Das Wichtigste in Kürze
- Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar und regelt, wie Träger Daten von Klientel, Bewohnenden oder Beschäftigten verarbeiten dürfen.
- Welche Gesetze daneben oder an ihrer Stelle gelten, hängt an der Trägerart: das Bundesdatenschutzgesetz (BDSG) bei freien Trägern, Landesrecht und Sozialdatenschutz (SGB X) bei kommunalen Trägern, die Kirchengesetze KDG und DSG-EKD bei Caritas und Diakonie.
- Gesundheitsdaten in Pflege und Eingliederungshilfe sind besondere Kategorien und nur aus gesetzlich genannten Gründen erlaubt.
- Die Leitung verantwortet die Einhaltung und muss sie nachweisen können.
- Der Digital-Omnibus der EU-Kommission vom 19. November 2025 ist für die DSGVO nur ein Vorschlag und nicht in Kraft; die Verordnung gilt unverändert.
Datenschutz-Grundverordnung ist die Verordnung (EU) 2016/679 vom 27. April 2016. Sie schützt natürliche Personen bei der Verarbeitung personenbezogener Daten und regelt den freien Verkehr dieser Daten (Art. 1 Abs. 1). Sie gilt seit dem 25. Mai 2018 unmittelbar in jedem Mitgliedstaat (Art. 99 Abs. 2).
Personenbezogen ist jede Information über eine identifizierte oder identifizierbare Person. Verarbeitung ist jeder Umgang damit, vom Erheben bis zum Löschen (Art. 4 Nr. 1 und 2). Betroffene Personen sind die Menschen, deren Daten verarbeitet werden. Verantwortlich ist der Träger, der über Zwecke und Mittel entscheidet, nicht die einzelne Fachkraft (Art. 4 Nr. 7).
Welches Recht für Ihren Träger gilt
Die Verordnung lässt Mitgliedstaaten und Kirchen Raum für eigene Regeln, etwa bei öffentlichen Aufgaben (Art. 6 Abs. 2 und 3), Gesundheitsdaten (Art. 9 Abs. 2 und 4), Beschäftigtendaten (Art. 88), Bußgeldern gegen öffentliche Stellen (Art. 83 Abs. 7) und Kirchen (Art. 91). Deutschland nutzt das im BDSG, in den Landesgesetzen, im Sozialgesetzbuch und im Kirchenrecht.
| Trägerart | Was gilt | Aufsicht | Fundstelle |
|---|---|---|---|
| Freier Träger (Verein, gGmbH, Stiftung) | DSGVO mit BDSG | Landesbehörde, in Sachsen die Sächsische Datenschutz- und Transparenzbeauftragte | § 1 Abs. 1, § 40 Abs. 1 BDSG; § 14 Abs. 2 des Sächsischen Datenschutzdurchführungsgesetzes (SächsDSDG) |
| Kommunaler Träger (Landkreis, Stadt, Eigenbetrieb, kommunale Gesellschaft) | DSGVO mit Landesdatenschutzgesetz; bei Aufgaben nach dem Sozialgesetzbuch auch SGB X; bei Gesellschaften im Wettbewerb ergänzend BDSG | Landesdatenschutzbeauftragter | Art. 6 Abs. 1 lit. e DSGVO; in Sachsen § 2 Abs. 1 bis 3, § 14 SächsDSDG; § 35 SGB I |
| Katholischer Träger (Caritas und weitere) | KDG anstelle der DSGVO | Diözesandatenschutzbeauftragter | Art. 91 DSGVO; § 3 Abs. 1, § 42 KDG |
| Evangelischer Träger (Diakonie, soweit zugeordnet) | DSG-EKD anstelle der DSGVO | Kirchliche Aufsichtsbehörde der EKD oder der Landeskirche | Art. 91 DSGVO; § 2 Abs. 1, § 39 DSG-EKD |
Das Gesetz über den Kirchlichen Datenschutz (KDG) erfasst den Caritasverband mit Untergliederungen und Fachverbänden sowie sonstige kirchliche Rechtsträger, das Datenschutzgesetz der EKD (DSG-EKD) die zugeordneten diakonischen Dienste, jeweils ohne Rücksicht auf die Rechtsform (§ 3 Abs. 1 KDG, § 2 Abs. 1 DSG-EKD). Beide stützen sich auf Art. 91 DSGVO: Kirchen dürfen umfassende Regeln, die sie bei Inkrafttreten der Verordnung schon angewandt haben, weiter anwenden, wenn diese mit ihr in Einklang gebracht sind. Näheres in den Beiträgen zum KDG und zum DSG-EKD.
Sozialdaten sind Daten, die Leistungsträger und weitere Stellen für ihre Aufgaben nach dem Sozialgesetzbuch verarbeiten (§ 67 Abs. 2 SGB X). Für sie gelten das Zweite Kapitel des Zehnten Buches (SGB X) und die übrigen Bücher abschließend, soweit nicht die DSGVO unmittelbar gilt oder die KI-Verordnung eigene Datenschutzvorschriften enthält (§ 35 Abs. 2 SGB I). Freie Träger, die nicht in § 35 SGB I genannt sind, müssen übermittelte Sozialdaten zweckgebunden verarbeiten und geheim halten (§ 78 Abs. 1 SGB X); mehr im Beitrag zum SGB X.
Wann ist eine Verarbeitung erlaubt?
Jede Verarbeitung muss die Grundsätze des Art. 5 Abs. 1 wahren, etwa Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung und Vertraulichkeit. Der Verantwortliche muss das nachweisen können (Art. 5 Abs. 2, „Rechenschaftspflicht“). Hinzu kommt mindestens eine von sechs Rechtsgrundlagen (Art. 6 Abs. 1): Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse.
Bei freien Trägern liegt der Vertrag mit der betreuten Person nahe (lit. b), bei kommunalen Trägern die öffentliche Aufgabe, die Bundes- oder Landesrecht festlegt (lit. e mit Abs. 3; in Sachsen § 3 SächsDSDG). Eine Einwilligung lässt sich jederzeit widerrufen (Art. 7 Abs. 3); als alleinige Grundlage einer laufenden Betreuung halte ich sie für wenig tragfähig.
Gesundheit, Behinderung, religiöse Überzeugung: besondere Kategorien
Art. 9 Abs. 1 untersagt die Verarbeitung unter anderem von Gesundheitsdaten und von Daten, aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen. Zu den Gesundheitsdaten zählen nach Erwägungsgrund 35 auch Informationen über Krankheiten und Behinderungen. Der Gerichtshof der Europäischen Union (EuGH) legt die Vorschrift weit aus: Es genügt, wenn sich sensible Informationen mittelbar ergeben (Urteil vom 1. August 2022, C-184/20, Rn. 123 bis 128).
Erlaubt ist die Verarbeitung nur bei einer Ausnahme des Art. 9 Abs. 2, für Träger vor allem ausdrückliche Einwilligung (lit. a), Pflichten aus Arbeitsrecht und sozialer Sicherheit (lit. b) und Versorgung im Gesundheits- oder Sozialbereich samt Verwaltung solcher Dienste (lit. h). Lit. b und h verlangen eine Grundlage im Recht der Union oder eines Mitgliedstaats (lit. b auch Kollektivvereinbarung, lit. h auch Vertrag mit einem Angehörigen eines Gesundheitsberufs). Für freie Träger liefert sie § 22 Abs. 1 Nr. 1 BDSG; bei kommunalen Trägern kommt es auf Landesrecht und Sozialgesetzbuch an (§ 1 Abs. 1 BDSG).
Die Kirchengesetze nehmen die bloße Kirchenzugehörigkeit aus den besonderen Kategorien aus (§ 4 Nr. 2 KDG, § 4 Nr. 2 lit. a DSG-EKD), die DSGVO nicht. Wegen der weiten Auslegung des EuGH und weil auch die Datenschutzkonferenz mittelbare Hinweise auf Überzeugungen erfasst (Kurzpapier Nr. 17), würde ich die Konfessionsangabe bei nicht kirchlichen Trägern wie ein besonders geschütztes Datum behandeln; eine Entscheidung dazu ist mir nicht bekannt.
Die Pflichten in DSGVO, KDG und DSG-EKD
| Pflicht | DSGVO | KDG | DSG-EKD |
|---|---|---|---|
| Verzeichnis der Verarbeitungstätigkeiten | Art. 30 | § 31 | § 31 |
| Sicherheit der Verarbeitung | Art. 32 | § 26 | § 27 |
| Auftragsverarbeitung (Dienstleister im Auftrag) | Art. 28 | § 29 | § 30 |
| Datenschutz-Folgenabschätzung | Art. 35 | § 35 | § 34 |
| Meldung und Benachrichtigung bei Datenpannen | Art. 33, 34 | § 33, 34 | § 32, 33 |
| Rechte der betroffenen Personen | Art. 12 bis 22 | § 14 bis 25 | § 16 bis 25a |
Das Verzeichnis nennt je Tätigkeit Zwecke, Datenkategorien, Empfänger und, wenn möglich, Löschfristen (Art. 30 Abs. 1). Die Ausnahme für Einrichtungen unter 250 Beschäftigten greift nicht, wenn die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien betrifft (Abs. 5). Verarbeitet ein Dienstleister im Auftrag, etwa der Anbieter der Fachsoftware, braucht es einen Vertrag nach Art. 28 Abs. 3 (dazu der Beitrag zur Schweigepflicht bei IT, Cloud und KI). Die Datenschutz-Folgenabschätzung prüft vorab Verfahren mit voraussichtlich hohem Risiko, insbesondere bei umfangreicher Verarbeitung besonderer Kategorien (Art. 35 Abs. 1 und 3 lit. b).
Verletzungen des Schutzes personenbezogener Daten sind der Aufsicht nach der DSGVO unverzüglich und möglichst binnen 72 Stunden zu melden, sofern ein Risiko besteht (Art. 33 Abs. 1). Das KDG verlangt eine Begründung bei Meldung nach mehr als 72 Stunden (§ 33), das DSG-EKD die unverzügliche Meldung bei einem nicht unerheblichen Risiko (§ 32); Näheres im Beitrag zur Datenpanne. Auskunft und Kopie: Beitrag zur Klientenakte. Behörden und öffentliche Stellen müssen auf jeden Fall einen Datenschutzbeauftragten benennen, andere Träger bei Kerntätigkeit (Haupttätigkeit) in umfangreicher Verarbeitung besonderer Kategorien (Art. 37 Abs. 1 lit. a und c); weitere Schwellen nennt der Beitrag zur Benennungspflicht.
Pflege, Eingliederungshilfe, Jugendhilfe, Beratung
- Pflege: Diagnosen, Medikation und Pflegedokumentation sind Gesundheitsdaten (Art. 4 Nr. 15).
- Eingliederungshilfe: Behinderungen sind Gesundheitsdaten (Erwägungsgrund 35); übermittelte Sozialdaten sind zweckgebunden (§ 78 SGB X).
- Kinder- und Jugendhilfe, Kita: Bei Diensten freier Träger muss der Datenschutz in entsprechender Weise gewährleistet sein (§ 61 Abs. 3 SGB VIII); bei Kindern hebt Art. 6 Abs. 1 lit. f ihre Interessen hervor.
- Beratung: Fachkräfte mit staatlicher Anerkennung in Sozialarbeit und Sozialpädagogik sowie bestimmte Berater in anerkannten Beratungsstellen unterliegen der Schweigepflicht des § 203 Abs. 1 Nr. 4 und 6 StGB.
Was bei der Leitung liegt
Der Träger muss geeignete technische und organisatorische Maßnahmen umsetzen und nachweisen können, dass die Verarbeitung der Verordnung entspricht (Art. 24 Abs. 1). Das ist Sache der Leitung. Der Datenschutzbeauftragte berät und überwacht, erhält keine Weisungen und berichtet der höchsten Managementebene (Art. 38 Abs. 3, Art. 39 Abs. 1).
Bußgeld und Schadenersatz
Die Verordnung sieht Bußgelder bis 10 Millionen Euro oder, bei Unternehmen, 2 Prozent des weltweiten Jahresumsatzes vor, unter anderem bei Verstößen gegen die Pflichten der Art. 25 bis 39. Bei Verstößen gegen Grundsätze, Rechtsgrundlagen, besondere Kategorien und Betroffenenrechte sind es bis 20 Millionen Euro oder 4 Prozent; maßgeblich ist der höhere Betrag (Art. 83 Abs. 4 und 5). Gegen Behörden und öffentliche Stellen regeln die Mitgliedstaaten, ob Bußgelder verhängt werden (Art. 83 Abs. 7).
Das KDG nennt einen Rahmen bis 1 Million Euro und nimmt öffentlich-rechtlich verfasste kirchliche Stellen aus, soweit sie nicht am Wettbewerb teilnehmen (§ 51 Abs. 5 und 6). Das DSG-EKD erlaubt Bußgelder bis 6 Millionen Euro nur gegen Stellen, die als Unternehmen am Wettbewerb teilnehmen (§ 45 Abs. 1 und 5). Gemeinnützigkeit schützt nicht: Art. 83 kennt dafür keine Ausnahme. Daneben besteht ein Anspruch auf Schadenersatz (Art. 82 Abs. 1). Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber nicht (EuGH, 4. Mai 2023, C-300/21, Tenor Nr. 1 und 2).
Wo die DSGVO endet und anderes beginnt
Die Schweigepflicht nach § 203 StGB bleibt neben dem Datenschutzrecht bestehen (§ 1 Abs. 2 Satz 3 BDSG, § 2 Abs. 3 KDG). Die KI-Verordnung (EU) 2024/1689 berührt die DSGVO nicht, mit Ausnahme ihrer Artikel 4a und 59 (Art. 2 Abs. 7 in der Fassung der Verordnung (EU) 2026/1744; Beitrag zur KI-Verordnung). ISO/IEC 42001 ist eine Norm für KI-Managementsysteme, kein Gesetz (Beitrag zur Norm).
Digital-Omnibus: vorgeschlagen, nicht in Kraft
Die Europäische Kommission hat am 19. November 2025 eine Digital-Omnibus-Verordnung vorgeschlagen (COM(2025) 837 final). Sie würde unter anderem festlegen, dass Angaben für eine Einrichtung nicht personenbezogen sind, die die Person mit hinreichender Wahrscheinlichkeit nicht identifizieren kann (Art. 4 Nr. 1). Verletzungen sollen nur noch bei hohem Risiko, möglichst binnen 96 Stunden und über eine zentrale Anlaufstelle gemeldet werden (Art. 33).
Im Parlament führt das Legislativobservatorium das Verfahren 2025/0360(COD) am 15. Oktober 2026 im Stadium „Awaiting committee decision“ (die Entscheidung des Ausschusses steht aus). Eine Verhandlungsposition des Rates ist nicht veröffentlicht: Die für den 26. Juni 2026 vorgesehene Abstimmung im Ausschuss der Ständigen Vertreter der Mitgliedstaaten, der die Arbeit des Rates vorbereitet, wurde nach Angaben des Parlaments abgesagt (Stand 20. September 2026). Die Ratsseite zur Vereinfachung des EU-Rechts nennt zum Datenteil mit Prüfstand 9. Oktober 2026 ebenfalls keine Position.
Eine Annahme, die nicht trägt
- Die DSGVO betrifft kirchliche Träger nicht. Sie wenden anstelle der DSGVO eigene Gesetze an, die nach Art. 91 Abs. 1 mit der Verordnung in Einklang gebracht sein müssen. Beim EuGH liegen zur kirchlichen Autonomie Schlussanträge vor (C-12/25, 1. Oktober 2026), noch kein Urteil.
Fünf Schritte für die nächsten Wochen
- Stellen Sie die Trägerart fest. Die Tabelle zeigt, welches Recht dann gilt.
- Prüfen Sie Verzeichnis und Dienstleisterverträge. Ich würde je Tätigkeit auch die Rechtsgrundlage vermerken und für jeden Dienstleister einen Vertrag nach Art. 28 Abs. 3 vorhalten.
- Legen Sie Zuständigkeiten fest. Wer nimmt Auskunftsanträge an, wer entscheidet bei Verletzungen, wer spricht mit der Aufsicht?
- Prüfen Sie die Funktion des Datenschutzbeauftragten. Ist die Person benannt, der Aufsicht gemeldet (Art. 37 Abs. 7) und weisungsfrei? Wenn nicht, prüfen Sie die Benennungspflicht.
- Beobachten Sie den Digital-Omnibus. Ändern Sie an Meldewegen und Fristen erst etwas, wenn eine Änderung im Amtsblatt veröffentlicht ist und gilt.
Wer die Funktion nach DSGVO, KDG oder DSG-EKD extern vergeben möchte, findet das Angebot auf der Seite zum externen Datenschutzbeauftragten.
Stand: 15. Oktober 2026. Der DSGVO-Text ist, soweit mir bekannt, unverändert; zu Art. 30 Abs. 5 liegt ein Vorschlag vor (siehe Fragen). Zum Rat sind nur veröffentlichte Seiten geprüft. Das KDG gilt in der Fassung, die der Diözesanbischof für sein Bistum in Kraft gesetzt hat; zitiert ist die Fassung des Bistums Hildesheim vom 20. Januar 2026, in Kraft seit 1. März 2026. Das DSG-EKD ist in der Neufassung vom 15. Januar 2025 zitiert, die seit 1. Mai 2025 gilt. Das Landesrecht ist nur für Sachsen geprüft (Stand 1. Januar 2024).
Fragen zur DSGVO im Träger
Gilt die DSGVO auch für Papierakten?
Ja, wenn die Akten in einem Dateisystem gespeichert sind oder werden sollen, also nach Kriterien zugänglich geordnet sind (Art. 2 Abs. 1, Art. 4 Nr. 6). Eine nach Namen oder Fallnummer abgelegte Klientenakte ist so geordnet und gehört dazu.
Ersetzt das KDG die DSGVO bei Caritas-Trägern?
Für kirchliche Stellen im Sinne von § 3 Abs. 1 KDG gilt das KDG; es stützt sich auf Art. 91 DSGVO. Die Aufsicht führt der Diözesandatenschutzbeauftragte. Das Bistum Hildesheim hat die Neufassung zum 1. März 2026 in Kraft gesetzt; für Ihr Bistum prüfen Sie bitte das dortige Amtsblatt.
Kann ein kommunaler Träger ein Bußgeld bekommen?
Das regeln die Länder (Art. 83 Abs. 7 DSGVO). In Sachsen darf die Aufsicht gegen öffentliche Stellen nur Bußgelder verhängen, soweit diese als Unternehmen am Wettbewerb teilnehmen (§ 19 Abs. 3 SächsDSDG); andere Länder sind nicht geprüft.
Ist die DSGVO schon durch den Digital-Omnibus geändert?
Nein, der Vorschlag der Kommission vom 19. November 2025 ist nicht in Kraft. Im Parlament liegt das Verfahren nach dem Legislativobservatorium am 15. Oktober 2026 noch im Ausschuss; vom Rat ist keine Verhandlungsposition veröffentlicht.
Ändert sich die Pflicht zum Verzeichnis der Verarbeitungstätigkeiten?
Dazu liegt ein eigener Vorschlag vor (COM(2025) 501, „Omnibus IV“): Die Ausnahme in Art. 30 Abs. 5 soll auf kleine Midcap-Unternehmen und Einrichtungen mit weniger als 750 Beschäftigten ausgeweitet werden, sofern die Verarbeitung voraussichtlich kein hohes Risiko mit sich bringt. Der Rat meldet für das Paket eine vorläufige Einigung vom 9. Juni 2026; förmlich beschlossen ist es nicht (EUR-Lex: Verfahren laufend). Den Inhalt der Einigung zu Art. 30 habe ich nicht geprüft; bis zum Inkrafttreten gilt Art. 30 Abs. 5 wie oben beschrieben.
Brauche ich für die Betreuung eine Einwilligung der Klienten?
Nicht in jedem Fall: Vertrag, rechtliche Verpflichtung und die Versorgung im Sozialbereich können die Verarbeitung tragen (Art. 6 Abs. 1, Art. 9 Abs. 2 lit. h); bei lit. h muss Fachpersonal oder eine andere zur Geheimhaltung verpflichtete Person verarbeiten (Art. 9 Abs. 3). Eine Einwilligung ist jederzeit widerruflich (Art. 7 Abs. 3).
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 1, 2, 4 bis 7, 9, 12 bis 22, 24, 28, 30, 32 bis 35, 37 bis 39, 82, 83, 88, 91 und 99, konsolidierte Fassung (CELEX 02016R0679-20160504); Erwägungsgrund 35 nach ABl. L 119 vom 4.5.2016, S. 1. EUR-Lex, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz, § 1, § 2, § 22, § 40. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Erstes Buch Sozialgesetzbuch, § 35; Zehntes Buch Sozialgesetzbuch, § 67 und § 78; Achtes Buch Sozialgesetzbuch, § 61. § 35 SGB I, § 78 SGB X, § 61 SGB VIII auf gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch, § 203 Abs. 1. § 203 StGB auf gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Freistaat Sachsen: Sächsisches Datenschutzdurchführungsgesetz (SächsDSDG) vom 26. April 2018, rechtsbereinigt mit Stand vom 1. Januar 2024, § 2, § 3, § 14, § 19; Behördenname nach der Startseite der Sächsischen Datenschutz- und Transparenzbeauftragten. revosax.sachsen.de und datenschutz.sachsen.de, abgerufen am 15. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 20. November 2017, geändert durch Beschluss vom 24. November 2025, vom Bischof von Hildesheim zum 1. März 2026 in Kraft gesetzt (Hildesheim, 20. Januar 2026), Präambel, § 2 bis 4, § 14 bis 35, § 42, § 51, § 58. PDF des Bistums Hildesheim, abgerufen am 15. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025 (in der ab 1. Mai 2025 geltenden Fassung), Amtsblatt der EKD 2025 Nr. 1, Präambel, § 2, § 4, § 16 bis 34, § 39, § 45. kirchenrecht-ekd.de, abgerufen am 15. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz): Kurzpapier Nr. 17, Besondere Kategorien personenbezogener Daten, Stand 27. März 2018, S. 1. datenschutzkonferenz-online.de, abgerufen am 15. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 1. August 2022, C-184/20 (OT gegen Vyriausioji tarnybinės etikos komisija), Rn. 123 bis 128 und Tenor Nr. 2. EUR-Lex, abgerufen am 15. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 4. Mai 2023, C-300/21 (UI gegen Österreichische Post), Tenor Nr. 1 und 2. EUR-Lex, abgerufen am 15. Oktober 2026.
- Gerichtshof der Europäischen Union: Pressemitteilung Nr. 139/26 vom 1. Oktober 2026 zu den Schlussanträgen der Generalanwältin in der Rechtssache C-12/25 (Bisdom Gent). curia.europa.eu, abgerufen am 15. Oktober 2026.
- Europäische Kommission: Vorschlag COM(2025) 837 final vom 19. November 2025 für eine Digital-Omnibus-Verordnung, Art. 3 Nr. 1 und 8. EUR-Lex, abgerufen am 15. Oktober 2026.
- Europäische Kommission: Vorschlag COM(2025) 501 final vom 21. Mai 2025 („Omnibus IV“, kleine Midcap-Unternehmen), Erwägungsgrund 9. EUR-Lex, abgerufen am 15. Oktober 2026.
- Europäische Union: Verfahrensseiten 2025/0360/COD (Digital-Omnibus) und 2025/0130/COD (Omnibus IV), Status „Ongoing“. EUR-Lex 2025/0360/COD und EUR-Lex 2025/0130/COD, abgerufen am 15. Oktober 2026.
- Europäisches Parlament: Legislative Observatory, Verfahren 2025/0360(COD), Stadium „Awaiting committee decision“. oeil.europarl.europa.eu, abgerufen am 15. Oktober 2026.
- Europäisches Parlament: Legislative Train Schedule, The Digital Omnibus Regulation Proposal, Verfahren 2025/0360(COD), Informationsstand 20. September 2026. europarl.europa.eu, abgerufen am 15. Oktober 2026.
- Rat der Europäischen Union: Simplification of EU rules, Abschnitte „Omnibus IV“ und „Omnibus VII: digital“, Prüfstand 9. Oktober 2026, sowie Pressemitteilung vom 9. Juni 2026 zur vorläufigen Einigung über „Omnibus IV“. consilium.europa.eu und Pressemitteilung, abgerufen am 15. Oktober 2026.
- Europäisches Parlament und Rat: Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24.7.2026, in Kraft seit 27. Juli 2026, Art. 1 Nr. 2 und Art. 4. EUR-Lex, abgerufen am 15. Oktober 2026.
- DIN Media: DIN EN ISO/IEC 42001, Ausgabe August 2026, Titelaufnahme. dinmedia.de, abgerufen am 15. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
