Die Entscheidung in Kürze
- Frage: Ein Träger braucht einen Datenschutzbeauftragten: intern benennen, extern beauftragen oder mit verbundenen Stellen einen gemeinsamen benennen?
- Empfehlung: Intern, wenn eine Person mit Fachkunde, festem Zeitanteil und Vertretung bereitsteht und nicht über Systeme, Personal oder Dokumentationsregeln entscheidet. Sonst extern. Gemeinsam im Verbund nur, wo das Recht es vorsieht und jede Einrichtung die Person leicht erreicht.
- Aufgaben: Er berät Leitung und Teams, überwacht die Einhaltung der Datenschutzregeln (nach kirchlichem Recht: wirkt darauf hin) und ist Anlaufstelle für Betroffene und Aufsicht. Über die Verarbeitung entscheidet er nicht.
- Kosten: Was ein externer Datenschutzbeauftragter kostet, hängt von Größe, Standorten, Datenarten, Rechtskreis (weltliches oder kirchliches Datenschutzrecht), KI und Terminen vor Ort ab. Mein Angebot liegt bei 400 bis 900 € im Monat (bis 249 Beschäftigte). Intern fallen Arbeitszeit, Fortbildung und Freistellung an, dazu Kündigungsschutz.
- Vorschlag: Bund und Länder wollen die Pflicht aus § 38 Abs. 1 Bundesdatenschutzgesetz aufheben lassen; bis zu einer Änderung gilt sie. Die Pflicht nach Art. 37 der Datenschutz-Grundverordnung bliebe, das kirchliche Recht regelt sie eigenständig.
Was zu den Aufgaben eines Datenschutzbeauftragten gehört
Ein Datenschutzbeauftragter berät einen Träger beim Datenschutz, überwacht die Einhaltung der Regeln und ist Anlaufstelle für Betroffene und Aufsicht. Ein externer Datenschutzbeauftragter hat dieselben Aufgaben wie ein beschäftigter; was er kostet, hängt davon ab, wie umfangreich sie beim Träger ausfallen. Die Datenschutz-Grundverordnung (DSGVO) nennt fünf Mindestaufgaben (Art. 39 Abs. 1):
- Leitung und Beschäftigte unterrichten und beraten.
- Die Einhaltung der Datenschutzregeln überwachen, auch Zuständigkeiten, Schulung und Überprüfungen.
- Auf Anfrage zur Datenschutz-Folgenabschätzung beraten und ihre Durchführung überwachen. Das ist die Prüfung der Folgen einer Verarbeitung mit voraussichtlich hohem Risiko, die der Träger vorab durchführt (Art. 35 Abs. 1).
- Mit der Aufsichtsbehörde zusammenarbeiten.
- Für die Aufsichtsbehörde Anlaufstelle sein.
Katholische Träger wenden das Gesetz über den Kirchlichen Datenschutz (KDG) an (§ 3 Abs. 1), der Kirche zugeordnete evangelische Träger das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD, § 2 Abs. 1). Beide sprechen statt von Überwachung der Einhaltung vom Hinwirken darauf und nennen die Überwachung der Datenverarbeitungsprogramme (§ 38 KDG, § 38 DSG-EKD). Das DSG-EKD nennt die Person „örtlich Beauftragte für den Datenschutz“ (§ 36); Datenschutzbeauftragter steht hier für alle drei Fassungen.
Der Datenschutzbeauftragte richtet seine Arbeit am Risiko der Verarbeitung aus (Art. 39 Abs. 2 DSGVO). Je komplexer und sensibler die Verarbeitung, desto mehr Ressourcen braucht die Funktion. So sehen es die Leitlinien WP 243 der Artikel-29-Datenschutzgruppe, des Vorgängergremiums des Europäischen Datenschutzausschusses (Abschn. 3.2). Ein Pflegedienst oder eine Jugendhilfeeinrichtung mit ausführlichen Akten bedeutet deshalb mehr Aufwand als ein Verein mit Mitgliederliste.
Über die Verarbeitung entscheidet der Datenschutzbeauftragte nicht. Verantwortlich bleibt der Träger: Er setzt die Maßnahmen um und muss nachweisen können, dass die Verarbeitung der Verordnung entspricht (Art. 24 Abs. 1 DSGVO).
Ob ein Träger überhaupt benennen muss, hängt von Rechtskreis, Art der Daten und Zahl der Personen ab; das klärt der Beitrag zur Pflicht zur Benennung in sozialen Einrichtungen.
Drei Wege: intern, extern oder gemeinsam im Verbund
Der Datenschutzbeauftragte kann Beschäftigter des Trägers sein oder auf Grundlage eines Dienstleistungsvertrags arbeiten (Art. 37 Abs. 6 DSGVO, § 36 Abs. 5 KDG, § 36 Abs. 5 DSG-EKD). Dazu kommt für verbundene Stellen, also Unternehmen einer Gruppe sowie mehrere öffentliche oder kirchliche Stellen, der gemeinsame Datenschutzbeauftragte. Ein Verband, der die Funktion als Dienst anbietet, ist davon zu unterscheiden.
| Weg | Was er bedeutet | Spricht dafür | Spricht dagegen |
|---|---|---|---|
| Intern benennen | Eine Beschäftigte oder ein Beschäftigter übernimmt die Funktion. Der Träger stellt die nötigen Ressourcen bereit (Art. 38 Abs. 2 DSGVO). | Die Person kennt Teams, Abläufe und Fachsoftware. Die Kosten stehen im Personalplan. | Fachkunde muss vorhanden sein oder entstehen. Leitungsrollen scheiden aus. Kündigungsschutz kann über das Ende der Funktion hinaus wirken. |
| Extern beauftragen | Eine Person oder ein Unternehmen erfüllt die Aufgaben auf Grundlage eines Dienstleistungsvertrags mit festen Leistungen, Terminen und Laufzeit. | Fachkunde ist Auswahlkriterium und Vertragsinhalt. Der Aufwand ist als Monatsbetrag planbar. | Die Person kennt den Träger anfangs nicht. Auch extern kann ein Interessenkonflikt entstehen. Laufzeit und Preis binden. |
| Gemeinsam im Verbund | Verbundene Stellen benennen dieselbe Person. | Ein einheitlicher Standard über alle Stellen; die Person wird nur einmal eingearbeitet. | Nicht jeder Zusammenschluss darf teilen. Kontaktdaten sind auch dann zu veröffentlichen und die Aufsicht ist zu unterrichten. Die Person muss von jeder Stelle aus leicht erreichbar sein. |
Interessenkonflikt: Wer intern nicht in Frage kommt
Ein Datenschutzbeauftragter darf andere Aufgaben haben, aber keine, die zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Der Europäische Gerichtshof (EuGH) hat am 9. Februar 2023 entschieden, dass man ihm keine Aufgaben übertragen darf, die ihn dazu veranlassen würden, Zwecke und Mittel der Verarbeitung festzulegen. Ob ein Konflikt vorliegt, wird im Einzelfall beurteilt (Rechtssache C-453/21, Randnummern 44 bis 46).
Wer als Leitung über Zwecke und Mittel entscheidet, kommt intern nicht in Frage. Das KDG schließt die Leitung der kirchlichen Stelle und der Datenverarbeitung aus (§ 36 Abs. 7 Satz 1), das DSG-EKD enthält eine Soll-Vorschrift (§ 36 Abs. 4). Weitere Gründe beschreibt der Beitrag zur Pflicht zur Benennung.
Bindung: Was die Benennung rechtlich festlegt
Ist die Benennung einer Beschäftigten oder eines Beschäftigten Pflicht, darf der Träger sie oder ihn nur aus wichtigem Grund abberufen und kündigen. Wichtig ist ein Grund, wenn Tatsachen dem Träger die Fortsetzung bis zum Ablauf der Kündigungsfrist oder zum vereinbarten Ende unzumutbar machen; zu berücksichtigen sind alle Umstände des Einzelfalls, abzuwägen sind die Interessen beider Seiten (§ 626 Abs. 1 Bürgerliches Gesetzbuch, BGB; für die Abberufung entsprechend). Die Kündigung bleibt auch im Jahr nach dem Ende der Tätigkeit auf wichtige Gründe beschränkt (§ 38 Abs. 2 mit § 6 Abs. 4 Bundesdatenschutzgesetz, BDSG). Bei freiwilliger Benennung gilt dieser Schutz nach dem BDSG nicht. Für das BDSG hat der EuGH entschieden, dass Art. 38 Abs. 3 Satz 2 DSGVO einer Regelung nicht entgegensteht, nach der ein beschäftigter Datenschutzbeauftragter nur aus wichtigem Grund abberufen werden kann, sofern die Ziele der Verordnung gewahrt bleiben (Randnummer 36).
KDG und DSG-EKD kennen ebenfalls einen Kündigungsschutz mit einem Jahr Nachwirkung und knüpfen ihn nach dem Wortlaut nicht an eine Pflicht (§ 37 Abs. 4 KDG, § 37 Abs. 2 DSG-EKD). Das DSG-EKD bindet auch die Abberufung an § 626 BGB (§ 37 Abs. 2 Satz 1). Eine Entscheidung des EuGH zu KDG und DSG-EKD wurde nicht festgestellt.
Für interne wie externe Datenschutzbeauftragte gilt zusätzlich: Wegen der Erfüllung ihrer Aufgaben darf man sie nicht benachteiligen (Art. 38 Abs. 3 Satz 2 DSGVO, § 37 Abs. 1 Satz 3 KDG, § 37 Abs. 1 Satz 3 DSG-EKD), nach der DSGVO auch nicht abberufen (EuGH, Randnummer 23). Nach den Leitlinien WP 243 gilt das auch bei freiwilliger Benennung (Anhang, Frage 1). Beim externen Weg regelt der Vertrag Laufzeit und Kündigung.
Verbund: Wer teilen darf
Ein Träger mit Tochtergesellschaften kann einen gemeinsamen Datenschutzbeauftragten haben, ein bloßer Zusammenschluss selbstständiger Träger ohne beherrschenden Einfluss nach der Begriffsbestimmung nicht. Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten ernennen, sofern er von jeder Niederlassung aus leicht erreicht werden kann (Art. 37 Abs. 2 DSGVO). Sie besteht aus einem herrschenden und den von ihm abhängigen Unternehmen (Art. 4 Nr. 19); beherrschenden Einfluss können etwa die Eigentumsverhältnisse oder eine finanzielle Beteiligung begründen (Erwägungsgrund 37).
Behörden und öffentliche Stellen können unter Berücksichtigung von Organisationsstruktur und Größe einen gemeinsamen Datenschutzbeauftragten benennen (Art. 37 Abs. 3). Für kirchliche Stellen gilt das nach § 36 Abs. 3 KDG; nach dem DSG-EKD kann sich die Bestellung auf mehrere Stellen erstrecken (§ 36 Abs. 2). Sonderregeln für Landeskirche und Diakonie in Sachsen behandelt der Beitrag zum externen Datenschutzbeauftragten in Chemnitz und Sachsen.
Auch bei einem gemeinsamen Datenschutzbeauftragten sind die Kontaktdaten zu veröffentlichen und die Aufsicht ist zu unterrichten. Nach der DSGVO und dem KDG liegt die Veröffentlichung beim Verantwortlichen (Art. 37 Abs. 7 DSGVO, § 36 Abs. 4 Satz 1 KDG). Das DSG-EKD sieht Anzeige der Bestellung bei der Aufsicht und Veröffentlichung der Kontaktdaten vor, ohne zu sagen, wer sie vornimmt (§ 36 Abs. 5 Satz 1). Bietet ein Verband die Funktion an, ist schriftlich zu klären, ob er sie übernimmt oder nur berät; Fragen für die Auswahl enthält der Beitrag zum Wechsel des Datenschutzbeauftragten.
Woran der Aufwand eines externen Datenschutzbeauftragten hängt
Wichtiger als eine Zahl ist, woran der Aufwand hängt. Die sechs Faktoren sind meine Einordnung und knüpfen an die Normen der Spalte „Anknüpfung“ an.
| Faktor | Warum er den Aufwand verändert | Anknüpfung |
|---|---|---|
| Größe | Mehr Beschäftigte und Verfahren bedeuten mehr Prüfung, Schulung und Beratung. | Art. 39 Abs. 1 Buchst. a und b, Abs. 2 DSGVO |
| Standorte | Die Person muss für Betroffene, Aufsicht und Beschäftigte erreichbar sein. Mehrere Standorte bedeuten mehr Wege und Ansprechpersonen. | Art. 37 Abs. 2 DSGVO; WP 243, Abschn. 2.3 |
| Datenarten | Große Mengen sensibler Daten, etwa Gesundheitsdaten in Pflege und Betreuung oder ausführliche Akten in Jugendhilfe und Beratung, verlangen mehr Fachwissen und Unterstützung. | WP 243, Abschn. 2.5 und 3.2 |
| Kirchliches Recht | KDG und DSG-EKD haben eigene Regeln und Aufsichten. Die Person braucht die Fachkunde, die für die Aufgaben nach dem jeweiligen Gesetz erforderlich ist. Eine befristete Bestellung nach dem DSG-EKD läuft mindestens drei Jahre. | § 36 Abs. 6 KDG; § 36 Abs. 3 DSG-EKD |
| KI | Jede KI-Anwendung mit personenbezogenen Daten dient mindestens einer Verarbeitungstätigkeit, die bei Trägern mit Gesundheits- und Sozialdaten ins Verzeichnis gehört. Dazu kommen Verträge mit Anbietern, die im Auftrag Daten verarbeiten, sowie je nach Risiko eine Folgenabschätzung. | Art. 28 Abs. 3, Art. 30 Abs. 1 und 5, Art. 35 und 39 Abs. 1 Buchst. c DSGVO |
| Termine vor Ort | Schulung und Überprüfungen gehören zur Überwachung und können vor Ort stattfinden. Rhythmus und Ort regelt der Vertrag; jeder Termin kostet Zeit und Reise. | Art. 39 Abs. 1 Buchst. b DSGVO; § 38 Nr. 3 DSG-EKD |
Bei mir liegen die monatlichen Kosten für die Funktion bei 400 bis 900 € und richten sich nach der Zahl der Beschäftigten. Bis 49 Beschäftigte gilt das untere Ende, von 50 bis 249 steigt der Betrag in Stufen, ab 250 gibt es ein Angebot. Enthalten sind die Erstaufnahme, ein Videotermin im Quartal, ein Termin vor Ort im Jahr und Reisekosten im Umkreis von 100 km um Chemnitz. Die Beträge sind Endbeträge. Das kostenfreie Erstgespräch klärt Recht, Größe und KI; danach nennt das Angebot den verbindlichen Betrag.
Was die interne Lösung kostet, auch ohne Rechnung
Die interne Lösung kostet Zeit und Geld, nur an anderer Stelle im Haushalt. Drei Posten gehören in den Vergleich:
- Arbeitszeit. Bei Teilzeit halten die Leitlinien einen festgelegten Prozentsatz der Arbeitszeit und einen Arbeitsplan für gute Praxis (WP 243, Abschn. 3.2). Nach dem KDG dürfen andere Aufgaben nicht so umfangreich sein, dass die Person ihre Aufgaben nicht mehr unabhängig oder nicht umgehend erfüllen kann (§ 36 Abs. 7 Satz 2). Das DSG-EKD verlangt, die Vertretung zu regeln (§ 36 Abs. 1 Satz 2). DSGVO und KDG enthalten dazu keine Regel; bei Urlaub und Krankheit ist eine benannte Vertretung in jedem Rechtskreis trotzdem sinnvoll.
- Fortbildung. Der Träger stellt die Ressourcen zur Erhaltung des Fachwissens bereit (Art. 38 Abs. 2 DSGVO). Nach dem KDG muss er die Teilnahme an Fort- und Weiterbildung in angemessenem Umfang ermöglichen und die Kosten übernehmen (§ 37 Abs. 2 Satz 3). Nach dem DSG-EKD trägt er die Kosten und stellt dafür ohne Minderung der Bezüge oder des Erholungsurlaubs frei (§ 37 Abs. 3).
- Bindung. Der Kündigungsschutz kann Personalentscheidungen für die Dauer der Funktion und ein Jahr danach einschränken.
Für den Vergleich rechnet jeder Träger mit eigenen Zahlen: Stunden je Jahr für die Funktion mal Personalkosten je Stunde, dazu Fortbildung und Vertretung. Die Summe steht neben zwölf Monatsbeträgen des externen Angebots. Eine Stundenzahl nennen weder DSGVO noch KDG noch DSG-EKD; sie hängt von Größe und Datenarten ab.
Was ein Angebot vergleichbar macht
Preise lassen sich erst vergleichen, wenn die Leistung gleich beschrieben ist. Dafür helfen diese Fragen:
- Rechtskreis und Aufgaben. Nach welchem Gesetz wird benannt? Welche Aufgaben nach Art. 39 DSGVO, § 38 KDG oder § 38 DSG-EKD sind enthalten?
- Abrechnung und Nebenkosten. Wird ein Monatsbetrag oder ein Stundensatz berechnet? In welchem Abstand finden Videotermine und Termine vor Ort statt? Was kosten Schulung und Reise zusätzlich? Sind die Beträge Endpreise?
- Ansprechperson und Vertretung. Wer ist die benannte Ansprechperson? Wer vertritt sie? Bei Teams empfehlen die Leitlinien eine verantwortliche Ansprechperson und halten es für nützlich, das im Vertrag festzulegen (WP 243, Abschn. 2.5).
- Unabhängigkeit. Übernimmt derselbe Dienstleister Aufgaben, mit denen er Zwecke und Mittel der Verarbeitung festlegt, nach meiner Einschätzung etwa die Auswahl von Systemen?
- Berichtsweg. Berichtet der Datenschutzbeauftragte unmittelbar der höchsten Managementebene (Art. 38 Abs. 3 Satz 3 DSGVO)? Nach dem KDG muss er der Leitung der kirchlichen Stelle unmittelbar unterstellt sein, nach dem DSG-EKD den gesetzlich oder verfassungsmäßig berufenen Organen der verantwortlichen Stelle (jeweils § 37 Abs. 1 Satz 1).
- Verschwiegenheit. Wie ist sie geregelt (Art. 38 Abs. 5 DSGVO, § 38 Abs. 2 mit § 6 Abs. 5 Satz 2 BDSG, § 37 Abs. 2 Satz 4 KDG, § 37 Abs. 1 Satz 6 DSG-EKD)? Gilt für die Person auch die Schweigepflicht nach § 203 Strafgesetzbuch (StGB), der Fachkräfte im Träger unterliegen? Das Gesetz nennt den bei schweigepflichtigen Personen tätigen Datenschutzbeauftragten ausdrücklich (§ 203 Abs. 4 Satz 1 StGB); mehr dazu im Beitrag zur Schweigepflicht bei IT, Cloud und KI.
- Laufzeit und Ende. Gibt es eine Mindestlaufzeit, eine Kündigungsfrist, eine Kennenlernphase? Was geschieht bei einem Wechsel mit Unterlagen und Kontaktdaten?
Intern nur mit Zeit und Abstand zur Leitung, sonst extern
Meine Empfehlung
Ich halte die interne Benennung für tragfähig, wenn eine Person bereitsteht, die Fachkunde hat oder erwirbt, einen festen Zeitanteil samt Vertretung bekommt und weder Leitung noch IT, Personal oder Dokumentationsregeln verantwortet. Fehlt sie, ist der externe Weg der kürzere. Ein Preisvergleich lohnt, sobald die Angebote dieselben Leistungen beschreiben.
Gemeinsam im Verbund würde ich benennen, wenn die Stellen rechtlich verbunden sind oder das kirchliche Recht es trägt und die Person von jeder Einrichtung aus erreichbar bleibt. Selbstständige Träger ohne solche Verbindung benennen je Träger, auch bei derselben externen Person.
Von intern auf extern würde ich wechseln, wenn der Zeitanteil nicht eingehalten wird, eine Leitungs-, IT- oder Personalaufgabe hinzukommt oder die Vertretung fehlt. Zurück nach innen führt der Weg, wenn jemand ohne Interessenkonflikt die Fachkunde aufgebaut hat und Fortbildung und Freistellung eingeplant sind. Nach zwölf Monaten gehören Kosten, Berichte und Erreichbarkeit auf den Prüfstand.
Was offen bleibt
Bund und Länder haben am 4. Dezember 2025 beschlossen, dass der Bund bis zum 31. Dezember 2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringt und die Pflicht im nichtöffentlichen Bereich auf Art. 37 DSGVO beschränkt. Die Koalition hat im Juli 2026 erklärt, die Zahl der betrieblichen Datenschutzbeauftragten in kleineren und mittleren Unternehmen verringern zu wollen. Beides sind Vorhaben, keine geltenden Regeln; bis zu einer Änderung gilt § 38 Abs. 1 BDSG unverändert. Die Pflichten für kirchliche Träger stehen in eigenen Gesetzen (§ 36 Abs. 2 KDG, § 36 Abs. 1 DSG-EKD).
Ungeklärt bleibt, ob ein Verband im Einzelfall beherrschenden Einfluss hat, welches Landesrecht für kommunale Träger daneben gilt und wie Aufsichtsbehörden eine gemeinsame Benennung selbstständiger Träger bewerten.
Aufgaben und Preis meines Angebots stehen auf der Seite zum externen Datenschutzbeauftragten.
Stand: 21. Oktober 2026. Geprüft sind die DSGVO in der berichtigten Fassung, das BDSG in der Fassung auf gesetze-im-internet.de (zuletzt geändert durch das Gesetz vom 3. Juli 2026, dessen Artikel 3 nur § 62 Abs. 6 und § 70 Abs. 1 betrifft), das KDG in der Fassung des Bistums Dresden-Meißen (Stand 1. August 2026) und das DSG-EKD in der Neufassung vom 15. Januar 2025. Maßgeblich ist die Fassung des eigenen Bistums oder der eigenen Landeskirche. Nicht festgestellt werden konnte, ob ein Gesetzentwurf zu § 38 Abs. 1 BDSG vorliegt. Preise anderer Anbieter wurden nicht erhoben, Auslegungen der Aufsichtsbehörden zum gemeinsamen Datenschutzbeauftragten mehrerer selbstständiger Träger nicht ausgewertet.
Fragen zu Kosten und Aufgaben
Was kostet ein externer Datenschutzbeauftragter?
Das hängt von Größe, Standorten, Datenarten, Rechtskreis, KI und Terminen vor Ort ab. Bei mir liegt der Monatsbetrag für die Funktion bei 400 bis 900 €, je nach Zahl der Beschäftigten; verbindlich ist der Betrag im Angebot.
Welche Aufgaben hat ein Datenschutzbeauftragter?
Er unterrichtet und berät den Träger, überwacht die Einhaltung der Datenschutzregeln (nach KDG und DSG-EKD: wirkt darauf hin), berät auf Anfrage zur Datenschutz-Folgenabschätzung und arbeitet mit der Aufsicht zusammen (Art. 39 Abs. 1 DSGVO, § 38 KDG, § 38 DSG-EKD). Über die Verarbeitung entscheidet er nicht, die Verantwortung bleibt beim Träger.
Darf die Geschäftsführung selbst Datenschutzbeauftragte sein?
Nein: Wer die Einrichtung leitet, legt Zwecke und Mittel der Verarbeitung fest und müsste sich selbst überwachen. Das KDG schließt die Leitung aus (§ 36 Abs. 7 Satz 1), das DSG-EKD sieht eine Soll-Vorschrift vor (§ 36 Abs. 4); nach der DSGVO darf kein Interessenkonflikt entstehen (Art. 38 Abs. 6). Ob einer vorliegt, wird im Einzelfall beurteilt (EuGH, C-453/21, Randnummer 45); die Leitlinien WP 243 nennen die Geschäftsführung als Beispiel (Abschn. 3.5).
Können mehrere Träger denselben Datenschutzbeauftragten haben?
Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten ernennen (Art. 37 Abs. 2 DSGVO), mehrere öffentliche oder kirchliche Stellen ebenfalls (Art. 37 Abs. 3 DSGVO, § 36 Abs. 3 KDG, § 36 Abs. 2 DSG-EKD). Auch dann sind die Kontaktdaten zu veröffentlichen und die Aufsicht ist zu unterrichten (Art. 37 Abs. 7 DSGVO, § 36 Abs. 4 KDG, § 36 Abs. 5 Satz 1 DSG-EKD).
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), ABl. L 119 vom 4. Mai 2016, berichtigt im ABl. L 314 vom 22. November 2016, L 127 vom 23. Mai 2018 und L 74 vom 4. März 2021, Art. 4 Nr. 19, Art. 24, 28, 30, 35, 37, 38 und 39, Erwägungsgrund 37. Amtsblattfassung und konsolidierte Fassung mit Berichtigungen beim Amt für Veröffentlichungen der EU, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz (BDSG), § 38 und § 6 auf gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Bundesgesetzblatt Teil I: Gesetz für den Bürokratierückbau im Bereich des Bundesministeriums des Innern vom 3. Juli 2026, BGBl. 2026 I Nr. 199, Artikel 3 (Änderung des BDSG). recht.bund.de, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bürgerliches Gesetzbuch (BGB), § 626; Strafgesetzbuch (StGB), § 203; beide auf gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Bistum Dresden-Meißen: Kirchliches Amtsblatt, 36. Jahrgang, Nr. 3 vom 2. März 2026, Nr. 15 (KDG-Änderungsgesetz, §§ 36 bis 38, in Kraft seit 1. März 2026), sowie Nr. 10 vom 8. Juni 2026, Nr. 37 (2. KDG-Änderungsgesetz, § 37 Abs. 2 Satz 4, in Kraft seit 1. August 2026). Amtsblatt Nr. 3 und Amtsblatt Nr. 10, abgerufen am 21. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Fassung des Beschlusses der Vollversammlung vom 24. November 2025, §§ 3 und 36 bis 38. Konsolidierte Fassung der Kirchlichen Datenschutzaufsicht Ost (PDF), abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 2 und 36 bis 38. Kirchenrecht Online (PDF), abgerufen am 21. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 9. Februar 2023, C-453/21 (X-FAB Dresden), Randnummern 23, 36 und 44 bis 46. Amt für Veröffentlichungen der EU, abgerufen am 21. Oktober 2026.
- Artikel-29-Datenschutzgruppe: Guidelines on Data Protection Officers (‘DPOs’), WP 243 rev.01, angenommen am 13. Dezember 2016, zuletzt überarbeitet am 5. April 2017, Abschn. 2.3, 2.5, 3.2 und 3.5 sowie Anhang, Frage 1. lfd.niedersachsen.de, abgerufen am 21. Oktober 2026.
- Bundeskanzler und Regierungschefinnen und Regierungschefs der Länder: Föderale Modernisierungsagenda, Beschluss vom 4. Dezember 2025, Abschnitt III Nr. 2.2. PDF der Staatskanzlei Rheinland-Pfalz, abgerufen am 21. Oktober 2026.
- Bundesregierung: Ein Programm für Aufschwung und Beschäftigung, Koalition aus CDU/CSU und SPD, Juli 2026, Nr. 14. PDF der Bundesregierung, abgerufen am 21. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
