Das Gesetz über den Kirchlichen Datenschutz (KDG) für Caritas und katholische Träger

Das Gesetz über den Kirchlichen Datenschutz (KDG) regelt, wie kirchliche Stellen der katholischen Kirche personenbezogene Daten verarbeiten dürfen, welche Rechte betroffene Personen haben und wer die Einhaltung überwacht. Es beruht auf Art. 91 der Datenschutz-Grundverordnung (DSGVO) und stellt den Einklang mit der DSGVO her (Präambel KDG).

Den Gesetzestext beschließt die Vollversammlung des Verbandes der Diözesen Deutschlands (VDD), des Zusammenschlusses der 27 (Erz-)Diözesen. Der Beschluss allein setzt nichts in Kraft: Jeder Diözesanbischof erlässt den Text als Gesetz für sein Bistum, deshalb ist das KDG ein Diözesangesetz.

Die Novelle: Der Bischof setzt sie je Bistum in Kraft, in den geprüften Bistümern zum 1. März 2026

Die Vollversammlung des VDD hat am 24. November 2025 eine Novelle des KDG und der Durchführungs­verordnung (KDG-DVO) beschlossen. Die KDG-DVO enthält die technischen und organisatorischen Vorgaben, etwa zu Schutzklassen.

Welche Fassung bei Ihnen gilt, entscheidet das Amtsblatt Ihrer Diözese, in dem der Bischof das Gesetz datiert und das Inkrafttreten nennt.

Wen das KDG bindet und wer aufsieht

Bei Ordenseinrichtungen kommt es auf den Rechtsträger an; Abgrenzungsfragen stimmen die Aufsichten untereinander ab (§ 45 Abs. 1 Satz 2 KDG).

Ein Diözesan­datenschutz­beauftragter darf für mehrere Diözesen bestellt werden (§ 43 Abs. 1 Satz 3 KDG). Derzeit gibt es fünf Aufsichten: Nord, Ost, das Katholische Datenschutzzentrum Dortmund für Nordrhein-Westfalen, Frankfurt am Main und Bayern. Welche für Sie zuständig ist, zeigt die Übersicht der Konferenz der Diözesan­datenschutz­beauftragten.

Pflichten im Alltag einer Einrichtung

• Klientendaten. Gesundheitsdaten zählen zu den besonderen Kategorien (§ 4 Nr. 2 KDG). Die KDG-DVO teilt Daten nach ihrem Schutzbedarf in drei Datenschutzklassen mit steigenden Schutzmaßnahmen ein (§§ 9, 11 bis 13). Besondere Kategorien gehören in die höchste Klasse III, ebenso Daten ohne Einordnung (§ 9 Abs. 5, § 13). Das gilt für Pflege, Eingliederungs­hilfe, Jugendhilfe und Kita.
• Beratung und Einwilligungen. Die Schriftform für Einwilligungen ist entfallen, der Nachweis bleibt Pflicht (§ 8 Abs. 1 KDG). Kirchliche Präventions- und Beratungsdienste, die Minderjährigen unmittelbar und kostenfrei offenstehen, brauchen die Einwilligung der Sorgeberechtigten nicht, wenn ihre Einholung das Angebot voraussichtlich gefährden würde (§ 8 Abs. 6 Satz 4 KDG).
• Beschäftigte. Als Beschäftigte gelten auch Werkstattbeschäftigte, Rehabilitanden und Freiwilligendienstleistende (§ 4 Nr. 24 KDG); § 53 KDG regelt, welche ihrer Daten der Träger für Zwecke des Beschäftigungsverhältnisses verarbeiten darf.
• Ehrenamt und Mitarbeiter­vertretung. Ehrenamtliche, die Daten verarbeiten, sind auf das Datengeheimnis zu verpflichten (§ 5 Abs. 2 KDG). Die Beteiligungsrechte der Mitarbeiter­vertretung nach der Mitarbeiter­vertretungsordnung bleiben unberührt (§ 53 Abs. 4 KDG); zur KI siehe den Beitrag zur Mitbestimmung bei der KI-Einführung.
• Betroffenenrechte. Anträge auf Auskunft, Löschung und weitere Rechte sind innerhalb eines Monats zu beantworten; die erste Kopie ist unentgeltlich (§ 14 Abs. 3, § 17 Abs. 3 KDG). Einzelheiten im Beitrag zu Auskunft und Kopie der Klientenakte.
• Datenpannen. Eine Verletzung des Schutzes personenbezogener Daten meldet der Träger unverzüglich der kirchlichen Datenschutzaufsicht, wenn sie ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Kommt die Meldung später als 72 Stunden nach Bekanntwerden, ist die Verzögerung zu begründen (§ 33 Abs. 1 KDG). Bei voraussichtlich hohem Risiko sind die Betroffenen zu benachrichtigen (§ 34 Abs. 1 KDG); siehe Datenpanne und 72 Stunden.
• IT und Dienstleister. Fax ist für personenbezogene Daten grundsätzlich unzulässig (§ 25 KDG-DVO). Vor der Nutzung eines Cloud-Dienstes ist je nach Risikoanalyse eine Ausstiegsstrategie festzulegen (§ 18 Abs. 3).

Was die Leitung selbst verantworten muss

Verantwortlicher ist der Träger (§ 4 Nr. 9 KDG), nicht der Datenschutz­beauftragte. Risikoanalyse und Einordnung der Daten in die Datenschutzklassen liegen beim Träger; die Übertragung auf den Datenschutz­beauftragten schließt die KDG-DVO aus (§ 15 Abs. 2 und 6). Begründung: Beitrag zur Verantwortung der Leitung.

Datenschutz­beauftragter

Ein Caritasverband oder ein anderer kirchlicher Rechtsträger benennt schriftlich einen betrieblichen Datenschutz­beauftragten, wenn eine von drei Voraussetzungen vorliegt (§ 36 Abs. 2 KDG). Erstens beschäftigen sich in der Regel mindestens 20 Personen ständig mit der Verarbeitung personenbezogener Daten. Zweitens besteht die Kerntätigkeit, also die Haupttätigkeit, in der umfangreichen, wiederkehrenden und systematischen Überwachung von Personen. Drittens besteht die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten, zu denen Gesundheitsdaten zählen. Diözesen, Kirchengemeinden, Kirchenstiftungen und Kirchengemeindeverbände benennen immer (§ 36 Abs. 1 KDG).

Die Novelle hat die Personenschwelle von 10 auf 20 angehoben. Für kirchliche caritative Einrichtungen sowie für Gesundheits-, Pflege- und Jugendeinrichtungen schreiben die Aufsichten in ihrer Arbeitshilfe, die Benennung wegen der Kerntätigkeit „dürfte“ weiterhin erforderlich sein; die Arbeitshilfe ist kein Gesetzestext. Nicht benannt werden darf, wer die Leitung der kirchlichen Stelle oder der Datenverarbeitung innehat. Die Benennung ist der Aufsicht anzuzeigen (§ 36 Abs. 4 und 7 KDG). Mehr: Beitrag zur Benennungspflicht in sozialen Einrichtungen.

Geldbußen und Gerichte

Die Aufsicht kann Geldbußen bis 1.000.000 Euro verhängen, gegen kirchliche Unternehmen im Wettbewerb bis zu 4 Prozent des Jahresumsatzes, höchstens 3.000.000 Euro (§ 51 Abs. 5 KDG). Gegen öffentlich-rechtlich verfasste kirchliche Stellen ergehen keine Geldbußen, es sei denn, sie nehmen als Unternehmen am Wettbewerb teil (§ 51 Abs. 6 KDG).

Gegen eine Entscheidung der Aufsicht kann der Träger binnen eines Monats nach Zugang die Überprüfung durch das Interdiözesane Datenschutzgericht in Köln beantragen (§ 49 und § 49b Abs. 1 KDG, § 8 Abs. 2 der Kirchlichen Datenschutzgerichtsordnung, KDSGO). Auch betroffene Personen können sich gegen den Träger an dieses Gericht wenden (§ 49a KDG). Rechtsmittel gehen an das Datenschutzgericht der Deutschen Bischofskonferenz in Bonn (§ 49b Abs. 2 KDG, § 1 Abs. 2 KDSGO). Ablauf: Beitrag zur Beschwerde bei der Datenschutzaufsicht.

KDG neben DSGVO, SGB X, § 203 StGB und KI-Verordnung

• DSGVO und BDSG. Katholische Träger wenden das KDG an; die DSGVO bleibt der Maßstab, in den es eingepasst sein muss. Für freie Träger ohne Kirchenbindung gilt die DSGVO mit dem Bundes­datenschutz­gesetz (BDSG).
• Sozialdaten (SGB X). Wer Sozialdaten von einem Jugendamt oder Träger der Eingliederungs­hilfe erhält und nicht in § 35 des Ersten Buches Sozialgesetzbuch (SGB I) genannt ist, darf sie nur zum Übermittlungszweck verarbeiten und muss sie im selben Umfang geheim halten (§ 78 Abs. 1 SGB X). Katholische Träger als solche stehen in § 35 SGB I nicht, wohl aber Integrationsfachdienste und anerkannte Adoptionsvermittlungsstellen, soweit sie Aufgaben nach dem Sozialgesetzbuch wahrnehmen (§ 35 Abs. 1 Satz 4 SGB I); für sie gilt das Sozialgeheimnis unmittelbar, auch in Caritas-Trägerschaft. Das KDG lässt besondere staatliche Vorschriften vorgehen, solange sie sein Datenschutzniveau nicht unterschreiten (§ 2 Abs. 2 KDG). Mehr in den Beiträgen zu SGB X und zum Sozial­daten­schutz bei freien Trägern.
• Schweigepflicht. Staatlich anerkannte Sozialarbeiter und Sozialpädagogen sind Berufs­geheimnis­träger (§ 203 Abs. 1 Nr. 6 Strafgesetzbuch, StGB); das KDG lässt Geheimhaltungspflichten unberührt (§ 2 Abs. 3 KDG). Zu externer IT und KI siehe den Beitrag zur Schweigepflicht bei Dienstleistern.
• KI-Verordnung. Die Verordnung (EU) 2024/1689 in der Fassung der Digital-Omnibus-Verordnung zur KI (EU) 2026/1744 gilt für Betreiber mit Sitz in der Union. Art. 2 kennt keine Ausnahme für Kirchen; Art. 91 DSGVO betrifft nur Datenschutzregeln. Das KDG regelt KI nicht eigens; es gelten die allgemeinen Vorschriften, etwa zu automatisierten Einzelentscheidungen (§ 24) und zur Datenschutz-Folgen­abschätzung, einer vorab dokumentierten Risikoprüfung, bei systematischer und umfassender Bewertung persönlicher Aspekte (§ 35 Abs. 4 lit. a). Maßnahmen zur KI-Kompetenz nach Art. 4 betreffen damit auch katholische Träger; mehr im Beitrag zur KI-Verordnung und zur KI-Kompetenz nach Art. 4.

Zwei Annahmen, die so nicht zutreffen

• Eine gGmbH fällt immer unter die DSGVO und die Landesbehörde. Ist sie eine Untergliederung oder ein Fachverband der Caritas oder ein sonstiger kirchlicher Rechtsträger, gilt das KDG ohne Rücksicht auf die Rechtsform (§ 3 Abs. 1 lit. b und c KDG).
• Seit der Novelle braucht keine kleine Einrichtung mehr einen Datenschutz­beauftragten. Die Personenschwelle ist von 10 auf 20 gestiegen. Wer besondere Kategorien wie Gesundheitsdaten als Kerntätigkeit umfangreich verarbeitet, muss unabhängig von der Personenzahl benennen (§ 36 Abs. 2 lit. c KDG).

Was in den nächsten Wochen zu tun ist

1. Prüfen Sie die geltende Fassung. Lesen Sie Gesetz und Durchführungs­verordnung im Amtsblatt Ihrer Diözese; bei überdiözesanen Trägern und ihren unselbständigen Einrichtungen in anderen Diözesen zählt die Diözese des Trägersitzes (§ 45 Abs. 1 und 2 KDG).
2. Gleichen Sie Ihre Unterlagen mit der Novelle ab. Dazu gehören das Verzeichnis der Verarbeitungs­tätigkeiten mit den Rechtsgrundlagen, Datenschutzinformationen und Einwilligungsvorlagen. Die Arbeitshilfe der Konferenz der Diözesan­datenschutz­beauftragten stellt ausgewählte Änderungen in alter und neuer Fassung gegenüber.
3. Klären Sie die Benennung des Datenschutz­beauftragten. Prüfen Sie Schwelle und Kerntätigkeit, die Anzeige bei der Aufsicht und mögliche Interessenkonflikte.
4. Ordnen Sie Daten und Systeme den Datenschutzklassen zu. Prüfen Sie dabei Cloud-Dienste, Fax und die Verträge mit Dienstleistern.
5. Verpflichten Sie Ehrenamtliche und belehren Sie die Mitarbeitenden. Die Verpflichtung Ehrenamtlicher steht seit der Novelle ausdrücklich im Gesetz (§ 5 Abs. 2 KDG). Bei einer wesentlichen Änderung des KDG sieht die KDG-DVO eine erneute Belehrung vor; ob die Novelle als wesentlich gilt, sagt sie nicht (§ 2 Abs. 4).

Die Funktion darf nach § 36 Abs. 5 KDG auch ein externer Datenschutz­beauftragter übernehmen; Leistung und Preis (400 bis 900 € im Monat) stehen auf der Seite Externer Datenschutz­beauftragter.

Stand: 15. Oktober 2026. Das KDG gilt in der Fassung, die der Diözesanbischof für sein Bistum in Kraft gesetzt hat; zitiert ist die Fassung des Bistums Hildesheim vom 20. Januar 2026, in Kraft seit 1. März 2026. Die KDG-DVO ist nach dem Mustertext des VDD und der Lesefassung des Bistums Augsburg zitiert, die Kirchliche Datenschutzgerichtsordnung in der Fassung von 2018. Für die übrigen Diözesen ist die Inkraftsetzung nicht festgestellt. Nicht gefunden habe ich eine kirchliche Regelung zur KI-Verordnung und eine Entscheidung zur Benennungspflicht caritativer Einrichtungen.

Fragen zum KDG

Quellen

1. Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 91 und Erwägungsgrund 165. EUR-Lex, abgerufen am 15. Oktober 2026.
2. Bistum Hildesheim: Gesetz über den Kirchlichen Datenschutz (KDG), vollständige Fassung vom 20. Januar 2026, in Kraft am 1. März 2026 (zitierte Fassung). PDF des Bistums Hildesheim, abgerufen am 15. Oktober 2026.
3. Bistum Augsburg: Amtsblatt für die Diözese Augsburg 2026, Nr. 2 vom 3. Februar 2026, KDG-Änderungsgesetz (Art. 2: Inkrafttreten 1. März 2026), Lesefassung KDG, KDG-DVO-Änderungsverordnung und Lesefassung KDG-DVO. Amtsblatt 2/2026, abgerufen am 15. Oktober 2026.
4. Erzbistum Berlin: Amtsblatt 03/2026, Anlage KDG-Änderungsgesetz vom 24. Februar 2026, sowie Amtsblatt 7/2026, Nr. 69 (2. KDG-Änderungsgesetz). Amtsblatt 03/2026, Anlage und Amtsblatt 7/2026, abgerufen am 15. Oktober 2026.
5. Bistum Limburg: Amtsblatt Nr. 2 vom 1. Februar 2026, KDG-Änderungsgesetz und KDG-DVO-Änderungsverordnung vom 20. Januar 2026. Amtsblatt 2/2026, abgerufen am 15. Oktober 2026.
6. Bistum Dresden-Meißen: Kirchliches Amtsblatt Nr. 3 vom 2. März 2026, KDG-Änderungsgesetz. Amtsblatt 3/2026, abgerufen am 15. Oktober 2026.
7. Bistum Regensburg: Amtsblatt für die Diözese Regensburg 2026, Nr. 1 vom 19. Januar 2026, KDG-Änderungsgesetz und KDG-DVO-Änderungsverordnung. Amtsblatt 1/2026, abgerufen am 15. Oktober 2026.
8. Bistum Rottenburg-Stuttgart: Kirchliches Amtsblatt Nr. 4 vom 26. Februar 2026, KDG-Änderungsgesetz und KDG-DVO-Änderungsverordnung. Amtsblatt 4/2026, abgerufen am 15. Oktober 2026.
9. Bistum Münster, Oldenburger Teil: Kirchliches Amtsblatt Münster 2026, Nr. 5 vom 1. Mai 2026, Art. 92 (KDG-Änderungsgesetz) und Art. 94 (KDG-DVO-Änderungsverordnung), jeweils in Kraft am 1. März 2026. Amtsblatt 5/2026, abgerufen am 15. Oktober 2026.
10. Bistum Augsburg, Bistum Eichstätt, Bistum Görlitz: 2. Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz (Inkrafttreten 1. August 2026). Amtsblatt Augsburg 8/2026, Pastoralblatt Eichstätt 6/2026 und Amtsblatt Görlitz 6/2026, abgerufen am 15. Oktober 2026.
11. Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) und Durchführungs­verordnung (KDG-DVO), Fassung der Beschlüsse der Vollversammlung vom 24. November 2025 (nichtamtlicher Mustertext), §§ 2 bis 5, 8, 14, 17, 24, 33 bis 37, 42 bis 51, 53; KDG-DVO §§ 2, 9, 11 bis 15, 18, 25. PDF des Katholischen Datenschutzzentrums, abgerufen am 15. Oktober 2026.
12. Katholisches Datenschutzzentrum Dortmund: Meldung zur Novellierung des KDG vom 22. Dezember 2025; Seiten zum Verband der Diözesen Deutschlands, zu den Erzbistümern und Bistümern, zur Konferenz und zu anderen kirchlichen Aufsichten; Lesefassung KDG und KDG-DVO, Stand 09/2026. Meldung vom 22. Dezember 2025, Verband der Diözesen Deutschlands, Erzbistümer und Bistümer, Konferenz der Diözesan­datenschutz­beauftragten, Andere kirchliche Aufsichten und Lesefassung (PDF), abgerufen am 15. Oktober 2026.
13. Konferenz der Diözesan­datenschutz­beauftragten der Katholischen Kirche Deutschlands: Arbeitshilfe zur Umsetzung der KDG-Novelle, Revision 1.0 vom 11. Februar 2026. Arbeitshilfe (PDF), abgerufen am 15. Oktober 2026.
14. Deutsche Bischofskonferenz: Kirchliche Datenschutzgerichtsordnung (KDSGO), Amtsblatt Augsburg 9/2018, S. 514 bis 523, §§ 1 und 8. KDSGO (PDF), abgerufen am 15. Oktober 2026.
15. Evangelische Kirche in Deutschland: Datenschutzgesetz der EKD (DSG-EKD), Neufassung, Amtsblatt der EKD 1/2025, §§ 2 und 39. kirchenrecht-ekd.de, abgerufen am 15. Oktober 2026.
16. Gemeinsamer Ordensdatenschutz­beauftragter der Deutschen Ordensobernkonferenz: Kirchliche Datenschutzregelung der Ordensgemeinschaften päpstlichen Rechts (KDR-OG), Startseite. datenschutz.orden.de, abgerufen am 15. Oktober 2026.
17. Bundesministerium der Justiz und für Verbraucherschutz: Zehntes Buch Sozialgesetzbuch, § 78; Erstes Buch Sozialgesetzbuch, § 35; Strafgesetzbuch, § 203 Abs. 1 Nr. 6. § 78 SGB X, § 35 SGB I und § 203 StGB auf gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
18. Europäisches Parlament und Rat: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 2 und 3 Nr. 4, sowie Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), Art. 1 Nr. 2, 3 und 5. Verordnung 2024/1689 und Verordnung 2026/1744 auf EUR-Lex, abgerufen am 15. Oktober 2026.

Christian Monat

Ich bin externer Datenschutz­beauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich

Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.