Das Wichtigste in 1 Minute
- Vor dem ersten Pilotprojekt mit Schule, Träger oder Kommune sollte ein Verein, eine gemeinnützige GmbH oder ein Startup schriftlich festhalten, wer über die Daten entscheidet.
- Die Datenschutz-Grundverordnung (DSGVO) verlangt grundsätzlich ein Verzeichnis der Verarbeitungen und eine verständliche Information für Teilnehmende; sinnvoll sind eine Übersicht der Schutzmaßnahmen und ein Meldeweg für Datenpannen.
- Fotos und Videos mit erkennbaren Jugendlichen zu veröffentlichen, braucht nach den Hinweisen der sächsischen Datenschutzaufsicht für Schulen eine eigene Einwilligung. Die Zustimmung zur Aufnahme reicht nicht.
- Nutzt das Team KI-Werkzeuge, verlangt die KI-Verordnung der EU (Art. 4) Maßnahmen für KI-Kompetenz, also für den sachkundigen Umgang mit KI, unabhängig von der Größe. Zertifikat, KI-Beauftragter und Standardschulungen verlangt sie nicht.
- Kommt KI ins eigene Angebot, etwa als Chatbot, kann die Organisation Anbieterin werden und muss erkennbar machen, dass eine KI antwortet. Vorab kann eine Datenschutz-Folgenabschätzung nötig sein.
Verantwortlicher ist im Datenschutzrecht, wer allein oder gemeinsam mit anderen über die Zwecke (wofür) und Mittel (womit) der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO).
Personenbezogen sind alle Angaben zu einer identifizierten oder identifizierbaren Person, vom Namen auf der Anmeldeliste bis zum Foto mit erkennbarem Gesicht (Art. 4 Nr. 1). Wer Daten nur im Auftrag eines anderen verarbeitet, etwa ein Anbieter von Cloud-Speicher, ist Auftragsverarbeiter (Art. 4 Nr. 8). Die Rolle richtet sich nach den tatsächlichen Verhältnissen; ein Vertrag gibt nur Hinweise, so der Europäische Datenschutzausschuss (EDSA), das Gremium der europäischen Aufsichtsbehörden.
Für Vereine, gemeinnützige UG und GmbH sowie Startups, hier kurz Initiativen, gelten dieselben Grundpflichten der DSGVO wie für einen großen Träger.
Vier Stufen, vierzehn Unterlagen
Die Tabelle ist ein Muster für ein kleines Team, keine vollständige Liste; Stufen und Zuständigkeiten sind mein Vorschlag. Leitung heißt hier Vorstand oder Geschäftsführung. Was ein Partner darüber hinaus anfordert, legt er selbst fest. Quer zu den Stufen liegt die Teamregel für KI-Werkzeuge; sie gehört bereit, sobald das Team das erste Werkzeug nutzt.
| Stufe | Unterlage | Grundlage | Wer sie erstellt (mein Vorschlag) |
|---|---|---|---|
| 1. Pilotprojekt | Rollenklärung mit dem Partner: Vertrag zur Auftragsverarbeitung (AV-Vertrag), Vereinbarung gemeinsam Verantwortlicher oder, bei getrennter Verantwortung, Vermerk der Datenweitergabe | Art. 4 Nr. 7 und 8, Art. 26, Art. 28 DSGVO | Projektleitung mit dem Partner, Unterschrift der Leitung |
| 1. Pilotprojekt | Verzeichnis der Verarbeitungen, eine Zeile je Zweck: welche Daten, von wem, wofür, mit welcher Erlaubnis (Rechtsgrundlage), an wen, wie lange | Art. 30 DSGVO; zur Rechtsgrundlage Art. 6 | Projektleitung |
| 1. Pilotprojekt | Information für Teilnehmende und Sorgeberechtigte in einfacher Sprache | Art. 12 und 13 DSGVO | Projektleitung |
| 1. Pilotprojekt | Weg für Auskunfts-, Berichtigungs- und Löschwünsche: wer sie annimmt, wer innerhalb der Frist von einem Monat antwortet | Art. 12 Abs. 3, Art. 15 bis 17 DSGVO | Projektleitung |
| 1. Pilotprojekt | Übersicht der Schutzmaßnahmen: Konten, Zugriffe, Speicherort, Unteranbieter und Standorte, Voreinstellungen | Art. 5 Abs. 2, Art. 25 und 32 DSGVO; öffentliche Schulen in Sachsen: Verwaltungsvorschrift für Schulen (VwV Schuldatenschutz), Teil III Nr. 12 | wer die Technik betreut |
| 1. Pilotprojekt | Meldeweg für Datenpannen: wer entscheidet, wer meldet | Art. 33 DSGVO | Leitung |
| 2. Veröffentlichung | Einwilligungsablauf für Fotos und Videos | § 22 Kunsturhebergesetz (KUG), Art. 7 DSGVO | wer die Öffentlichkeitsarbeit macht |
| 2. Veröffentlichung | Datenschutzerklärung für Website oder App, Einwilligung für Cookies, die nicht unbedingt erforderlich sind | Art. 13 DSGVO, § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) | wer die Technik betreut |
| 2. Veröffentlichung | Impressum, wenn das Angebot unter die Vorschrift fällt | § 5 Digitale-Dienste-Gesetz (DDG) | Leitung |
| 3. Wachsendes Team | Schriftliche Weisung und Belehrung, Zugriffsrechte nach Aufgabe | Art. 29, Art. 32 Abs. 4 DSGVO | Leitung |
| 3. Wachsendes Team | Regeln für Bewerbungs- und Beschäftigtendaten | Art. 6, 9 und 88 DSGVO; § 26 Bundesdatenschutzgesetz (BDSG), Anwendbarkeit eingeschränkt, siehe Text | Leitung |
| 3. Wachsendes Team | Prüfung, ob ein Datenschutzbeauftragter zu benennen ist | Beitrag zur Benennungspflicht | Leitung |
| 4. KI im eigenen Angebot | Vorprüfung, ob eine Datenschutz-Folgenabschätzung nötig ist, mit schriftlichem Ergebnis | Art. 35 DSGVO; Liste der Aufsichtsbehörden von 2018, Nr. 11 | Projektleitung |
| 4. KI im eigenen Angebot | Festgehaltener Zweck, abgeglichen mit den Verboten und der Liste der KI-Systeme mit hohem Risiko; Hinweis, dass eine KI antwortet, wenn die Initiative Anbieterin ist | Art. 5, Art. 50 Abs. 1, Anhang III KI-Verordnung | wer das Angebot entwickelt |
Wer im Pilotprojekt über die Daten entscheidet
Bevor Daten fließen, steht fest, wer Verantwortlicher ist. Entscheidet die Schule über Zweck und Mittel und stellt die Initiative nur ihr Werkzeug bereit, spricht das für eine Auftragsverarbeitung mit AV-Vertrag (Art. 28 Abs. 3 DSGVO). Legen beide Zweck und Mittel gemeinsam fest, regeln sie in einer Vereinbarung, wer welche Pflicht erfüllt (Art. 26 Abs. 1). Entscheidet jede Seite selbst über ihre eigenen Zwecke und Mittel, sind beide getrennt Verantwortliche (EDSA-Leitlinien 07/2020, Rn. 70 bis 72) und halten fest, wer welche Daten an wen weitergibt. Die Rollenverteilung gehört vor dem Start auf Papier.
Jeder Verantwortliche führt ein Verzeichnis der Verarbeitungen (Art. 30 Abs. 1 DSGVO). Die Ausnahme für Einrichtungen mit weniger als 250 Mitarbeitern greift nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Kategorien wie Gesundheitsdaten betrifft (Art. 30 Abs. 5). Ein laufendes Pilotprojekt halte ich nicht für gelegentlich. Eine Zeile sieht so aus, hier frei gewählt für eine Workshop-Anmeldung:
| Feld | Beispielwert |
|---|---|
| Zweck | Anmeldung zu einem Workshop |
| Welche Daten | Name, E-Mail-Adresse |
| Von wem | von den Teilnehmenden, über das Anmeldeformular |
| An wen | Projektleitung; Anbieter des Formulars als Auftragsverarbeiter |
| Wie lange | bis vier Wochen nach dem Workshop |
| Rechtsgrundlage | eine Grundlage aus Art. 6 Abs. 1 DSGVO, hier einzutragen |
Bei der Erhebung erfahren die Teilnehmenden unter anderem, wer verantwortlich ist, wofür die Daten dienen und auf welcher Rechtsgrundlage, also aus welchem Grund die Verarbeitung erlaubt ist, in klarer und einfacher Sprache (Art. 12 Abs. 1, Art. 13 Abs. 1 DSGVO). Für ein Jugendprojekt bieten sich zwei Fassungen an: eine für die Jugendlichen, eine für die Sorgeberechtigten (Eltern oder andere Personen mit Sorgerecht).
Die Schutzmaßnahmen richten sich nach dem Risiko (Art. 32 Abs. 1 DSGVO). Voreinstellungen dürfen Daten nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich machen (Art. 25 Abs. 2), etwa auf den Profilseiten einer Beteiligungsplattform. Die Übersicht ist ein Teil des Nachweises (Art. 5 Abs. 2).
Eine Datenpanne ist eine Sicherheitsverletzung, die zum Beispiel zu Verlust oder unbefugter Offenlegung personenbezogener Daten führt (Art. 4 Nr. 12 DSGVO). Sie ist unverzüglich und möglichst binnen 72 Stunden der Aufsicht zu melden, außer sie führt voraussichtlich nicht zu einem Risiko (Art. 33 Abs. 1). Den Ablauf beschreibt der Beitrag zur Datenpanne in den ersten 72 Stunden.
Wenn eine öffentliche Schule Partner ist
Für öffentliche Schulen in Sachsen gilt die Verwaltungsvorschrift des Kultusministeriums über den Datenschutz an Schulen (VwV Schuldatenschutz, Teil I Nr. 2). Sie bindet die Schule, nicht die Initiative. Bei Cloud-Diensten sind nur solche zulässig, auf die das Recht der EU anwendbar ist. Schulen sollen außerdem nur eigene oder vom Landesamt für Schule und Bildung empfohlene Clouds nutzen. Setzt die Schule einen anderen Dienst ein, etwa das Werkzeug einer Initiative, muss der Anbieter sich verpflichten, ihr sämtliche Unteranbieter und Standorte der Rechenzentren zu benennen. In der Cloud darf nur gespeichert werden, was für die Funktion zwingend erforderlich ist (Teil III Nr. 12 Buchst. a, b und d).
Diese Angaben zu Unteranbietern, Standorten und Speicherung gehören deshalb in die Übersicht der Schutzmaßnahmen. Ob die Schule das Werkzeug einsetzt, entscheidet sie selbst.
Wenn Jugendamt, Kommune oder freier Träger Partner ist
Nimmt das Jugendamt Dienste freier Träger in Anspruch, muss es sicherstellen, dass der Schutz der personenbezogenen Daten dort in entsprechender Weise gewährleistet ist (§ 61 Abs. 3 Achtes Buch Sozialgesetzbuch, SGB VIII). Ein Verfahren schreibt die Vorschrift nicht vor. Fragt das Amt nach, kann die Initiative mit den Unterlagen der ersten Stufe antworten; was es darüber hinaus anfordert, legt es selbst fest. Für Kommunen und freie Träger als Partner habe ich keine eigene Vorschrift ausgewertet; die Rollenklärung und die Unterlagen der ersten Stufe beruhen auf der DSGVO und hängen nicht vom Partner ab.
Bevor Fotos, Videos oder eine App öffentlich werden
Für Bildnisse gilt nach den Hinweisen der Sächsischen Datenschutz- und Transparenzbeauftragten (SDTB) neben der DSGVO auch das KUG. Bildnisse dürfen nur mit Einwilligung der Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden (§ 22 Satz 1 KUG). Ausnahmen, etwa für Bilder von Versammlungen, entfallen, wenn ein berechtigtes Interesse der Abgebildeten verletzt wird (§ 23 Abs. 1 Nr. 3 und Abs. 2 KUG). Für die laufende Öffentlichkeitsarbeit halte ich einen festen Ablauf mit Einwilligung für handhabbarer als die Prüfung jeder Ausnahme.
Die SDTB hat dazu Hinweise für Schulen veröffentlicht, die sich als Ablauf auch für eine Initiative heranziehen lassen. Danach umfasst die Einwilligung in die Aufnahme nicht die Veröffentlichung. Weil der Verantwortliche die Einwilligung nachweisen muss (Art. 7 Abs. 1 DSGVO), liegt es im Interesse der Schule, sie schriftlich einzuholen.
Bei Jugendlichen kommt es auf die Einsichtsfähigkeit an. Nach dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) kann ein Kind erst wirksam einwilligen, wenn es versteht, was mit seinen Daten geschieht und welche Folgen und Risiken das hat. Bei Zweifeln daran ist nach der SDTB die Einwilligung der Sorgeberechtigten nötig. Ob eine Einwilligung wirksam ist, bleibt Einzelfall; der folgende Ablauf ist ein Muster.
- Erkennbarkeit prüfen. Sind keine Personen einzeln zu erkennen, ergeben sich nach der SDTB keine datenschutzrechtlichen Fragen; das entscheidet das einzelne Bild.
- Verwendung festlegen. Vor dem Termin steht fest, wo Bilder erscheinen (Website, soziale Netzwerke, Förderbericht) und wie lange sie gespeichert bleiben.
- Aufnahme und Veröffentlichung getrennt abfragen. Die Einwilligungserklärung hat ein Kästchen für die Aufnahme und je eines für jeden Ort der Veröffentlichung.
- Unterschriften abstimmen. Mit Schule oder Träger klärt die Initiative, ob auch die Sorgeberechtigten unterschreiben; an einer öffentlichen Schule fragt sie nach deren Mustern.
- Widerruf ermöglichen. Die Erklärung nennt vor der Unterschrift einen Weg zum Widerruf, der so einfach ist wie die Einwilligung (Art. 7 Abs. 3 DSGVO). Geht ein Widerruf ein, nimmt die Initiative das Bild aus ihren Kanälen.
- Erklärungen ablegen. Sie liegen an einem festen Ort, dazu eine Liste, welches Bild auf welcher Erklärung beruht und ob ein Widerruf eingegangen ist. Die Person erhält eine Kopie.
Wenn eine Website, App oder Plattform online geht
- Datenschutzerklärung. Sie informiert alle Nutzenden (Art. 13 DSGVO).
- Cookies und Endgerätezugriff. Speichert die App Informationen auf dem Gerät oder liest sie dort aus, etwa über Cookies, braucht das grundsätzlich eine Einwilligung; ausgenommen ist, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 TDDDG).
- Dienste für Kinder. Manche Angebote richten sich direkt an Kinder, etwa soziale Netzwerke, Messenger oder Foren (nach dem BfDI Dienste der Informationsgesellschaft). Stützt sich ein solcher Dienst auf die Einwilligung, braucht es bis zum 16. Geburtstag die Einwilligung oder Zustimmung der Eltern (Art. 8 DSGVO).
- Impressum. Es ist für „geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste“ vorgeschrieben (§ 5 Abs. 1 DDG). Ob ein unentgeltliches Angebot darunter fällt, beantwortet der Wortlaut nicht allein. Ich würde für jede öffentlich erreichbare Website einer Initiative ein Impressum anlegen, um die Frage nicht offen zu lassen.
Wächst das Team, braucht es Weisung und Zugriffsrechte
Wer dem Verantwortlichen unterstellt ist, darf personenbezogene Daten nur auf dessen Weisung verarbeiten; der Verantwortliche unternimmt Schritte, um das sicherzustellen (Art. 29, Art. 32 Abs. 4 DSGVO). Eine Form schreibt das Gesetz nicht vor. Mein Vorschlag ist eine schriftliche Weisung mit Belehrung, die Mitarbeitende, Honorarkräfte und Ehrenamtliche unterschreiben, dazu Zugriffsrechte nach Aufgabe statt eines gemeinsamen Kontos.
Für Daten von Beschäftigten kennt das Bundesdatenschutzgesetz (BDSG) Sonderregeln (§ 26). Nach dem Europäischen Gerichtshof ist eine nationale Vorschrift zum Beschäftigtendatenschutz nur dann eine spezifischere Vorschrift im Sinne von Art. 88 DSGVO, wenn sie dessen Absatz 2 erfüllt; sonst bleibt sie grundsätzlich unangewendet (Urteil vom 30. März 2023, C-34/21, zu einer hessischen Vorschrift). Das Bundesarbeitsgericht wendet § 26 Abs. 1 BDSG deshalb nicht an (Urteil vom 8. Mai 2025, 8 AZR 209/21); die Verarbeitung richtet sich dann unmittelbar nach der DSGVO.
Eine Teamregel für KI-Werkzeuge auf einer Seite
Nutzt das Team KI-Werkzeuge, wird die Initiative zur Betreiberin im Sinne der KI-Verordnung der EU, weil sie ein KI-System in eigener Verantwortung verwendet (Art. 3 Nr. 4). Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten (Art. 4 Abs. 1). KI-Kompetenz heißt, KI-Systeme sachkundig einsetzen zu können und die Chancen und Risiken zu kennen (Art. 3 Nr. 56). Ein bestimmtes Niveau müssen Betreiber nicht garantieren.
Die Pflicht gilt seit dem 2. Februar 2025, in der Fassung der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) seit dem 27. Juli 2026. In Deutschland überwacht sie grundsätzlich die Bundesnetzagentur (§ 2 Abs. 1 KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz). Die Aufsicht hat nach der Europäischen Kommission im August 2026 begonnen.
Nach der Kommission gilt die Pflicht auch für einen Chatbot, der nur Werbetexte oder Übersetzungen liefert; die Beschäftigten sollten die Risiken kennen, etwa erfundene Angaben. Die Datenschutzkonferenz (DSK) der Aufsichtsbehörden empfiehlt dokumentierte interne Weisungen mit Beispielen (Orientierungshilfe Künstliche Intelligenz und Datenschutz, Rn. 36). Namen und Anschriften zu entfernen, genügt nach der DSK in der Regel nicht (Rn. 49).
Als Muster dient eine Teamregel nach den vier Datenklassen der Vorlage zu Datenklassen für KI-Werkzeuge. Die Klassen und die Regeln sind dort ein Vorschlag, keine Vorgabe der Aufsicht.
- Klasse A, öffentlich: Veröffentlichte Texte und allgemeine Fachfragen dürfen in jedes Werkzeug, auch ohne Vertrag.
- Klasse B, intern: Konzeptentwürfe und Kalkulationen ohne Personenbezug gehen nur in ein Konto der Initiative mit Vertrag.
- Klasse C, personenbezogen: Namen, Anmeldelisten, Fotos und alles, woran sich eine Person erkennen lässt, gehen nur in ein freigegebenes Werkzeug mit AV-Vertrag und nur so weit wie nötig.
- Klasse D, besonders geschützt: Angaben zu Gesundheit, Religion oder ethnischer Herkunft und alles, was Teilnehmende im Vertrauen erzählt haben, gehen zunächst in kein Werkzeug, auch nicht ohne Namen. Eine Einzelfreigabe der Leitung kommt erst infrage, wenn Rechtsgrundlage, Vertrag und gegebenenfalls die Folgenabschätzung für diesen Fall geprüft sind.
- Immer: Konten der Initiative statt privater, so auch die DSK (Rn. 41). Jedes Ergebnis prüft ein Mensch, bevor es hinausgeht. Neue Werkzeuge erst nach Freigabe durch die Projektleitung.
Die Bundesnetzagentur empfiehlt, die Maßnahmen zu dokumentieren, etwa in einer Tabelle mit Datum, Personen, Inhalt der Einweisung und Stand der Teamregel. Mehr zu Maßnahmen steht im Beitrag zur KI-Kompetenz nach Art. 4, ein Muster zur Abfrage der genutzten Werkzeuge im Beitrag Welche KI nutzt unser Team?
Kommt KI ins eigene Angebot, ändert sich die Rolle
Baut die Initiative einen Chatbot, eine Lernbegleitung oder eine automatische Auswertung in ihr Angebot ein, kann sie selbst Anbieterin werden, nämlich wenn sie das System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt, auch unentgeltlich (Art. 3 Nr. 3 KI-Verordnung). Seit dem 2. August 2026 müssen Anbieter Systeme für die direkte Interaktion so gestalten, dass Menschen erfahren, dass sie mit einer KI sprechen, sofern das nicht offensichtlich ist (Art. 50 Abs. 1). Wer bei welchem System welche Rolle hat, klären die Beiträge zur Kennzeichnung nach Art. 50 und zum Chatbot im eigenen Angebot.
Arbeitet die KI mit Daten von Teilnehmenden, ist zu prüfen, ob vorab eine Datenschutz-Folgenabschätzung (DSFA) nötig ist, eine dokumentierte Risikoabschätzung. Pflicht ist sie bei voraussichtlich hohem Risiko (Art. 35 Abs. 1 DSGVO). Die Liste der Aufsichtsbehörden vom Oktober 2018 nennt KI, die die Interaktion mit den Betroffenen steuert oder persönliche Aspekte bewertet (Nr. 11). Die Vorprüfung zeigt, ob ein Werkzeug darunter fällt; ihr Ergebnis gehört schriftlich zu den Unterlagen.
Eine Grenze setzt außerdem das Verbot der Emotionserkennung: Am Arbeitsplatz und in Bildungseinrichtungen ist es seit dem 2. Februar 2025 verboten, mit KI-Systemen Emotionen abzuleiten, außer aus medizinischen Gründen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f).
Wo die Unterlagen nicht weiterhelfen
Die Tabelle ordnet Pflichten, sie entscheidet keinen Einzelfall. Offen bleibt, welche Rolle die Initiative im Pilotprojekt hat, ob eine bestimmte Einwilligung wirksam ist und ob ein unentgeltliches Angebot ein Impressum braucht. Welche Angaben ein Förderantrag verlangt, bestimmt der Förderer; eine Beratung zum Förderrecht ersetzen die Unterlagen nicht.
Was warten kann und was mit dem ersten Datensatz beginnt
Warten kann zunächst, was die KI-Verordnung nicht verlangt. Nach der Bundesnetzagentur sind für die KI-Kompetenz nicht vorgeschrieben:
- ein Zertifikat für Schulungen oder andere Maßnahmen,
- formalisierte oder standardisierte Trainings,
- ein KI-Beauftragter. Auch eine bestimmte Organisationsstruktur muss die Initiative dafür nach der Kommission nicht schaffen (Art. 4).
Die Pflichten für KI-Systeme mit hohem Risiko, etwa zur Bewertung von Lernergebnissen (Anhang III Nr. 3), gelten erst ab dem 2. Dezember 2027 und nur für bestimmte Zwecke (Art. 113). Nicht warten kann dagegen, was mit dem ersten Datensatz beginnt: Rollen, Information, Schutzmaßnahmen und Meldeweg. Auch die Pflicht zu Maßnahmen für KI-Kompetenz gilt nach der Bundesnetzagentur unabhängig von Wirtschaftszweig oder Organisationsgröße.
Meine Empfehlung
Ich würde in drei Etappen vorgehen, je nach Anlass. Erstens die Unterlagen der Stufe 1 vor dem ersten Pilotprojekt, auch wenn der Partner nicht danach fragt. Zweitens die Unterlagen der Stufe 2 mit dem Einwilligungsablauf vor dem ersten Foto und vor dem Start von Website oder App. Drittens die Teamregel mit der Liste der Einweisungen, spätestens vor dem ersten KI-Einsatz. Die Stufen 3 und 4 folgen ihrem Anlass.
Kommen Gesundheitsdaten oder andere besondere Kategorien ins Spiel, würde ich nicht auf den Anlass warten. Dann gehören die Prüfung einer Folgenabschätzung und die Frage nach dem Datenschutzbeauftragten an den Anfang.
Die Teamregel und die Liste der Einweisungen lassen sich im Team selbst einführen. Als Maßnahme nach Art. 4 KI-Verordnung kommt auch eine Schulung in Betracht; zu ihr gehören Unterlagen und ein Teilnahmenachweis, der in die Liste der Einweisungen aufgenommen werden kann. Die Schulungen zu KI-Kompetenz oder zu Datenschutz dauern je einen halben Tag, richten sich an bis zu 20 Personen und kosten ab 750 € je halbem Tag. Es geht etwa darum, welche Daten in welche Anwendung dürfen und wie ein Team Datenpannen erkennt und meldet. Thema und Kreis der Teilnehmenden klärt ein kostenfreies Erstgespräch.
Stand: 15. Oktober 2026. KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744. Zu Art. 30 Abs. 5 und Art. 33 DSGVO liegen Änderungsvorschläge der Kommission vor (COM(2025) 501 und COM(2025) 837), deren Verfahrensstand nicht geprüft ist. Eine neuere Fassung der Liste der Aufsichtsbehörden von 2018 war nicht auffindbar. Was Partner und Förderer anfordern, ließ sich bei Aufsichtsbehörden, Spitzenverbänden und in den zugänglichen Förderrichtlinien nicht feststellen. Nicht ausgewertet sind Landesrecht für Kommunen, die Anlagen der VwV Schuldatenschutz und Gesetzgebung zum Beschäftigtendatenschutz.
Fragen aus der Gründungsphase
Ab welchem Alter dürfen Jugendliche selbst in die Veröffentlichung von Fotos einwilligen?
Für Fotos nennt die DSGVO keine feste Altersgrenze; nach dem BfDI kommt es auf die Einsichtsfähigkeit an, bei Zweifeln ist nach der SDTB die Einwilligung der Sorgeberechtigten nötig. Eine Grenze von 16 Jahren nennt die DSGVO nur für Dienste der Informationsgesellschaft wie soziale Netzwerke (Art. 8); die Grenze von 14 Jahren aus der sächsischen VwV Schuldatenschutz gilt für öffentliche Schulen.
Braucht ein kleiner Verein ein Verzeichnis der Verarbeitungstätigkeiten?
Grundsätzlich ja, denn jeder Verantwortliche führt eines (Art. 30 Abs. 1 DSGVO). Die Ausnahme für kleine Einrichtungen setzt unter anderem voraus, dass die Verarbeitung nur gelegentlich erfolgt; bei einem laufenden Pilotprojekt mit Daten von Teilnehmenden spricht wenig dafür.
Braucht ein kleines Team eine KI-Schulung, wenn es ChatGPT nutzt?
Die KI-Verordnung verlangt Maßnahmen zur KI-Kompetenz, keine bestimmte Schulung und kein Zertifikat (Art. 4); die Maßnahmen können intern oder extern stattfinden. Nach der Europäischen Kommission sollten auch Beschäftigte, die einen Chatbot für Texte nutzen, über die Risiken informiert werden, etwa über erfundene Angaben. Festhalten sollte das Team, wer wann welche Einweisung erhalten hat.
Welche Datenschutzaufsicht ist in Sachsen für Vereine und gemeinnützige GmbH zuständig?
Für Vereine, Unternehmen und andere nichtöffentliche Stellen in Sachsen ist die Sächsische Datenschutz- und Transparenzbeauftragte zuständig (§ 14 Abs. 2 Sächsisches Datenschutzdurchführungsgesetz). Auf ihrer Website steht ein Webformular für die Meldung einer Datenpanne nach Art. 33 DSGVO bereit.
Braucht ein Verein für den Förderantrag ein Datenschutzkonzept?
Die DSGVO verlangt kein Dokument dieses Namens. Welche Angaben ein Förderer erwartet, legen seine Antragsunterlagen fest; eine allgemeine Vorgabe ließ sich nicht finden. Antworten kann die Initiative mit den Unterlagen der Stufentabelle, also mit Rollenklärung, Information der Teilnehmenden, Schutzmaßnahmen und Teamregel für KI.
Braucht unser Verein oder Startup einen Datenschutzbeauftragten?
Das hängt von der Art der Daten und von der Zahl der Personen ab, die damit arbeiten (§ 38 Abs. 1 BDSG, Art. 37 DSGVO). Die Voraussetzungen und der Stand der angekündigten Änderung stehen im Beitrag zur Benennungspflicht.
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 1, 7, 8 und 12, Art. 5 Abs. 2, Art. 6 bis 9, Art. 12 bis 17, Art. 25, 26, 28 bis 30, 32, 33, 35, 37, 68 Abs. 3 und Art. 88. EUR-Lex, abgerufen am 15. Oktober 2026.
- Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026 ohne Rechtswirkung, Art. 3 Nr. 3, 4 und 56, Art. 4, 5, 50 und 113, Anhang III Nr. 3. EUR-Lex, abgerufen am 15. Oktober 2026.
- Europäische Union: Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230 (Digital-Omnibus-Verordnung zur KI), Art. 1 Nr. 5 und Art. 4, ABl. L vom 24. Juli 2026. EUR-Lex, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz, § 26 Abs. 1 und § 38 Abs. 1. § 26 BDSG und § 38 BDSG auf gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 30. März 2023, Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium, C-34/21, Tenor und Rn. 74 sowie 80 bis 84. EUR-Lex, abgerufen am 15. Oktober 2026.
- Bundesarbeitsgericht: Urteil vom 8. Mai 2025, 8 AZR 209/21, Rn. 16 bis 20. bundesarbeitsgericht.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie (Kunsturhebergesetz), §§ 22 und 23. § 22 KUG und § 23 KUG auf gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Digitale-Dienste-Gesetz § 5 Abs. 1 und Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz § 25 Abs. 1 und 2. § 5 DDG und § 25 TDDDG auf gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Achtes Buch Sozialgesetzbuch, § 61 Abs. 3. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG), § 2 Abs. 1. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Sächsisches Staatsministerium für Kultus: Verwaltungsvorschrift über den Datenschutz bei der Verarbeitung personenbezogener Daten an Schulen (VwV Schuldatenschutz) vom 11. Juli 2018, zuletzt enthalten in der Verwaltungsvorschrift vom 9. Dezember 2025, Teil I Nr. 2, Teil II Nr. 5, Teil III Nr. 12. recht.sachsen.de, abgerufen am 15. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Datenschutz in der Schule, Fragen zu Fotografieren und Filmen, zur Einwilligung von Schülerinnen und Schülern und zu Cloud-Diensten. datenschutz.sachsen.de, abgerufen am 15. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Zuständigkeit nach Art. 51 DSGVO und § 14 Abs. 2 SächsDSDG. datenschutz.sachsen.de, abgerufen am 15. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Wirtschaft, Webformular zur Meldung einer Datenpanne gemäß Art. 33 DSGVO. datenschutz.sachsen.de, abgerufen am 15. Oktober 2026.
- Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Wer ist für den Schutz der Daten Ihres Kindes verantwortlich? bfdi.bund.de, abgerufen am 15. Oktober 2026.
- Europäischer Datenschutzausschuss: Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0 vom 7. Juli 2021, Zusammenfassung und Rn. 70 bis 72. edpb.europa.eu, abgerufen am 15. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, Rn. 36, 41 und 49. datenschutzkonferenz-online.de, abgerufen am 15. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (nichtöffentlicher Bereich), Version 1.1 vom 17. Oktober 2018, Nr. 11. datenschutzkonferenz-online.de, abgerufen am 15. Oktober 2026.
- Bundesnetzagentur: KI-Kompetenz, Abschnitte „In Kürze“ und „Was sieht die KI-VO vor und was ist nicht vorgeschrieben?“. bundesnetzagentur.de, abgerufen am 15. Oktober 2026.
- Europäische Kommission: AI Literacy, Questions and Answers, Stand 27. Juli 2026. digital-strategy.ec.europa.eu, abgerufen am 15. Oktober 2026.
- Europäische Kommission: Vorschlag für eine Verordnung zur Änderung der Verordnung (EU) 2016/679 und weiterer Verordnungen hinsichtlich weiterer Vereinfachungsmaßnahmen, COM(2025) 501 final vom 21. Mai 2025, Begründung zu Art. 30 DSGVO. EUR-Lex, abgerufen am 15. Oktober 2026.
- Europäische Kommission: Vorschlag für eine Verordnung zur Vereinfachung des digitalen Rechtsrahmens, COM(2025) 837 final vom 19. November 2025, Art. 1 Nr. 8 (Art. 33 DSGVO). EUR-Lex, abgerufen am 15. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
