Was nach einer Beschwerde bei der Datenschutzaufsicht geschieht

Beschwerde bei der Datenschutzaufsicht ist die Eingabe einer Person bei der zuständigen Aufsichts­behörde, mit der sie geltend macht, dass ihre personenbezogenen Daten rechtswidrig verarbeitet werden (Art. 77 der Datenschutz-Grundverordnung, DSGVO; für katholische Träger § 48 des Gesetzes über den Kirchlichen Datenschutz, KDG; für evangelische und diakonische Träger § 46 des Datenschutzgesetzes der Evangelischen Kirche in Deutschland, DSG-EKD).

Eine Beschwerde ist grundsätzlich kostenlos und das Gesetz nennt keine Frist

Wer sich beschweren will, braucht weder Anwalt noch Gebühr. Die Aufsicht muss das Einreichen erleichtern und arbeitet für die betroffene Person unentgeltlich; nur bei offenkundig unbegründeten oder exzessiven Anfragen darf sie eine Gebühr verlangen oder sich weigern (Art. 57 Abs. 2 bis 4 DSGVO, § 44 Abs. 4 KDG). Eine Frist für die Beschwerde nennt Art. 77 DSGVO nicht.

Beschweren können sich alle, deren Daten der Träger verarbeitet: Klientinnen und Klienten, Bewerberinnen und Bewerber, Beschäftigte. Bei der staatlichen Aufsicht kann die Person auch eine Organisation ohne Gewinnerzielungsabsicht beauftragen, die im Datenschutz tätig ist (Art. 80 Abs. 1 DSGVO). Beschäftigte kirchlicher Träger müssen den Dienstweg nicht einhalten und dürfen wegen der Beschwerde nicht benachteiligt werden (§ 48 Abs. 1 und 3 KDG, § 46 Abs. 3 DSG-EKD).

Eine Beschwerde wird bearbeitet. Die Aufsicht muss den Gegenstand in angemessenem Umfang untersuchen und die Person über Fortgang und Ergebnis unterrichten (Art. 57 Abs. 1 Buchst. f DSGVO). Die katholische Aufsicht fordert den Träger zur Stellungnahme auf, soweit das Vorbringen den Tatbestand einer Datenschutz­verletzung erfüllt (§ 48 Abs. 2 KDG). Hört die Person drei Monate lang nichts, kann sie gegen die Aufsicht klagen (Art. 78 Abs. 2 DSGVO).

Je nach Rechtskreis schreibt eine andere Aufsicht

Vereine, gGmbHs und andere private Träger sind im Gesetz „nichtöffentliche Stellen“ und unterstehen der Datenschutzaufsicht des Landes, kurz Landesaufsicht (§ 2 Abs. 4, § 40 Abs. 1 Bundes­datenschutz­gesetz, BDSG). Caritas und andere katholische Rechtsträger unterstehen unabhängig von ihrer Rechtsform dem KDG und der Aufsicht ihrer Diözese (§ 3 Abs. 1, § 42 Abs. 1 KDG). Diakonische Einrichtungen fallen unter das DSG-EKD, wenn sie einer Gliedkirche (Landeskirche) oder der Evangelischen Kirche in Deutschland (EKD) zugeordnet sind (§ 2 Abs. 1 DSG-EKD).

Für Beschwerden über Jugendamt, Sozialamt und andere Sozialleistungsträger gilt das Zehnte Buch Sozialgesetzbuch (SGB X): Zuständig ist die Datenschutzaufsicht des Landes, bei Stellen des Bundes der Bundesbeauftragte (§ 81 Abs. 1 SGB X). Die Pflichten freier Träger bei Sozialdaten beschreibt der Beitrag zum Sozial­daten­schutz bei freien Trägern.

Was die Aufsicht im ersten Schreiben verlangen darf

Die Aufsicht kann den Träger anweisen, alle Informationen bereitzustellen, die sie für ihre Aufgabe braucht (Art. 58 Abs. 1 Buchst. a DSGVO). Träger und Leitungen müssen auf Verlangen Auskunft geben; Beauftragte der Aufsicht dürfen Geschäftsräume betreten und Zugang zu den Datenverarbeitungsanlagen verlangen (§ 40 Abs. 4 und 5 BDSG). Kirchliche Aufsichten haben vergleichbare Rechte auf Auskunft, Einsicht und Zutritt (§ 46 KDG, § 44 Abs. 1 DSG-EKD). Mitwirken ist Pflicht (Art. 31 DSGVO, § 32 KDG); wer sie verletzt oder den Zugang verweigert, riskiert eine Geldbuße (Art. 83 Abs. 4 Buchst. a, Abs. 5 Buchst. e DSGVO, § 51 Abs. 1 KDG).

Die Auskunftspflicht hat zwei Grenzen. Wer Auskunft geben muss, darf Fragen unbeantwortet lassen, deren Antwort ihn selbst oder nahe Angehörige der Gefahr eines Straf- oder Bußgeldverfahrens aussetzen würde (§ 40 Abs. 4 BDSG). Gegenüber Berufs­geheimnis­trägern wie staatlich anerkannten Sozialarbeiterinnen entfällt der Zugang zu Daten und Räumen, soweit er die Schweigepflicht verletzen würde (§ 29 Abs. 3 BDSG, § 203 Abs. 1 Nr. 6 Strafgesetzbuch); die Vorschrift nennt nur diese Personen und ihre Auftragsverarbeiter und sagt nicht, ob sich auch der Träger als juristische Person darauf berufen kann. Das DSG-EKD nimmt Daten, die dem Arztgeheimnis unterliegen, von der Prüfung aus, wenn die betroffene Person nicht eingewilligt hat (§ 43 Abs. 8 Nr. 2). Was die Schweigepflicht für die Weitergabe von Klientendaten bedeutet, beschreibt der Beitrag zur Schweigepflicht bei IT, Cloud und KI.

Die Frist setzt die Aufsicht

Eine feste Zahl von Tagen nennen weder die DSGVO noch das BDSG; die Aufsicht bestimmt die Frist im Einzelfall. Vor einem Bescheid, der in die Rechte des Trägers eingreift, muss sie ihn grundsätzlich anhören (in Sachsen: § 1 SächsVwVfZG, § 28 VwVfG; andere Länder haben eigene Verfahrensgesetze). Kirchlich ist von einer angemessenen oder gesetzten Frist die Rede (§ 47 Abs. 5 KDG, § 44 Abs. 2 DSG-EKD).

Was der Träger vorlegen können muss

Der Verantwortliche muss nachweisen können, dass er die Grundsätze des Datenschutzes einhält (Rechenschafts­pflicht). Dafür muss er seine Schutzmaßnahmen so umsetzen, dass sich dieser Nachweis führen lässt (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Was nicht aufgeschrieben ist, lässt sich im Verfahren schwer belegen.

• Verzeichnis der Verarbeitungs­tätigkeiten. Es ist der Aufsicht auf Anfrage vorzulegen. Die Ausnahme für Stellen unter 250 Beschäftigten greift nicht, wenn besondere Kategorien wie Gesundheitsdaten verarbeitet werden (Art. 30 Abs. 4 und 5 DSGVO).
• Beschreibung der technischen und organisatorischen Maßnahmen, einschließlich der Frage, wer welche Akte sehen darf (Art. 32 DSGVO).
• Verträge mit Dienstleistern, die in Ihrem Auftrag Daten verarbeiten (Auftrags­verarbeitung), etwa mit IT- und Cloudanbietern (Art. 28 Abs. 3 DSGVO).
• Löschfristen und Löschverfahren. Ein „Löschkonzept“ kennt die DSGVO nicht, wohl aber die Pflicht, Daten nur so lange wie nötig zu speichern und Löschfristen im Verzeichnis anzugeben (Art. 5 Abs. 1 Buchst. e, Art. 30 Abs. 1 Buchst. f DSGVO).
• Dokumentation früherer Datenpannen, damit die Aufsicht prüfen kann, ob der Träger richtig gehandelt hat (Art. 33 Abs. 5 DSGVO). Wie das geht, erklärt der Beitrag zur Datenpanne in der Einrichtung.
• Die Akte zum beanstandeten Vorgang. Geht es um einen Antrag der Person, gehören Antrag, Antwort und Daten hinein. Was Klientinnen und Klienten bei Auskunft und Einsicht verlangen können, steht im Beitrag zu Auskunft und Kopie der Klientenakte.

Entsprechende Vorschriften enthalten das KDG (§ 7 Abs. 1 Buchst. e und Abs. 2, §§ 26, 29, 31, 33 Abs. 5) und das DSG-EKD (§ 5 Abs. 1 Nr. 5 und Abs. 2, §§ 27, 30, 31, 32 Abs. 5).

Am Ende muss keine Maßnahme stehen

Die Aufsicht ist nicht verpflichtet, eine Abhilfemaßnahme zu ergreifen oder eine Geldbuße zu verhängen, wenn das nicht geeignet, erforderlich oder verhältnismäßig ist; die beschwerdeführende Person hat keinen Anspruch auf eine Geldbuße gegen den Träger, so der Europäische Gerichtshof (EuGH, Urteil vom 26. September 2024, C-768/21, Tenor und Rn. 41). Stellt die Aufsicht einen Verstoß fest, wählt sie aus dem Katalog des Art. 58 Abs. 2 DSGVO.

Der sächsische Bericht schlüsselt diese Zahlen nicht nach Art der Verantwortlichen auf (Kap. 6.3.1, S. 197). Sie sagen deshalb nichts über Träger und lassen sich nicht auf andere Länder übertragen.

Das KDG kennt im Kern denselben Katalog (§ 47 Abs. 2). Befolgt ein Träger eine Maßnahme nicht fristgerecht, verständigt die Datenschutzaufsicht die Stelle, die für die Aufsicht über den Träger zuständig ist, und fordert sie zur Stellungnahme auf (§ 47 Abs. 4 KDG). Die evangelische Aufsicht beanstandet Mängel oder ordnet Maßnahmen an; bei unerheblichen oder beseitigten Mängeln kann sie von einer Beanstandung absehen (§ 44 Abs. 2 und 3 DSG-EKD).

Was die Höhe einer Geldbuße bestimmt

Geldbußen müssen im Einzelfall wirksam, verhältnismäßig und abschreckend sein. Zur Bemessung zählen unter anderem Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, vorhandene Schutzmaßnahmen, Schritte zur Minderung des Schadens und die Zusammenarbeit mit der Aufsicht (Art. 83 Abs. 1 und 2 DSGVO). Eine Geldbuße setzt Vorsatz oder Fahrlässigkeit voraus (EuGH, Urteil vom 5. Dezember 2023, C-807/21, Tenor, für einen Verantwortlichen, der juristische Person und Unternehmen ist).

Der Rahmen der DSGVO reicht bis zu 10 Millionen Euro, bei Verstößen gegen die Grundsätze der Verarbeitung und die Rechte der betroffenen Personen bis zu 20 Millionen Euro. Für Unternehmen gilt alternativ ein Anteil von 2 beziehungsweise 4 Prozent des weltweiten Jahresumsatzes, wenn dieser Betrag höher ist (Art. 83 Abs. 4 bis 6 DSGVO). Für diese Berechnung zählt als Unternehmen jede wirtschaftlich tätige Einheit, unabhängig von Rechtsform und Finanzierung (C-807/21, Rn. 55 und 56); ob das auf Träger der Sozialen Arbeit zutrifft, ist mir nicht bekannt.

Das KDG nennt bis zu 1 Million Euro, für kirchliche Unternehmen im Wettbewerb bis zu 4 Prozent des Jahresumsatzes, höchstens 3 Millionen Euro (§ 51 Abs. 5 KDG in der Fassung der Novelle, die jedes Bistum selbst in Kraft setzt; geprüft ist das Bistum Augsburg, wo sie seit 1. März 2026 gilt). Das DSG-EKD erlaubt Geldbußen nur gegen Stellen, die als Unternehmen am Wettbewerb teilnehmen, bis zu 6 Millionen Euro (§ 45 DSG-EKD). Keine Geldbußen gibt es gegen öffentliche Stellen bei Sozialdaten (§ 85a Abs. 3 SGB X) und gegen öffentlich-rechtlich verfasste kirchliche Stellen, außer sie nehmen als Unternehmen am Wettbewerb teil (§ 51 Abs. 6 KDG).

Acht Schritte vom Eingang des Schreibens bis zur Auswertung

1. Halten Sie Eingang und Frist fest. Zugangsdatum, Aktenzeichen und Frist gehören noch am Tag des Eingangs in eine Akte, die eine benannte Person führt. Das Zugangsdatum zählt für die Rechtsbehelfsfristen; vor dem Interdiözesanen Datenschutzgericht muss es der Träger nachweisen (§ 8 Abs. 2 der Kirchlichen Datenschutzgerichtsordnung, KDSGO).
2. Holen Sie den Datenschutz­beauftragten dazu. Er ist Anlaufstelle der Aufsicht und früh einzubinden (Art. 38 Abs. 1, Art. 39 Abs. 1 Buchst. e DSGVO). Ob einer benannt sein muss, klärt der Beitrag zur Benennungspflicht.
3. Klären Sie den Sachverhalt, bevor Sie schreiben. Welche Verarbeitung ist betroffen, wer hat gehandelt, seit wann besteht der Zustand, ist er abgestellt? Weisen Sie nicht vorab Schuld zu und gehen Sie nicht gegen die Person vor, die sich beschwert hat. Geht der Vorwurf auf eine einzelne Fachkraft zurück, entlastet das den Träger nicht ohne Weiteres: Nach dem EuGH haften juristische Personen für Verstöße auch dann, wenn eine andere Person sie begangen hat, die im Rahmen der unternehmerischen Tätigkeit in ihrem Namen handelt (C-807/21, Rn. 44).
4. Stellen Sie die Unterlagen zusammen. Vorgelegt wird, was die Aufsicht anfordert und was die eigene Darstellung belegt. Prüfen Sie vor dem Versand, ob Unterlagen Klientendaten enthalten, die für die Frage nicht nötig sind.
5. Nehmen Sie fristgerecht und vollständig Stellung. Beschreiben Sie Sachverhalt, Rechtsgrundlage, vorhandene Schutzmaßnahmen und was seit dem Eingang geändert wurde. Ich würde die Stellungnahme von der Leitung unterschreiben lassen, weil der Träger zur Zusammenarbeit verpflichtet ist und die Leitung für seine Darstellung einsteht. Reicht die Frist nicht, bitten Sie vor ihrem Ablauf mit Begründung um Verlängerung.
6. Stellen Sie den Mangel ab und belegen Sie, was umgesetzt ist. Der EuGH nennt als Beispiel für einen möglichen Ausnahmefall: Die Verletzung hat nicht angedauert und der Verantwortliche, der grundsätzlich geeignete Maßnahmen umgesetzt hatte, hat nach Kenntnis die erforderlichen Maßnahmen ergriffen, damit sie abgestellt wird und sich nicht wiederholt (C-768/21, Rn. 43). Ob die Aufsicht danach von einer Maßnahme absieht, entscheidet sie im Einzelfall. Teilen Sie ihr schriftlich mit, was umgesetzt ist, und belegen Sie es.
7. Prüfen Sie den Bescheid. Ein Bescheid ist die förmliche schriftliche Entscheidung der Aufsicht. Lesen Sie die Rechtsbehelfsbelehrung am Tag des Zugangs und entscheiden Sie innerhalb der Frist, ob Sie ihn hinnehmen. Die Frist beträgt in den geprüften Fällen einen Monat, gegen einen Bußgeldbescheid der Landesaufsicht zwei Wochen.
8. Werten Sie den Fall aus. In die Leitungsrunde gehört die Frage, was sich dauerhaft ändert: an Berechtigungen, Löschfristen, Unterweisungen oder Verträgen.

Ein Bescheid ist nicht das letzte Wort

Gegen einen verbindlichen Beschluss der Aufsicht kann der Träger gerichtlich vorgehen (Art. 78 Abs. 1 DSGVO). Bei freien Trägern entscheidet das Verwaltungsgericht; die Klage ist binnen eines Monats nach Bekanntgabe zu erheben und hemmt den Bescheid zunächst, außer die Behörde ordnet an, dass er sofort gilt (§ 20 BDSG, §§ 74, 80 Verwaltungsgerichtsordnung). Gegen einen Bußgeldbescheid der Landesaufsicht läuft dagegen eine Frist von zwei Wochen ab Zustellung für den Einspruch; über ihn entscheidet das Amtsgericht, bei Geldbußen über 100.000 Euro das Landgericht (§ 41 BDSG, §§ 67, 68 Gesetz über Ordnungswidrigkeiten).

Gegen Entscheidungen der katholischen Aufsicht, auch gegen Bußgeldbescheide, beantragen katholische Träger binnen eines Monats nach Zugang die Überprüfung durch das Interdiözesane Datenschutzgericht (§ 8 Abs. 2 KDSGO). Wie sich das zu einem Fristbeginn nach der Rechtsbehelfsbelehrung verhält, habe ich nicht geklärt. Gegen den Beschluss des Gerichts kann binnen drei Monaten nach Kenntnis das Datenschutzgericht der Deutschen Bischofskonferenz angerufen werden, soweit von dem Antrag abgewichen wurde (§ 17 Abs. 1 KDSGO). Für evangelische Träger sind die kirchlichen Verwaltungsgerichte zuständig (§ 47 Abs. 1 Nr. 1 DSG-EKD); deren Klagefrist ist nicht geprüft.

Ein Verfahren von der Beschwerde bis zum Gericht

Ein Beispiel ist der Beschluss des Interdiözesanen Datenschutzgerichts vom 16. Februar 2026 (IDSG 05/2024). Betroffen war ein katholisches Krankenhaus, kein Träger der Sozialen Arbeit.

6. November 2022

Eine Auszubildende öffnet unbefugt die abgeschlossene Akte eines Patienten und legt Inhalte im Bekanntenkreis offen. Abgeschlossene Fälle waren bis Frühjahr 2023 ohne weitere Schranken suchbar.

Datum nicht genannt

Der Patient beschwert sich bei der Katholischen Datenschutzaufsicht Nord. Für das Verhalten der Auszubildenden gibt die Aufsicht die Beschwerde an die Hamburger Aufsicht ab; gegen den Träger geht es um fehlende Schutzmaßnahmen.

6. April 2023

Bescheid wegen Verstoßes gegen § 26 KDG, weil Maßnahmen gegen unbefugten Zugriff auf medizinische Daten fehlten, dazu die Anordnung von Zugriffsbeschränkungen. Der Träger legt kein Rechtsmittel ein.

13. Juni 2023

Der Träger meldet die Umsetzung: Sperrung 90 Tage nach Behandlungsabschluss, keine Suchrechte mehr für Auszubildende.

24. Mai 2024

Bußgeldbescheid über 38.500 Euro, begründet mit dem langen Zeitraum des Verstoßes und den Folgen für den Patienten. Der Träger beantragt am 25. Juni 2024 die Überprüfung durch das Interdiözesane Datenschutzgericht, innerhalb der Monatsfrist.

16. Februar 2026

Das Gericht hebt den Bußgeldbescheid auf.

Den Ausschlag gab die Berechnung. Die Aufsicht war von 10 Millionen Euro ausgegangen, dem Höchstbetrag der DSGVO, und hatte die 500.000 Euro, die § 51 Abs. 5 KDG damals nannte, nur als Kappungsgrenze angewandt, also als Grenze, die erst am Ende greift. Nach dem Gericht ist diese Zahl der Rahmen, in dem die Aufsicht die Höhe von Anfang an bemessen muss; ein Millionenbetrag als Ausgangspunkt widerspreche dem Zweck der Vorschrift (Rn. 30, 36).

Der Beschluss ist kein Freispruch. Der Verstoß stand fest, weil der Träger den Bescheid von 2023 nicht angefochten hatte (Rn. 28). Dass die Aufsicht überhaupt ein Bußgeld verhängen durfte, hielt das Gericht für richtig (Rn. 29); ein eigenes Bußgeld durfte es nicht festsetzen (Rn. 37). Ob die Aufsicht neu entscheidet und ob der Beschluss rechtskräftig ist, habe ich nicht klären können. Das Gericht verweist auf die Novelle, die den Begriff „Rahmen“ ausdrücklich aufnimmt, ohne dass es eine inhaltliche Änderung sieht (Rn. 31).

Zwei Lehren übertrage ich auf soziale Träger, ohne dass der Beschluss sie ausspricht. Erstens: Weil der erste Bescheid nicht angefochten wurde, ging es vor Gericht nur noch um die Höhe. Hat die katholische Aufsicht eine Datenschutz­verletzung festgestellt, kann im Zivilprozess um Schadensersatz niemand der betroffenen Person entgegenhalten, es fehle an einer Verletzung (§ 47 Abs. 3 KDG).

Zweitens: Das Bußgeld kam, nachdem der Träger die Anordnung umgesetzt hatte; die Aufsicht stützte es auf die lange Dauer des Verstoßes und die Folgen für den Patienten (Rn. 2 und 3). Wer elektronische Klientenakten führt, kann sich deshalb schon vor einer Beschwerde fragen, wer abgeschlossene Fälle noch finden kann.

Schadensersatz läuft auf einem eigenen Weg

Unabhängig vom Aufsichtsverfahren kann eine betroffene Person vor den Zivilgerichten Schadensersatz verlangen (Art. 79 und 82 DSGVO). Nach der Rechtsprechung des EuGH, die der Bundesgerichtshof (BGH) wiedergibt, gibt es dafür keine Erheblichkeitsschwelle, die Person muss ihren Schaden aber nachweisen. Im entschiedenen Fall hatte die Mitarbeiterin einer Privatbank eine Nachricht, die nur für einen Bewerber bestimmt war, auch an eine dritte Person geschickt. Der BGH bejahte den Schaden dem Grunde nach, weil die Daten bereits verwendet worden waren und die Befürchtung des Bewerbers begründet war, und verwies zur Höhe zurück (Urteil vom 23. Juni 2026, VI ZR 97/22, Rn. 2, 11, 17 bis 21 und 32). Das Urteil betrifft kein Aufsichtsverfahren und keinen Träger.

Was sich vorbereiten lässt, bevor ein Schreiben kommt

Wer Verzeichnis, Schutzmaßnahmen, Verträge und Löschfristen aktuell hält, nutzt die Frist der Aufsicht für eine sachliche Antwort, statt Unterlagen erst zusammenzusuchen. Warum diese Aufgabe bei der Leitung liegt, begründet der Beitrag zur Verantwortung der Leitung.

Beim Aufbau von Verzeichnis, Löschfristen und dokumentierten Entscheidungen sowie bei der fachlichen Vorbereitung einer Stellungnahme unterstütze ich Träger als externer Datenschutz­beauftragter.

Fragen und Antworten

Quellen

1. Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 5, 24, 28, 30 bis 33, 38, 39, 57, 58, 77 bis 80, 82 und 83. EUR-Lex, abgerufen am 8. Oktober 2026.
2. Bundesministerium der Justiz und für Verbraucherschutz: Bundes­datenschutz­gesetz (BDSG), §§ 2, 20, 29, 40, 41 und 43. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
3. Bundesministerium der Justiz und für Verbraucherschutz: Zehntes Buch Sozialgesetzbuch (SGB X), §§ 81 und 85a. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
4. Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch (StGB), § 203 Abs. 1 Nr. 6. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
5. Bundesministerium der Justiz und für Verbraucherschutz: Verwaltungsgerichtsordnung (VwGO), §§ 74 und 80; Gesetz über Ordnungswidrigkeiten (OWiG), §§ 67 und 68; Verwaltungsverfahrensgesetz (VwVfG), § 28. VwGO § 74, VwGO § 80, OWiG § 67, OWiG § 68, VwVfG § 28, abgerufen am 8. Oktober 2026.
6. Freistaat Sachsen: Gesetz zur Regelung des Verwaltungsverfahrens- und des Verwaltungszustellungsrechts für den Freistaat Sachsen (SächsVwVfZG), § 1. REVOSax (PDF), abgerufen am 8. Oktober 2026.
7. Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Lesefassung nach dem Beschluss vom 24. November 2025, Anlage zum Amtsblatt des Erzbistums Berlin 03/2026, §§ 3, 7, 26, 29, 31 bis 33, 42, 44 bis 49b und 51. PDF des Erzbistums Berlin, abgerufen am 8. Oktober 2026.
8. Bistum Augsburg: Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz, Amtsblatt 2/2026, S. 42 bis 81, Art. 1 Nr. 42 und Art. 2 (Inkrafttreten am 1. März 2026). Rechtssammlung des Bistums Augsburg (PDF), abgerufen am 8. Oktober 2026.
9. Deutsche Bischofskonferenz: Kirchliche Datenschutzgerichtsordnung (KDSGO), Fassung im Amtsblatt des Bistums Augsburg 9/2018, S. 514 bis 523, §§ 8 und 17. Rechtssammlung des Bistums Augsburg (PDF), abgerufen am 8. Oktober 2026.
10. Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, §§ 2, 5, 27, 30 bis 32, 39, 43 bis 47. Kirchenrecht Online (PDF), abgerufen am 8. Oktober 2026.
11. Gerichtshof der Europäischen Union: Urteil vom 26. September 2024, C-768/21, Rn. 41, 43 und Tenor. EUR-Lex, abgerufen am 8. Oktober 2026.
12. Gerichtshof der Europäischen Union: Urteil vom 5. Dezember 2023, C-807/21, Rn. 44, 55, 56 und Tenor. EUR-Lex, abgerufen am 8. Oktober 2026.
13. Interdiözesanes Datenschutzgericht: Beschluss vom 16. Februar 2026, IDSG 05/2024 (anonymisierte Fassung), Rn. 1 bis 7, 26, 28 bis 31, 36 und 37. PDF der Deutschen Bischofskonferenz, abgerufen am 8. Oktober 2026.
14. Bundesgerichtshof: Urteil vom 23. Juni 2026, VI ZR 97/22, Rn. 2, 11, 17 bis 21 und 32. PDF des Bundesgerichtshofs, abgerufen am 8. Oktober 2026.
15. Sächsische Datenschutz- und Transparenzbeauftragte: Tätigkeitsbericht Datenschutz 2025, Kap. 6.3.1 (S. 197). publikationen.sachsen.de, abgerufen am 8. Oktober 2026.

Christian Monat

Ich bin externer Datenschutz­beauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich

Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.