Das Wichtigste in Kürze
- Vor der Benennung lässt sich das erste Jahr als Plan vereinbaren. Dazu gehören die Erstaufnahme (erste Durchsicht der Unterlagen), ein Jahresplan, ein Termin vor Ort mit Begehung (prüfender Rundgang) und Schulung, Prüfvermerke (Notizen zu jeder Prüfung) und ein Jahresbericht an die Leitung.
- Zuerst ist der Rechtskreis zu klären, also welches Datenschutzrecht gilt: die Datenschutz-Grundverordnung (DSGVO) mit dem Bundesdatenschutzgesetz (BDSG), das katholische Gesetz über den Kirchlichen Datenschutz (KDG) oder das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD). Davon hängen Aufsicht und Meldeweg ab.
- Für Vereine, gemeinnützige GmbHs und private Pflege- oder Assistenzdienste mit Sitz in Sachsen ist die Sächsische Datenschutz- und Transparenzbeauftragte in Dresden zuständig. Für katholische Träger wie die Caritas ist es die katholische Datenschutzaufsicht in Schönebeck (Elbe), für die Diakonie der Beauftragte für den Datenschutz der EKD, wenn der Landesverband die Aufsicht dorthin übertragen hat.
- Bei der Meldung der Benennung liegt die Pflicht beim Träger: Er teilt der Aufsicht die Kontaktdaten des Datenschutzbeauftragten mit und veröffentlicht sie. Alle drei Aufsichten bieten dafür ein Online-Formular.
- Verantwortlich bleibt der Träger. Besteht nach einer Datenpanne, also einer Verletzung des Schutzes personenbezogener Daten, ein Risiko für die Betroffenen, meldet er sie selbst an die Aufsicht, auch wenn der Datenschutzbeauftragte nicht sofort antwortet. Nach DSGVO und KDG sind dafür 72 Stunden vorgesehen, bei späterer Meldung ist die Verzögerung zu begründen.
Externer Datenschutzbeauftragter ist, wer die Aufgaben des Datenschutzbeauftragten nicht als Beschäftigter des Trägers wahrnimmt, sondern auf Grundlage eines Dienstleistungsvertrags (Art. 37 Abs. 6 DSGVO, § 36 Abs. 5 KDG). Im DSG-EKD heißen Datenschutzbeauftragte örtlich Beauftragte für den Datenschutz; sind sie nicht beschäftigt, sind ihre Leistungen vertraglich zu regeln (§ 36 Abs. 5 Satz 2 DSG-EKD).
Ein Datenschutzbeauftragter berät Leitung und Beschäftigte, überwacht die Einhaltung des Datenschutzes, schult die Teams und arbeitet mit der Aufsicht zusammen (Art. 39 Abs. 1 DSGVO, § 38 KDG, § 38 DSG-EKD). Über die Verarbeitung entscheidet er nicht; Verantwortlicher im Sinne des Datenschutzrechts bleibt der Träger, für den Geschäftsführung oder Vorstand handeln. Die Datenschutzaufsicht ist die staatliche oder kirchliche Stelle, die den Datenschutz beim Träger überwacht. Sie kann Auskünfte verlangen und Anordnungen treffen (Art. 58 DSGVO, § 47 KDG, § 44 DSG-EKD).
Wann ein Träger einen Datenschutzbeauftragten benennen muss, hängt von Rechtskreis, Art der Daten und Zahl der damit befassten Personen ab; das beschreibt der Beitrag Datenschutzbeauftragter in sozialen Einrichtungen.
Was je nach Anlass zuerst zählt
| Anlass | Was jetzt zählt | Fundstelle |
|---|---|---|
| Der bisherige Datenschutzbeauftragte hört auf. | Die neue Benennung meldet der Träger der Aufsicht; die sächsische und die katholische Aufsicht nehmen auch Änderung und Ende einer Benennung entgegen. Für die Nachfolge zählen die bisherigen Unterlagen und die Liste offener Punkte. | Art. 37 Abs. 7 DSGVO, § 36 Abs. 4 KDG, § 36 Abs. 5 DSG-EKD |
| Bei einer Datenpanne war niemand erreichbar. | Besteht ein Risiko für die Betroffenen, meldet der Träger die Datenpanne selbst, ob der Datenschutzbeauftragte antwortet oder nicht. Gebraucht wird ein Meldeweg im Haus, der auch ohne ihn funktioniert. | Art. 33 Abs. 1 DSGVO, § 33 Abs. 1 KDG, § 32 Abs. 1 DSG-EKD |
| Die Aufsicht fragt nach der Benennung. | Auskünfte darf die Aufsicht verlangen. Der Träger sollte Benennung, Bestätigung der Meldung und veröffentlichte Kontaktdaten vorlegen können. | Art. 58 Abs. 1 lit. a DSGVO, § 40 Abs. 4 BDSG, § 47 Abs. 1 KDG, § 44 Abs. 1 DSG-EKD |
| Die Leitung will jemanden, der vor Ort begeht und schult. | Schulung und Überprüfung gehören zu den gesetzlichen Aufgaben. Ort und Rhythmus legt der Vertrag fest. | Art. 39 Abs. 1 lit. b DSGVO, § 38 KDG, § 38 DSG-EKD |
| Die Funktion liegt bisher bei einer Leitungskraft. | Wer über Zweck und Mittel der Verarbeitung mitentscheidet, würde als Datenschutzbeauftragter die eigenen Entscheidungen überwachen. Nach dem KDG darf die Leitung nicht benannt werden, nach dem DSG-EKD soll sie nicht bestellt werden. | Art. 38 Abs. 6 DSGVO, § 36 Abs. 7 KDG, § 36 Abs. 4 DSG-EKD |
Bei einem Wechsel braucht die Nachfolge eine geordnete Übergabe; darauf geht der Beitrag zum Wechsel des Datenschutzbeauftragten ein.
Nach einer Datenpanne zählt die Frist des Trägers. Besteht ein Risiko für die Betroffenen, meldet er die Verletzung unverzüglich: Nach DSGVO und KDG sind dafür 72 Stunden ab Kenntnis vorgesehen, bei späterer Meldung ist die Verzögerung zu begründen (Art. 33 Abs. 1 DSGVO, § 33 Abs. 1 KDG). Das DSG-EKD nennt keine Stundenzahl (§ 32 Abs. 1 DSG-EKD). In der Meldung stehen Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle (Art. 33 Abs. 3 DSGVO, § 33 Abs. 3 KDG, § 32 Abs. 3 DSG-EKD).
Nach den Leitlinien der Artikel-29-Datenschutzgruppe, des Vorgängergremiums des Europäischen Datenschutzausschusses (Art. 94 Abs. 2 DSGVO), ist der Datenschutzbeauftragte nach einem Vorfall umgehend hinzuzuziehen (WP 243, Abschn. 3.1). Die Datenschutzkonferenz (DSK) der Aufsichtsbehörden von Bund und Ländern hält zudem Vorkehrungen für nötig, damit Betroffene ihn leicht erreichen. Wie die 72 Stunden ablaufen, beschreibt der Beitrag Datenpanne in der Einrichtung.
Nach ihrem Tätigkeitsbericht 2025 nutzt die sächsische Aufsicht die Meldungen der Datenschutzbeauftragten unter anderem, um zu prüfen, ob die Meldepflicht erfüllt ist und ob ein Interessenkonflikt vorliegen könnte (Kap. 6.2.5).
Das erste Jahr Monat für Monat, als Muster
Fünf Ergebnisse beschreiben ein erstes Jahr: Erstaufnahme, Jahresplan, Termin vor Ort mit Begehung und Schulung, Prüfvermerke und Jahresbericht. Erstaufnahme heißt die erste Durchsicht der Unterlagen. Zu ihr gehören unter anderem:
- Verarbeitungsverzeichnis: Übersicht aller Tätigkeiten, in denen der Träger personenbezogene Daten verarbeitet.
- Verträge zur Auftragsverarbeitung: Verträge mit Dienstleistern, die Daten in seinem Auftrag verarbeiten.
- Technische und organisatorische Maßnahmen: Zugänge, Rechte, Sicherung und Löschung.
Als Prüfvermerk gilt die Notiz des Datenschutzbeauftragten darüber, was er geprüft und empfohlen hat. Die Monate in der Tabelle sind ein Vorschlag, keine Vorgabe aus dem Gesetz; eine Leitung kann mit ihnen vereinbaren, was bis wann vorliegt.
| Zeitraum (Muster) | Was geschieht | Was danach vorliegt | Grundlage |
|---|---|---|---|
| Monat 1 | Benennung, Meldung an die Aufsicht, Veröffentlichung der Kontaktdaten. Auftaktgespräch mit der Leitung: Ansprechperson im Haus, Unterlagen für die Erstaufnahme, Meldeweg für Datenpannen. | Benennung mit Datum, Bestätigung der Meldung, Kontaktdaten auf der Website, Liste der angeforderten Unterlagen | Art. 37 Abs. 7 DSGVO, § 36 Abs. 4 KDG, § 36 Abs. 5 DSG-EKD |
| Monat 1 bis 3 | Erstaufnahme: Verarbeitungsverzeichnis, Verträge zur Auftragsverarbeitung, technische und organisatorische Maßnahmen, Verpflichtungen auf Vertraulichkeit, eingesetzte KI-Anwendungen. | Prüfvermerke je Bereich, Liste offener Punkte nach Risiko, Meldebogen für Datenpannen | Art. 28, 30, 32 und 39 DSGVO |
| Monat 3 bis 4 | Jahresplan: welche Bereiche zuerst geprüft werden, Termine für Quartalsgespräche, Begehung und Schulung. | Jahresplan, von der Leitung zur Kenntnis genommen | Art. 39 Abs. 2 DSGVO |
| Monat 3, 6, 9 und 12 | Quartalsgespräch mit Leitung oder Ansprechperson, etwa per Video: offene Punkte, neue Verarbeitungen und Dienstleister, Fragen aus den Teams. | Kurzer Vermerk mit den Entscheidungen der Leitung und Fristen | Art. 38 Abs. 1 und 3 DSGVO |
| Monat 5 | Zwischenbilanz: Liegen Erstaufnahme und Jahresplan vor? Sieht der Vertrag eine Kennenlernphase vor, fällt die Entscheidung über die Fortsetzung vor ihrem Ende. | Entscheidung beider Seiten über die Fortsetzung | Vertrag |
| Monat 7 (Beispiel) | Termin vor Ort mit Begehung (ein prüfender Rundgang durch Büro, Wohnbereich oder Beratungsräume) und Schulung der Teams. | Begehungsvermerk mit Befunden und Maßnahmen, Teilnahmenachweis der Schulung | Art. 39 Abs. 1 lit. b DSGVO, § 38 KDG, § 38 DSG-EKD |
| laufend | Prüfung aus Anlass, soweit der Vertrag sie vorsieht: neuer Dienstleister, Auskunftsersuchen, Datenpanne. | Prüfvermerke im Lauf des Jahres | Art. 39 Abs. 1 DSGVO |
| Monat 12 | Jahresbericht an die Leitung und Entwurf des Jahresplans für das zweite Jahr. | Jahresbericht, Jahresplan für Jahr 2 | Berichtslinie: Art. 38 Abs. 3 Satz 3 DSGVO; Inhalt und Termin nach Vertrag |
Nach dem Risiko der Verarbeitungen richtet sich die Reihenfolge der Prüfungen (Art. 39 Abs. 2 DSGVO, WP 243, Abschn. 4.4). In einem Pflegedienst liegt es deshalb nahe, mit Pflegedokumentation und Diensthandys zu beginnen und nicht mit der Ablage der Lieferantenrechnungen. Welche Stationen eine Begehung in Wohngruppe und Beratungsstelle umfassen kann, zeigt der Beitrag zur Datenschutz-Begehung. Bei evangelischen und diakonischen Trägern ist das erste Jahr Teil einer längeren Bestellung, wenn sie befristet erfolgt, denn das DSG-EKD sieht dafür mindestens drei Jahre vor (§ 36 Abs. 3 Satz 2 DSG-EKD).
Muster eines Prüfvermerks (frei gewählt, kein realer Vorgang)
- Anlass
- Update der Fachsoftware mit neuer Funktion zum Zusammenfassen von Verläufen
- Geprüft
- Vertrag zur Auftragsverarbeitung mit dem Anbieter, Eintrag im Verarbeitungsverzeichnis, Voreinstellung der Funktion
- Grundlage
- Art. 28 und 30 DSGVO; bei kirchlichen Trägern die entsprechenden Normen in KDG oder DSG-EKD
- Befund
- Weder der Vertrag noch das Verzeichnis nennen die neue Funktion. Ab Werk ist sie eingeschaltet.
- Empfehlung an die Leitung
- Funktion bis zur Klärung ausschalten, vom Anbieter eine Ergänzung des Vertrags anfordern, Eintrag im Verzeichnis anlegen. Frist: vier Wochen.
- Entscheidung
- Trifft die Leitung; Datum und Ergebnis werden nachgetragen.
Was im Jahresbericht steht
Gesetzlich vorgeschrieben ist ein Jahresbericht nicht. Berichten muss der Datenschutzbeauftragte aber unmittelbar der höchsten Managementebene (Art. 38 Abs. 3 Satz 3 DSGVO, § 37 Abs. 1 KDG, § 37 Abs. 1 DSG-EKD); einen jährlichen Bericht nennen die Leitlinien der Artikel-29-Datenschutzgruppe als Beispiel dafür (WP 243, Abschn. 3.3). Als Gliederung bietet sich an:
- Auftrag: Rechtskreis, Datum der Benennung und der Meldung, Ansprechperson im Haus.
- Was geprüft wurde: Erstaufnahme, Prüfvermerke des Jahres, Begehung und Schulung (wer wann teilgenommen hat), jeweils mit Verweis auf den Vermerk.
- Befunde nach Risiko: was erledigt ist, was offen ist und was die Leitung entschieden hat.
- Vorfälle und Anfragen: Datenpannen, Anfragen von Betroffenen und Kontakte mit der Aufsicht, nach Zahl und Art, ohne Namen.
- Veränderungen: neue Dienstleister, neue Software, neue KI-Anwendungen, noch fehlende Schulungsgruppen.
- Vorschlag für das zweite Jahr: Schwerpunkte und Termine für den nächsten Jahresplan.
Welche Aufsicht in Sachsen zuständig ist
Je nach Rechtskreis ist eine andere Aufsicht zuständig; die Tabelle gilt für Träger mit Sitz in Sachsen.
| Träger | Zuständige Aufsicht | Meldung der Benennung | Fundstelle |
|---|---|---|---|
| Weltliche Träger des privaten Rechts: Verein, gemeinnützige GmbH, privater Pflege- oder Assistenzdienst | Sächsische Datenschutz- und Transparenzbeauftragte, Dresden | Online-Formular in drei Schritten; eine Kopie der Meldung geht als PDF an die E-Mail-Adresse des Trägers | Art. 37 Abs. 7 DSGVO, § 40 Abs. 1 BDSG, § 14 Abs. 2 Sächsisches Datenschutzdurchführungsgesetz (SächsDSDG) |
| Katholische Träger: Caritasverband mit Untergliederungen und Fachverbänden, sonstige kirchliche Rechtsträger, gleich in welcher Rechtsform | Kirchliche Datenschutzaufsicht der ostdeutschen Bistümer (KDSA Ost), Schönebeck (Elbe) | Online-Formular, Post oder E-Mail; das Formular kennt Meldung, Änderung und Löschung | § 3 Abs. 1 lit. b und c, § 36 Abs. 4 KDG |
| Diakonische Dienste und Einrichtungen, die der Kirche zugeordnet sind, gleich in welcher Rechtsform | Der Beauftragte für den Datenschutz der EKD (Datenschutzregion Ost, Außenstelle Berlin), wenn der Landesverband die Aufsicht übertragen hat | Bestellung in Textform; Anzeige über das Online-Formular der Aufsicht und an die Stelle der allgemeinen Aufsicht | § 2 Abs. 1, § 36 Abs. 5 DSG-EKD |
Träger des privaten Rechts melden nach Dresden
Vereine, gemeinnützige GmbHs und andere Träger des privaten Rechts sind im Gesetz nichtöffentliche Stellen (§ 2 Abs. 4 BDSG). Ihre Aufsicht ist in Sachsen die Sächsische Datenschutz- und Transparenzbeauftragte, im Gesetz als Sächsischer Datenschutzbeauftragter bezeichnet, eine oberste Staatsbehörde (§ 40 Abs. 1 BDSG, §§ 14 und 15 SächsDSDG). Hat der Träger seinen Sitz in einem anderen Bundesland, ist die Behörde dieses Landes die erste Anlaufstelle (§ 40 Abs. 1 BDSG); bei Standorten in mehreren Ländern gilt eine hier nicht behandelte Sonderregel (§ 40 Abs. 2 BDSG). Kommunale Träger sind öffentliche Stellen (§ 2 Abs. 2 BDSG), private Gesellschaften der öffentlichen Hand können es sein (§ 2 Abs. 3 BDSG); für sie gilt anderes Recht.
Katholische Träger melden nach Schönebeck
Katholische Träger wenden an Stelle der DSGVO das KDG an. Das gilt für die Caritasverbände mit ihren Untergliederungen und Fachverbänden (§ 3 Abs. 1 lit. b KDG) ebenso wie für kirchliche Körperschaften, Stiftungen, Anstalten, Werke, Einrichtungen und sonstige Rechtsträger (lit. c), jeweils ohne Rücksicht auf die Rechtsform. Ob ein Dienst dazugehört, klärt im Zweifel der Verband oder die Aufsicht. Chemnitz gehört zum Bistum Dresden-Meißen; die KDSA Ost betreut außerdem das Erzbistum Berlin und die Bistümer Erfurt, Görlitz und Magdeburg.
Im Bistum Dresden-Meißen gilt die neue Fassung des KDG seit 1. März 2026, eine zweite Änderung seit 1. August 2026 (Kirchliches Amtsblatt Nr. 3 und Nr. 10 von 2026). Wo ein betrieblicher Datenschutzbeauftragter zu benennen ist, geschieht das schriftlich; seine Kontaktdaten sind zu veröffentlichen, die Benennung ist der Aufsicht anzuzeigen (§ 36 Abs. 1, 2 und 4 KDG). In einem anderen Bistum gilt die Fassung, die das dortige Amtsblatt bekannt gemacht hat.
Die Diakonie meldet an die Aufsicht der EKD, soweit sie dort liegt
Diakonische Dienste und Einrichtungen, die der Kirche zugeordnet sind, wenden unabhängig von ihrer Rechtsform das DSG-EKD an, das statt von Benennung von Bestellung spricht (§ 2 Abs. 1 DSG-EKD). Die Aufsicht führt der Beauftragte für den Datenschutz der EKD für diakonische Landesverbände mit ihren Mitgliedseinrichtungen, soweit diese sie auf die EKD übertragen haben; dazu verweist er auf eine aktuelle Liste. Auf seiner Strukturseite steht das Diakonische Werk Sachsen in der Datenschutzregion Ost.
Eine externe Bestellung ist nach der EKD-Aufsicht möglich, sofern das landeskirchliche Recht nichts anderes regelt. In Sachsen stellt die Landeskirche seit 1. Januar 2025 die örtlich Beauftragten für Kirchenbezirke, Kirchgemeinden und weitere kirchliche Körperschaften des öffentlichen Rechts samt ihren unselbstständigen Diensten und Einrichtungen zentral über ihre Zentrale Fachstelle Datenschutz. Für Mitgliedseinrichtungen des Diakonischen Werks gilt das nur, wenn sie selbst Körperschaften des öffentlichen Rechts sind, also nicht als Verein oder gemeinnützige GmbH verfasst (§ 3 der Rechtsverordnung vom 26. November 2024). Die Fachstelle ist keine Aufsichtsbehörde. Wer unsicher ist, ob für den eigenen Träger Sonderregeln gelten, fragt die Aufsicht oder das Landeskirchenamt.
Sechs Schritte vom Rechtskreis bis zur Ablage
Den allgemeinen Ablauf einer Benennung beschreibt der Beitrag Datenschutzbeauftragter in sozialen Einrichtungen. Die sechs Schritte hier ergänzen ihn um die Meldewege in Sachsen.
- Klären Sie den Rechtskreis. Er entscheidet, nach welchem Gesetz benannt wird, welche Aufsicht zuständig ist und wie gemeldet wird. Bei kirchlichen Trägern entscheidet die kirchliche Zuordnung, nicht die Rechtsform als Verein oder GmbH.
- Prüfen Sie Fachkunde und Abstand zur Leitung. Die DSGVO verlangt berufliche Qualifikation und Fachwissen, KDG und DSG-EKD verlangen Fachkunde und Zuverlässigkeit (Art. 37 Abs. 5 DSGVO, § 36 Abs. 6 KDG, § 36 Abs. 3 DSG-EKD). Wer den Träger oder die Datenverarbeitung leitet, darf nach dem KDG nicht benannt werden und soll nach dem DSG-EKD nicht bestellt werden (§ 36 Abs. 7 KDG, § 36 Abs. 4 DSG-EKD). Nach der DSGVO dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Fragen für das Gespräch mit Bewerberinnen und Bewerbern stehen im Beitrag zum Wechsel des Datenschutzbeauftragten.
- Halten Sie Vertrag und Benennung schriftlich fest. Eine Form schreibt die DSGVO für die Benennung nicht vor, die DSK empfiehlt aber, sie zu dokumentieren. Das KDG verlangt die schriftliche Benennung, das DSG-EKD die Bestellung in Textform (§ 36 Abs. 5 DSG-EKD) und eine geregelte Vertretung (§ 36 Abs. 1 Satz 2 DSG-EKD).
- Melden Sie die Kontaktdaten der Aufsicht. Das sächsische Online-Formular fragt in drei Schritten nach dem Träger, der meldenden Person und dem Datenschutzbeauftragten, darunter Name, Anschrift, Telefonnummer und seine sonstigen Funktionen für den Träger. Katholische Träger zeigen die Benennung der KDSA Ost an, evangelische und diakonische Träger die Bestellung der Aufsicht der EKD und der nach ihrem Recht für die allgemeine Aufsicht zuständigen Stelle.
- Veröffentlichen Sie die Kontaktdaten. Auch nach der Meldung an die Aufsicht bleibt die Veröffentlichung nötig, etwa auf der Website des Trägers; die DSK nennt dafür ein Kontaktformular als Beispiel.
- Legen Sie Ablage und Meldeweg fest. Nach der sächsischen Aufsicht obliegt dem Träger die Dokumentation der Benennung und der Erfüllung der Meldepflicht (Tätigkeitsbericht 2025, Kap. 6.2.5). Vertrag, Bestätigung der Meldung und Nachweis der Veröffentlichung gehören aus meiner Sicht in dieselbe Ablage. Im selben Zug legt die Leitung fest, wer im Haus eine Datenpanne an die Aufsicht meldet und wie der Datenschutzbeauftragte davon erfährt.
Was die Leitung behält und was sie bereitstellt
Mit der Benennung gibt der Träger Arbeit ab, nicht die Verantwortung. Beim Verantwortlichen bleiben das Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO, WP 243, Abschn. 4.5), die Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) und die technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Der Datenschutzbeauftragte prüft, berät und hält fest, was er geprüft hat.
Damit die Funktion wirkt, bindet die Leitung den Datenschutzbeauftragten frühzeitig in alle Datenschutzfragen ein. Anweisungen gibt sie ihm für seine Aufgaben nicht, berichten lässt sie ihn unmittelbar an Geschäftsführung oder Vorstand (Art. 38 Abs. 1 und 3 DSGVO, § 37 KDG, § 37 DSG-EKD). Praktisch braucht es eine Ansprechperson im Haus, die Unterlagen beschafft und Termine hält. Hinzu kommt Zeit der Teams für Begehung und Schulung. Warum die Verantwortung trotz Datenschutzbeauftragtem, IT-Dienstleister und KI-Koordination bei der Leitung bleibt, beschreibt der Beitrag Datenschutz und KI lassen sich delegieren, die Verantwortung nicht.
Meine Empfehlung
Ich würde den Plan für das erste Jahr zum Teil des Vertrags machen: bis wann die Erstaufnahme abgeschlossen ist, in welchem Monat der Termin vor Ort liegt und welche Gliederung der Jahresbericht hat. Dann misst die Leitung nach sechs und nach zwölf Monaten an Ergebnissen, ob die Zusammenarbeit trägt.
Ich biete die Funktion als externer Datenschutzbeauftragter nach DSGVO, KDG oder DSG-EKD an, für 400 bis 900 € im Monat (je nach Zahl der Beschäftigten, verbindlich im Angebot nach dem Erstgespräch). Reisekosten sind im Umkreis von 100 km um Chemnitz enthalten; Laufzeit und Kennenlernphase stehen auf derselben Seite. Was Ihr Träger davon hat, wenn ich dabei Sozialdatenschutz und Schweigepflicht mitprüfe, zeigt der Beitrag Sozialdatenschutz in Chemnitz und Umgebung.
Stand: 15. Oktober 2026. DSGVO, BDSG und SächsDSDG in der geltenden Fassung, KDG in der Fassung für das Bistum Dresden-Meißen seit 1. August 2026, DSG-EKD in der Neufassung vom 15. Januar 2025. Nicht festgestellt werden konnte, welche Stelle in Sachsen die für die allgemeine Aufsicht zuständige im Sinne von § 36 Abs. 5 DSG-EKD ist und ab wann die neue Fassung des KDG in den übrigen Bistümern der KDSA Ost gilt.
Fragen zur Benennung in Sachsen
Wo melde ich den Datenschutzbeauftragten in Sachsen?
Weltliche Träger mit Sitz in Sachsen melden ihn der Sächsischen Datenschutz- und Transparenzbeauftragten, Caritas-Träger im Bistum Dresden-Meißen der KDSA Ost. Diakonische und evangelische Träger zeigen die Bestellung dem Beauftragten für den Datenschutz der EKD und der nach kirchlichem Recht für die allgemeine Aufsicht zuständigen Stelle an. Veröffentlichen muss der Träger die Kontaktdaten zusätzlich selbst.
Wer meldet eine Datenpanne, der Träger oder der Datenschutzbeauftragte?
Der Träger meldet als Verantwortlicher selbst und unverzüglich, sobald ein Risiko für die Betroffenen besteht; nach DSGVO und KDG sind dafür 72 Stunden ab Kenntnis vorgesehen (Art. 33 Abs. 1 DSGVO, § 33 Abs. 1 KDG, § 32 Abs. 1 DSG-EKD). Der Datenschutzbeauftragte berät bei Bewertung und Meldung; in der Meldung stehen sein Name und seine Kontaktdaten oder die einer anderen Anlaufstelle. Die Meldung hängt nicht davon ab, ob er sofort erreichbar ist.
Darf die Geschäftsführung selbst Datenschutzbeauftragte sein?
Nach dem KDG darf die Leitung nicht benannt werden (§ 36 Abs. 7 KDG), nach dem DSG-EKD soll sie nicht bestellt werden (§ 36 Abs. 4 DSG-EKD). Nach der DSGVO dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO); als Faustregel können nach den Leitlinien der Artikel-29-Datenschutzgruppe Positionen der Geschäftsleitung Konfliktpositionen sein (WP 243, Abschn. 3.5). Entscheidend ist, ob die Person über Zwecke und Mittel der Verarbeitung entscheidet; wer das tut, würde sich als Datenschutzbeauftragter selbst überwachen.
Gilt für einen Caritas-Pflegedienst in Chemnitz das KDG oder die DSGVO?
Das KDG, wenn der Dienst zum Caritasverband gehört (als Untergliederung oder Fachverband) oder ein sonstiger kirchlicher Rechtsträger ist, jeweils unabhängig von der Rechtsform (§ 3 Abs. 1 lit. b und c KDG). Im Bistum Dresden-Meißen gilt die neue Fassung seit 1. März 2026, Aufsicht ist die KDSA Ost in Schönebeck (Elbe). Ein privater Pflegedienst ohne kirchliche Zuordnung fällt unter DSGVO und BDSG; im Zweifel klärt der Verband oder die Aufsicht die Zuordnung.
Muss ein Pflegedienst oder Verein einen Datenschutzbeauftragten haben?
Das hängt vom Rechtskreis, von der Art der Daten und von der Zahl der Personen ab, die ständig mit ihnen arbeiten. Wann die Pflicht entsteht und welche Ausnahmen gelten, beschreibt der Beitrag Datenschutzbeauftragter in sozialen Einrichtungen.
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), ABl. L 119 vom 4. Mai 2016, Art. 4 Nr. 16, Art. 28, 30, 32, 33, 37, 38, 39, 58 und 94. Amt für Veröffentlichungen der EU, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz, §§ 2 und 40. § 40 BDSG und § 2 BDSG auf gesetze-im-internet.de, abgerufen am 14. Oktober 2026.
- Freistaat Sachsen: Sächsisches Datenschutzdurchführungsgesetz vom 26. April 2018, rechtsbereinigt mit Stand vom 1. Januar 2024, §§ 14 und 15. REVOSax, abgerufen am 14. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Datenschutzbeauftragten melden, Vorschau des Onlineformulars zur Mitteilung des benannten Datenschutzbeauftragten, Kontakt sowie Seite „Sächsische Datenschutz- und Transparenzbeauftragte“. Meldeseite, Vorschau des Formulars, Kontakt und Behördenseite auf datenschutz.sachsen.de, abgerufen am 14. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Tätigkeitsbericht Datenschutz 2025, Kap. 6.2.5 Register der benannten Datenschutzbeauftragten, S. 186. datenschutz.sachsen.de, abgerufen am 14. Oktober 2026.
- Artikel-29-Datenschutzgruppe: Leitlinien in Bezug auf Datenschutzbeauftragte (Guidelines on Data Protection Officers), englische Fassung, WP 243 rev.01, angenommen am 13. Dezember 2016, zuletzt überarbeitet am 5. April 2017, Abschn. 3.1, 3.3, 3.5, 4.4 und 4.5. lfd.niedersachsen.de, abgerufen am 14. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder: Kurzpapier Nr. 12, Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern, Stand 17. Dezember 2018. datenschutzkonferenz-online.de, abgerufen am 14. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Fassung des Beschlusses der Vollversammlung vom 24. November 2025, §§ 3, 33, 36, 37, 38 und 47. PDF der KDSA Ost, abgerufen am 14. Oktober 2026.
- Bistum Dresden-Meißen: Kirchliches Amtsblatt, 36. Jahrgang, Nr. 3 vom 2. März 2026, Nr. 15 (KDG-Änderungsgesetz) und Nr. 10 vom 8. Juni 2026, Nr. 37 (2. KDG-Änderungsgesetz). Amtsblatt Nr. 3 und Amtsblatt Nr. 10 auf bistum-dresden-meissen.de, abgerufen am 14. Oktober 2026.
- Bistum Dresden-Meißen: Pfarreien (Dekanat Chemnitz) und Caritasverband für das Bistum Dresden-Meißen. Pfarreien und Caritasverband auf bistum-dresden-meissen.de, abgerufen am 14. Oktober 2026.
- Kirchliche Datenschutzaufsicht der ostdeutschen Bistümer: Organisation, Anschriften sowie Datenschutzbeauftragten melden, ändern, löschen. Organisation, Anschriften und Meldestelle auf kdsa-ost.de, abgerufen am 14. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Neufassung vom 15. Januar 2025 (ABl. EKD S. 1), §§ 2, 32, 36, 37, 38 und 44. kirchenrecht-ekd.de, abgerufen am 14. Oktober 2026.
- Der Beauftragte für den Datenschutz der EKD: Unsere Struktur, Unsere Standorte, Unsere Aufgaben sowie Anzeige der Bestellung von örtlich Beauftragten für den Datenschutz. Struktur, Standorte, Aufgaben und Anzeige der Bestellung auf datenschutz.ekd.de, abgerufen am 14. Oktober 2026.
- Evangelisch-Lutherische Landeskirche Sachsens: Rechtsverordnung zur Bestellung von örtlich Beauftragten für den Datenschutz vom 26. November 2024 (ABl. 2024 S. A 242), Rechtssammlung Nr. 5.2.4, §§ 1 bis 3. engagiert.evlks.de, abgerufen am 14. Oktober 2026.
- Zentrale Fachstelle Datenschutz der Evangelisch-Lutherischen Landeskirche Sachsens: Startseite. dsbkd.de, abgerufen am 14. Oktober 2026.
- Diakonisches Werk der Evangelisch-Lutherischen Landeskirche Sachsens: Datenschutzerklärung, Stand Februar 2025. diakonie-sachsen.de, abgerufen am 14. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
