Die Entscheidung in Kürze
- Frage: Sie haben gelesen, ein Träger brauche einen „KI-Beauftragten“. Ist das Pflicht? Und wer übernimmt sonst die Aufgaben?
- Pflicht: Nach der KI-Verordnung und dem KI-MIG (dem deutschen Durchführungsgesetz) nein. Die KI-Verordnung kennt keinen KI-Beauftragten. Sie verlangt Maßnahmen zur KI-Kompetenz (Art. 4), ab 2. Dezember 2027 zudem eine menschliche Aufsicht durch befähigte Personen für Hochrisiko-Systeme nach Anhang III, also KI-Systeme aus bestimmten Einsatzbereichen mit besonders strengen Pflichten (Art. 26 Abs. 2).
- Empfehlung: Aufgaben festlegen, nicht einen Titel. Ich halte eine benannte interne KI-Ansprechperson für passend, die koordiniert, während die Leitung entscheidet und die oder der Datenschutzbeauftragte berät.
- Grenze: Wer Werkzeuge auswählt und freigibt, sollte nach meiner Einschätzung nicht zugleich in der Funktion des Datenschutzbeauftragten überwachen, ob sie rechtmäßig laufen. Das kann einen Interessenkonflikt begründen (Art. 38 Abs. 6 der Datenschutz-Grundverordnung, DSGVO; Urteil des Gerichtshofs der Europäischen Union (EuGH), C-453/21).
- Wechselbedingung: Kommt ein Hochrisiko-System dazu, etwa bei der Bewerberauswahl, braucht die Rolle mehr Gewicht.
Woher die Frage kommt und was an ihr stimmt
„KI-Beauftragter“ kommt weder in der KI-Verordnung noch im KI-MIG als Funktion vor. Beim Datenschutz gibt es die Funktion: Die DSGVO sieht den Datenschutzbeauftragten vor (Art. 37). Das Gesetz über den Kirchlichen Datenschutz (KDG, katholisch) und das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) kennen ihn ebenfalls, im DSG-EKD als „örtlich Beauftragte“ (§ 36 KDG, § 36 DSG-EKD). Die Aufgaben, die man mit einem KI-Beauftragten verbindet, fallen im Träger trotzdem an.
In Weiterbildungsangeboten taucht der Begriff auf. Industrie- und Handelskammern (IHK) bieten einen Zertifikatslehrgang „Betrieblicher KI-Beauftragter (IHK)“ an, etwa die IHK Bodensee-Oberschwaben und die IHK Darmstadt. Nach der Beschreibung der IHK Bodensee-Oberschwaben soll ein solcher Beauftragter die Einführung von KI im Betrieb begleiten, Anwendungsfälle bewerten und Mitarbeitende unterstützen. Nach der IHK Elbe-Weser ist ein IHK-Zertifikat nicht einem öffentlich-rechtlichen Zeugnis gleichzusetzen. Gemeint ist eine Weiterbildung und eine mögliche Funktion im Betrieb, keine gesetzliche Stellung.
In der KI-Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 findet sich weder diese Bezeichnung noch eine vergleichbare Bestellpflicht für Betreiber. Das KI-MIG (KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz) regelt die zuständigen Behörden, Innovationsförderung und Bußgelder (§ 1) sowie ein Register für bestimmte Hochrisiko-Systeme (§ 20), aber keinen Beauftragten im Betrieb. Unter dem, was für Art. 4 nicht vorgeschrieben ist, nennt die Bundesnetzagentur ausdrücklich die Einführung eines KI-Beauftragten.
Die Europäische Kommission verneint in ihren Fragen und Antworten zur KI-Kompetenz, dass Art. 4 eine bestimmte Governance-Struktur vorschreibt, also eine feste Ordnung für Steuerung und Aufsicht im Haus. Ob Datenschutzbeauftragter und KI-Beauftragter dieselbe Person sein können, beantwortet sie nicht ausdrücklich, obwohl die Frage dort gestellt ist.
Was Gesetze und Norm zu Zuständigkeiten sagen
Verlangt sind Maßnahmen und für bestimmte Systeme später eine menschliche Aufsicht durch befähigte Personen. Wer sie übernimmt, überlassen die Vorschriften dem Träger.
| Regel | Betrifft | Aussage zu Zuständigkeiten | Status |
|---|---|---|---|
| Art. 4 KI-Verordnung | Anbieter und Betreiber, also auch Träger, die KI-Werkzeuge beruflich nutzen | Maßnahmen, die die KI-Kompetenz des Personals und weiterer Personen im Auftrag des Trägers unterstützen; kein bestimmtes Niveau geschuldet. Eine feste Struktur oder einen Beauftragten schreibt die Norm nicht vor (so auch die Kommission und die Bundesnetzagentur). | gilt in neuer Fassung seit 27. Juli 2026 |
| Art. 26 Abs. 2 und 3 KI-Verordnung | Betreiber von Hochrisiko-Systemen nach Anhang III (Liste von Einsatzbereichen) | Die menschliche Aufsicht liegt bei natürlichen Personen mit Kompetenz, Ausbildung und Befugnis, die Unterstützung erhalten. Wie der Betreiber seine Ressourcen und Tätigkeiten dafür organisiert, bleibt seine Freiheit. | gilt ab |
| Art. 17 Abs. 1 Buchst. m KI-Verordnung | Anbieter von Hochrisiko-Systemen nach Anhang III | Das Qualitätsmanagementsystem enthält einen Rechenschaftsrahmen, der die Verantwortlichkeiten der Leitung und des sonstigen Personals regelt. Ein Beauftragter kommt dort nicht vor. | gilt ab |
| §§ 1, 2, 15 und 20 KI-MIG | Behörden, Bußgelder, Register | Die Bundesnetzagentur ist Marktüberwachungsbehörde (§ 2 Abs. 1). Im Betrieb einen Beauftragten zu bestellen, schreibt das Gesetz nicht vor. | gilt seit 29. Juli 2026 |
| ISO/IEC 42001, Kapitel 5.3 | Organisationen, die die Norm für KI-Managementsysteme anwenden; die KI-Verordnung nennt sie nicht | Das Kapitel heißt „Rollen, Verantwortlichkeiten und Befugnisse“, Anhang B.3.2 „KI-Rollen und -Verantwortlichkeiten“. | freiwillig |
Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4). Das gilt für einen Träger, der KI-gestützte Schreibhilfen, KI-Übersetzer oder KI-Funktionen der Fachsoftware nutzt, ob in ambulanten Diensten, Heimen, Wohngruppen, Kitas oder Beratungsstellen. Anbieterpflichten wie in Art. 17 treffen ihn nur, wenn er selbst Anbieter wird. Das geschieht durch ein eigenes System unter eigenem Namen (Art. 3 Nr. 3) oder indem er ein Hochrisiko-System mit seinem Namen versieht, wesentlich verändert oder ein anderes KI-System zu einem Hochrisiko-Zweck umwidmet (Art. 25 Abs. 1). Die Rollen ordnet der Beitrag zur KI-Verordnung für soziale Träger ein.
Hochrisiko-Systeme nach Anhang III betreffen im Personalbereich etwa die Auswahl von Bewerbenden und die Beobachtung der Leistung von Beschäftigten (Nr. 4). Menschliche Aufsicht heißt, dass dafür zuständige Personen ein solches System überwachen, seine Ausgaben richtig deuten und eingreifen oder den Betrieb unterbrechen können (Art. 14 Abs. 4). Was dann zu tun ist, zeigt der Beitrag zu KI in Bewerbung und Personaleinsatz. Wer ein Managementsystem nach ISO/IEC 42001 erwägt, findet den Aufbau der Norm im Beitrag Aufbau und Grenzen von ISO/IEC 42001.
Welche Aufgaben anfallen, gleich wie die Rolle heißt
Zwei Aufgaben folgen aus der KI-Verordnung: die Maßnahmen zur KI-Kompetenz und, bei bestimmten Hochrisiko-Systemen, die menschliche Aufsicht. Vier weitere sind Empfehlungen; die Verordnung verlangt sie nicht. Jemand im Träger sollte alle sechs übernehmen.
- Verzeichnis führen. Welche Werkzeuge laufen, auch per Update und über private Konten. Wie sich das erheben lässt, zeigt der Beitrag Welche KI nutzt unser Team?
- Prüfung anstoßen. Neue Werkzeuge und Funktionen gehen mit den Antworten des Herstellers zur Leitung und bleiben bis zur Entscheidung ausgeschaltet (KI-Funktion in der Fachsoftware).
- Maßnahmen zur KI-Kompetenz organisieren. Das verlangt Art. 4. Die Bundesnetzagentur rät, Ziele und Verantwortlichkeiten festzulegen und die Maßnahmen zu dokumentieren (KI-Kompetenz nach Art. 4).
- Fragen und Fehler annehmen. Die Teams haben eine Ansprechperson; ein Datenschutzvorfall geht auf den vorhandenen Meldeweg (Datenpanne in der Einrichtung).
- An die Leitung berichten. Stand des Verzeichnisses, offene Prüfungen, Änderungsvorschläge für die Regeln.
- Menschliche Aufsicht vorbereiten. Bei einem Hochrisiko-System nach Anhang III ist die menschliche Aufsicht ab dem 2. Dezember 2027 geeigneten Personen zu übertragen, die Unterstützung erhalten (Art. 26 Abs. 2). Bei Systemen nach Anhang I Abschnitt A, etwa KI in Medizinprodukten, gilt das erst ab dem 2. August 2028.
Zu keiner dieser Aufgaben gehört die Entscheidung über Werkzeuge und Regeln. Aufgaben lassen sich abgeben, die Verantwortung bleibt bei der Leitung; der Beitrag zur Verantwortung der Leitung begründet das.
Vier Wege im Vergleich
Entscheidend ist, wer die Aufgaben übernimmt und wie unabhängig die Beratung bleibt.
| Weg | Was er bedeutet | Spricht dafür | Spricht dagegen |
|---|---|---|---|
| 1. Keine eigene Rolle. | Die Leitung ordnet die Aufgaben schriftlich sich selbst oder vorhandenen Stellen zu, etwa dem Qualitätsmanagement, der IT-Betreuung oder der Datenschutzkoordination. Einen neuen Titel gibt es nicht. | Keine neue Stelle nötig. Bei überschaubarem Einsatz ohne Hochrisiko-System kann das organisatorisch genügen, wenn jemand die Aufgaben tatsächlich übernimmt. | Aufgaben ohne Namen bleiben liegen, etwa Updates und Freigaben. Nach einem Vorfall oder einer Anfrage der Aufsicht fehlt eine benannte Zuständigkeit. |
| 2. Die oder der Datenschutzbeauftragte übernimmt mit. | Die oder der Datenschutzbeauftragte übernimmt zusätzlich die Aufgaben der KI-Ansprechperson, etwa das Verzeichnis und die Prüfung neuer Werkzeuge. Beraten und an Schulungen mitwirken gehört schon zu den Aufgaben nach Art. 39 Abs. 1 DSGVO, bei jedem Weg. | Wissen zu Datenschutz ist vorhanden. Eine zusätzliche Person braucht es nicht. | Wer Werkzeuge auswählt oder freigibt und zugleich als Datenschutzbeauftragte oder Datenschutzbeauftragter überwacht, prüft die eigene Entscheidung. Das kann einen Interessenkonflikt begründen (Art. 38 Abs. 6 DSGVO). Nach dem KDG darf nicht benannt werden, wer die Datenverarbeitung oder die Stelle leitet. |
| 3. Interne Rolle. | Im Haus koordiniert eine Person, die „KI-Ansprechperson“ heißen kann. Sie führt das Verzeichnis, bereitet Prüfungen vor und berichtet an die Leitung. Entschieden wird in der Leitung. | Benannte Zuständigkeit, kurzer Weg zu den Teams, der Nachweis zu Art. 4 liegt an einer Stelle. | Die Rolle braucht Zeit und eine Vertretung. Ohne Rückhalt der Leitung bleibt sie wirkungslos. Die Ansprechperson sollte nicht zugleich die oder der Datenschutzbeauftragte sein, wenn sie Zwecke und Mittel der Verarbeitung mitbestimmt. |
| 4. Externe Begleitung. | Extern hilft eine Stelle beim Aufbau von Verzeichnis, Regeln und Freigabeweg, schult und prüft; im Haus bleibt eine Ansprechperson. | Wissen von außen und Entlastung beim Aufbau; ein Blick, der die Regeln nicht selbst geschrieben hat. | Es entstehen Kosten. Ist im Haus niemand zuständig, bleibt auch das Wissen außerhalb. Verantwortlich bleibt die Leitung. Ist die externe Stelle zugleich als Datenschutzbeauftragte benannt, gilt die Trennung wie bei Weg 2. |
Warum die oder der Datenschutzbeauftragte die Rolle nur teilweise übernehmen sollte
Die oder der Datenschutzbeauftragte darf weitere Aufgaben haben. Sicherstellen muss der Träger aber, dass sie nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Nach dem EuGH schließen sich das Amt und weitere Aufgaben grundsätzlich nicht aus. Ein Konflikt kann bestehen, wenn die weitere Aufgabe die Person Zwecke und Mittel der Verarbeitung festlegen lässt, weil sie genau das unabhängig überwachen muss; ob das so ist, entscheidet der Einzelfall (Urteil vom 9. Februar 2023, C-453/21, Randnummern 40 und 44 bis 46).
Als Beispiele nennt die Landesbeauftragte für Datenschutz in Nordrhein-Westfalen die Leitung der Stelle, die Leitung von IT und Personal sowie Beschäftigte dieser Abteilungen, wenn sie Datenverarbeitungsprozesse bestimmen oder wesentlich beeinflussen können. Ähnlich nennen die Leitlinien der Artikel-29-Datenschutzgruppe auch Rollen weiter unten in der Organisation, wenn sie Zwecke und Mittel der Verarbeitung mitbestimmen (WP 243 rev.01, Abschnitt 3.5). Ich zähle eine KI-Ansprechperson dazu, wenn sie Werkzeuge auswählt oder freigibt.
Für kirchliche Träger gelten eigene Regeln. Nach dem KDG darf nicht benannt werden, wer mit der Leitung der Datenverarbeitung beauftragt ist oder die kirchliche Stelle leitet (§ 36 Abs. 7 Satz 1); andere Aufgaben dürfen außerdem nicht zu einem Interessenkonflikt führen (§ 37 Abs. 5). Im DSG-EKD fehlt der Begriff Interessenkonflikt; nach § 36 Abs. 4 sollen die Leitung der Datenverarbeitung und die Leitung der kirchlichen Stelle nicht bestellt werden.
Tragfähig ist deshalb eine Aufteilung. Datenschutzbeauftragte beraten zu Werkzeugen, nehmen zu Freigaben Stellung und wirken bei Schulungen mit. Das deckt sich mit den Aufgaben nach Art. 39 Abs. 1 DSGVO und mit der Orientierungshilfe der Datenschutzkonferenz (DSK) der Aufsichtsbehörden: Datenschutzbeauftragte sollten eingebunden werden, wenn Entscheidungen über KI-Anwendungen vorbereitet oder getroffen werden (Rn. 31). Auswahl, Beschaffung und Freigabe liegen bei der Leitung oder bei einer anderen Person.
Wie sich die Rollenverteilung bei der Prüfung einer Richtlinie auswirkt, zeigt der Beitrag Mit zehn Fragen die KI-Richtlinie prüfen. Wann Datenschutzbeauftragte zu benennen sind, steht im Beitrag Datenschutzbeauftragter in sozialen Einrichtungen.
Empfehlung: eine Ansprechperson, die koordiniert und nicht entscheidet
Meine Empfehlung
Bei überschaubarem KI-Einsatz ohne Hochrisiko-System halte ich Weg 3 für passend: eine benannte interne KI-Ansprechperson mit schriftlich festgelegten Aufgaben, Zeitanteil und Vertretung. Über Werkzeuge und Regeln entscheidet die Leitung; die oder der Datenschutzbeauftragte berät und gibt nichts frei. Den Titel wählt der Träger. „KI-Beauftragter“ begründet weder eine Pflicht noch eine eigene Entscheidungsbefugnis.
Weg 1 genügt aus meiner Sicht organisatorisch, solange das Verzeichnis der Werkzeuge kurz bleibt, kein Hochrisiko-System dabei ist und eine Person in der Leitung die Aufgaben nachweislich übernimmt. Weg 4 passt, wenn im Haus niemand Zeit und Einarbeitung hat; die Ansprechperson bleibt auch dann. Weg 2 allein halte ich nicht für tragfähig, sobald die oder der Datenschutzbeauftragte Werkzeuge auswählt oder freigibt.
Ausbauen würde ich die Rolle, wenn ein Hochrisiko-System nach Anhang III dazukommt. Dann ist ab dem 2. Dezember 2027 die menschliche Aufsicht Personen mit Kompetenz, Ausbildung und Befugnis zu übertragen. Auch ein Managementsystem kann sich lohnen (ISO/IEC 42001 für soziale Träger).
Beschlussvorschlag für die Leitung
- Die Leitung (Geschäftsführung oder Vorstand) benennt eine KI-Ansprechperson und eine Vertretung. Aufgaben, Zeitanteil und Berichtsweg stehen schriftlich fest; die Ansprechperson entscheidet nichts allein.
- Über Werkzeuge, Freigaben und Regeln entscheidet die Leitung. Datenschutzbeauftragte werden beteiligt, geben aber nichts frei.
- Bis zu einem festen Datum legt die Ansprechperson ein Verzeichnis, einen Freigabeweg und einen Plan für die Maßnahmen zur KI-Kompetenz mit Nachweis vor.
- Jährlich und bei jedem Hochrisiko-System prüft die Leitung die Rolle neu. Betriebsrat, Personalrat, Mitarbeitervertretung (katholisch) oder Mitarbeitendenvertretung (evangelisch) werden beteiligt, soweit die Werkzeuge es verlangen (Mitbestimmung bei KI).
Die Rollenverteilung gehört in die KI-Richtlinie; wie sie sich gliedern lässt, zeigt der Beitrag zu Gliederung und Musterformulierungen. Beim Festhalten der Rollen und bei der Prüfung einer vorhandenen Richtlinie hilft das Angebot zur KI-Richtlinie.
Zum Eigeninteresse: Ich bin selbst externer Datenschutzbeauftragter und biete eine KI-Richtlinie an.
Offene Punkte
Ob die oder der Datenschutzbeauftragte zugleich KI-Ansprechperson sein darf, ist nach dem EuGH eine Frage des Einzelfalls. Nicht festgestellt werden konnte eine Äußerung einer Aufsichtsbehörde oder ein Urteil speziell zu dieser Verbindung. Vom Normtext der ISO/IEC 42001 lag nur das Inhaltsverzeichnis vor, deshalb ist offen, welche Rollen Kapitel 5.3 im Einzelnen verlangt. Nicht geprüft sind das Landesrecht für kommunale Träger und die Fassungen anderer Bistümer und Landeskirchen. Offen ist auch, ob schon die Zuweisung der Aufgaben an die KI-Ansprechperson eine Beteiligung der Beschäftigtenvertretung auslöst.
Stand: 21. Oktober 2026. Geprüft sind die Verordnung (EU) 2024/1689 im Amtsblatt, die Verordnung (EU) 2026/1744 und die konsolidierte Fassung vom 27. Juli 2026, die keine Rechtswirkung hat. Weiter geprüft sind das KI-MIG (laut Fundstelle ist der Text dokumentarisch noch nicht bearbeitet) und die DSGVO. Dazu kommen das KDG in der Ausgabe des Bistums Hildesheim (in Kraft seit 1. März 2026, geändert durch das 2. KDG-Änderungsgesetz vom 29. Juni 2026 mit Wirkung zum 1. August 2026, das nur § 37 Abs. 2 Satz 4 betrifft), das DSG-EKD in der Neufassung vom 15. Januar 2025, die Leitlinien der Artikel-29-Datenschutzgruppe, die Seite der Bundesnetzagentur und die Fragen und Antworten der Kommission (Seitenstand 20. Oktober 2026). Von der ISO/IEC 42001 lag nur das Inhaltsverzeichnis der deutschen Fassung vor; eine Auslegung der Doppelrolle von Datenschutzbeauftragten und KI-Beauftragten durch Aufsicht oder Gerichte konnte nicht festgestellt werden.
Fragen zum KI-Beauftragten
Ist ein KI-Beauftragter Pflicht?
Nein. Weder die KI-Verordnung noch das KI-MIG verlangt einen KI-Beauftragten; die Bundesnetzagentur zählt ihn ausdrücklich zu dem, was für Art. 4 nicht vorgeschrieben ist. Verlangt sind Maßnahmen zur KI-Kompetenz, ab 2. Dezember 2027 zudem eine menschliche Aufsicht durch befähigte Personen für Hochrisiko-Systeme nach Anhang III.
Darf der Datenschutzbeauftragte auch KI-Beauftragter sein?
Das ist nicht grundsätzlich ausgeschlossen, aber ein Fall für Art. 38 Abs. 6 DSGVO und den Einzelfall (EuGH, C-453/21). Beraten darf die oder der Datenschutzbeauftragte; Werkzeuge auswählen und freigeben sollte eine andere Stelle. Im KDG darf nicht benannt werden, wer die Datenverarbeitung oder die kirchliche Stelle leitet.
Genügt ein Zertifikat „KI-Beauftragter (IHK)“ für Art. 4?
Nicht allein: Art. 4 verlangt Maßnahmen für das Personal und für weitere Personen, die im Auftrag des Trägers mit KI arbeiten; eine einzelne qualifizierte Person erfüllt das nicht. Nach der Kommission braucht es kein Zertifikat, ein internes Verzeichnis der Maßnahmen kann als Nachweis dienen; auch die Bundesnetzagentur sieht keine Zertifizierungspflicht. Ein Lehrgang kann eine mögliche Maßnahme sein; ob er zum Bedarf des Trägers passt, entscheidet der Träger.
Ab wann muss ein Träger die menschliche Aufsicht übertragen?
Für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für Hochrisiko-Systeme nach Anhang I Abschnitt A ab dem 2. August 2028 (Art. 26 Abs. 2, Art. 113 Abs. 3 Buchst. c). Für Hochrisiko-Systeme, die vor dem jeweiligen Datum in Verkehr gebracht oder in Betrieb genommen wurden, gilt die Verordnung nur, wenn ihre Konzeption danach erheblich verändert wird; Anbieter und Betreiber von Hochrisiko-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, müssen in jedem Fall bis zum 2. August 2030 die erforderlichen Maßnahmen zur Erfüllung der Anforderungen und Pflichten der Verordnung treffen (Art. 111 Abs. 2). Ob ein kommunaler Träger als Behörde in diesem Sinn gilt, wurde nicht geprüft; Art. 4 mit den Maßnahmen zur KI-Kompetenz gilt für alle Betreiber schon jetzt und bleibt daneben bestehen.
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2024/1689 vom 13. Juni 2024 (KI-Verordnung), ABl. L vom 12. Juli 2024, Art. 3 Nr. 3 und 4, Art. 6 Abs. 1 und 2, Art. 14 Abs. 4, Art. 17 Abs. 1 Buchst. m, Art. 25 Abs. 1, Art. 26 Abs. 2 und 3, Anhang I Abschnitt A Nr. 11 und 12 und Anhang III Nr. 4 (in diesen Fundstellen von der Verordnung (EU) 2026/1744 nicht geändert). Verordnung beim Amt für Veröffentlichungen der EU, abgerufen am 21. Oktober 2026.
- Europäische Union: Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Verordnung (EU) 2024/1689 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24. Juli 2026, Art. 1 Nr. 5 (Art. 4 neu), Nr. 39 (Art. 111 Abs. 2 neu), Nr. 40 (Art. 113 Abs. 3), Art. 4 (Inkrafttreten). Verordnung beim Amt für Veröffentlichungen der EU, abgerufen am 21. Oktober 2026.
- Amt für Veröffentlichungen der EU: Konsolidierter Text der Verordnung (EU) 2024/1689 in der Fassung vom 27. Juli 2026, zum Abgleich der geänderten Fassung; ohne Rechtswirkung, verbindlich sind die im Amtsblatt veröffentlichten Texte. Konsolidierter Text, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026, BGBl. 2026 I Nr. 223, §§ 1, 2, 15 und 20, Inkrafttreten am 29. Juli 2026. gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Bundesnetzagentur: KI-Service Desk, Themenseite KI-Kompetenz, Abschnitt „Was sieht die KI-VO vor und was ist nicht vorgeschrieben?“. bundesnetzagentur.de, abgerufen am 21. Oktober 2026.
- Europäische Kommission, KI-Büro: AI Literacy. Questions and Answers, Seitenstand 20. Oktober 2026. digital-strategy.ec.europa.eu, abgerufen am 21. Oktober 2026.
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 37 bis 39. Verordnung beim Amt für Veröffentlichungen der EU, abgerufen am 21. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 9. Februar 2023, X-FAB Dresden, C-453/21, Rn. 40 und 44 bis 46. Urteil beim Amt für Veröffentlichungen der EU, abgerufen am 21. Oktober 2026.
- Artikel-29-Datenschutzgruppe: Leitlinien in Bezug auf Datenschutzbeauftragte (Guidelines on Data Protection Officers, WP 243 rev.01), angenommen am 13. Dezember 2016, zuletzt überarbeitet am 5. April 2017, Abschnitt 3.5. Europäische Kommission, Newsroom, abgerufen am 21. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 20. November 2017, geändert am 24. November 2025, §§ 36 bis 38, Ausgabe des Bistums Hildesheim. PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Bistum Hildesheim: 2. Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz (2. KDG-Änderungsgesetz) vom 29. Juni 2026, in Kraft seit 1. August 2026, Kirchlicher Anzeiger für das Bistum Hildesheim Nr. 6/2026 vom 15. Juli 2026, S. 221. Kirchlicher Anzeiger (PDF), abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 36 bis 38. Kirchenrecht Online (PDF), abgerufen am 21. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, Rn. 31. PDF der DSK, abgerufen am 21. Oktober 2026.
- Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen: Datenschutzbeauftragte FAQ Stellung, Frage zu anderen Aufgaben und Interessenkonflikt, Seite ohne Datumsangabe. ldi.nrw.de, abgerufen am 21. Oktober 2026.
- IHK Bodensee-Oberschwaben: Betrieblicher KI-Beauftragter, Beschreibung des Zertifikatslehrgangs. Lehrgangsseite, abgerufen am 21. Oktober 2026. Den Lehrgang führt auch die IHK Darmstadt in ihrer Übersicht, abgerufen am 21. Oktober 2026.
- IHK Elbe-Weser: IHK-Zertifikatslehrgänge, Hinweis zum Charakter des IHK-Zertifikats. ihk.de, abgerufen am 21. Oktober 2026.
- DIN Media: DIN EN ISO/IEC 42001:2026-08, Deutsche Fassung, Inhaltsverzeichnis (Kapitel 5.3, Anhang B.3.2). Produktseite bei DIN Media, abgerufen am 21. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
