und Support mit Zugriff auf Klientendaten | Nach der DSK Auftragsverarbeitung, sobald ein Zugriff nötig oder möglich ist; rein technische Wartung nicht. Der EDSA unterscheidet: Systematischer Zugriff beim allgemeinen IT-Support ist Auftragsverarbeitung, ein rein zufälliger und sehr begrenzter Zugriff bei einer Fehlerbehebung nicht | Vertrag vor dem ersten Zugriff; bei zufälligem Zugriff Schutzmaßnahmen nach Art. 32 | DSK-Kurzpapier Nr. 13, Abschnitt Wartung und Fernzugriffe; EDSA, Rn. 83; § 30 Abs. 6 DSG-EKD |
| Steuerberatung, Kanzlei, Wirtschaftsprüfung, Bank, Postdienst | Beispiele der DSK für eigenständig Verantwortliche; der EDSA prüft Unabhängigkeit und Weisungen | Rechtsgrundlage für die Weitergabe nach Art. 6 DSGVO | DSK-Kurzpapier Nr. 13, Anhang B; EDSA, Beispiele Kanzlei und Buchprüfung |
| Rechenzentrum, Abrechnungsstelle, Inkasso | Inkasso mit Forderungsübertragung nennt die DSK als eigene Verantwortlichkeit, Datenerfassung nach Weisung als Auftragsverarbeitung. Für die Abrechnung mit Kranken- und Pflegekassen sehen Gesetze Rechenzentren mit Zweckbindung vor, ohne deren Rolle zu regeln | Vertrag lesen, Rolle festlegen | DSK-Kurzpapier Nr. 13, Anhang A und B; § 105 Abs. 2 SGB XI (Pflege); § 302 Abs. 2 Satz 2 und 3 SGB V (Krankenversicherung) |
| Jugendamt, Sozialamt, Pflegekasse und weitere Leistungsträger | Der Leistungsträger ist für seine Sozialdaten selbst verantwortlich, der freie Träger grundsätzlich für die Daten seiner Klientinnen und Klienten | Berichte an den Leistungsträger sind Weitergabe zwischen Verantwortlichen; Befugnis und Vereinbarungen klären | § 67 Abs. 4 SGB X; § 12 Erstes Buch Sozialgesetzbuch (SGB I); EDSA, Rn. 27 |
| Anbieter mit eigenen Zwecken | Eigenständig Verantwortlicher | Rechtsgrundlage für die Weitergabe nach Art. 6 DSGVO | Art. 28 Abs. 10 DSGVO; § 29 Abs. 10 KDG |
| Kooperationspartner mit gemeinsam festgelegten Zwecken und Mitteln | Gemeinsame Verantwortlichkeit: Beide legen gemeinsam fest, wozu und wie Daten verarbeitet werden | Vereinbarung nach Art. 26 | Art. 26 DSGVO; § 28 KDG; § 29 DSG-EKD; DSK-Kurzpapier Nr. 16 |
Fehlt der Vertrag bei echter Auftragsverarbeitung, liegt ein Verstoß gegen Art. 28 DSGVO vor, den der EDSA beiden Seiten zurechnet. Die Aufsicht kann nach der DSGVO gegen beide eine Geldbuße verhängen (Rn. 103; Art. 83 Abs. 4 Buchst. a DSGVO). Gegen öffentliche Stellen schließt das Recht Geldbußen teilweise aus: im Bundesdatenschutzgesetz (BDSG) für Behörden des Bundes (§ 43 Abs. 3 mit § 2 Abs. 1), im SGB X bei Sozialdaten (§ 85a Abs. 3), im KDG für öffentlich-rechtlich verfasste kirchliche Stellen ohne Wettbewerb (§ 51 Abs. 6) und im DSG-EKD für verantwortliche Stellen ohne Wettbewerb (§ 45 Abs. 1). Für kommunale Träger gilt außerdem Landesrecht, das hier nicht geprüft ist.
Prüfliste: Was der Vertrag regeln muss
Der Vertrag muss Gegenstand und Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Trägers festlegen (Art. 28 Abs. 3 DSGVO) und acht Pflichtinhalte regeln (Buchst. a bis h). Das KDG verlangt dieselben Punkte (§ 29 Abs. 3 und 4), das DSG-EKD nennt zehn Punkte in eigener Fassung (§ 30 Abs. 3). Zusätzlich muss sich der Träger nach dem DSG-EKD vor Beginn und danach wiederkehrend von den Schutzmaßnahmen überzeugen und das dokumentieren.
| Prüfpunkt | Was der Vertrag regeln sollte | DSGVO | KDG und DSG-EKD |
|---|---|---|---|
| Gegenstand | Gegenstand, Dauer, Zweck, Datenarten, Betroffene; Gesundheits- und Sozialdaten ausdrücklich nennen | Art. 28 Abs. 3 Satz 1 | § 29 Abs. 3 KDG; § 30 Abs. 3 Satz 2 Nr. 1 und 2 DSG-EKD |
| Weisung | Nur dokumentierte Weisung, auch für Drittländer; Hinweis bei rechtswidriger Weisung | Art. 28 Abs. 3 Unterabs. 1 Buchst. a, Unterabs. 2 | § 29 Abs. 4 Buchst. a und h KDG; § 30 Abs. 3 Satz 2 Nr. 9, Abs. 4 DSG-EKD |
| Vertraulichkeit | Befugte Personen sind zur Vertraulichkeit oder gesetzlich zur Verschwiegenheit verpflichtet | Art. 28 Abs. 3 Unterabs. 1 Buchst. b | § 29 Abs. 4 Buchst. b KDG; § 30 Abs. 3 Satz 2 Nr. 5 DSG-EKD |
| Sicherheit | Schutzmaßnahmen konkret in einer Anlage, nicht nur ein Verweis auf das Gesetz | Art. 28 Abs. 3 Unterabs. 1 Buchst. c, Art. 32 | § 29 Abs. 4 Buchst. c KDG; § 30 Abs. 3 Satz 2 Nr. 3 DSG-EKD |
| Unterauftragnehmer | Genehmigung, aktive Information über Änderungen, Einspruchsrecht, gleiche Pflichten, Liste mit Namen, Sitz und Verarbeitungsort | Art. 28 Abs. 2, Abs. 3 Unterabs. 1 Buchst. d, Abs. 4 | § 29 Abs. 2, 4 Buchst. d, Abs. 5 KDG; § 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD (nur Bedingungen, kein gesetzliches Einspruchsrecht) |
| Betroffenenrechte | Unterstützung bei Auskunft, Berichtigung und Löschung; Anträge gehen unverzüglich an den Träger | Art. 28 Abs. 3 Unterabs. 1 Buchst. e | § 29 Abs. 4 Buchst. e KDG; § 30 Abs. 3 Satz 2 Nr. 4 DSG-EKD |
| Datenpannen | Meldung an den Träger unverzüglich, mit Meldeweg; Hilfe bei Folgenabschätzung und Konsultation der Aufsicht | Art. 28 Abs. 3 Unterabs. 1 Buchst. f, Art. 33 Abs. 2 | § 29 Abs. 4 Buchst. f, § 33 Abs. 2 KDG; § 30 Abs. 3 Satz 2 Nr. 8, § 32 Abs. 2 DSG-EKD |
| Löschung | Löschung oder Rückgabe nach Wahl des Trägers, mit Bescheinigung; gesetzliche Speicherpflichten benennen | Art. 28 Abs. 3 Unterabs. 1 Buchst. g | § 29 Abs. 4 Buchst. g KDG; § 30 Abs. 3 Satz 2 Nr. 10 DSG-EKD |
| Kontrolle | Nachweise und Prüfungen einschließlich Inspektionen; Zertifikate können berücksichtigt werden | Art. 28 Abs. 3 Unterabs. 1 Buchst. h, Abs. 5 | § 29 Abs. 4 Buchst. h, Abs. 6 KDG; § 30 Abs. 3 Satz 2 Nr. 7, Satz 3 und 4, Abs. 8 DSG-EKD |
| Eigene Zwecke | Verbot, Daten für eigene Zwecke zu nutzen, auch zur Produktverbesserung oder zum Training von Modellen | Art. 28 Abs. 3 Unterabs. 1 Buchst. a, Abs. 10 | § 29 Abs. 10 KDG; § 30 Abs. 4 DSG-EKD |
| Verarbeitungsort | Orte der Verarbeitung und des Zugriffs; Drittland nur auf Weisung und mit Grundlage nach Art. 44 ff. | Art. 28 Abs. 3 Unterabs. 1 Buchst. a, Art. 44 bis 46 | §§ 39 bis 41 KDG; § 10, § 30 Abs. 2 DSG-EKD |
Abschreiben soll der Vertrag das Gesetz nicht, sondern sagen, wie die Pflichten erfüllt werden: welche Schutzmaßnahmen gelten und wie der Dienstleister bei Anträgen, Pannen und Folgenabschätzungen hilft (EDSA, Rn. 112, 126 und 133). Bei Unterauftragnehmern reicht es nicht, dass der Dienstleister eine Liste bereithält und von Zeit zu Zeit ändert. Er muss dem Träger jeden geplanten neuen Unterauftragnehmer ausdrücklich melden (Rn. 128 mit Fußnote 54). Namen und Ansprechpersonen aller Beteiligten in der Kette soll der Träger verfügbar haben (EDSA, Stellungnahme 22/2024). Frist und Meldeweg für Datenpannen legt der Träger fest; mehr dazu steht im Beitrag zur Datenpanne in den ersten 72 Stunden.
Als Muster dienen die Standardvertragsklauseln der Kommission nach dem Durchführungsbeschluss (EU) 2021/915 (Art. 1). Sie lassen sich ganz oder teilweise übernehmen (Art. 28 Abs. 6 und 7 DSGVO) und dürfen um Zusatzklauseln ergänzt werden, die ihnen nicht widersprechen (Klausel 2); vorgeschrieben sind sie nicht (EDSA, Rn. 106). Für katholische Träger nennt das KDG Standardvertragsklauseln der kirchlichen Datenschutzaufsicht als Grundlage (§ 29 Abs. 7 und 8). Das DSG-EKD enthält keine solche Regel; dort kann kirchliches Recht Mustervereinbarungen vorschreiben (§ 30 Abs. 7). Als inhaltliche Vorlage taugen die Klauseln der Kommission auch für kirchliche Träger.
Was bei Berufsgeheimnis, Sozialdaten und kirchlichem Recht dazukommt
Schweigepflicht nach § 203 StGB
Berufsgeheimnisse an den Dienstleister weiterzugeben, erlaubt ein AV-Vertrag nicht (DSK-Kurzpapier Nr. 13). Erlaubt wird es durch das Strafgesetzbuch: Schweigepflichtige Personen dürfen Geheimnisse an sonstige mitwirkende Personen offenbaren, soweit das für die Inanspruchnahme ihrer Tätigkeit erforderlich ist (§ 203 Abs. 3 Satz 2 StGB). Schweigepflichtig sind etwa staatlich anerkannte Sozialarbeiter und Sozialpädagogen, Ehe-, Familien-, Erziehungs- und Jugendberater sowie Berater für Suchtfragen in einer behördlich anerkannten Beratungsstelle und, nach meiner Einordnung, Pflegefachpersonen (§ 203 Abs. 1 StGB). Zudem muss die schweigepflichtige Person dafür sorgen, dass der Dienstleister zur Geheimhaltung verpflichtet wird; andernfalls macht sie sich strafbar, wenn er ein Geheimnis unbefugt offenbart (Abs. 4 Satz 2 Nr. 1).
Für die Verpflichtung nennt das Gesetz keine Form. Ob die Vertraulichkeitsklausel des Art. 28 Abs. 3 Buchst. b DSGVO sie ersetzt, ist nach meinem Kenntnisstand nicht entschieden. Ich rate deshalb, die Verpflichtung im Vertrag ausdrücklich zu vereinbaren, für den Dienstleister, seine Beschäftigten und seine Unterauftragnehmer. Der Beitrag zur Schweigepflicht bei IT, Cloud und KI rät ebenfalls, sich nicht auf die Klausel zu verlassen.
Sozialdaten: § 80 SGB X
Bei Sozialdaten muss der Verantwortliche den Auftrag zusätzlich seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Erteilung anzeigen (§ 80 Abs. 1 SGB X). Verarbeitet werden darf nur in Deutschland, in der EU, in einem gleichgestellten Staat oder in einem Drittstaat mit Angemessenheitsbeschluss (Abs. 2); gleichgestellt sind die Staaten des Europäischen Wirtschaftsraums (EWR) und die Schweiz (§ 35 Abs. 7 SGB I).
Einen privaten Dienstleister darf der Verantwortliche nur beauftragen, wenn sonst Störungen im Betriebsablauf auftreten können oder die Arbeiten dort erheblich kostengünstiger besorgt werden können (Abs. 3 Satz 1). Das gilt nicht für Verträge über Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann (Abs. 5).
§ 80 SGB X gilt unmittelbar für die Verantwortlichen für Sozialdaten: die Stellen, die § 35 SGB I nennt, vor allem Leistungsträger wie Jugendamt, Sozialamt und Pflegekasse (§ 67 Abs. 2 und 4 SGB X). Dasselbe gilt für Kitas und Beratungsstellen in kommunaler Hand, soweit sie Aufgaben nach dem Achten Buch Sozialgesetzbuch (SGB VIII, Kinder- und Jugendhilfe) wahrnehmen (§ 61 Abs. 1 SGB VIII). Die eigenen Klientendaten eines freien Trägers sind nach dem Wortlaut keine Sozialdaten, solange er nicht selbst zu den in § 35 Abs. 1 SGB I genannten Stellen gehört, etwa als Integrationsfachdienst.
Für Sozialdaten, die ein Leistungsträger übermittelt hat, nennt § 78 SGB X Zweckbindung und Geheimhaltung, aber keine Anzeige. Ob § 80 auch gilt, wenn ein freier Träger solche Daten bei einem Dienstleister verarbeiten lässt, sagt der Wortlaut nicht. § 80 setzt eine Rechts- oder Fachaufsichtsbehörde voraus, wie Behörden sie haben; bei einem Verein oder einer gemeinnützigen GmbH regelt das Gesetz nicht, wer das wäre. Zu dieser Frage habe ich keine Entscheidung und keine Äußerung einer Aufsichtsbehörde gefunden. Im Zweifel hilft die Rückfrage beim Leistungsträger, bevor übermittelte Sozialdaten zu einem Cloud-Anbieter gehen.
Mehr dazu steht in den Beiträgen zum Sozialdatenschutz bei freien Trägern und zum SGB X.
Kirchliches Recht: KDG und DSG-EKD
Das KDG gilt für den Deutschen Caritasverband, seine Untergliederungen und Fachverbände sowie für sonstige kirchliche Rechtsträger, ohne Rücksicht auf die Rechtsform (§ 3 Abs. 1 Buchst. b und c KDG). Das DSG-EKD gilt für die zugeordneten kirchlichen und diakonischen Dienste, Einrichtungen und Werke (§ 2 Abs. 1 DSG-EKD).
Das KDG übernimmt die Pflichtinhalte des Art. 28 DSGVO und verlangt Schriftform (§ 29 Abs. 3, 4 und 9). Ob die elektronische Form oder die Textform sie ersetzen, bestimmen die staatlichen Regelungen. Das DSG-EKD verlangt Textform (§ 30 Abs. 3). Gilt das kirchliche Recht für den Dienstleister nicht, dürfen sich die Vertragsinhalte an Art. 28 DSGVO orientieren (§ 30 Abs. 5 DSG-EKD). Das Recht der Evangelischen Kirche in Deutschland und ihrer Gliedkirchen (Landeskirchen) kann außerdem verlangen, vor der Beauftragung die Genehmigung einer kirchlichen Stelle einzuholen (§ 30 Abs. 7).
Server und Zugriffe außerhalb der EU
Drittland heißt jeder Staat außerhalb von EU und EWR (§ 1 Abs. 6 BDSG; § 4 Nr. 18 KDG; § 4 Nr. 18 DSG-EKD). Übermittlungen dorthin sind nur zulässig, wenn die Bedingungen der Art. 44 bis 49 DSGVO (Kapitel V) erfüllt sind: ein Angemessenheitsbeschluss der Kommission (Art. 45), geeignete Garantien wie Standarddatenschutzklauseln der Kommission (Art. 46) oder eine Ausnahme für bestimmte Fälle (Art. 49). Kirchlich geregelt ist das in den §§ 39 bis 41 KDG und in § 10 DSG-EKD.
Die Standardvertragsklauseln für die Auftragsverarbeitung ersetzen diese Voraussetzungen nicht (Klausel 1 Buchst. f). Für die Übermittlung selbst gibt es eigene Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 (Art. 1 Abs. 1). Zu Anbietern in den USA und zum Angemessenheitsbeschluss steht Näheres im Beitrag zur Schweigepflicht, Abschnitt Cloud im Ausland.
Vom Angebot bis zur Kontrolle
- Erfassen Sie die Dienstleister und klären Sie die Rolle. Auftragsverarbeiter sind Empfänger der Daten und gehören ins Verzeichnis der Verarbeitungstätigkeiten und in die Information der betroffenen Personen (Art. 30 Abs. 1 Buchst. d, Art. 13 Abs. 1 Buchst. e DSGVO; DSK-Kurzpapier Nr. 13). Welche Rolle gilt, entscheidet über den Weg: Vertrag nach Art. 28, Vereinbarung nach Art. 26 oder nur eine Rechtsgrundlage für die Weitergabe.
- Holen Sie Nachweise ein. Gewählt werden dürfen nur Dienstleister, die hinreichende Garantien bieten (Art. 28 Abs. 1 DSGVO). Als Nachweise nennt der EDSA Sicherheitskonzept, Prüfberichte und anerkannte Zertifizierungen (Rn. 95).
- Wählen Sie die Vertragsgrundlage. Möglich sind der eigene Vertrag, der Anbietervertrag oder die Standardvertragsklauseln. Gleichen Sie den Entwurf mit der Prüfliste ab und lesen Sie die Änderungsklausel des Anbieters: Änderungen durch bloße Veröffentlichung auf der Website genügen nicht (Rn. 110).
- Füllen Sie die Anlagen konkret aus. Dazu gehören Datenarten, Betroffene, Schutzmaßnahmen, Unterauftragnehmer und Orte. Bei Gesundheitsdaten verlangen die Klauseln der Kommission besondere Beschränkungen oder zusätzliche Garantien (Klausel 7.5, Anhang II).
- Ergänzen Sie die Zusatzpflichten. Dazu zählen die Verpflichtung zur Geheimhaltung (§ 203 Abs. 4 StGB), bei Sozialdaten die Anzeige und die weiteren Voraussetzungen nach § 80 SGB X (soweit dieser gilt) und die Vorgaben des Leistungsträgers, bei Servern außerhalb der EU die Regeln der Art. 44 ff. DSGVO und bei kirchlichen Trägern die vorgeschriebene Form.
- Schließen Sie den Vertrag in der vorgeschriebenen Form. Die DSGVO lässt ein elektronisches Format zu, das KDG verlangt Schriftform, das DSG-EKD Textform. Beteiligen Sie den Datenschutzbeauftragten vor der Unterschrift (Art. 39 Abs. 1 Buchst. a und b DSGVO).
- Behalten Sie den Vertrag im Blick. Prüfen Sie die Garantien des Dienstleisters in angemessenen Abständen (EDSA, Rn. 99). Prüfen Sie neue Unterauftragnehmer und neue Funktionen wie KI-Funktionen in der Fachsoftware, bevor sie genutzt werden. Am Vertragsende lassen Sie sich die Löschung bescheinigen (Klausel 10 Buchst. d).
Meine Empfehlung
Ich würde den Vertrag des Anbieters weder ungeprüft unterschreiben noch von Grund auf neu verhandeln. Vertretbar ist, ihn mit der Prüfliste abzugleichen und Lücken in einer Zusatzvereinbarung zu schließen, die ausdrücklich Vorrang vor den Anbieterbedingungen erhält; ob der Anbieter zustimmt, ist Verhandlungssache. Bei Zugang zu Gesundheits- und Sozialdaten taugen die Standardvertragsklauseln der Kommission als Vergleichsmaßstab.
Beratung bei der Prüfung solcher Verträge und Überwachung ihrer Einhaltung gehören zu den Aufgaben des externen Datenschutzbeauftragten (Art. 39 Abs. 1 Buchst. a und b DSGVO); über den Vertrag entscheidet die Leitung des Trägers.
Stand: 21. Oktober 2026. Geprüft sind die Wortlaute der zitierten Vorschriften, das KDG in der Fassung des Bistums Hildesheim (in Kraft seit 1. März 2026, geändert durch das 2. KDG-Änderungsgesetz vom 29. Juni 2026 mit Wirkung zum 1. August 2026, das nur § 37 Abs. 2 Satz 4 betrifft), das DSG-EKD in der Fassung ab 1. Mai 2025 und das SGB X (die Änderung vom 15. Oktober 2026 betrifft nur § 71). Die DSK führt ihre Kurzpapiere Nr. 13 und Nr. 16 von 2018 als „in Überarbeitung“. Der Vorschlag der Kommission vom 19. November 2025 zur Änderung der DSGVO (Digital-Omnibus, COM(2025) 837) ändert Art. 28 nicht. Nicht geprüft sind das Recht der Landeskirchen, das Landesrecht kommunaler Träger, Standardklauseln kirchlicher Aufsichten, die Kommentarliteratur zu § 80 SGB X, der Gang des Gesetzgebungsverfahrens und das Verhältnis der Abrechnungsvorschriften (§ 105 SGB XI, § 302 SGB V) zur Rollenverteilung.
Fragen zum Vertrag mit dem Dienstleister
Brauche ich mit jedem Dienstleister einen Auftragsverarbeitungsvertrag?
Nein, nur mit Dienstleistern, die Daten im Auftrag und nach Weisung des Trägers verarbeiten. Als Beispiele für eigenständig Verantwortliche nennt die DSK Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, Banken und Postdienste (Kurzpapier Nr. 13, Anhang B). Für die Weitergabe an sie braucht der Träger eine Rechtsgrundlage.
Reicht der Vertrag, den der Anbieter online zum Akzeptieren anbietet?
Er reicht, wenn er die Pflichtinhalte des Art. 28 Abs. 3 DSGVO regelt, der Träger ihn geprüft hat und die Form stimmt. Ein elektronisches Format genügt der DSGVO; der EDSA empfiehlt zusätzlich Unterschriften nach dem anwendbaren Recht (Rn. 101). Katholische Träger brauchen Schriftform nach dem KDG, evangelische Textform nach dem DSG-EKD.
Muss der Datenschutzbeauftragte den Vertrag freigeben?
Das Gesetz weist ihm Beratung und Überwachung zu (Art. 39 Abs. 1 Buchst. a und b DSGVO), eine Freigabe sieht es nicht vor. Verantwortlich ist der Träger (Art. 4 Nr. 7). Sinnvoll ist, den Datenschutzbeauftragten vor der Unterschrift zu beteiligen.
Gibt es ein Muster für den Auftragsverarbeitungsvertrag?
Ja, die Kommission hat im Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln erlassen. Sie sind ein Muster für die Pflichtinhalte, aber nicht vorgeschrieben (EDSA, Rn. 106). Auch Datenschutzaufsichten können Standardvertragsklauseln festlegen (Art. 28 Abs. 8 DSGVO; § 29 Abs. 8 KDG); für das DSG-EKD kann kirchliches Recht Mustervereinbarungen vorschreiben (§ 30 Abs. 7).
Haftet der Träger, wenn der Dienstleister einen Fehler macht?
Gegenüber der Aufsicht kann nach der DSGVO eine Geldbuße gegen den Träger verhängt werden, wenn er vorsätzlich oder fahrlässig handelt, auch für Verarbeitungen, die ein Dienstleister in seinem Namen durchführt. Ausgenommen sind Fälle, in denen der Dienstleister eigene Zwecke verfolgt oder außerhalb des festgelegten Rahmens handelt (Gerichtshof der Europäischen Union, EuGH, C-683/21, Tenor Nr. 4 und Rn. 84 f.). Gegenüber Betroffenen haftet der Träger für Schäden aus einer Verarbeitung, die nicht der DSGVO entspricht; der Dienstleister haftet nur bei Verstoß gegen seine besonderen Pflichten oder rechtmäßige Weisungen (Art. 82 Abs. 2 DSGVO); bei kirchlichen Trägern gelten § 50 KDG und § 48 DSG-EKD.
Brauche ich auch für einen KI-Dienst einen Vertrag zur Auftragsverarbeitung?
Ja, wenn der Anbieter Eingaben im Auftrag des Trägers verarbeitet. Nutzt er sie für eigene Zwecke, etwa zum Training, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Wie das bei ChatGPT aussieht, behandelt der Beitrag zu ChatGPT im Träger.
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 7 und 8, Art. 6, 13 Abs. 1, Art. 26, 28, 30 Abs. 1, Art. 32, 33 Abs. 2, Art. 39, 44 bis 46, 49, 82 und 83. EUR-Lex, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, ABl. L 199 vom 7. Juni 2021, S. 18, Art. 1, Klauseln 1, 2, 7.5 und 10, Anhang II. EUR-Lex, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, ABl. L 199 vom 7. Juni 2021, S. 31, Art. 1. EUR-Lex, abgerufen am 20. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Kurzpapier Nr. 13, Auftragsverarbeitung, Art. 28 DS-GVO, Stand 17. Dezember 2018, mit dem Vermerk „in Überarbeitung“ auf der Übersichtsseite der Kurzpapiere. datenschutzkonferenz-online.de, abgerufen am 20. Oktober 2026.
- DSK: Kurzpapier Nr. 16, Gemeinsam für die Verarbeitung Verantwortliche, Art. 26 DSGVO, Stand 19. März 2018. datenschutzkonferenz-online.de, abgerufen am 20. Oktober 2026.
- Europäischer Datenschutzausschuss: Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.1 (Korrekturfassung vom 20. September 2022 zu den am 7. Juli 2021 angenommenen Leitlinien), Rn. 27 bis 29, 62, 83, 95 bis 112, 126 bis 133 und Beispiele. edpb.europa.eu, abgerufen am 20. Oktober 2026.
- Europäischer Datenschutzausschuss: Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s), angenommen am 7. Oktober 2024, Zusammenfassung und Rn. 31 f. edpb.europa.eu, abgerufen am 20. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 5. Dezember 2023, C-683/21 (Nacionalinis visuomenės sveikatos centras), Rn. 84 f. und Tenor Nr. 4. EUR-Lex, abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch, § 203 Verletzung von Privatgeheimnissen, Stand: zuletzt geändert durch Gesetz vom 20. März 2026 (BGBl. 2026 I Nr. 95). gesetze-im-internet.de, abgerufen am 20. und 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Zehntes Buch Sozialgesetzbuch, § 67, § 78, § 80 und § 85a, Stand: zuletzt geändert durch Gesetz vom 15. Oktober 2026 (BGBl. 2026 I Nr. 307, ändert § 71). § 80 und § 85a bei gesetze-im-internet.de, abgerufen am 20. und 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Erstes Buch Sozialgesetzbuch, § 12 Leistungsträger und § 35 Sozialgeheimnis. gesetze-im-internet.de, abgerufen am 20. und 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Achtes Buch Sozialgesetzbuch, § 61 Anwendungsbereich. gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Sozialgesetzbuch Fünftes Buch, § 302 Abs. 2; Sozialgesetzbuch Elftes Buch, § 105 Abs. 2. § 302 SGB V und § 105 SGB XI bei gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz, § 1 Abs. 6, § 2 Abs. 1 und § 43 Abs. 3. § 1, § 2 und § 43 bei gesetze-im-internet.de, abgerufen am 20. und 21. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Fassung des Beschlusses vom 24. November 2025, § 3, § 4, § 28, § 29, § 33, §§ 39 bis 41, § 50, § 51, in Kraft gesetzt durch das Bistum Hildesheim zum 1. März 2026. PDF des Bistums Hildesheim, abgerufen am 20. Oktober 2026.
- Bistum Hildesheim: 2. Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz (2. KDG-Änderungsgesetz) vom 29. Juni 2026, Kirchlicher Anzeiger für das Bistum Hildesheim Nr. 6/2026 vom 15. Juli 2026, S. 221 (ändert § 37 Abs. 2 Satz 4, in Kraft seit 1. August 2026). PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025 (ABl. EKD 2025 S. 1), in der ab 1. Mai 2025 geltenden Fassung, § 2, § 4, § 10, § 29, § 30, § 32, § 45, § 48. kirchenrecht-ekd.de, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Vorschlag COM(2025) 837 final vom 19. November 2025 (Digitaler Omnibus, Änderung der DSGVO). EUR-Lex, abgerufen am 20. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
