Fristenkalender 2026 bis 2030 für Träger der Sozialen Arbeit und Pflege

Stand: 15. Oktober 2026. Alle Termine sind an den Originalquellen geprüft: Amtsblatt der Europäischen Union, Bundesgesetzblatt, Beschluss von Bund und Ländern sowie die Amtsblätter der Evangelischen Kirche in Deutschland und der Bistümer Augsburg und Dresden-Meißen. Vorschläge sind als Vorschlag gekennzeichnet.

Alle Fristen nach Datum

Die Tabelle führt die Termine in zeitlicher Reihenfolge, auch verstrichene, damit sichtbar bleibt, seit wann eine Pflicht besteht. Mit KI-Verordnung ist die Verordnung (EU) 2024/1689 in der Fassung der Änderungsverordnung (EU) 2026/1744 gemeint, des sogenannten Digital-Omnibus zur KI. Anbieter ist der Hersteller eines KI-Systems, Betreiber der Träger, der es in eigener Verantwortung nutzt. Weitere Abkürzungen: KI-MIG (KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz), BSIG (BSI-Gesetz, das die EU-Cybersicherheitsrichtlinie NIS2 umsetzt), DSGVO (Datenschutz-Grundverordnung), KDG und DSG-EKD (Datenschutzgesetze der katholischen und der evangelischen Kirche).

Was heute schon gilt

KI-Verordnung

Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken. Für Träger sind unter anderem diese einschlägig: die Ableitung von Emotionen am Arbeitsplatz, außer aus medizinischen Gründen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f), sowie das Ausnutzen der Schutzbedürftigkeit wegen Alters, Behinderung oder sozialer oder wirtschaftlicher Situation, mit dem Ziel oder der Wirkung, das Verhalten wesentlich zu verändern, sodass erheblicher Schaden entsteht oder mit hinreichender Wahrscheinlichkeit entstehen wird (Buchst. b).

Seit demselben Tag gilt Art. 4, seit dem 27. Juli 2026 in neuer Fassung: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Niveau schulden sie nicht. Einen eigenen Bußgeldtatbestand für Art. 4 enthalten weder die KI-Verordnung noch das KI-MIG (Art. 99; § 15); die Pflicht besteht trotzdem. Welche Maßnahmen sich eignen, beschreibt der Beitrag zur KI-Kompetenz nach Art. 4.

Seit dem 2. August 2026 gilt die Verordnung im Grundsatz, darunter die Transparenzpflichten nach Art. 50; einen späteren Beginn haben nur die Teile, die Art. 113 Abs. 3 nennt. Chatbots kennzeichnen muss der Anbieter. Träger als Betreiber legen offen, wenn ihr System Deepfakes erzeugt, also täuschend echte künstliche Bilder, Töne oder Videos, und informieren Betroffene über den Betrieb von Emotionserkennungs- oder biometrischen Kategorisierungssystemen (Abs. 3 und 4). Eine Offenlegungspflicht gilt auch für KI-Texte, mit denen die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert wird, außer ein Mensch hat sie geprüft und verantwortet sie redaktionell. Einzelheiten stehen im Beitrag zur Kennzeichnung nach Art. 50. Die Aufsicht führt grundsätzlich die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), für öffentliche Stellen der Länder die nach Landesrecht zuständige Behörde (§ 2 Abs. 6).

Datenschutz­beauftragter und Meldefristen

Die Pflicht zum Datenschutz­beauftragten gilt unverändert. Nichtöffentliche Träger benennen ihn, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG). Unabhängig von der Zahl gilt die Pflicht, wenn der Träger Verarbeitungen vornimmt, die einer Datenschutz-Folgen­abschätzung unterliegen (§ 38 Abs. 1 Satz 2 BDSG), oder wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonders geschützter Daten wie Gesundheitsdaten besteht (Art. 37 Abs. 1 Buchst. c DSGVO). Wer genau benennen muss, klärt der Beitrag zur Pflicht zum Datenschutz­beauftragten.

Die kirchlichen Gesetze haben ihre Schwelle von zehn auf 20 Personen angehoben: das DSG-EKD seit dem 1. Mai 2025 (§ 36 Abs. 1), das KDG für Caritas und sonstige kirchliche Rechtsträger (§ 36 Abs. 2). Bistümer und Kirchengemeinden benennen nach dem KDG immer. Die KDG-Novelle ist in Augsburg und Dresden-Meißen am 1. März 2026 in Kraft getreten; weil jedes Bistum sie selbst in Kraft setzt, lohnt ein Blick ins eigene Amtsblatt.

Bei Datenpannen unterscheiden sich die Rechtskreise im Wortlaut. Die DSGVO verlangt die Meldung unverzüglich und möglichst binnen 72 Stunden, außer die Verletzung führt voraussichtlich nicht zu einem Risiko (Art. 33 Abs. 1). Das KDG verlangt eine Begründung, wenn die Meldung nicht binnen 72 Stunden erfolgt (§ 33 Abs. 1), das DSG-EKD nur „unverzüglich“ bei voraussichtlich nicht unerheblichem Risiko (§ 32 Abs. 1). Den Ablauf beschreibt der Beitrag zur Datenpanne in der Einrichtung.

NIS2

NIS2 ist eine EU-Richtlinie zur Cybersicherheit. Das BSIG setzt sie seit dem 6. Dezember 2025 ohne Übergangsfrist um. Erfasst sind Einrichtungen, die entgeltlich Leistungen einer in den Anlagen genannten Einrichtungsart anbieten und mindestens 50 Beschäftigte oder jeweils über 10 Millionen Euro Umsatz und Bilanzsumme haben (§ 28 Abs. 2 Nr. 3 BSIG). Nach dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gehört die Langzeitpflege nicht zu den Gesundheitsdienstleistern, Rettungsdienste dagegen schon.

Erfasste Einrichtungen registrieren sich spätestens drei Monate nach erstmaliger Betroffenheit (§ 33 Abs. 1 BSIG) und melden erhebliche Sicherheitsvorfälle binnen 24 Stunden, 72 Stunden und einem Monat (§ 32 Abs. 1 BSIG; die Pflicht gilt ab Einrichtung des Meldewegs, den das BSI mit einem Online-Formular im Melde- und Informationsportal bereitstellt). Welche Leistungsfelder erfasst sind, zeigt der Beitrag zur Betroffenheit von NIS2 nach Leistungsfeldern.

Bis Ende 2026: eine Kennzeichnungsfrist und zwei neue Verbote

Anbieter generativer KI, deren Systeme vor dem 2. August 2026 auf dem Markt waren, müssen bis zum 2. Dezember 2026 Texte, Bilder, Töne und Videos maschinenlesbar als künstlich erzeugt kennzeichnen (Art. 50 Abs. 2 und Art. 111 Abs. 4). Die Frist gilt nur für Anbieter. Der Kommissionsvorschlag sah noch eine spätere Frist vor, deshalb weichen ältere Darstellungen ab. Für Träger folgt eine Frage an den Hersteller: Kennzeichnet das Werkzeug seine Ausgaben ab Dezember?

Am selben Tag gelten die Verbote aus Art. 5 Abs. 1 Buchst. ba und bb. Sie richten sich gegen KI-Systeme, die realistische intime Darstellungen bestimmbarer Personen ohne deren Zustimmung erzeugen, und gegen Systeme, die Darstellungen sexuellen Missbrauchs von Kindern erzeugen. Betreiber verstoßen dagegen, wenn sie ein System zu diesem Zweck verwenden (Art. 5 Abs. 1a Buchst. b).

Der 31. Dezember 2026 ist für Träger keine Frist. An diesem Tag endet die Zeit, die sich der Bund für einen Entwurf zur Aufhebung von § 38 Abs. 1 BDSG gesetzt hat (siehe Vorschläge und Offenes).

2. Dezember 2027: Pflichten für Hochrisiko-KI nach Anhang III

Hochrisiko-KI sind KI-Systeme, für die die Verordnung besonders strenge Pflichten vorsieht, weil sie in sensiblen Feldern eingesetzt werden oder Teil bestimmter Produkte sind. Anhang III listet die Einsatzfelder (Art. 6 Abs. 2).

Ab dem 2. Dezember 2027 gelten die Pflichten für Hochrisiko-KI nach Anhang III (Art. 113 Abs. 3 Buchst. c). Die Änderungsverordnung hat diesen Termin gegenüber der Fassung von 2024 um rund 16 Monate verschoben, den für Anhang I um zwölf Monate. Für Träger kommen unter anderem diese Einsatzfelder infrage:

• Auswahl von Bewerberinnen und Bewerbern, Entscheidungen über Arbeitsbedingungen, Zuweisung von Aufgaben nach individuellem Verhalten und Leistungsbeobachtung (Anhang III Nr. 4)
• Emotionserkennung, soweit ihr Einsatz zulässig ist (Nr. 1 Buchst. c; am Arbeitsplatz ist sie verboten), und KI im Bildungsbereich (Nr. 3)
• KI, mit der Behörden oder Stellen in ihrem Namen prüfen, ob Menschen Anspruch auf grundlegende öffentliche Unterstützungsleistungen haben (Nr. 5 Buchst. a)

Nicht jedes System in diesen Feldern ist hochriskant. Es gilt nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, etwa weil es nur eine eng gefasste Verfahrensaufgabe erledigt oder eine Bewertung vorbereitet; bei Profiling natürlicher Personen gilt es immer als hochriskant (Art. 6 Abs. 3). Ob eine bestimmte Software betroffen ist, sollen Leitlinien der Kommission klären. Sie waren bis zum 2. Februar 2026 vorzulegen (Art. 6 Abs. 5); bisher gibt es nur einen Entwurf, zu dem eine weitere Konsultation bis Juli 2026 lief.

Betreiber müssen eine menschliche Aufsicht durch kompetente Personen sicherstellen und vor dem Einsatz am Arbeitsplatz die Arbeitnehmervertretung und die Beschäftigten informieren, außerdem die Menschen, über die das System entscheidet (Art. 26 Abs. 2, 7 und 11). Welche Vertretung im Träger zu beteiligen ist, vergleicht der Beitrag zur Mitbestimmung bei der KI-Einführung. Was das für Bewerbungsverfahren heißt, zeigt der Beitrag zu KI in der Personalauswahl.

Hinzu kommt eine Grundrechte-Folgen­abschätzung. Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen, führen sie vor der Inbetriebnahme eines Hochrisiko-Systems nach Anhang III durch (Art. 27 Abs. 1; ausgenommen sind Systeme der kritischen Infrastruktur nach Nr. 2). Als Beispiele nennt die Verordnung Gesundheitsversorgung und Sozialdienste (Erwägungsgrund 96). Soweit eine Datenschutz-Folgen­abschätzung Pflichten des Art. 27 bereits erfüllt, darf der Träger darauf verweisen oder Teile übernehmen (Art. 27 Abs. 4). Wer die Abschätzung unterlässt, begeht eine Ordnungswidrigkeit mit Bußgeld bis 50.000 Euro (§ 15 KI-MIG); gegen Behörden und öffentliche Stellen werden keine Bußgelder verhängt (§ 17 Abs. 2).

Systeme, die vor Beginn der Hochrisiko-Pflichten (2. Dezember 2027, für Anhang I 2. August 2028) in Betrieb gehen, fallen nur unter die neuen Pflichten, wenn sie danach in ihrer Konzeption erheblich verändert werden (Art. 111 Abs. 2). Was „erheblich“ heißt, definiert die Verordnung nicht; nach Erwägungsgrund 39 der Änderungsverordnung soll jede signifikante Änderung der Gestaltung die vollen Pflichten des Anbieters auslösen. Ich halte diesen Bestandsschutz nicht für eine Planungsgrundlage, weil schon ein größeres Update die Frage neu aufwerfen kann. Für Systeme, die bestimmungsgemäß von Behörden verwendet werden, nennt Art. 111 Abs. 2 zusätzlich den 2. August 2030; ob kommunale oder freie Träger darunter fallen, ist offen.

2. August 2028: KI als Teil eines Produkts

Am 2. August 2028 folgt die zweite Gruppe: KI, die Sicherheitsbauteil eines Produkts nach EU-Produktrecht (Anhang I) ist oder selbst ein solches Produkt, sofern das Produkt eine Konformitäts­bewertung durch Dritte braucht (Art. 6 Abs. 1, Art. 113 Abs. 3 Buchst. c). Anhang I nennt unter anderem die Verordnungen über Medizinprodukte und In-vitro-Diagnostika. Beim Kauf solcher Produkte lässt sich beim Hersteller erfragen, wie er die Anforderungen bis dahin erfüllt.

Was nur Vorschlag ist und was offen bleibt

Mehrere Vorhaben würden Pflichten von Trägern ändern. Keines davon ist geltendes Recht.

Aufhebung von § 38 Abs. 1 BDSG

In der Föderalen Modernisierungsagenda vom Dezember 2025 hat der Bund zugesagt, bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen und die Pflicht im nichtöffentlichen Bereich auf Art. 37 DSGVO zu beschränken. „Einbringen“ heißt, einen Entwurf vorzulegen; zum Stand dieses Beitrags war weder ein Referenten- noch ein Regierungsentwurf auffindbar. Betroffen wäre nach dem Wortlaut der Agenda der gesamte Absatz 1, also auch die Pflicht bei Datenschutz-Folgen­abschätzung (Satz 2); ob das gewollt ist, sagt die Agenda nicht.

Der Koalitionsausschuss hat im Juli 2026 angekündigt, die Zahl betrieblicher Datenschutz­beauftragter in kleineren und mittleren Unternehmen zu reduzieren (Nr. 14) und weitere betriebliche Beauftragte abzuschaffen, deren Bestellung nicht auf EU-Vorgaben beruht (Nr. 26). Ob der Datenschutz­beauftragte gemeint ist, sagt das Papier nicht; es nennt weder einen Termin noch § 38 BDSG.

Auch nach einer Aufhebung blieben Pflichten bestehen: Art. 37 Abs. 1 Buchst. c DSGVO bei Kerntätigkeit mit Gesundheitsdaten und, für kommunale Träger als öffentliche Stellen, Buchst. a. § 36 KDG und § 36 DSG-EKD sind eigene Gesetze; nach meiner Einschätzung blieben sie unberührt, eine Erklärung der Kirchen oder der Bundesregierung dazu habe ich nicht gefunden.

96 statt 72 Stunden

Die Europäische Kommission hat im November 2025 vorgeschlagen, Datenpannen nur noch bei voraussichtlich hohem Risiko zu melden statt wie bisher schon bei einem voraussichtlichen Risiko, nach Möglichkeit spätestens nach 96 Stunden und über eine zentrale Anlaufstelle (COM(2025) 837). Im Europäischen Parlament wartet das Verfahren auf die Entscheidung der Ausschüsse. Bis zu einem Beschluss gilt Art. 33 DSGVO mit seinen 72 Stunden, daneben gelten die kirchlichen Regeln.

Langzeitpflege und NIS2

Die Kommission hat im Januar 2026 vorgeschlagen, Dienstleister aus dem Sektor Gesundheit der NIS2-Richtlinie auszunehmen, für die die Patientenrechte-Richtlinie 2011/24/EU nicht gilt (COM(2026) 13). Zu diesen zählen Dienste der Langzeitpflege, die Menschen bei alltäglichen Verrichtungen unterstützen (Art. 1 Abs. 3 Buchst. a der Richtlinie 2011/24/EU). Das Verfahren wartet im Europäischen Parlament auf die Entscheidung des Ausschusses. Bis zu einem Beschluss gilt das BSIG mit der Einordnung des BSI.

Auslegungsfragen ohne Antwort

• Ob kommunale Träger als Behörde gelten und ob ein freier Träger „im Namen von Behörden“ handelt, wenn er an Leistungsentscheidungen mitwirkt (Anhang III Nr. 5 Buchst. a). Davon hängt auch die Frist für Behörden-Systeme aus Art. 111 Abs. 2 ab.
• Ob jeder freie Träger in jedem Leistungsfeld zu den „privaten Einrichtungen, die öffentliche Dienste erbringen“ zählt (Art. 27 Abs. 1).
• Ob ambulante Pflegedienste und Rehabilitationseinrichtungen unter NIS2 fallen. Das Caritas-Netzwerk IT beschreibt abweichende Auslegungen von BSI, Verbänden und Bundesgesundheitsministerium. Bei ambulanten Pflegediensten hält es die Frage für ungeklärt, bei Rehabilitationseinrichtungen rät es zur Prüfung im Einzelfall.

Zu diesen Fragen habe ich weder Rechtsprechung noch eine gefestigte Behördenauslegung gefunden.

Was sich jetzt vorbereiten lässt

Die Verschiebung der Hochrisiko-Pflichten schafft Planungszeit, aber keine Entwarnung. Datenschutz, Schweigepflicht und Art. 4 gelten unverändert. Die Arbeit für 2027 lässt sich deshalb mit der Arbeit für heute verbinden.

• Ein Verzeichnis aller KI-Anwendungen anlegen, mit Zweck, Hersteller und vorläufiger Einordnung nach Anhang III. Es ist die Grundlage für jede weitere Frist.
• Bei den Herstellern nachfragen: für generative Werkzeuge, wie sie die Kennzeichnung ab dem 2. Dezember 2026 umsetzen; für Software in Personal- und Leistungsfragen, ob sie diese als hochriskant einstufen.
• Die Maßnahmen zur KI-Kompetenz festlegen und dokumentieren, etwa Einweisung, Nutzungsregeln und eine Ansprechperson.
• Die Meldewege getrennt beschreiben: an die Datenschutzaufsicht nach DSGVO, KDG oder DSG-EKD und, wo der Träger erfasst ist, an das BSI.
• Im Haushalt 2027 Zeit für eine mögliche Grundrechte-Folgen­abschätzung vorsehen und vorhandene Datenschutz-Folgen­abschätzungen dafür sichten.

Das Verzeichnis mit der Einordnung nach der KI-Verordnung ist die Bestandsaufnahme, mit der der KI-Check beginnt.

Fragen zu den Fristen

Quellen

1. Europäische Union: Verordnung (EU) 2026/1744 zur Änderung der Verordnung (EU) 2024/1689 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24. Juli 2026, Art. 1 Nr. 5, 7, 13, 39 und 40, Art. 4, Erwägungsgründe 38 bis 40. EUR-Lex, abgerufen am 8. Oktober 2026.
2. Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026 ohne Rechtswirkung, Art. 3, 4, 5, 6, 26, 27, 50, 99, 111, 113 und Anhang III. EUR-Lex, abgerufen am 8. Oktober 2026.
3. Europäische Union: Verordnung (EU) 2024/1689, ABl. L vom 12. Juli 2024, Art. 113 und Erwägungsgrund 96. EUR-Lex, abgerufen am 8. Oktober 2026.
4. Europäische Kommission: Durchführungsbeschluss (EU) 2026/2274 vom 12. Oktober 2026 über die harmonisierten Normen für Hochrisiko-KI-Systeme zur Unterstützung der Verordnung (EU) 2024/1689, Amtsblatt L vom 14. Oktober 2026. Beschluss bei EUR-Lex, abgerufen am 15. Oktober 2026.
5. Europäische Kommission: Vorschlag zum Digital Omnibus zur KI, COM(2025) 836 final, Art. 111 Abs. 4. EUR-Lex, abgerufen am 8. Oktober 2026.
6. Europäische Kommission: Vorschlag zum Digital Omnibus (Datenvorschriften), COM(2025) 837 final vom 19. November 2025, Art. 1 Nr. 8 (Art. 33 DSGVO). EUR-Lex, abgerufen am 8. Oktober 2026.
7. Europäisches Parlament: Legislative Observatory, Verfahren 2025/0360(COD). oeil.secure.europarl.europa.eu, abgerufen am 8. Oktober 2026.
8. Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), ABl. L 119 vom 4. Mai 2016, Art. 33 und 37. EUR-Lex, abgerufen am 8. Oktober 2026.
9. Bundesministerium der Justiz und für Verbraucherschutz: Bundes­datenschutz­gesetz, § 38. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
10. Bundesministerium der Justiz und für Verbraucherschutz: BSI-Gesetz (BSIG) vom 2. Dezember 2025, §§ 28, 30, 32 und 33, Anlage 1. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
11. Bundesgesetzblatt 2025 I Nr. 301 vom 5. Dezember 2025: Gesetz zur Umsetzung der NIS-2-Richtlinie, Art. 30 (Inkrafttreten). recht.bund.de, abgerufen am 8. Oktober 2026.
12. Bundesgesetzblatt 2026 I Nr. 223 vom 28. Juli 2026: Gesetz zur Durchführung der Verordnung über künstliche Intelligenz, Art. 1 und 5. recht.bund.de, abgerufen am 8. Oktober 2026.
13. Bundesministerium der Justiz und für Verbraucherschutz: Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), §§ 2, 15 und 17. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
14. Bundesamt für Sicherheit in der Informationstechnik: Sektorspezifische Fragen und Antworten zu NIS-2, Abschnitt Gesundheit. bsi.bund.de, abgerufen am 8. Oktober 2026.
15. Bundesamt für Sicherheit in der Informationstechnik: NIS-2-Pflichten, Abschnitt Registrierungspflicht. bsi.bund.de, abgerufen am 8. Oktober 2026.
16. Bundesamt für Sicherheit in der Informationstechnik: NIS-2-Meldepflicht. bsi.bund.de, abgerufen am 8. Oktober 2026.
17. Caritas-Netzwerk IT e. V.: NIS-2 und die Caritas, Fassung 2.0 vom 2. August 2026 (Sekundärquelle), Abschnitt 1.6 sowie Kapitel 6.4 und 6.7. caritas-netzwerk-it.de, abgerufen am 8. Oktober 2026.
18. Europäische Kommission: Vorschlag zur Änderung der Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), COM(2026) 13 final vom 20. Januar 2026, Erwägungsgrund 3 und Änderung von Anhang I Nr. 5. EUR-Lex, abgerufen am 8. Oktober 2026.
19. Europäisches Parlament und Rat: Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung, Art. 1 Abs. 3 Buchst. a. EUR-Lex, abgerufen am 8. Oktober 2026.
20. Europäisches Parlament: Legislative Observatory, Verfahren 2026/0012(COD). oeil.europarl.europa.eu, abgerufen am 8. Oktober 2026.
21. Europäische Kommission: Guidelines on transparency obligations for providers and deployers of AI systems, Veröffentlichung 20. Juli 2026. digital-strategy.ec.europa.eu, abgerufen am 8. Oktober 2026.
22. Bundesnetzagentur: Leitlinie zu Transparenzverpflichtungen für Anbieter und Betreiber von KI-Systemen, Abschnitt 8. bundesnetzagentur.de, abgerufen am 8. Oktober 2026.
23. Europäische Kommission: Guidelines for providers and deployers of AI high-risk systems (Entwurf). digital-strategy.ec.europa.eu, abgerufen am 8. Oktober 2026.
24. Bundeskanzler und Regierungschefinnen und Regierungschefs der Länder: Beschluss vom 4. Dezember 2025, Föderale Modernisierungsagenda, Abschnitt III Nr. 2.2, S. 24. PDF auf rlp.de, abgerufen am 8. Oktober 2026.
25. Bundesregierung: Ein Programm für Aufschwung und Beschäftigung (Koalitionsausschuss, Juli 2026), Nr. 14 und 26. PDF der Bundesregierung, abgerufen am 8. Oktober 2026.
26. Bistum Augsburg: KDG-Änderungsgesetz, Amtsblatt 2/2026, S. 42 bis 81, Art. 1 Nr. 29 und 33, Art. 2. PDF des Bistums, abgerufen am 8. Oktober 2026.
27. Bistum Dresden-Meißen: Kirchliches Amtsblatt, 36. Jahrgang, Nr. 3 vom 2. März 2026, Nr. 15 (KDG-Änderungsgesetz). PDF des Bistums, abgerufen am 8. Oktober 2026.
28. Bistum Magdeburg: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung vom 20. November 2017, Anlage Nr. 25 zum Amtsblatt Februar 2018, § 33 Abs. 1 (durch das Änderungsgesetz von 2026 nur im Wort „Gefahr“ geändert) und § 36 Abs. 2 (Altfassung, zum Vergleich der Schwelle). PDF des Bistums, abgerufen am 8. Oktober 2026.
29. Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 32 und 36. Kirchenrecht Online (PDF), abgerufen am 8. Oktober 2026.
30. Evangelische Kirche in Deutschland: Nichtamtliche Begründung zum Kirchengesetz zur dritten Änderung des EKD-Datenschutzgesetzes, Stand 6. Januar 2025, S. 18 (zu § 36). Kirchenrecht Online (PDF), abgerufen am 8. Oktober 2026.

Christian Monat

Ich bin externer Datenschutz­beauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich

Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.