Die Entscheidung in Kürze
- Frage: Dokumentationssoftware für Soziale Arbeit oder Pflege lokal betreiben, als Cloud-Dienst beziehen oder den Wechsel aufschieben?
- Empfehlung: Erst unterschreiben, wenn der Anbieter zehn Punkte schriftlich beantwortet hat. Ob lokal oder Cloud, entscheidet die IT-Leistung des Trägers.
- Rechtlicher Kern: Mit jedem, der im Auftrag des Trägers Daten verarbeitet, braucht der Träger einen Vertrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO), nach Auffassung der Datenschutzkonferenz auch bei Wartung mit Zugriffsmöglichkeit. Fachkräfte mit Berufsgeheimnis müssen zusätzlich dafür sorgen, dass der Anbieter zur Geheimhaltung verpflichtet wird (§ 203 Abs. 4 Strafgesetzbuch, StGB).
- Zeitpunkt: Vor der Unterschrift klärt der Träger die zehn Punkte; die bei hohem Risiko nötige Datenschutz-Folgenabschätzung liegt vor der ersten Übernahme echter Klientendaten vor (Art. 35 Abs. 1 DSGVO).
- Offen: Ob die Vertraulichkeitsklausel eines Standardvertrags die Geheimhaltung nach dem Strafgesetzbuch erfüllt, ist in keiner mir bekannten Gerichtsentscheidung geklärt.
Warum die Wahl der Software bei der Leitung liegt
Was Fachkräfte über Menschen aufschreiben, landet in der Dokumentationssoftware: Pflegeverläufe, Diagnosen, Hilfepläne, Familienverhältnisse, Schulden. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten; ihre Verarbeitung ist grundsätzlich untersagt und nur in gesetzlich genannten Fällen erlaubt (Art. 9 Abs. 1 und 2 DSGVO; § 11 Gesetz über den Kirchlichen Datenschutz, KDG; § 13 Datenschutzgesetz der Evangelischen Kirche in Deutschland, DSG-EKD). Die Prüfpunkte gelten für Pflege, Eingliederungshilfe, Kinder- und Jugendhilfe, Kindertagesbetreuung, Beratung und Schulsozialarbeit.
Verantwortlicher im Sinne der DSGVO ist der Träger, weil er über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7). Auftragsverarbeiter ist der Softwareanbieter, wenn er im Auftrag Daten verarbeitet (Art. 4 Nr. 8). Auch Wartung und Fernwartung mit Zugriffsmöglichkeit auf Daten rechnet die Datenschutzkonferenz (DSK), das Gremium der unabhängigen Datenschutzbehörden von Bund und Ländern, zur Auftragsverarbeitung (Kurzpapier Nr. 13 von 2018, laut DSK-Übersicht „in Überarbeitung“); das DSG-EKD nennt diesen Fall ausdrücklich (§ 30 Abs. 6). Bei einem eigenen Server sollte der Träger deshalb einen Vertrag nach Art. 28 DSGVO schließen, wenn der Hersteller per Fernzugriff auf Daten zugreifen kann.
Träger ohne Kirchenbindung wenden ergänzend das Bundesdatenschutzgesetz (BDSG) an, kommunale Träger nur, soweit kein Landesgesetz den Datenschutz regelt (§ 1 Abs. 1 BDSG). Kirchliche Träger wenden das KDG (katholisch, dazu die Durchführungsverordnung KDG-DVO) oder das DSG-EKD (evangelisch) an.
Für Fachkräfte, die § 203 Abs. 1 StGB nennt, kommt das Strafrecht hinzu, etwa Angehörige von Heilberufen mit staatlich geregelter Ausbildung, staatlich anerkannte Sozialarbeiterinnen und Sozialpädagogen sowie Ehe-, Familien-, Erziehungs-, Jugend- und Suchtberater in einer behördlich anerkannten Beratungsstelle. Sie müssen dafür sorgen, dass ein Dienstleister, dem sie Geheimnisse offenbaren, zur Geheimhaltung verpflichtet wird (§ 203 Abs. 3 und 4 StGB). Übermittelte Sozialdaten darf der Empfänger nur für den Zweck verarbeiten, für den er sie erhalten hat (Zweckbindung, § 78 Zehntes Buch Sozialgesetzbuch, SGB X; dazu der Beitrag zum Sozialdatenschutz bei freien Trägern).
Entscheiden muss die Leitung, weil der Träger als Verantwortlicher auch für den gewählten Anbieter einsteht. Vor der Unterschrift lässt sich nachfragen und verhandeln, danach gilt der Vertrag.
Drei Wege im Vergleich: lokal, Cloud oder Wechsel aufschieben
Verglichen wird, wer den Betrieb leistet, wer auf die Daten zugreifen kann und wie leicht sich die Entscheidung zurücknehmen lässt.
| Option | Was sie bedeutet | Spricht dafür | Spricht dagegen |
|---|---|---|---|
| Lokal betreiben | Die Software läuft auf Servern des Trägers. Der Hersteller liefert Updates und Support, auf Wunsch per Fernzugriff. | Die Daten bleiben im eigenen Netz, solange kein Fernzugriff besteht. Der Träger steuert Rechte, Sicherung und Löschung. | Updates, Sicherung, Zugriffsschutz und Wiederherstellung liegen beim Träger oder einem Dienstleister, der selbst Auftragsverarbeiter ist (Art. 32 DSGVO). Fällt der Server aus, fehlt die Dokumentation. |
| Als Cloud-Dienst beziehen | Der Anbieter betreibt die Software auf eigenen oder gemieteten Servern. Die Teams greifen über das Internet zu. | Betrieb, Updates und Sicherung liegen beim Anbieter, Nachweise lassen sich anfordern. Für den Wechsel gelten grundsätzlich Exportpflichten und Fristen. | Der Anbieter ist Auftragsverarbeiter, mit weiteren Dienstleistern in der Kette. Standort und Zugriffe aus Drittländern (Ländern außerhalb der EU und des Europäischen Wirtschaftsraums, EWR) sind zu klären. Ohne Netz keine Dokumentation. |
| Wechsel aufschieben | Das Altsystem läuft weiter. Der Träger behebt bekannte Mängel bei Rechten, Protokollen und Löschung und wählt später. | Keine Datenübernahme, also auch kein Übernahmerisiko. Zeit für Vertragsprüfung, Folgenabschätzung und Beteiligung der Interessenvertretung. | Bekannte Mängel bleiben zunächst bestehen. Ohne Sicherheitsupdates des Herstellers wird der Nachweis geeigneter Maßnahmen schwer (Art. 32 Abs. 1 DSGVO). Der Bedarf der Teams kann in Messenger ausweichen. |
Zehn Punkte, die vor dem Vertrag schriftlich feststehen
Die Antworten werden Anlage zum Vertrag und kommen in die Akte, weil der Träger die Einhaltung der Vorgaben nachweisen muss (Art. 5 Abs. 2 DSGVO). Die mittlere Spalte nennt, was der Träger verlangen kann; C5 ist ein Kriterienkatalog für Cloud-Dienste, das Datengesetz eine EU-Verordnung.
| Prüfpunkt | Was der Anbieter schriftlich zusagt oder belegt | Fundstelle |
|---|---|---|
| 1. Rolle und Vertrag | Anbieter und jeder Dienstleister, der im Auftrag Daten verarbeitet oder bei Wartung und Fernwartung auf Daten zugreifen kann (so die DSK), sind als Auftragsverarbeiter eingebunden, mit Vertrag und gesetzlichem Mindestinhalt. Eigene Zwecke des Anbieters sind ausgeschlossen. | Art. 28 Abs. 1, 3, 9 und 10 DSGVO; § 29 KDG; § 30 DSG-EKD |
| 2. Berufsgeheimnis | Anbieter, Beschäftigte und Unterauftragnehmer sind ausdrücklich zur Geheimhaltung verpflichtet, mit Hinweis auf die Strafbarkeit. Der Zugang bleibt auf das Erforderliche begrenzt. | § 203 Abs. 3 und 4 StGB |
| 3. Weitere Dienstleister | Vollständige Liste mit Name, Anschrift und Verarbeitungsort. Änderungen kommen vorab, mit Einspruchsmöglichkeit. Die Pflichten gelten in der ganzen Kette. | Art. 28 Abs. 2 und 4 DSGVO; § 29 Abs. 2 und 5 KDG; § 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD (Bedingungen im Vertrag); Europäischer Datenschutzausschuss (EDSA), Stellungnahme 22/2024, Rn. 31 |
| 4. Standort und Drittlandzugriff | Verarbeitungsort der Daten und Sicherungskopien. Angabe, ob Support oder Administration aus einem Drittland zugreifen kann. Rechtsgrundlage jeder Übermittlung. | Art. 44 bis 46 DSGVO; § 40 KDG; § 10 DSG-EKD; § 80 Abs. 2 SGB X (soweit anwendbar) |
| 5. Rollen und Rechte | Rechte nach Einrichtung, Berufsgruppe und Klient vergebbar, vom Träger selbst. Voreingestellt sieht niemand mehr als nötig. Notfallzugriff nur mit Begründung. | Art. 25 Abs. 2 DSGVO; § 22 Abs. 2 Nr. 5 BDSG; § 27 Abs. 2 KDG; § 28 Abs. 2 DSG-EKD; § 6 Abs. 2 Buchst. c und j KDG-DVO |
| 6. Protokollierung | Protokoll, wer Daten wann eingegeben, verändert oder entfernt hat. Träger und Datenschutzbeauftragter können es auswerten. Aufbewahrung des Protokolls ist geregelt. | § 22 Abs. 2 Nr. 2 BDSG; Art. 32 DSGVO; § 26 KDG; § 27 DSG-EKD; § 6 Abs. 2 Buchst. f KDG-DVO |
| 7. Löschen, Sperren, Auskunft | Aufbewahrungsfristen je Aktenart hinterlegbar, Löschung nach Fristablauf, Umgang mit Sicherungskopien beschrieben. Datensätze lassen sich sperren (in der Verarbeitung einschränken), eine Akte als Kopie exportieren. | Art. 5 Abs. 1 Buchst. e, Art. 15 Abs. 3, Art. 17, 18 DSGVO; §§ 17, 19, 20 KDG; §§ 19, 21, 22 DSG-EKD |
| 8. Sicherheit und Datenpannen | Maßnahmen wie Verschlüsselung, Sicherung und Wiederherstellung sind beschrieben. Datenpannen meldet der Anbieter unverzüglich dem Träger. Cloud-Dienste für Leistungserbringer nach dem Fünften Buch Sozialgesetzbuch (SGB V): aktuelles C5-Testat oder gleichwertiger Nachweis nach der C5-Gleichwertigkeitsverordnung. | Art. 32, Art. 33 Abs. 2 DSGVO; § 26, § 33 Abs. 2 KDG; § 27, § 30 Abs. 3 Satz 2 Nr. 8 DSG-EKD; § 393 SGB V |
| 9. Ausstieg und Datenübernahme | Export aller Daten in strukturiertem, maschinenlesbarem Format. Kündigungsfrist, Übergangszeit und Abruffrist festgelegt. Nach Vertragsende Löschung oder Rückgabe, bestätigt. | Art. 28 Abs. 3 Buchst. g DSGVO; Art. 25 und 30 Datengesetz; § 29 Abs. 4 Buchst. g KDG; § 30 Abs. 3 Satz 2 Nr. 10 DSG-EKD; § 18 Abs. 3 KDG-DVO |
| 10. KI-Funktionen | Ab Werk ausgeschaltet, je Nutzergruppe schaltbar, vor Updates angekündigt, mit Nennung weiterer Anbieter, die Texte verarbeiten. Die Prüffragen stehen im Beitrag zu KI-Funktionen in der Fachsoftware. | Art. 25 Abs. 2 DSGVO; § 27 Abs. 2 KDG; § 28 Abs. 2 DSG-EKD |
Vertrag und Geheimhaltung (Punkte 1 bis 3)
Den Träger bindet der Vertrag zur Auftragsverarbeitung; die Verpflichtung nach § 203 Abs. 4 StGB betrifft dagegen die einzelne Fachkraft. Gibt der Anbieter ein Geheimnis unbefugt weiter, ist er strafbar; die Fachkraft ist es ebenfalls, wenn sie nicht dafür gesorgt hat, dass er zur Geheimhaltung verpflichtet wurde (§ 203 Abs. 4 Satz 1 und Satz 2 Nr. 1 StGB). Ob die Vertraulichkeitszusage nach Art. 28 Abs. 3 Buchst. b DSGVO diese Verpflichtung ersetzt, ist in keiner mir bekannten Gerichtsentscheidung geklärt. Ich würde die Geheimhaltung deshalb ausdrücklich in Textform vereinbaren; wer erfasst ist und welche Inhalte nötig sind, nennt der Beitrag zur Schweigepflicht bei IT, Cloud und KI.
Weitere Dienstleister darf der Anbieter nur mit Genehmigung des Trägers einsetzen, im Einzelfall oder allgemein mit Mitteilung jeder Änderung und Einspruchsmöglichkeit (Art. 28 Abs. 2 DSGVO; § 29 Abs. 2 KDG). Nach dem DSG-EKD muss der Vertrag nur die Bedingungen von Unterauftragsverhältnissen festlegen (§ 30 Abs. 3 Satz 2 Nr. 6); evangelische Träger sollten Mitteilung und Einspruch deshalb vertraglich vereinbaren.
Standort und Zugriff aus Drittländern (Punkt 4)
Serverstandorte sagen wenig, wenn der Support aus einem Drittland zugreifen kann. Fernzugriff gilt nach dem EDSA, dem Gremium der Aufsichtsbehörden der EU, unter Umständen selbst als Übermittlung (Stellungnahme 22/2024, Rn. 75 und 89).
Zulässig ist eine Übermittlung in ein Drittland, wenn ein Angemessenheitsbeschluss der Kommission vorliegt (die Feststellung, dass das Land ein angemessenes Schutzniveau bietet) oder geeignete Garantien bestehen. Garantien sind etwa die Standarddatenschutzklauseln der Kommission; zudem müssen den Betroffenen durchsetzbare Rechte zur Verfügung stehen (Art. 45 und 46 DSGVO; § 40 KDG; § 10 DSG-EKD). Bei Garantien lässt sich der Träger die Unterlagen zum Übermittlungsgrund vorlegen (EDSA, Rn. 90).
Für die USA besteht ein Angemessenheitsbeschluss für Organisationen auf der Datenschutzrahmen-Liste des US-Handelsministeriums (Durchführungsbeschluss (EU) 2023/1795, Art. 1). Vor dem Gericht der Europäischen Union scheiterte eine Klage dagegen am 3. September 2025 (T-553/23); das Rechtsmittel (C-703/25 P, Latombe/Kommission) soll den Beschluss für nichtig erklären lassen. Mir ist bis zum 21. Oktober 2026 kein Urteil bekannt.
Bei Sozialdaten gilt zusätzlich § 80 SGB X. Erteilt werden darf der Auftrag nur, wenn die Verarbeitung im Inland, in der EU, im EWR, in der Schweiz oder in einem Drittstaat mit Angemessenheitsbeschluss erfolgt (Abs. 2); er ist der Rechts- oder Fachaufsichtsbehörde, die den Verantwortlichen beaufsichtigt, anzuzeigen (Abs. 1). Private Dienstleister kommen nur bei sonst drohenden Störungen im Betriebsablauf oder erheblich kostengünstigerer Erledigung in Betracht (Abs. 3); für Prüfung und Wartung mit möglichem Zugriff auf Sozialdaten gilt das nicht (Abs. 5). Angesprochen sind Verantwortliche mit Aufsichtsbehörde, vor allem Leistungsträger, also die für Sozialleistungen zuständigen Stellen wie ein Jugendamt (§ 12 Erstes Buch Sozialgesetzbuch). Ob § 80 SGB X auch für freie Träger gilt, die Sozialdaten nur übermittelt bekommen, ist mir nicht bekannt; Leistungsträger und Datenschutzbeauftragter beantworten das vor dem Vertrag.
Leistungserbringer im Sinne des Vierten Kapitels des SGB V (zum Beispiel Arztpraxen, Krankenhäuser und Pflegedienste mit häuslicher Krankenpflege nach § 132a) dürfen Sozial- und Gesundheitsdaten im Cloud-Dienst nur verarbeiten, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der EU, im EWR, in der Schweiz oder in einem Drittstaat mit Angemessenheitsbeschluss erfolgt. Hinzu kommen eine Niederlassung der datenverarbeitenden Stelle im Inland, angemessene Sicherheitsmaßnahmen, ein aktuelles C5-Testat und die Umsetzung der im Prüfbericht genannten Kundenkriterien (§ 393 Abs. 2 und 3 SGB V). Den C5-Kriterienkatalog gibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) heraus. Seit dem 1. Juli 2025 gilt grundsätzlich ein Testat vom Typ 2 (mit Wirksamkeitsprüfung im Prüfungszeitraum) als aktuell (Abs. 4). Welche anderen Standards gleichwertig sind, regelt die C5-Gleichwertigkeitsverordnung; sie nennt unter anderem ISO/IEC 27001, verlangt aber einen Maßnahmenplan zum C5-Testat (§ 1 der Verordnung).
Rollen, Rechte und Protokolle (Punkte 5 und 6)
Als Schutzmaßnahmen bei Gesundheitsdaten nennt das BDSG Zugangsbeschränkung und nachträgliche Eingabekontrolle (§ 22 Abs. 2 Nr. 2 und 5 BDSG). Für katholische Träger konkretisiert die KDG-DVO die Anforderungen: grundsätzlich Eingabekontrolle über mindestens sechs Monate (§ 6 Abs. 2 Buchst. f), je nach Risikoanalyse Exit-Strategie vor der Nutzung eines Cloud-Dienstes (§ 18 Abs. 3), Fernwartung nur auf Veranlassung des Auftraggebers, über sichere Verbindungen und mit Protokoll (§ 22 Abs. 5). Für evangelische Träger verweist § 27 Abs. 6 DSG-EKD für das Nähere zur IT-Sicherheit auf eine Rechtsverordnung des Rates der EKD. Wie weit die Auskunft über Zugriffe reicht, beschreibt der Beitrag zur Auskunft und Kopie aus der Klientenakte.
Löschen, Sperren und Ausstieg (Punkte 7 und 9)
Daten sind zu löschen, wenn sie für den Zweck nicht mehr notwendig sind, es sei denn, eine rechtliche Verpflichtung verlangt die weitere Speicherung (Art. 17 Abs. 1 Buchst. a und Abs. 3 Buchst. b DSGVO). Fristen folgen den Vorgaben des Arbeitsfelds und gehören in ein Löschkonzept des Trägers. Sperren heißt Einschränkung der Verarbeitung: Gespeichert bleiben die Daten, werden aber markiert und nur noch eingeschränkt verarbeitet (Art. 4 Nr. 3 und Art. 18 DSGVO; § 20 KDG; § 22 DSG-EKD).
Ist die Software ein Cloud-Dienst im Sinne des Datengesetzes (Verordnung (EU) 2023/2854, auch Software als Dienst, Erwägungsgrund 81), muss der Vertrag den Wechsel regeln: Kündigungsfrist höchstens zwei Monate, Übergangszeit höchstens 30 Kalendertage, Datenabruf mindestens 30 Kalendertage (Art. 25 Abs. 2 Buchst. a, d und g). Ist die Übergangszeit technisch nicht einzuhalten, sind bis zu sieben Monate möglich; der Kunde kann sie einmal verlängern (Art. 25 Abs. 4 und 5). Bis zum 12. Januar 2027 darf der Anbieter ermäßigte Wechselentgelte erheben, die seine Kosten für den Wechsel nicht übersteigen; danach sind sie verboten (Art. 29 Abs. 1 bis 3).
Was der Träger vor dem Start selbst vorbereitet
Ins Verzeichnis von Verarbeitungstätigkeiten gehört jeder Zweck, den die Software erfüllt (Art. 30 Abs. 1 DSGVO); den Aufbau zeigt der Beitrag zum Verarbeitungsverzeichnis.
Datenschutz-Folgenabschätzung heißt die schriftliche Bewertung vorab, welche Risiken eine Verarbeitung für die betroffenen Menschen hat und wie sie sich senken lassen. Nötig ist sie insbesondere bei umfangreicher Verarbeitung besonderer Kategorien (Art. 35 Abs. 1, 3 Buchst. b und Abs. 7 DSGVO; § 35 Abs. 4 KDG; § 34 Abs. 3 DSG-EKD). Frühzeitig holt der Träger den Datenschutzbeauftragten dazu (Art. 38 Abs. 1, Art. 35 Abs. 2), führt die Abschätzung aber selbst durch.
Zu klären ist, ob die Verarbeitung umfangreich ist. Nach der Liste der DSK (Version 1.1 vom 17. Oktober 2018) zählt dazu die umfangreiche Verarbeitung von Daten unter Sozial- oder Berufsgeheimnis (Nr. 3, Einsatzfeld: Träger großer sozialer Einrichtungen); kirchliche Aufsichten sollen eigene Listen veröffentlichen (§ 35 Abs. 5 KDG; § 34 Abs. 5 DSG-EKD). Erwägungsgrund 91 nennt als Beispiel einer nicht umfangreichen Verarbeitung die Verarbeitung von Daten von Patienten oder Mandanten durch einen einzelnen Arzt, sonstigen Angehörigen eines Gesundheitsberufs oder Rechtsanwalt. Zahlen für „umfangreich“ nennt kein Gesetz.
Zur Mitbestimmung: Betriebsräte bestimmen mit, wenn eine technische Einrichtung dazu bestimmt ist, Verhalten oder Leistung der Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz, BetrVG). Auf eine Überwachungsabsicht kommt es nicht an; erforderlich ist grundsätzlich, dass sich die Daten einzelnen Beschäftigten zuordnen lassen, etwa bei protokollierten Eingaben (Bundesarbeitsgericht, Beschluss vom 16. Juli 2024, 1 ABR 16/23, Rn. 25 und 30). Bei kirchlichen Trägern gilt statt des BetrVG das Mitarbeitervertretungsrecht, bei kommunalen Trägern öffentlichen Rechts das Personalvertretungsrecht; die Unterschiede ordnet der Beitrag zur Mitbestimmung bei der KI-Einführung ein.
Empfehlung: erst die zehn Antworten, dann die Wahl zwischen lokal und Cloud
Meine Empfehlung
Ich halte es für richtig, den Vertrag erst zu unterschreiben, wenn der Anbieter die zehn Punkte schriftlich beantwortet hat. Danach entscheidet die eigene IT-Leistung des Trägers über die Betriebsform. Fehlt eine IT, die Updates, Sicherung und Zugriffsschutz verlässlich leistet, halte ich einen Cloud-Dienst mit Verarbeitung im Inland oder in der EU und belegten Maßnahmen für tragfähiger als einen selbst betriebenen Server. Mit eigener IT kann der lokale Betrieb überzeugen, weil weniger Dienstleister Zugriff haben. Leistungsträger wie ein Jugendamt prüfen vorher, ob § 80 SGB X einen privaten Anbieter zulässt.
Ich würde den Wechsel aufschieben, wenn der Anbieter Standort, weitere Dienstleister, die Verpflichtung nach § 203 Abs. 4 StGB oder den Datenexport nicht schriftlich zusagt oder die Datenübernahme nicht an Testdaten gezeigt hat.
Beschlussvorschlag für die Leitungsrunde
- Ausgewählt wird die Dokumentationssoftware erst, wenn der Anbieter die zehn Prüfpunkte schriftlich beantwortet hat; die Antworten werden Anlage zum Vertrag.
- Vor der Unterschrift bewertet der Datenschutzbeauftragte die Antworten. Ob vor der ersten Übernahme echter Daten eine Datenschutz-Folgenabschätzung nötig ist, entscheidet die Geschäftsführung nach seinem Rat.
- Für die Verpflichtung von Anbieter, Beschäftigten und Unterauftragnehmern zur Geheimhaltung in Textform sorgt die Geschäftsführung und informiert die Fachkräfte mit Berufsgeheimnis.
- Die zuständige Beschäftigtenvertretung wird, soweit vorhanden, vor der Erprobung mit Testdaten beteiligt.
- Erprobt wird die Datenübernahme mit fiktiven Testdaten. Gekündigt wird das Altsystem erst, wenn die Übernahme der echten Daten geprüft ist; die Löschbestätigung des alten Anbieters wird für das Vertragsende vereinbart.
Grenzen des Vergleichs
Offen bleibt die fachliche Auswahl nach Funktionen und Arbeitsfeld; Preis, Laufzeit und Haftung regelt der Vertrag. Ungeklärt oder nicht geprüft sind:
- Ob die Vertraulichkeitszusage im Auftragsverarbeitungsvertrag die Verpflichtung nach § 203 Abs. 4 StGB erfüllt.
- Ob § 80 SGB X für freie Träger gilt, die übermittelte Sozialdaten zweckgebunden verarbeiten.
- Ob sich die Wechselregeln des Datengesetzes ändern. Am 19. November 2025 hat die Kommission eine Änderung vorgeschlagen (COM(2025) 837); beschlossen ist nichts, am 21. Oktober 2026 liegt der Vorschlag laut Verfahrensregister des Europäischen Parlaments im Ausschuss. Vorgesehen sind Sonderregeln für zugeschnittene Dienste und für kleine und mittlere Anbieter sowie kleine Midcap-Unternehmen (unter 750 Beschäftigte, bis 150 Millionen Euro Umsatz oder 129 Millionen Euro Bilanzsumme) bei Verträgen bis einschließlich 12. September 2025 sowie Sanktionen bei vorzeitiger Kündigung befristeter Verträge (Art. 31 neu).
Vor der Unterschrift kann ein externer Datenschutzbeauftragter die Antworten des Anbieters bewerten und den Träger bei der Folgenabschätzung beraten (Art. 39 Abs. 1 Buchst. a bis c DSGVO).
Stand: 21. Oktober 2026. Geprüft wurden die zitierten staatlichen Vorschriften am amtlichen Wortlaut, das KDG in der Fassung nach dem Beschluss vom 24. November 2025 und nach dem 2. KDG-Änderungsgesetz, das jedes Bistum selbst in Kraft setzt (Augsburg, Dresden-Meißen und Hildesheim jeweils zum 1. August 2026; es ändert nur § 37 Abs. 2 Satz 4), die KDG-DVO in der Fassung des Bistums Hildesheim vom 20. Januar 2026 und das DSG-EKD in der Neufassung vom 15. Januar 2025. Nicht für jede Diözese geprüft ist das Inkrafttreten der kirchlichen Fassungen. Nicht festgestellt werden konnte der Ausgang des Rechtsmittels C-703/25 P. Landesrecht für kommunale Träger, landeskirchliche Regelungen und die Rechtsverordnung der EKD zur IT-Sicherheit wurden nicht geprüft.
Fragen zur Auswahl von Dokumentationssoftware
Braucht eine Software für die Pflegedokumentation einen Vertrag zur Auftragsverarbeitung?
Ja, wenn der Anbieter oder ein Dienstleister im Auftrag Daten verarbeitet (Art. 28 DSGVO). Die DSK rechnet dazu auch die Wartung mit Zugriffsmöglichkeit (Kurzpapier Nr. 13). Fachkräfte mit Berufsgeheimnis brauchen zusätzlich die Verpflichtung des Anbieters zur Geheimhaltung nach § 203 Abs. 4 StGB.
Darf die Dokumentation von Klientinnen und Klienten in der Cloud liegen?
Cloud-Dienste verbietet das Datenschutzrecht grundsätzlich nicht, verlangt aber Auftragsverarbeitung, Geheimhaltung und einen geklärten Standort. Leistungserbringer im Sinne des Vierten Kapitels des SGB V dürfen Sozial- und Gesundheitsdaten im Cloud-Dienst nur verarbeiten, wenn der Dienst die Standortregeln einhält, die datenverarbeitende Stelle eine Niederlassung im Inland hat und ein aktuelles C5-Testat oder ein gleichwertiger Nachweis nach der C5-Gleichwertigkeitsverordnung vorliegt (§ 393 Abs. 2 bis 4 SGB V).
Braucht der Träger für eine neue Dokumentationssoftware eine Datenschutz-Folgenabschätzung?
Bei umfangreicher Verarbeitung von Gesundheitsdaten oder Daten unter Berufs- oder Sozialgeheimnis liegt sie nahe (Art. 35 Abs. 3 Buchst. b DSGVO; Nr. 3 der DSK-Liste). Was „umfangreich“ ist, nennt kein Gesetz in Zahlen. Kirchliche Träger prüfen zusätzlich die Listen ihrer Aufsicht; die katholische und die evangelische Liste von 2018 nennen denselben Fall (siehe Datenschutz-Folgenabschätzung für KI-Werkzeuge). Dazu berät der Datenschutzbeauftragte, vorliegen muss die Abschätzung vor dem Start.
Wie kommt der Träger bei einem Anbieterwechsel an seine Daten?
Nach Art. 28 Abs. 3 Buchst. g DSGVO muss der Vertrag vorsehen, dass der Anbieter die Daten nach Vertragsende nach Wahl des Trägers löscht oder zurückgibt. Bei Cloud-Diensten im Sinne des Datengesetzes kommen Fristen für Kündigung, Übergang und Datenabruf hinzu (Art. 25 Abs. 2).
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4, 5, 9, 15, 17, 18, 25, 28, 30, 32, 33, 35, 38, 39, 44 bis 46 und Erwägungsgrund 91. EUR-Lex, abgerufen am 20. Oktober 2026.
- Europäische Union: Verordnung (EU) 2023/2854 (Datengesetz, Data Act), Art. 25, 29, 30, 31 und Erwägungsgrund 81. EUR-Lex, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 über die Angemessenheit des Schutzniveaus nach dem Datenschutzrahmen EU-USA, Art. 1. EUR-Lex, abgerufen am 20. Oktober 2026.
- Gericht der Europäischen Union: Urteil vom 3. September 2025, T-553/23, Latombe/Kommission, Tenor. EUR-Lex, abgerufen am 21. Oktober 2026.
- Gerichtshof der Europäischen Union: Rechtsmittel C-703/25 P, Latombe/Kommission, eingelegt am 31. Oktober 2025 gegen das Urteil des Gerichts vom 3. September 2025, T-553/23, ABl. C/2025/6610 vom 22. Dezember 2025. EUR-Lex, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Vorschlag für eine Digital-Omnibus-Verordnung, COM(2025) 837 final vom 19. November 2025, Artikel 1 Nr. 15 (Art. 31 Datengesetz). EUR-Lex, abgerufen am 20. Oktober 2026. Verfahrensstand: Legislative Observatory des Europäischen Parlaments, Verfahren 2025/0360(COD), abgerufen am 21. Oktober 2026.
- Europäische Kommission: Empfehlung (EU) 2025/1099 vom 21. Mai 2025 zur Definition kleiner Midcap-Unternehmen, Anhang Nr. 2. EUR-Lex, abgerufen am 21. Oktober 2026.
- Europäischer Datenschutzausschuss: Stellungnahme 22/2024 zu bestimmten Pflichten aus der Inanspruchnahme von Auftragsverarbeitern und Unterauftragsverarbeitern, angenommen am 7. Oktober 2024, Rn. 31, 75, 89 und 90. PDF des EDSA (englisch), abgerufen am 20. Oktober 2026.
- Datenschutzkonferenz (DSK): Kurzpapier Nr. 13, Auftragsverarbeitung, Art. 28 DS-GVO, Stand 17. Dezember 2018, Abschnitt „Wartung und Fernzugriffe“. PDF der DSK, abgerufen am 20. Oktober 2026. Die Übersicht der DSK führt das Kurzpapier als „in Überarbeitung“: Kurzpapiere der DSK, abgerufen am 21. Oktober 2026.
- Datenschutzkonferenz (DSK): Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist, Version 1.1 vom 17. Oktober 2018, Nr. 3. PDF der DSK, abgerufen am 20. Oktober 2026.
- Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschland: Liste von Verarbeitungsvorgängen nach § 35 Abs. 5 KDG, Beschluss vom 26. Juli 2018, Nr. 1. Liste als PDF, abgerufen am 21. Oktober 2026. Der Beauftragte für den Datenschutz der EKD: Liste von Verarbeitungsvorgängen für eine Datenschutz-Folgenabschätzung, Version 1.0, Stand 28. November 2018, Nr. 2. Liste als PDF, abgerufen am 21. Oktober 2026.
- Datenschutzkonferenz (DSK): Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO, Abschnitt 1. PDF der DSK, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: § 203 Strafgesetzbuch, § 22 Bundesdatenschutzgesetz und § 87 Betriebsverfassungsgesetz, abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: § 1 Bundesdatenschutzgesetz, § 130 Betriebsverfassungsgesetz, § 12 und § 35 Erstes Buch Sozialgesetzbuch, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: § 78 und § 80 Zehntes Buch Sozialgesetzbuch, abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: § 393 und § 132a Fünftes Buch Sozialgesetzbuch, abgerufen am 20. Oktober 2026.
- Bundesministerium für Gesundheit: Verordnung über gleichwertige Sicherheitsnachweise zum C5-Standard für Cloud-Computing-Dienste im Gesundheitswesen (C5-Gleichwertigkeitsverordnung, C5GleichwV) vom 19. März 2025, BGBl. 2025 I Nr. 91, § 1. gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 24. November 2025, §§ 11, 17, 19, 20, 26, 27, 29, 33, 35 und 40. PDF des Bistums Trier, abgerufen am 20. Oktober 2026. Änderung zum 1. August 2026 (§ 37 Abs. 2 Satz 4), von jedem Bistum selbst in Kraft gesetzt: 2. KDG-Änderungsgesetz, Amtsblatt Augsburg 8/2026, S. 414 (Augsburg, 9. Juni 2026), Kirchliches Amtsblatt Dresden-Meißen Nr. 10/2026 (Dresden, 5. Juni 2026) und Kirchlicher Anzeiger Hildesheim Nr. 6/2026, S. 221 (Hildesheim, 29. Juni 2026), abgerufen am 21. Oktober 2026.
- Verband der Diözesen Deutschlands: Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO) in der Fassung des Beschlusses vom 24. November 2025, §§ 6, 18 und 22, in der Veröffentlichung des Bistums Hildesheim vom 20. Januar 2026, in Kraft seit 1. März 2026. PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 10, 13, 19, 21, 22, 27, 28, 30 und 34. Kirchenrecht Online (PDF), abgerufen am 20. Oktober 2026.
- Bundesarbeitsgericht: Beschluss vom 16. Juli 2024, 1 ABR 16/23, Rn. 25 und 30. bundesarbeitsgericht.de, abgerufen am 20. Oktober 2026.
- Bundesamt für Sicherheit in der Informationstechnik: Kriterienkatalog Cloud Computing C5. bsi.bund.de, abgerufen am 20. Oktober 2026. Berichterstattung vom Typ 1 und Typ 2: C5 Einführung, abgerufen am 21. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
