Die Vorlage in Kürze
- Eine Datenschutz-Begehung ist ein Rundgang durch Räume und Abläufe. Die Checkliste führt durch zwölf Stationen vom Klingelschild bis zum Diensthandy, mit offenen Prüffragen.
- Ins Protokoll kommen je Befund fünf Angaben: Station, Befund, Maßnahme, verantwortliche Funktion im Träger und Frist. Die Musterzeilen sind frei gewählt.
- Keines der drei Regelwerke schreibt den Rundgang vor: die Datenschutz-Grundverordnung (DSGVO), das Datenschutzrecht der katholischen Kirche (KDG) und das der evangelischen Kirche (DSG-EKD). Alle drei verlangen aber eine wiederkehrende Überprüfung der Schutzmaßnahmen; katholische Träger prüfen mindestens alle zwei Jahre und dokumentieren das.
- Anlass sind der Jahrestermin, eine Datenpanne, ein Umzug und ein Wechsel in der Leitung.
Vier Anlässe für eine Datenschutz-Begehung
Bei einer Datenschutz-Begehung sehen die Leitung und die oder der Datenschutzbeauftragte vor Ort nach, wo Daten von Klientinnen, Klienten und Beschäftigten liegen, wer sie sieht und wohin sie gehen.
- Der feste Jahrestermin. Er zeigt, was seit dem letzten Protokoll umgesetzt ist; beim ersten Termin hält er den Stand fest.
- Eine Datenpanne. Auch Verlust und unbefugte Offenlegung verletzen den Schutz personenbezogener Daten (Art. 4 Nr. 12 DSGVO), also das verlorene Diensthandy mit Klientendaten ebenso wie die Mail an den falschen Verteiler. Die ersten Schritte beschreibt der Beitrag zur Datenpanne in den ersten 72 Stunden; die Begehung sucht danach, wo sich der Fehler wiederholen kann.
- Ein Umzug. Mit den Räumen ändern sich Postwege, Drucker- und Schrankstandorte und die Frage, wer wo mithört.
- Eine neue Leitung. Sie sieht beim Rundgang, welche Regeln im Alltag gelten und welche nur auf dem Papier stehen.
Bei der Sächsischen Datenschutz- und Transparenzbeauftragten gingen 2025 insgesamt 1.058 Meldungen von Datenpannen ein. An der Spitze der Ursachen steht nach dem Tätigkeitsbericht die Fehlversendung von Unterlagen per Post; auch der offene E-Mail-Verteiler ist dort „ein Klassiker einer Datenschutzverletzung“ (Kap. 4.3.2). Je nach Rechtskreis nimmt in Sachsen eine andere Aufsicht die Meldung entgegen; der Beitrag zum externen Datenschutzbeauftragten in Chemnitz und Sachsen ordnet sie ein.
Vorgeschrieben ist die Überprüfung, nicht der Rundgang
Weder die Datenschutz-Grundverordnung der EU (DSGVO) noch das Gesetz über den Kirchlichen Datenschutz der katholischen Kirche (KDG) noch das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) nennt eine Begehung. Alle drei verlangen aber ein Verfahren, mit dem der Träger die Wirksamkeit seiner technischen und organisatorischen Maßnahmen wiederkehrend überprüft (Art. 32 Abs. 1 Buchst. d DSGVO, § 26 Abs. 1 Buchst. d KDG, § 27 Abs. 1 Nr. 4 DSG-EKD). Gemeint ist Schutz durch Technik und Regeln: Schloss, Kennwort, Berechtigung, Dienstanweisung. Die Begehung verstehe ich als eine Form dieser Überprüfung vor Ort. Verantwortlich dafür bleibt der Träger: Er setzt die Maßnahmen um und muss nachweisen können, dass er die Regeln einhält (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO).
Eine Prüfung durch die Aufsicht ist die Begehung nicht. Die staatliche Aufsicht hat dafür eigene Befugnisse (Art. 58 Abs. 1 Buchst. f DSGVO, § 40 Abs. 5 Bundesdatenschutzgesetz), die kirchlichen Aufsichten ebenfalls (§ 47 Abs. 1 KDG, § 44 Abs. 1 DSG-EKD). Das Protokoll der Begehung ist ein Arbeitspapier des Trägers, kein Behördenvermerk.
Zwölf Stationen mit offenen Prüffragen
Die Checkliste besteht aus offenen Prüffragen; sie zielen auf das, was zu sehen ist, nicht auf ein Urteil. Station 7 betrifft vor allem Wohnangebote.
| Station | Offene Prüffragen | Ansehen oder ausprobieren |
|---|---|---|
| 1. Klingelschild und Briefkasten | Was erfährt jemand vor der Tür über die Menschen dahinter: den Träger, die Art des Angebots, Namen? Wer leert den Briefkasten, wo liegt die Post bis zur Verteilung? | Schild von der Straße aus |
| 2. Empfang und Wartebereich | Was hören Wartende von Telefonaten am Empfang? Sind Bildschirm, Terminliste oder Formulare vom Wartebereich aus lesbar? | Blick vom Wartestuhl |
| 3. Gesprächs- und Beratungsraum | Ist bei geschlossener Tür im Flur zu verstehen, was im Raum gesprochen wird? Liegen Unterlagen vom vorigen Gespräch auf dem Tisch? | Hörprobe vom Flur |
| 4. Dienstzimmer und Aktenschrank | Wer hat Schlüssel für Raum und Schrank? Ist beides verschlossen, wenn niemand da ist? Liegen Hilfepläne von Jugendamt oder Eingliederungshilfe bei? Ließe sich eine Akte vollständig zusammenstellen, wenn jemand Auskunft verlangt? | Schlüsselliste |
| 5. Übergabebuch und Teamprotokoll | Wo liegt das Übergabebuch zwischen den Diensten, wer kann es dort lesen? Was steht darin, das in die Akte gehört? | Ablageort des Buchs |
| 6. Dienstplan, Wandtafel und Fotowand | Stehen an Wand oder Tafel Namen mit Arzt-, Therapie- oder Gerichtsterminen? Wer sieht den Aushang? Hängen Fotos aus? Wer sieht den Teamkalender? | Aushänge, Freigaben im Kalender |
| 7. Medikamentenschrank | Hängen Medikamentenpläne mit Namen außen an der Tür? Wer hat den Schlüssel? Wo liegen Arztbriefe? | Schlüsselliste, Ablage der Arztbriefe |
| 8. Drucker, Kopierer und Papierkorb | Bleiben Ausdrucke im gemeinsamen Drucker liegen? Hat der Kopierer einen Speicher, was geschieht damit bei Austausch? Wohin gehen Fehldrucke mit Namen? | Weg eines Ausdrucks |
| 9. Arbeitsplatz am Rechner | Sperrt sich der Bildschirm, wenn jemand aufsteht? Kleben Kennwörter am Bildschirm? Gibt es gemeinsame Anmeldungen? Sieht in der Fachsoftware jede Person nur die Akten, die sie braucht? | Rechte der Rollen in der Fachsoftware |
| 10. E-Mail und Verteiler | Gibt es Verteiler mit internen und externen Adressen? Gehen Mails an mehrere Externe als Blindkopie (Bcc), sodass niemand die anderen Adressen sieht? Prüft bei Gesundheitsangaben eine zweite Person die Empfänger? | Verteilerliste |
| 11. Büro der Leitung | Liegt für alle, die mit Daten arbeiten, eine unterschriebene Verpflichtung auf Vertraulichkeit vor, auch für Auszubildende, Praktikantinnen und Ehrenamtliche? Wissen alle Dienste, auch nachts, wen sie bei einer Datenpanne informieren? | Verpflichtungen, Notfallzettel |
| 12. Diensthandy und Messenger | Hat jedes Diensthandy eine Sperre mit Code? Sind die Daten verschlüsselt? Lässt sich das Gerät orten und aus der Ferne löschen? Welcher Messenger ist zugelassen, liegen Fotos auf dem Gerät? | Geräteliste |
Was ins Protokoll kommt
Jeder Befund bekommt eine Zeile mit fünf Feldern; im Muster teilen sich Verantwortlich und Frist eine Spalte.
- Station: Nummer und Name aus der Liste.
- Befund: was zu sehen oder zu hören war, ohne Urteil wie „unzulässig“ und ohne Namen von Klientinnen, Klienten oder Beschäftigten.
- Maßnahme: so konkret, dass jemand sie erledigen kann.
- Verantwortlich: eine Funktion im Träger, nicht die oder der Datenschutzbeauftragte, denn diese Funktion berät und überwacht, setzt aber nicht um (Art. 39 Abs. 1 DSGVO). Die Durchführungsverordnung zum KDG (KDG-DVO) schließt ausdrücklich aus, die Aufgaben des Trägers nach dieser Verordnung auf sie zu übertragen (§ 15 Abs. 6 KDG-DVO).
- Frist: ein Datum oder ein Anlass wie die nächste Teamsitzung.
Sechs Musterzeilen eines Protokolls
Die Zeilen sind frei gewählt und stammen aus keiner realen Einrichtung.
| Station | Befund | Maßnahme | Verantwortlich und Frist |
|---|---|---|---|
| 1. Klingelschild und Briefkasten | Das Klingelschild nennt neben dem Träger die Art des Angebots. | Leitung entscheidet über die Bezeichnung; Begründung im Protokoll ergänzen. | Geschäftsführung, nächste Leitungsrunde |
| 3. Gesprächs- und Beratungsraum | Bei geschlossener Tür sind Gespräche im Wartebereich zu verstehen. | Wartebereich verlegen oder Schallschutz prüfen lassen; bis dahin vertrauliche Gespräche im hinteren Raum. | Leitung der Beratungsstelle, Vorschlag binnen vier Wochen |
| 5. Übergabebuch und Teamprotokoll | Das Übergabebuch liegt offen im Gemeinschaftsraum; es enthält Arzttermine und Angaben zur Medikation. | Ablage im abschließbaren Dienstzimmer; im Team klären, was ins Buch gehört und was in die Akte. | Gruppenleitung, nächste Teamsitzung |
| 10. E-Mail und Verteiler | Einladungen an Angehörige gehen mit allen Adressen im Feld An. | Bcc als Vorgabe für Mails an mehrere Externe; kurze Unterweisung im Team. | Einrichtungsleitung, binnen zwei Wochen |
| 11. Büro der Leitung | Für zwei Ehrenamtliche und eine Praktikantin fehlt die unterschriebene Verpflichtung. | Verpflichtung nachholen; Punkt in die Liste für die Einarbeitung aufnehmen. | Einrichtungsleitung, binnen zwei Wochen |
| 12. Diensthandy und Messenger | Zwei von fünf Diensthandys haben keine Sperre; Fernlöschung ist nicht eingerichtet. | Sperre auf allen Geräten einrichten; Fernlöschung mit dem IT-Dienstleister klären. | Verwaltung, bis Monatsende |
Muster für den Kopf des Protokolls (frei gewählt, keine reale Einrichtung)
- Ort und Anlass
- Wohngruppe am Hauptsitz, jährlicher Termin
- Teilnehmende
- Einrichtungsleitung, eine Fachkraft aus dem Frühdienst, Datenschutzbeauftragte oder Datenschutzbeauftragter
- Nicht angesehen
- Inhalte von Akten, Server und Netzwerk
- Nachkontrolle
- beim nächsten Termin, mit dem Feld „erledigt am“
An wen das Protokoll geht und wann nachgesehen wird
Ich würde das Protokoll an die Geschäftsführung oder den Vorstand geben, denn die Funktion ist der höchsten Leitungsebene unmittelbar zugeordnet (Art. 38 Abs. 3 DSGVO, § 37 Abs. 1 KDG, § 37 Abs. 1 DSG-EKD). Die Einrichtungsleitung verfolgt die Maßnahmen bis zur Nachkontrolle. Ältere Protokolle sollten mit Datum erhalten bleiben: Sie helfen dem Träger, die Einhaltung der Datenschutzgrundsätze nachzuweisen (Art. 5 Abs. 2 DSGVO); bei katholischen Trägern können sie zugleich Teil der Dokumentation nach § 7 Abs. 3 KDG-DVO sein.
Ich halte einen Termin im Jahr für sinnvoll, dazu einen Rundgang nach einer Datenpanne, einem Umzug oder einem Leitungswechsel. Den Rundgang aus Anlass kann die Leitung auch selbst mit den zwölf Stationen machen.
Belege zu einzelnen Stationen
Papier (Stationen 4 bis 8) zählt mit, sobald es in einer nach bestimmten Kriterien geordneten Sammlung liegt (Art. 2 Abs. 1, Art. 4 Nr. 6 DSGVO); ob ein Übergabebuch dazugehört, lässt die Begehung offen.
Der Europäische Datenschutzausschuss (EDSA), das Gremium der EU-Aufsichtsbehörden, wertete den Diebstahl eines unverschlossenen Patientenbuchs aus einer Rehabilitationseinrichtung für Drogenabhängige als Panne mit hohem Risiko, die gemeldet werden musste. Pseudonyme statt Klarnamen, ein verschlossener Raum oder eine verschlossene Schublade und eine Zugangskontrolle hätten sie nach seiner Einschätzung verhindert (Leitlinien 01/2021, Randnummer [Rn.] 99 bis 103). Gegen Fehlversand (Station 10) nennt der EDSA unter anderem Bcc als Voreinstellung bei Mails an mehrere Empfänger und das Vier-Augen-Prinzip (Rn. 123), für mobile Geräte (Station 12) Passcode, Verschlüsselung, Ortung und Fernlöschung (Rn. 105).
Was für Hilfepläne von Jugendamt oder Eingliederungshilfe (Station 4) gilt, erklärt der Beitrag zum Sozialdatenschutz bei freien Trägern; wie ein Antrag auf Auskunft läuft, der Beitrag zu Auskunft und Kopie der Klientenakte.
Die Datenschutzkonferenz (DSK) der Aufsichtsbehörden von Bund und Ländern rechnet zum Kreis der zu Verpflichtenden (Station 11) auch Auszubildende, Praktikanten, Leiharbeiter und Ehrenamtliche; die Verpflichtung muss bei Aufnahme der Tätigkeit erfolgen, aus Nachweisgründen schriftlich oder elektronisch (Kurzpapier Nr. 19). Ob die Schweigepflicht nach § 203 des Strafgesetzbuchs (StGB) greift, hängt von Beruf und Anerkennung ab; mehr dazu im Beitrag zur Schweigepflicht bei IT, Cloud und KI.
Was bei Caritas und Diakonie anders heißt
Das KDG gilt für den Deutschen Caritasverband, die Diözesan-Caritasverbände, ihre Untergliederungen und Fachverbände ohne Rücksicht auf die Rechtsform und für weitere kirchliche Rechtsträger (§ 3 Abs. 1 KDG). Für zugeordnete diakonische Einrichtungen gilt das DSG-EKD (§ 2 Abs. 1 DSG-EKD); dort heißen die Beauftragten „örtlich Beauftragte“ und werden bestellt statt benannt (§ 36 DSG-EKD).
| Gegenstand | DSGVO | KDG | DSG-EKD |
|---|---|---|---|
| Überprüfung der Schutzmaßnahmen | Art. 32 Abs. 1 Buchst. d | § 26 Abs. 1 Buchst. d; mindestens alle zwei Jahre, dokumentiert (§ 7 Abs. 1 und 3 KDG-DVO) | § 27 Abs. 1 Nr. 4 |
| Rolle der Beauftragten | Überprüfungen als Aufgabe genannt (Art. 39 Abs. 1 Buchst. b) | wirken auf die Einhaltung hin; überwachen die Anwendung der Datenverarbeitungsprogramme (§ 38) | wirken hin; Recht auf Auskunft, Einsicht und Zugang (§§ 37, 38) |
| Verpflichtung der Beschäftigten | Verarbeitung nur auf Anweisung (Art. 32 Abs. 4) | schriftlich bei Aufnahme der Tätigkeit, auch Ehrenamtliche, die Daten verarbeiten (§ 5) | schriftlich bei Aufnahme der Tätigkeit, soweit nicht anders verpflichtet (§ 26) |
Was ein Rundgang nicht klärt
Rechtsfragen im Einzelfall klärt ein Rundgang nicht, etwa ob ein Name an die Tür gehört. Messenger und Fotos sind eine eigene Rechtsfrage; die Fragen dazu stehen in der Übersicht Datenschutz im Alltag Ihres Trägers. Auch Server, Netzwerk und Datensicherung sieht ein Rundgang nicht. Für ambulante Dienste kommen Stationen hinzu, etwa Unterlagen im Dienstwagen und bei Hausbesuchen.
Zugänge, Rechte, Sicherung und Löschung gehören zur Prüfung, die ich als externer Datenschutzbeauftragter übernehme. Vor Ort bin ich einmal im Jahr für Begehung und Schulung, beides ist im Monatsbetrag von 400 bis 900 € enthalten; eine Datenschutzschulung allein gibt es ab 750 € je halbem Tag.
Stand: 14. Oktober 2026. Das geänderte KDG gilt im Bistum Dresden-Meißen seit 1. März 2026. Geprüft sind die KDG-DVO in der Lesefassung 2026 (Rottenburg-Stuttgart) und in der Fassung 2019 (Dresden-Meißen), nicht aber andere Bistümer und nicht die Frage, ob Dresden-Meißen die Änderungen von 2026 übernommen hat. Vom DSG-EKD ist die Neufassung vom 15. Januar 2025 geprüft, nicht die IT-Sicherheitsverordnung der EKD (§ 27 Abs. 6).
Fragen zur Begehung
Ist eine Datenschutz-Begehung Pflicht und in welchem Abstand ist sie sinnvoll?
Keine der drei Rechtsgrundlagen schreibt eine Begehung vor. DSGVO, KDG und DSG-EKD verlangen aber ein Verfahren, mit dem der Träger die Wirksamkeit seiner Schutzmaßnahmen wiederkehrend überprüft; katholische Träger prüfen mindestens alle zwei Jahre und dokumentieren das (§ 7 KDG-DVO). Sinnvoll ist ein Termin im Jahr, dazu ein Rundgang nach einer Datenpanne, einem Umzug oder einem Leitungswechsel.
Wie läuft eine Datenschutz-Begehung ab und wer ist dabei?
Die Stationen gehen die Leitung und die oder der Datenschutzbeauftragte gemeinsam ab; festgehalten werden Befund, Maßnahme, Verantwortliche und Frist im Protokoll. Sinnvoll sind außerdem eine Fachkraft, die den Alltag im Team kennt, sowie eine Leitung mit der Befugnis, Maßnahmen zu beschließen; vorgeschrieben ist kein Teilnehmerkreis. Ob die Maßnahmen erledigt sind, sieht der nächste Termin.
Liest der Datenschutzbeauftragte bei der Begehung Klientenakten?
Für die zwölf Stationen genügt der Blick auf Aufbewahrung und Zugang, bei Übergabebuch und Aushängen auf die Art der Angaben statt auf Namen. Rechtlich muss der Träger der Funktion den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen zur Verfügung stellen (Art. 38 Abs. 2 DSGVO, § 37 Abs. 2 KDG, § 37 Abs. 1 DSG-EKD); sie ist zur Geheimhaltung gebunden (Art. 38 Abs. 5 DSGVO), bei Personen mit gesetzlicher Schweigepflicht, etwa staatlich anerkannten Sozialarbeiterinnen und Sozialarbeitern (§ 203 Abs. 1 Nr. 6 StGB), erfasst sie auch § 203 Abs. 4 StGB. Ob eine bestimmte Akte gelesen werden darf, bleibt eine Frage des Einzelfalls.
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 2, 4, 5, 24, 32, 38, 39 und 58. EUR-Lex, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch (StGB), § 203 Abs. 1 und 4. gesetze-im-internet.de, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz (BDSG), § 40 Abs. 5. gesetze-im-internet.de, abgerufen am 14. Oktober 2026.
- Bischöfliches Ordinariat Rottenburg: Gesetz über den Kirchlichen Datenschutz (KDG), Lesefassung, §§ 3, 5, 26, 37, 38 und 47, sowie Durchführungsverordnung zum KDG (KDG-DVO), Lesefassung, §§ 7 und 15 Abs. 6, Kirchliches Amtsblatt für die Diözese Rottenburg-Stuttgart 2026, Nr. 4 vom 26. Februar 2026. PDF des Amtsblatts, abgerufen am 14. Oktober 2026.
- Bistum Dresden-Meißen: Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz, Artikel 2 (Inkrafttreten am 1. März 2026), Kirchliches Amtsblatt 2026, Nr. 3 vom 2. März 2026. PDF des Amtsblatts, abgerufen am 14. Oktober 2026.
- Bistum Dresden-Meißen: Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO), §§ 7 und 15 Abs. 6, Kirchliches Amtsblatt 2019, Nr. 2 vom 20. Februar 2019. PDF des Amtsblatts, abgerufen am 14. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 2, 26, 27, 36, 37, 38 und 44. Kirchenrecht Online (PDF), abgerufen am 14. Oktober 2026.
- Europäischer Datenschutzausschuss (EDSA): Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten, Version 2.0 vom 14. Dezember 2021, Fall Nr. 12 (Rn. 99 bis 103) sowie Rn. 105 und 123. PDF des EDSA, abgerufen am 14. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Kurzpapier Nr. 19, Unterrichtung und Verpflichtung von Beschäftigten auf Beachtung der datenschutzrechtlichen Anforderungen nach der DS-GVO, Stand 29. Mai 2018. PDF der DSK, abgerufen am 14. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Tätigkeitsbericht Datenschutz 2025, Kap. 4.3.2. PDF der Aufsicht, abgerufen am 14. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
