Das Wichtigste in Kürze
- Die Datenschutz-Grundverordnung (DSGVO) verlangt von einem Träger keine Datenschutzschulung. Er muss aber Schritte unternehmen, damit Mitarbeitende Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4). Außerdem muss er nachweisen können, dass er die Datenschutzgrundsätze einhält (Art. 5 Abs. 2). Daraus folgt nach Auffassung der Aufsichtsbehörden eine Unterrichtung der Mitarbeitenden.
- Katholische Träger müssen nach dem Gesetz über den Kirchlichen Datenschutz (KDG) alle bei der Datenverarbeitung Tätigen, auch Ehrenamtliche, schriftlich auf das Datengeheimnis (das Verbot unbefugter Verarbeitung) verpflichten. Die Durchführungsverordnung zum KDG (KDG-DVO) verlangt außerdem Belehrung (§ 2 Abs. 2 und 3) und wiederkehrende Schulung (§ 2 Abs. 7, neu seit der Novelle zum 1. März 2026; geprüft für die Bistümer Hildesheim und Dresden-Meißen). Evangelische Träger verpflichten nach dem Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) schriftlich auf das Datengeheimnis.
- Die Unterschrift unter eine Verpflichtungserklärung ersetzt die Schulung nicht. Nach der Datenschutzkonferenz (DSK), dem Zusammenschluss der Aufsichtsbehörden, gehört eine Belehrung über die Pflichten dazu; später empfiehlt sie Erinnerungen in Abständen.
- Gesetzlich festgelegt ist kein Wiederholungsrhythmus. Katholisches Recht verlangt in den geprüften Bistümern wiederkehrende Schulungen, nennt aber keinen Abstand. Als Empfehlung bietet sich ein Jahrestermin an, dazu eine Auffrischung bei Anlässen wie neuen Werkzeugen oder einem Vorfall.
- Als Nachweis bieten sich Verpflichtungserklärung, Teilnahmeliste, Inhalte und Datum an. Zertifikate verlangt keine der geprüften Vorschriften.
- Erhält ein Träger Sozialdaten von Leistungsträgern, sind die Beschäftigten auf Zweckbindung und Geheimhaltung hinzuweisen (§ 78 Abs. 2 Zehntes Buch Sozialgesetzbuch, SGB X).
Datenschutzschulung ist die Vermittlung der Datenschutzregeln eines Trägers an alle, die in seinem Namen personenbezogene Daten verarbeiten. Im Alltag heißt sie auch Datenschutzunterweisung oder Mitarbeiterschulung. In Vorschriften und Aufsichtspapieren steht dafür Sensibilisierung und Schulung (Art. 39 Abs. 1 Buchst. b DSGVO), Belehrung (§ 2 KDG-DVO) oder Unterrichtung (Kurzpapier Nr. 19 der DSK).
Unterweisung, Belehrung, Verpflichtung: was die Texte meinen
Unterweisung ist ein Alltagswort: Es steht weder in der DSGVO noch im KDG, im DSG-EKD oder in der KDG-DVO. Brandenburgs Aufsicht gebraucht es für Beschäftigte, die zu schulen und zu unterweisen sind (Tätigkeitsbericht 2025, S. 66).
| Begriff | Bedeutung |
|---|---|
| Weisung (Anweisung) | Regel des Trägers für den Umgang mit Daten, zum Beispiel Dienstanweisung oder Prozessbeschreibung |
| Verpflichtung | Schriftliche oder elektronische Erklärung, Daten nicht unbefugt zu verarbeiten und die Weisungen zu beachten |
| Belehrung (Unterrichtung) | Hinweis auf die Vorschriften, die Folgen eines Verstoßes und das Fortbestehen der Pflicht nach dem Ende der Tätigkeit |
| Schulung (Sensibilisierung) | Wissensvermittlung an die Beteiligten; nach der DSGVO überwacht sie der Datenschutzbeauftragte, im katholischen Recht ist sie in den geprüften Bistümern auch wiederkehrende Pflicht des Trägers |
Woraus sich eine Pflicht ergibt und woraus nicht
DSGVO: Weisung und Nachweis, keine Schulungspflicht
Für Träger enthält die DSGVO keine allgemeine Pflicht, Mitarbeitende zu schulen. Genannt wird die Schulung bei den Aufgaben des Datenschutzbeauftragten (Art. 39 Abs. 1 Buchst. b) und sonst nur in Regeln für Unternehmensgruppen und den Europäischen Datenschutzausschuss (EDSA; Art. 47 und 70). Wann ein Träger einen Datenschutzbeauftragten benennen muss, steht im Beitrag zur Benennungspflicht.
Mitarbeitende dürfen personenbezogene Daten nur auf Weisung des Trägers verarbeiten (Art. 29). Schritte muss der Träger unternehmen, damit sie das tun (Art. 32 Abs. 4). Außerdem muss er nachweisen können, dass er die Grundsätze der Verordnung einhält (Art. 5 Abs. 2, Art. 24 Abs. 1). Weisungen, die niemand kennt, lassen sich weder befolgen noch belegen.
Im Kurzpapier Nr. 19 (Stand 29. Mai 2018) leitet die DSK aus diesen Vorschriften eine Unterrichtung der Beschäftigten ab. Das Papier ist keine Rechtsnorm. Der Wortlaut der DSGVO verlangt eine Verpflichtung zur Vertraulichkeit nur für die Beschäftigten eines Auftragsverarbeiters, also eines Dienstleisters, der im Auftrag Daten verarbeitet (Art. 28 Abs. 3 Buchst. b). Die DSK überträgt den Gedanken auf alle Verantwortlichen. Wie die Unterrichtung umzusetzen ist, sei nicht verbindlich geregelt; die DSK empfiehlt eine schriftliche oder elektronische Erklärung.
KDG und DSG-EKD: ausdrückliche Verpflichtung
Katholische Träger wenden das KDG an, evangelische Träger das DSG-EKD. Beide verbieten das unbefugte Verarbeiten personenbezogener Daten (Datengeheimnis) und regeln die Verpflichtung darauf ausdrücklich.
| Punkt | DSGVO | KDG (katholisch) | DSG-EKD (evangelisch) |
|---|---|---|---|
| Weisung | Art. 29 und Art. 32 Abs. 4 | § 26 Abs. 5 und § 30 | § 27 Abs. 5 |
| Verpflichtung | Für eigene Beschäftigte nicht ausdrücklich geregelt; die DSK empfiehlt Schriftform oder elektronische Form | Schriftlich bei Aufnahme der Tätigkeit (§ 5 Abs. 1) | Schriftlich bei Aufnahme der Tätigkeit, soweit nicht anderweitig kirchlich zur Verschwiegenheit verpflichtet (§ 26) |
| Belehrung | Über die Pflichten, möglichst an typischen Fällen (DSK) | Über Vorschriften, Folgen eines Verstoßes und Fortbestehen der Pflicht (§ 2 Abs. 2 und 3 KDG-DVO) | Im Gesetz nicht geregelt; die Gliedkirchen (Landeskirchen) können Durchführungsbestimmungen erlassen (§ 54 Abs. 2) |
| Schulung | Der Datenschutzbeauftragte überwacht Sensibilisierung und Schulung (Art. 39 Abs. 1 Buchst. b) und unterrichtet die Beschäftigten (Buchst. a); Erinnerung in Abständen empfohlen (DSK) | Mitarbeitende wiederkehrend schulen (§ 2 Abs. 7 KDG-DVO, in den geprüften Bistümern); Aufgabe des Datenschutzbeauftragten (§ 38) | Aufgabe der örtlich Beauftragten für den Datenschutz: informieren und schulen (§ 38 Nr. 3); für den Umgang mit IT müssen kirchliche Stellen Schulungsmöglichkeiten bieten (§ 4 Abs. 1 IT-Sicherheitsverordnung der EKD) |
In jedem Bistum trifft der Generalvikar, der Verwaltungsleiter des Bistums, die zur Durchführung des KDG erforderlichen Regelungen (§ 56 KDG). Die Fassung Ihres Bistums kann von den geprüften abweichen. Im DSG-EKD heißen die Datenschutzbeauftragten örtlich Beauftragte. Evangelische Stellen müssen außerdem durch angemessene Schulungs- und Fortbildungsmöglichkeiten den qualifizierten Umgang mit IT ermöglichen (§ 4 Abs. 1 der IT-Sicherheitsverordnung der EKD, ITSVO-EKD). Das gilt auch für zugeordnete diakonische Einrichtungen (§ 1 Abs. 2) und betrifft nur die Nutzung der IT, nicht den Datenschutz insgesamt.
Sozialdaten und Berufsgeheimnis: zwei Sonderregeln
Erhält ein freier Träger Sozialdaten von einem Leistungsträger wie dem Jugendamt, sind die Beschäftigten, die sie verarbeiten, vor oder spätestens bei der Übermittlung auf Zweckbindung und Geheimhaltung hinzuweisen (§ 78 Abs. 2 mit Abs. 1 SGB X). Sozialdaten sind Angaben, die Leistungsträger für ihre Aufgaben nach dem Sozialgesetzbuch verarbeiten; Zweckbindung heißt, sie nur zum Übermittlungszweck zu verwenden. Mehr dazu im Beitrag zum Sozialdatenschutz bei freien Trägern.
Für Fachkräfte mit Berufsgeheimnis, etwa staatlich anerkannte Sozialarbeiterinnen und Sozialpädagogen, gilt § 203 Strafgesetzbuch (StGB). Strafbar macht sich auch, wer als mitwirkende Person ein Geheimnis unbefugt offenbart (§ 203 Abs. 4 Satz 1). Nach der Gesetzesbegründung gehört zu den Gehilfen, wer im beruflichen Wirkungsbereich der Fachkraft unterstützend tätig ist und Geheimnisse zur Kenntnis nehmen kann (Bundestagsdrucksache 18/11936, S. 21 f.). Daher kann auch eine Pflegehilfskraft, eine Erzieherin oder ein Verwaltungsmitarbeiter selbst unter die Strafnorm fallen, soweit die Person einer Fachkraft mit Berufsgeheimnis zuarbeitet. Eine Schulungspflicht enthält § 203 nicht; wie externe Dienstleister zur Geheimhaltung verpflichtet werden, beschreibt der Beitrag zur Schweigepflicht bei IT, Cloud und KI.
Bundesdatenschutzgesetz und Landesrecht
Im Bundesdatenschutzgesetz (BDSG) steht eine Verpflichtung auf das Datengeheimnis nur in § 53. Sie gilt im Teil für öffentliche Stellen, die Straftaten verfolgen oder Strafen vollstrecken (§ 45), nicht für freie Träger der Sozialen Arbeit und Pflege als private Stellen (§ 2 Abs. 4). Für öffentliche Stellen der Länder und Kommunen gilt vorrangig das Landesdatenschutzgesetz, soweit es den Datenschutz regelt (§ 1 Abs. 1).
Haftung und Bußgeld bei fehlender Unterrichtung
Am 11. April 2024 hat der Europäische Gerichtshof (EuGH) entschieden: Ein Verantwortlicher wird von der Haftung auf Schadensersatz nach Art. 82 DSGVO nicht schon dadurch frei, dass er auf das Fehlverhalten einer ihm unterstellten Person verweist (C-741/21, Tenor Nr. 2). Der Verantwortliche müsse sich vergewissern, dass seine Weisungen korrekt ausgeführt werden (Randnummer 49); der Nachweis erteilter Weisungen allein genüge nicht (Randnummer 52). Von Schulungen spricht das Urteil nicht. In Sachsen zählt die Datenschutzaufsicht „fehlende Sensibilisierungsmaßnahmen gegenüber Beteiligten“ zu den Verstößen gegen Art. 32 DSGVO, die ein Bußgeldverfahren auslösen können (Tätigkeitsbericht 2025, Kap. 4.3.1).
Verstöße gegen die Pflichten der Verantwortlichen aus Art. 25 bis 39 DSGVO, darunter Art. 32, können mit Geldbußen bis zu 10 Millionen Euro geahndet werden, bei Unternehmen alternativ bis zu 2 % des weltweiten Jahresumsatzes, falls dieser Betrag höher ist (Art. 83 Abs. 4 Buchst. a). Für Verstöße gegen die Grundsätze der Verarbeitung nach Art. 5, 6, 7 und 9 gilt ein höherer Rahmen von 20 Millionen Euro oder 4 % (Art. 83 Abs. 5 Buchst. a). Bei der Höhe zählt auch, welche Maßnahmen der Träger nach Art. 25 und 32 getroffen hat (Art. 83 Abs. 2 Buchst. d).
Das KDG sieht Geldbußen bis zu 1 Million Euro vor, für kirchliche Unternehmen im Wettbewerb bis zu 4 % des Jahresumsatzes, höchstens 3 Millionen Euro (§ 51 Abs. 5). Gegen öffentlich-rechtlich verfasste kirchliche Stellen werden sie nicht verhängt, soweit diese nicht am Wettbewerb teilnehmen (§ 51 Abs. 6). Das DSG-EKD erlaubt bis zu 6 Millionen Euro, gegen verantwortliche Stellen aber nur, soweit sie als Unternehmen am Wettbewerb teilnehmen (§ 45 Abs. 1 Satz 2 und Abs. 5). Für Behörden und öffentliche Stellen regeln die Mitgliedstaaten, ob Geldbußen möglich sind (Art. 83 Abs. 7); für Bundesbehörden schließt § 43 Abs. 3 BDSG sie aus.
Wer unterrichtet werden muss: auch Ehrenamt, Praktikum und Leiharbeit
Maßgeblich ist nach Art. 29 DSGVO, ob jemand dem Träger unterstellt ist und Zugang zu personenbezogenen Daten hat, nicht die Art des Vertrags. Auch die DSK legt den Kreis weit aus: Neben dem Mitarbeiterstamm nennt sie Auszubildende, Referendarinnen und Referendare, Praktikantinnen und Praktikanten, Leiharbeitskräfte und ehrenamtlich Tätige.
Im katholischen Recht sind Ehrenamtliche, die Daten verarbeiten, ausdrücklich eingeschlossen (§ 5 Abs. 2 KDG; § 2 Abs. 1 KDG-DVO). Als Beschäftigte zählt das KDG auch Rehabilitanden, Werkstattbeschäftigte, Freiwilligendienstleistende sowie Praktikantinnen und Praktikanten (§ 4 Nr. 24); die KDG-DVO erfasst damit auch sie. Das DSG-EKD spricht allgemein von den bei der Datenverarbeitung tätigen Personen (§ 26).
Wo im öffentlichen Bereich die Verschwiegenheit gesetzlich oder tariflich ausdrücklich geregelt ist, muss nach der DSK keine Verpflichtung erfolgen. Die Datenschutzaufsicht in Sachsen rät trotzdem, Beschäftigte über das Datengeheimnis zu belehren; die Erklärung dient dann der Dokumentation und der Sensibilisierung (Tätigkeitsbericht 2025, Kap. 4.1.5).
Was in eine Datenschutzschulung gehört
Inhalte schreibt kein Gesetz im Einzelnen vor. Katholische Träger müssen die Mitarbeitenden mit den für ihren Aufgabenbereich wesentlichen Grundsätzen vertraut machen und über Pflichten, Folgen eines Verstoßes und das Fortbestehen des Datengeheimnisses belehren (§ 2 Abs. 2 und 3 KDG-DVO). Nach der DSK sollte möglichst an typischen Fällen gezeigt werden, was im Arbeitsalltag zu beachten ist. Die Schwerpunkte der Tabelle sind eine eigene Zusammenstellung; die letzte Spalte nennt die Herkunft einzelner Punkte.
| Gruppe | Schwerpunkte | Grundlage oder Herkunft |
|---|---|---|
| Alle Mitarbeitenden | Daten nur im Rahmen von Aufgabe und Weisungen verarbeiten; Verpflichtung und Folgen eines Verstoßes; Datenpanne erkennen und sofort melden; auch formlose Anträge Betroffener erkennen und weiterleiten | Art. 5 Abs. 1 und Art. 29 DSGVO; § 2 Abs. 3 KDG-DVO; EDSA-Leitlinien 9/2022, Randnummer 128; formlose Anträge: Tätigkeitsbericht Brandenburg 2025, S. 66 f. (dort zu Wohnungsunternehmen) |
| Fachkräfte mit Klientenkontakt | Gesundheits- und Suchtdaten als besonders geschützte Daten; Schweigepflicht und zulässige Weitergabe; Fehlversand vermeiden; welche Daten in KI-Werkzeuge dürfen | Art. 9 Abs. 1 DSGVO; § 203 StGB |
| Verwaltung und Empfang | Fehlversand und offene Verteiler vermeiden (Blindkopie); Beschäftigtendaten; Auskunft am Telefon und am Empfang | Blindkopie: Tätigkeitsbericht Sachsen 2025, Kap. 4.3.2; übrige Schwerpunkte eigene Zusammenstellung |
| Leitungskräfte | Verantwortung des Trägers, Weisungen und Nachweis; Entscheidung über die Meldung einer Datenpanne; Freigabe neuer Werkzeuge | Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO |
| Ehrenamtliche, Praktikum und Freiwilligendienst | Kurzfassung der Grundregeln; Zugang nur zu den nötigen Daten; Verpflichtung vor dem ersten Einsatz; Ansprechperson und Meldeweg | DSK-Kurzpapier Nr. 19; § 5 Abs. 2 und § 4 Nr. 24 KDG |
| Wer Sozialdaten von Leistungsträgern verarbeitet | Zweckbindung und Geheimhaltung übermittelter Sozialdaten | § 78 Abs. 1 und 2 SGB X |
Zur KI-Nutzung gehört die Regel, welche Daten hineindürfen (private KI-Konten im Dienst). Maßnahmen der KI-Verordnung behandelt der Beitrag zur KI-Kompetenz nach Art. 4, eine eigene KI-Schulung der Beitrag zur KI-Schulung für Mitarbeitende. Das Verhalten bei einem Vorfall beschreibt der Beitrag zur Datenpanne in der Einrichtung.
Kein festgelegter Abstand: Wiederholung und Anlässe
Abstände in Monaten oder Jahren nennt keine der geprüften Vorschriften. Die KDG-DVO verlangt, die Mitarbeitenden wiederkehrend zu schulen (§ 2 Abs. 7); das gilt in den Bistümern, die die Novelle zum 1. März 2026 in Kraft gesetzt haben, darunter Hildesheim und Dresden-Meißen. Bei einer wesentlichen Änderung der Datenschutzvorschriften oder bei Aufnahme einer neuen Tätigkeit ist erneut zu belehren (§ 2 Abs. 4). Die Verpflichtung muss nach der DSK bei Aufnahme der Tätigkeit erfolgen, möglichst am ersten Arbeitstag. Die DSK empfiehlt Erinnerungen in Zeitabständen durch Schulungen oder schriftliche Hinweise und eine Überprüfung der Verpflichtung bei einem Aufgabenwechsel.
Aus dem Tätigkeitsbericht Brandenburg 2025
Daten von Beschäftigten hatte die Leitung einer Kita in einer Kita-App für alle Eltern und alle anderen Mitarbeitenden veröffentlicht, darunter eine Schwangerschaft. Der Träger meldete den Vorfall der Aufsicht, zog arbeitsrechtliche Konsequenzen und schulte alle Mitarbeitenden erneut. Die Aufsicht verzichtete wegen des unverzüglichen Tätigwerdens auf Sanktionen und empfahl, wiederkehrend zu prüfen, in welchen Abständen geschult wird und ob die Schulungen wirken (Teil A, Abschnitt IV Nr. 6).
Wie sich die Schulung nachweisen lässt
Der Träger muss belegen können, dass er die Verarbeitungsgrundsätze einhält (Art. 5 Abs. 2 DSGVO; § 7 Abs. 2 KDG; § 5 Abs. 2 DSG-EKD). Nach der DSK ist es wichtig, die Verpflichtung ausreichend zu dokumentieren; im katholischen Recht gehört die Erklärung zur Personalakte oder zu den Unterlagen der Person (§ 2 Abs. 5 KDG-DVO). Auch der EDSA hält es für eventuell hilfreich zu zeigen, dass die Beschäftigten das Meldeverfahren kennen und wissen, wie sie bei einer Datenschutzverletzung reagieren müssen (Leitlinien 9/2022, Randnummer 128). Als Nachweis bieten sich fünf Unterlagen an:
- Verpflichtungserklärung: mit Ort, Datum und Unterschrift oder Signatur (§ 3 Abs. 2 KDG-DVO), eine Ausfertigung für die Person (§ 2 Abs. 5 Satz 3 KDG-DVO).
- Teilnahmeliste je Termin: Datum, Dauer, Inhalte, Leitung und Teilnehmende.
- Unterlagen des Termins: Folien, Dienstanweisung, Merkblatt und Meldeweg.
- Schulungsplan: wer wann geschult wird, mit Nachholterminen.
- Auswertung: Fragen aus dem Termin und die Änderungen, die daraus folgen.
Verpflichtung und Schulung schließen einen Verstoß nicht aus, wie ein brandenburgisches Sozialamt zeigt. Eine Mitarbeiterin lud auf Aufforderung einer App ein Foto ihres Arbeitsplatzes in einem sozialen Netzwerk hoch; darauf waren Schreiben mit Angaben zu einer Leistungsempfängerin zu lesen. Sie hatte bei der Einstellung eine Verpflichtung unterzeichnet und eine Schulung zum datenschutzrechtlichen Basiswissen absolviert. Die Aufsicht setzte wegen eines Verstoßes gegen Art. 6 und 9 DSGVO gegen sie eine Geldbuße im mittleren dreistelligen Bereich fest (Tätigkeitsbericht 2025, Teil A, Abschnitt II Nr. 9.1).
In sechs Schritten zur dokumentierten Datenschutzschulung
- Klären Sie, welches Recht gilt und wer betroffen ist. Prüfen Sie, ob DSGVO, KDG oder DSG-EKD maßgeblich ist. Listen Sie alle Personen mit Zugang zu Daten auf, auch Ehrenamtliche, Praktikantinnen und Praktikanten und Leiharbeitskräfte.
- Legen Sie die Weisungen fest. Halten Sie in einer Dienstanweisung oder in Merkblättern fest, wie mit Post, E-Mail, Messenger, Fotos, Akten und KI-Werkzeugen umzugehen ist.
- Verpflichten Sie neue Mitarbeitende am ersten Tag. Lassen Sie die Erklärung unterschreiben, belehren Sie über Pflichten und Folgen und geben Sie eine Ausfertigung mit. Ehrenamtliche verpflichten Sie vor dem ersten Einsatz.
- Schulen Sie nach Gruppen und an Fällen. Nehmen Sie die Schwerpunkte der Tabelle als Gerüst und arbeiten Sie mit Beispielen aus dem eigenen Haus. Beteiligen Sie den Datenschutzbeauftragten, wenn es einen gibt.
- Dokumentieren Sie jeden Termin. Halten Sie Teilnahmeliste, Inhalte und Unterlagen an einem Ort fest und vermerken Sie, wer nachholen muss.
- Frischen Sie auf und werten Sie aus. Legen Sie Jahrestermin und Anlässe fest und prüfen Sie nach Vorfällen, ob Inhalte oder Abstände zu ändern sind.
Meine Empfehlung
Ich würde die Verpflichtung am ersten Arbeitstag unterschreiben lassen, in den ersten Wochen eine Einführung in die Hausregeln folgen lassen und das ganze Team einmal im Jahr an Fällen aus dem eigenen Haus schulen. Kürzere Abstände sind angezeigt nach einem Vorfall durch fehlendes Wissen, bei neuen Werkzeugen oder stark veränderten Teams. Bei kirchlichen Trägern gehen die Vorgaben des Bistums (KDG-DVO) oder der Landeskirche vor.
Rechtlich ungeklärt
Dass der Träger Mitarbeitende unterrichten muss, ist die Auffassung der Aufsichtsbehörden, nicht der Wortlaut der DSGVO. Urteile, die eine Schulung als solche zur Pflicht erklären, habe ich nicht gefunden.
Eine Schulung für Ihr Team biete ich ab 750 € je halbem Tag an, mit Unterlagen und Teilnahmenachweis.
Stand: 21. Oktober 2026. Geprüft sind die DSGVO in der konsolidierten Fassung vom 4. Mai 2016 (eine Änderung ist dort nicht verzeichnet), KDG und KDG-DVO in den Lesefassungen des Bistums Hildesheim vom 20. Januar 2026 (in Kraft seit 1. März 2026; das KDG dort seit 1. August 2026 geändert durch das 2. KDG-Änderungsgesetz vom 29. Juni 2026, das nur § 37 Abs. 2 Satz 4 betrifft), die Änderungsverordnung zur KDG-DVO des Bistums Dresden-Meißen im Amtsblatt vom 14. April 2026, das DSG-EKD in der Fassung ab 1. Mai 2025, die ITSVO-EKD sowie BDSG, SGB X und StGB. Die Schulung nach § 2 Abs. 7 KDG-DVO ist nur für diese beiden Bistümer geprüft. Das Kurzpapier Nr. 19 der DSK von 2018 steht weiterhin auf deren Kurzpapier-Seite. Nicht ausgewertet sind Landesdatenschutzrecht für öffentliche Stellen (auch zu Geldbußen gegen sie), landeskirchliche Bestimmungen, die KDG-DVO anderer Bistümer, Tarifverträge, Dienstvereinbarungen und die Mitbestimmung.
Fragen
Ist eine Datenschutzschulung für Mitarbeiter Pflicht?
Eine Schulung schreibt die DSGVO dem Träger nicht vor. Schritte muss er aber unternehmen, damit Mitarbeitende Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4). Katholische Träger müssen nach der KDG-DVO wiederkehrend schulen, soweit ihr Bistum die Novelle von 2026 in Kraft gesetzt hat.
In welchen Abständen muss die Datenschutzschulung wiederholt werden?
Gesetzliche Abstände nennen die geprüften Vorschriften nicht. Katholische Träger müssen bei wesentlichen Änderungen oder neuer Tätigkeit erneut belehren und nach der KDG-DVO wiederkehrend schulen, soweit die Novelle von 2026 in ihrem Bistum gilt. Meine Empfehlung ist ein Jahrestermin mit Anlässen.
Müssen Ehrenamtliche und Praktikanten auch geschult werden?
Nach der DSK gehören Praktikantinnen und Praktikanten und ehrenamtlich Tätige zum Kreis der zu Verpflichtenden und Unterrichteten. Im katholischen Recht zählen Ehrenamtliche sowie Praktikantinnen und Praktikanten zu den Mitarbeitenden, die belehrt und, soweit die Novelle von 2026 gilt, wiederkehrend geschult werden müssen (§ 2 Abs. 1, 3 und 7 KDG-DVO, § 4 Nr. 24 KDG). Maßgeblich ist nach Art. 29 DSGVO, ob jemand dem Träger unterstellt ist und Zugang zu personenbezogenen Daten hat.
Reicht es, wenn Mitarbeiter eine Verpflichtungserklärung unterschreiben?
Nach der DSK gehört zur Verpflichtung eine Belehrung über die Pflichten. Die DSK empfiehlt, in Abständen an sie zu erinnern, durch Schulungen oder schriftliche Hinweise. Katholische Träger müssen nach der KDG-DVO zusätzlich schulen, soweit ihr Bistum die Novelle von 2026 in Kraft gesetzt hat; die Unterschrift allein genügt dort nicht.
Muss die Datenschutzschulung ein Zertifikat oder eine Präsenzveranstaltung sein?
Nein, ein Zertifikat oder ein bestimmtes Format verlangt keine der geprüften Vorschriften; die KDG-DVO spricht von geeigneten Maßnahmen (§ 2 Abs. 2). Eine Online-Schulung kann aus meiner Sicht genügen, wenn sie zu den Aufgaben passt und dokumentiert wird.
Muss der Datenschutzbeauftragte die Schulung durchführen?
Nach der DSGVO überwacht der Datenschutzbeauftragte Sensibilisierung und Schulung (Art. 39 Abs. 1 Buchst. b); durchführen muss er sie dem Wortlaut nach nicht. KDG und DSG-EKD weisen ihm die Aufgabe zu, die Tätigen mit den Vorschriften vertraut zu machen oder zu schulen (jeweils § 38). Besteht keine Pflicht, einen Datenschutzbeauftragten zu benennen, muss der Träger diese Aufgaben anders sicherstellen (§ 36 Abs. 8 KDG; § 36 Abs. 6 DSG-EKD).
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 5, 9, 24, 28, 29, 32, 39, 47, 70 und 83, konsolidierte Fassung vom 4. Mai 2016. EUR-Lex, abgerufen am 20. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 11. April 2024, C-741/21 (juris), Randnummern 47 bis 54 und Tenor Nr. 2. EUR-Lex, abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz: Strafgesetzbuch, § 203. gesetze-im-internet.de, abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz: Bundesdatenschutzgesetz, § 1, § 2, § 43, § 45 und § 53. § 53 BDSG, § 45 BDSG, § 43 BDSG, § 2 BDSG und § 1 BDSG bei gesetze-im-internet.de, abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz: Zehntes Buch Sozialgesetzbuch, § 67 und § 78. § 67 SGB X und § 78 SGB X bei gesetze-im-internet.de, abgerufen am 20. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), in der Fassung des Beschlusses vom 20. November 2017, geändert durch Beschluss vom 24. November 2025, § 4, § 5, § 7, § 26, § 30, § 36, § 38, § 51 und § 56, Lesefassung des Bistums Hildesheim vom 20. Januar 2026, in Kraft seit 1. März 2026. PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026. Änderung zum 1. August 2026 (§ 37 Abs. 2 Satz 4): 2. KDG-Änderungsgesetz vom 29. Juni 2026, Kirchlicher Anzeiger für das Bistum Hildesheim Nr. 6/2026 vom 15. Juli 2026, S. 221, PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Verband der Diözesen Deutschlands: Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO), in der Fassung des Beschlusses vom 19. November 2018, geändert durch Beschluss vom 24. November 2025, § 2 und § 3, Lesefassung des Bistums Hildesheim vom 20. Januar 2026, in Kraft seit 1. März 2026. PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Bistum Dresden-Meißen: Kirchliches Amtsblatt Nr. 6 vom 14. April 2026, Nr. 27, Verordnung zur Änderung der KDG-DVO (Art. 1 Nr. 3 Buchst. k: § 2 Abs. 7; Art. 2: Inkrafttreten am 1. März 2026). Amtsblatt des Bistums Dresden-Meißen, abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025 (ABl. EKD 2025 S. 1), in der ab 1. Mai 2025 geltenden Fassung, § 5, § 26, § 27, § 36, § 38, § 45 und § 54. kirchenrecht-ekd.de, abgerufen am 20. Oktober 2026.
- Evangelische Kirche in Deutschland: Verordnung zur Sicherheit der Informationstechnik (IT-Sicherheitsverordnung, ITSVO-EKD) vom 29. Mai 2015 (ABl. EKD S. 146), § 1 und § 4. kirchenrecht-ekd.de, abgerufen am 21. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Kurzpapier Nr. 19, Unterrichtung und Verpflichtung von Beschäftigten auf Beachtung der datenschutzrechtlichen Anforderungen nach der DS-GVO, Stand 29. Mai 2018. datenschutzkonferenz-online.de, abgerufen am 20. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Tätigkeitsbericht Datenschutz 2025, Rechtsstand 31. Dezember 2025, Kap. 4.1.5 (S. 158 bis 160), Kap. 4.3.1 (S. 166 f.) und Kap. 4.3.2 (S. 168 f.). publikationen.sachsen.de, abgerufen am 20. Oktober 2026.
- Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg: Tätigkeitsbericht Datenschutz 2025, Teil A, Abschnitt II Nr. 9.1 (S. 60 f.), Abschnitt III Nr. 1 (S. 66 f.) und Abschnitt IV Nr. 6 (S. 91 f.). lda.brandenburg.de, abgerufen am 20. Oktober 2026.
- Deutscher Bundestag: Drucksache 18/11936 vom 12. April 2017, Entwurf eines Gesetzes zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen, Begründung S. 21 f. dserver.bundestag.de, abgerufen am 20. Oktober 2026.
- Europäischer Datenschutzausschuss: Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO, Version 2.0, angenommen am 28. März 2023, Randnummer 128. edpb.europa.eu, abgerufen am 20. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
