Die Vorlage in Kürze
- Die Vorlage gliedert eine KI-Richtlinie in einen Kopf, neun Abschnitte und zwei Anlagen. Jeder der neun Abschnitte hat eine Musterformulierung mit Fundstelle. Eckige Klammern markieren, was der Träger selbst festlegt. Die Sätze sind Bausteine, keine fertige Richtlinie.
- Keine der geprüften Vorschriften schreibt eine KI-Richtlinie oder ihren Aufbau vor. Verlangt sind Maßnahmen zur KI-Kompetenz (Art. 4 KI-Verordnung) und Schritte, damit Beschäftigte personenbezogene Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4 Datenschutz-Grundverordnung, DSGVO). Dazu kommen geeignete Datenschutzvorkehrungen, soweit angemessen (Art. 24 Abs. 2 DSGVO); ihre Form lässt das Gesetz offen.
- Gesetzlich festgelegt sind die Verbote (Art. 5 KI-Verordnung), die Offenlegung von Deepfakes (täuschend echten KI-Inhalten) und von veröffentlichten KI-Texten zu Angelegenheiten von öffentlichem Interesse (Art. 50 Abs. 4). Ab 2. Dezember 2027 gelten zudem die Pflichten für Hochrisiko-Systeme nach Anhang III, also für Anwendungen aus Bereichen, die das Gesetz als besonders riskant auflistet, etwa in der Personalauswahl (Art. 26). Freigabeweg, Datenklassen, Aktenvermerk und Meldeweg bestimmt der Träger.
- Bei Caritas und anderen katholischen Trägern gilt das Gesetz über den Kirchlichen Datenschutz (KDG), bei Diakonie und anderen evangelischen Trägern das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD); die Tabelle zu kirchlichen Trägern nennt die Entsprechungen zur DSGVO.
- Ob die Vertretung der Beschäftigten (Betriebsrat, im katholischen Recht Mitarbeitervertretung, im evangelischen Mitarbeitendenvertretung, bei kommunalen Trägern öffentlichen Rechts Personalrat) vor dem Beschluss zu beteiligen ist, hängt von der Art des Trägers ab. Anknüpfungspunkte sind unter anderem technische Einrichtungen zur Überwachung von Verhalten oder Leistung und die Unterrichtung in der Planung.
Ein Kopf, neun Abschnitte, zwei Anlagen
Eine KI-Richtlinie für Mitarbeitende hält schriftlich fest, wie Beschäftigte eines Trägers KI nutzen dürfen. Sie ist ein Weg, Maßnahmen zur KI-Kompetenz (Art. 4 Abs. 1 KI-Verordnung), Weisungen an Beschäftigte (Art. 32 Abs. 4 DSGVO) und Datenschutzvorkehrungen (Art. 24 Abs. 2 DSGVO) nachzuweisen. Auch die Einhaltung der Datenschutzgrundsätze muss der Träger nachweisen können (Art. 5 Abs. 2 DSGVO).
Die Datenschutzkonferenz (DSK), das Gremium der Datenschutzaufsichtsbehörden von Bund und Ländern, rät zu klaren, dokumentierten Weisungen darüber, welche KI-Anwendungen unter welchen Voraussetzungen und zu welchen Zwecken eingesetzt werden dürfen. Beispiele zugelassener und untersagter Nutzung empfiehlt sie (Orientierungshilfe Künstliche Intelligenz und Datenschutz, Randnummer 36).
Der Kopf nennt Zweck und Verantwortung, zum Beispiel: „Diese Richtlinie legt fest, wie Beschäftigte von [Träger] KI-Anwendungen nutzen. [Geschäftsführung oder Vorstand] setzt sie für [Träger] in Kraft; [Funktion] koordiniert Anfragen und Updates, die oder der Datenschutzbeauftragte berät.“ Anlage 1 ist die Werkzeugliste, Anlage 2 ordnet Datenklassen den Werkzeugarten zu. Beide liegen getrennt, damit ein neues Werkzeug die Richtlinie nicht ändert. Die Gliederung passt auf Pflegedienste und Heime, Eingliederungshilfe und Jugendhilfe, Kitas und Beratungsstellen, auf freie, kirchliche und kommunale Träger.
Musterformulierungen für jeden Abschnitt
KI-VO ist die KI-Verordnung, Verordnung (EU) 2024/1689 in der Fassung der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744). „Rn.“ steht für Randnummer, bei „DSK“ in der Orientierungshilfe der DSK, bei „Leitlinien“ in den Leitlinien der Europäischen Kommission zu Art. 50.
| Abschnitt | Musterformulierung | Was der Träger festlegt (mit Fundstelle) |
|---|---|---|
| 1. Geltungsbereich | „Diese Richtlinie gilt für alle Beschäftigten von [Träger], für Ehrenamtliche und für Personen, die im Auftrag des Trägers arbeiten. Sie erfasst jede Anwendung, die aus Eingaben Texte, Bilder, Töne, Vorschläge, Bewertungen oder Vorhersagen erzeugt, auch eine Funktion in vorhandener Fachsoftware.“ | Welche Gruppen genannt werden (Ehrenamt, Honorarkräfte), welche Dienstanweisungen fortgelten. Art. 3 Nr. 1 und Art. 4 Abs. 1 KI-VO; Art. 32 Abs. 4 DSGVO |
| 2. Zugelassene Werkzeuge und Freigabeweg | „Dienstlich genutzt werden nur Werkzeuge der Werkzeugliste (Anlage 1) und nur für die dort genannte Aufgabe. Eine neue KI-Funktion, auch in vorhandener Software, gilt erst als zugelassen, wenn [Funktion] sie geprüft und [Geschäftsführung oder Vorstand] sie aufgenommen hat; bis dahin bleibt sie ausgeschaltet. Private Konten und Geräte sind für dienstliche Eingaben ausgeschlossen. [Der Träger stellt dienstliche Konten bereit.]“ | Wer prüft (Vertrag, Speicherort, Einstellungen), wer entscheidet und wer die Versionshinweise liest. Siehe KI-Verzeichnis, KI in der Fachsoftware und private Konten. DSK, Rn. 36, 41 und 43; Art. 25 Abs. 2 DSGVO |
| 3. Datenklassen | „Welche Angaben in welches Werkzeug dürfen, regelt Anlage 2. In ein Werkzeug ohne Vertrag des Trägers gehören nur Angaben ohne Personenbezug, die nicht vertraulich sind. Gesundheitsdaten und anvertraute Angaben werden nur nach schriftlicher Freigabe der Leitung für ein bestimmtes Werkzeug und eine bestimmte Aufgabe eingegeben. Ein weggelassener Name macht eine Angabe nicht anonym.“ | Zahl und Namen der Klassen, Zuordnung der Werkzeuge, Freigabe von Ausnahmen. Katholische Träger ordnen Daten zusätzlich den Datenschutzklassen der Durchführungsverordnung zum KDG (KDG-DVO) zu; ohne Einordnung gilt Klasse III (§ 9 Abs. 1 und 5, Fassung Hildesheim). Vorlage: Datenklassen für KI-Werkzeuge. Art. 5 Abs. 1 Buchst. c und f, Art. 9 DSGVO; § 203 Strafgesetzbuch; DSK, Rn. 49 |
| 4. Verbotene Nutzungen | „Nicht zulässig ist KI, die (a) Menschen nach ihrem sozialen Verhalten oder ihren Persönlichkeitsmerkmalen bewertet oder einstuft, (b) Emotionen von Beschäftigten ableitet, (c) die Schutzbedürftigkeit von Klientinnen und Klienten wegen Alter, Behinderung oder sozialer oder wirtschaftlicher Lage ausnutzt oder (d) intime oder sexuelle Darstellungen bestimmbarer Personen ohne deren ausdrückliche Zustimmung erzeugt. [Weitere Ausschlüsse.]“ | Weitere Ausschlüsse, etwa Emotionserkennung bei Klientinnen und Klienten (am Arbeitsplatz und in Bildungseinrichtungen verboten nach Art. 5 Abs. 1 Buchst. f, sonst, soweit zulässig, Hochrisiko nach Anhang III Nr. 1 Buchst. c; Information der Betroffenen nach Art. 50 Abs. 3) oder KI in der Personalauswahl. Art. 5 Abs. 1 Buchst. b, c, f und ba KI-VO |
| 5. Kennzeichnung | „KI-Entwürfe, die in Akte oder Bericht übernommen werden, tragen den Vermerk ‚mit KI-Unterstützung entworfen, geprüft von [Name oder Kürzel]‘. Veröffentlichte Texte, die über Angelegenheiten von öffentlichem Interesse informieren, werden als KI-Text gekennzeichnet, es sei denn, eine fachkundige Person hat Inhalt und Tatsachenangaben geprüft und [Funktion] trägt die redaktionelle Verantwortung; Name oder Funktion stehen im Impressum. Täuschend echte KI-Bilder, KI-Töne und KI-Videos werden als künstlich erzeugt kenntlich gemacht.“ | Wortlaut und Ort des Vermerks, wer redaktionell verantwortlich ist, ob er für jeden Entwurf oder nur für übernommene Passagen gilt. Nach den Leitlinien zählen zu Angelegenheiten von öffentlichem Interesse unter anderem öffentliche Verwaltung und Dienste sowie öffentliche Gesundheit; interne Texte gelten nicht als veröffentlicht. Art. 50 Abs. 4 KI-VO; Leitlinien, Rn. 131, 134, 135 und 138; der Aktenvermerk ist eine Regel des Trägers |
| 6. Menschliche Prüfung | „Ein Mensch prüft jedes KI-Ergebnis mit Angaben zu Personen auf Richtigkeit, bevor es in die Akte, an Klientinnen und Klienten, an Behörden oder an Kostenträger geht. Die prüfende Fachkraft darf vom Entwurf abweichen und hat dafür Zeit. Über Hilfen, Leistungen und Beschäftigung entscheidet ein Mensch; die Anwendung liefert höchstens einen Vorschlag.“ | Wer prüft (Fachkraft, zweite Person), worauf geprüft wird und wie die Prüfung vermerkt wird. Art. 5 Abs. 1 Buchst. d und Art. 22 Abs. 1 DSGVO; DSK, Rn. 12, 64 und 65; Art. 26 Abs. 2 KI-VO bei Hochrisiko |
| 7. Schulung | „Der Träger ergreift Maßnahmen zur KI-Kompetenz, die zu Aufgabe und Vorkenntnissen passen. Vor der ersten Nutzung eines Werkzeugs erhalten Beschäftigte eine Einführung zu Aufgaben, Grenzen, Datenklassen und Meldeweg; [Leitfäden und Gesprächsrunden im Team] ergänzen sie. [Die Teilnahme wird festgehalten.]“ | Form und Dauer, Vertiefung für Freigabe und Prüfaufgaben, Nachweis. Pläne je Berufsgruppe: KI-Schulung. Art. 4 Abs. 1 KI-VO; DSK, Rn. 46 |
| 8. Meldeweg | „Wer bemerkt, dass Angaben in ein nicht freigegebenes Werkzeug gelangt sind, ein KI-Ergebnis falsch ist oder eine Funktion unerwartet Daten verarbeitet, meldet das sofort an [Funktion, Telefon, E-Mail]. [Eine Meldung wird nicht als Vorwurf behandelt.] Die Stelle leitet sie an die Leitung und den Datenschutzbeauftragten weiter, die prüfen, ob eine Datenpanne vorliegt.“ | Anlaufstelle, Erreichbarkeit (Nachtdienst, Wochenende), Anbindung an den Weg für Datenpannen. Art. 33 Abs. 1 DSGVO, § 33 Abs. 1 KDG, § 32 Abs. 1 DSG-EKD; Art. 26 Abs. 5 KI-VO bei Hochrisiko |
| 9. Überprüfung | „[Geschäftsführung oder Vorstand] überprüft diese Richtlinie und ihre Anlagen einmal im Jahr, im [Monat], und außerdem bei jedem neuen Werkzeug, jeder neuen KI-Funktion, jedem Vorfall und jeder Änderung der Rechtslage. Jede Fassung trägt ein Datum; frühere Fassungen bleiben erhalten.“ | Termin, Anlässe, Vorbereitung. Die Jahresfrist ist ein Vorschlag. Art. 32 Abs. 1 Buchst. d und Art. 5 Abs. 2 DSGVO; DSK, Rn. 47 |
Beispielzeile für Anlage 1 (frei gewählt, keine reale Einrichtung)
- Werkzeug
- [Name und Version des Textassistenten]
- Aufgabe
- Entwürfe für Informationsblätter, ohne Angaben zu einzelnen Personen
- Höchste Datenklasse
- A: Öffentlich
- Konto und Einstellungen
- Konto des Trägers; Eingaben dienen nicht dem Training, der Verlauf wird gelöscht, soweit das Werkzeug es zulässt
- Freigabe
- [Funktion] am [Datum]
- Nächste Prüfung
- [Datum] oder bei jeder Änderung des Werkzeugs
Was das Gesetz festlegt und seit wann es gilt
- Verbote (Art. 5 KI-VO). Sie gelten seit 2. Februar 2025, die Buchstaben ba (intime oder sexuelle Darstellungen bestimmbarer Personen ohne Zustimmung) und bb (Kinderpornografie und pornografische Darbietungen mit Kindern, Art. 2 Buchst. c und e der Richtlinie 2011/93/EU) ab 2. Dezember 2026 (Art. 113 Abs. 3 Buchst. a). Die Musterformulierung vereinfacht die Tatbestände und geht teils über das Gesetz hinaus, etwa bei der Emotionsableitung ohne die Ausnahme aus medizinischen oder Sicherheitsgründen; maßgeblich ist der Gesetzestext.
- Kennzeichnung (Art. 50 KI-VO). Sie gilt seit 2. August 2026 (Art. 113 Abs. 2). Wer KI beruflich in eigener Verantwortung nutzt (Betreiber, Art. 3 Nr. 4), legt Deepfakes offen, also täuschend echte KI-Bilder, KI-Töne und KI-Videos (Art. 3 Nr. 60). Veröffentlichte KI-Texte zu Angelegenheiten von öffentlichem Interesse legt er ebenfalls offen, es sei denn, ein Mensch hat sie geprüft und jemand trägt die redaktionelle Verantwortung (Art. 50 Abs. 4). Die nicht verbindlichen Leitlinien der Kommission vom 20. Juli 2026, die der Beitrag zur Kennzeichnung nach Art. 50 auswertet, lassen eine bloße Rechtschreibprüfung nicht genügen und nennen die Prüfung der Tatsachen als Mindestanforderung (Rn. 134 und 135).
- Hochrisiko-Einstufung (Art. 6 KI-VO). Als hochriskant gelten zwei Gruppen von KI-Systemen. Zur ersten gehören die Systeme, die Anhang III auflistet (Art. 6 Abs. 2), etwa KI bei Einstellung und Beschäftigung (Nr. 4) oder KI, mit der eine Behörde oder jemand in ihrem Namen Ansprüche auf grundlegende öffentliche Unterstützungsleistungen beurteilt (Nr. 5 Buchst. a). Nicht jedes System in diesen Bereichen gilt als hochriskant (Art. 6 Abs. 3). Zur zweiten gehört KI in bestimmten regulierten Produkten, etwa in Medizinprodukten, die vor dem Inverkehrbringen von Dritten geprüft werden müssen (Art. 6 Abs. 1 und Anhang I).
- Betreiberpflichten bei Hochrisiko (Art. 26 KI-VO). Sie gelten für Systeme nach Anhang III ab 2. Dezember 2027, für Systeme in regulierten Produkten ab 2. August 2028 (Art. 113 Abs. 3 Buchst. c). Für Systeme, die vor dem jeweiligen Termin in Verkehr gebracht oder in Betrieb genommen wurden, gelten die Pflichten nur bei einer erheblichen Änderung der Konzeption; bei Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, müssen die Betreiber die Pflichten in jedem Fall bis zum 2. August 2030 erfüllen (Art. 111 Abs. 2). Zu den Pflichten gehören unter anderem menschliche Aufsicht durch kompetente und befugte Personen (Art. 26 Abs. 2), Information von Anbieter und Behörde bei Risiko oder schwerwiegendem Vorfall (Art. 26 Abs. 5) und Unterrichtung der Arbeitnehmervertreter und betroffenen Arbeitnehmer vor der Inbetriebnahme (Art. 26 Abs. 7). Für KI ohne Hochrisiko-Einstufung sind das keine gesetzlichen Pflichten aus der KI-Verordnung.
- KI-Kompetenz (Art. 4 KI-VO). Die Neufassung gilt seit 27. Juli 2026 (Art. 4 der Verordnung (EU) 2026/1744). Sie verlangt Maßnahmen zur Unterstützung der KI-Kompetenz, aber kein bestimmtes Niveau für irgendeine Person. Eine Schulung ist eine mögliche Maßnahme (KI-Kompetenz nach Art. 4).
Bei Caritas, Diakonie und anderen kirchlichen Trägern wechseln die Fundstellen
Katholische Träger wenden das KDG an, evangelische das DSG-EKD. Die DSK besteht aus den Datenschutzbehörden des Bundes und der Länder; ihre Orientierungshilfe ist für kirchliche Stellen deshalb eine fachliche Orientierung, keine Vorgabe der eigenen Aufsicht.
| Gegenstand | DSGVO | KDG | DSG-EKD |
|---|---|---|---|
| Grundsätze und Nachweis | Art. 5 Abs. 1 und 2 | § 7 Abs. 1 und 2 | § 5 Abs. 1 und 2 |
| Besondere Kategorien, etwa Gesundheitsdaten | Art. 9 | § 11 | § 13 |
| Automatisierte Entscheidungen | Art. 22 | § 24 | § 25a |
| Technikgestaltung und Voreinstellungen | Art. 25 | § 27 | § 28 |
| Maßnahmen, Überprüfung und Verarbeitung nur auf Anweisung | Art. 32 Abs. 1 und 4 | § 26 Abs. 1 und 5 | § 27 Abs. 1 und 5 |
| Meldung einer Datenpanne | Art. 33 Abs. 1 | § 33 Abs. 1 | § 32 Abs. 1 |
| Datenschutz-Folgenabschätzung | Art. 35 | § 35 | § 34 |
| Einbindung der oder des Datenschutzbeauftragten | Art. 38 Abs. 1 | § 37 Abs. 2 | § 37 Abs. 6 |
Alle drei Vorschriften verlangen die Meldung einer Datenpanne unverzüglich. DSGVO und KDG verlangen bei einer Meldung nach mehr als 72 Stunden eine Begründung der Verzögerung. Das DSG-EKD nennt keine Stundenzahl und setzt die Schwelle bei einem voraussichtlich nicht unerheblichen Risiko. Der Meldeweg im Haus sagt deshalb „sofort“ und nennt keine Stundenzahl.
Vor dem Beschluss: die Vertretung der Beschäftigten
Ob eine Vertretung beteiligt werden muss, hängt von der Art des Trägers und vom Inhalt ab. Beim Betriebsrat geht es um technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen (§ 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz, BetrVG); dafür genügt nach dem Bundesarbeitsgericht die objektive Eignung (Beschluss vom 16. Juli 2024, 1 ABR 16/23, Rn. 25). Im evangelischen Recht heißt es „geeignet“ (§ 40 Buchst. k Mitarbeitendenvertretungsgesetz der EKD, MVG-EKD), im katholischen „bestimmt“ (§ 36 Abs. 1 Nr. 9 Mitarbeitervertretungsordnung, MAVO, Fassung des Bistums Hildesheim); wie weit das reicht, vergleicht der Beitrag zur Mitbestimmung bei der Einführung von KI. Das BetrVG gilt nicht für Verwaltungen und Betriebe der Gemeinden und sonstiger Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts (§ 130 BetrVG). Für Personalräte kommunaler Träger öffentlichen Rechts gilt Landesrecht; das sächsische Recht steht im Beitrag zur Mitbestimmung.
Die DSK hält für KI-Anwendungen eine Dienstanweisung oder eine Dienst- oder Betriebsvereinbarung für naheliegend und weist darauf hin, dass die Einführung in einigen Fällen ein Mitbestimmungsrecht auslöst (Rn. 37). Hinzu kommen die Unterrichtung und Beratung schon in der Planung (§ 90 Abs. 1 Nr. 3 BetrVG, bei KI ausdrücklich genannt). Ob auch Vorgaben zum Verhalten im Dienst mitbestimmt sind (§ 87 Abs. 1 Nr. 1 BetrVG, ähnlich § 40 Buchst. l MVG-EKD), ist für Nutzungsvorgaben zu KI nicht gesichert. Das Arbeitsgericht Hamburg hat die Mitbestimmung für Vorgaben zu ChatGPT im Eilverfahren verneint, weil sie die Art der Arbeitserbringung betreffen (Beschluss vom 16. Januar 2024, 24 BVGa 1/24, Rn. 39). Ich würde der Vertretung den Entwurf zeigen, bevor die Geschäftsführung oder der Vorstand beschließt.
Wer die Richtlinie pflegt und wann sie überprüft wird
Verantwortlich ist der Träger (Art. 4 Nr. 7 DSGVO); für ihn beschließt die Geschäftsführung oder der Vorstand die Richtlinie, denn sie ist eine Anweisung des Trägers an die Beschäftigten (Art. 32 Abs. 4 DSGVO). Die oder der Datenschutzbeauftragte wird früh eingebunden (Art. 38 Abs. 1 DSGVO) und berät den Träger (Art. 39 Abs. 1 Buchst. a DSGVO). Die Freigabe eines Werkzeugs halte ich bei ihm oder ihr für fehl am Platz, weil sonst eigene Entscheidungen überwacht würden. Art. 38 Abs. 6 DSGVO verlangt Freiheit von Interessenkonflikten (kirchlich § 37 Abs. 5 KDG, ähnlich § 36 Abs. 4 DSG-EKD als Sollvorschrift). Warum die Leitung für den Träger handeln muss, beschreibt der Beitrag zur Verantwortung der Leitung.
Eine feste Prüffrist nennen die geprüften Vorschriften nicht. Die DSGVO verlangt ein Verfahren zur wiederkehrenden Überprüfung der Schutzmaßnahmen (Art. 32 Abs. 1 Buchst. d). Die DSK rät, bei Updates und technischen Entwicklungen zu prüfen, ob die internen Vorgaben angepasst werden müssen (Rn. 47). Mein Vorschlag ist ein Termin einmal im Jahr und eine Prüfung außer der Reihe bei neuem Werkzeug, neuer KI-Funktion, Vorfall oder geänderter Rechtslage.
Ob eine schon beschlossene Richtlinie im Alltag trägt, prüfen die zehn Fragen zur Prüfung der KI-Richtlinie.
Grenzen der Vorlage
Die Vorlage ersetzt weder die Prüfung im Einzelfall noch eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO), die vorab die Folgen einer Verarbeitung für den Schutz personenbezogener Daten abschätzt, noch die rechtliche Prüfung der Mitbestimmung. Das Angebot zur KI-Richtlinie umfasst die Entwicklung ab 4.500 € und die Prüfung einer vorhandenen Richtlinie ab 1.500 €, jeweils für eine Einrichtung an einem Standort und für kleine Träger mit weniger als 50 Beschäftigten.
Stand: 21. Oktober 2026. Geprüft: KI-Verordnung (konsolidierte Fassung vom 27. Juli 2026), Verordnung (EU) 2026/1744, Leitlinien der Europäischen Kommission zu Art. 50, Richtlinie 2011/93/EU, DSGVO, Orientierungshilfe und Zusammensetzung der DSK, § 203 Strafgesetzbuch, BetrVG, Beschluss des Bundesarbeitsgerichts 1 ABR 16/23, Beschluss des Arbeitsgerichts Hamburg 24 BVGa 1/24, KDG und KDG-DVO (Beschluss vom 24. November 2025, den jedes Bistum selbst in Kraft setzt; geprüft in der Fassung des Bistums Hildesheim, dort seit 1. März 2026 in Kraft; das KDG ist dort seit 1. August 2026 durch das 2. KDG-Änderungsgesetz vom 29. Juni 2026 geändert, das nur § 37 Abs. 2 Satz 4 betrifft), DSG-EKD (ab 1. Mai 2025), MVG-EKD (Stand 12. Dezember 2025), MAVO des Bistums Hildesheim (§ 36 Abs. 1 Nr. 9 im Bistum Dresden-Meißen gleichlautend). Nicht geprüft: Landeskirchenrecht, Personalvertretungsrecht der Länder (für Sachsen siehe den Beitrag zur Mitbestimmung) und KDG anderer Bistümer.
Fragen zur KI-Richtlinie
Ist eine KI-Richtlinie für Träger Pflicht?
Eine Pflicht zu einem Dokument mit diesem Namen habe ich in den geprüften Vorschriften nicht gefunden. Verlangt sind Maßnahmen zur KI-Kompetenz (Art. 4 KI-Verordnung), Schritte, damit Beschäftigte personenbezogene Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4 DSGVO), und, soweit angemessen, geeignete Datenschutzvorkehrungen (Art. 24 Abs. 2 DSGVO), deren Form das Gesetz offenlässt. Eine schriftliche Richtlinie ist ein Weg, das nachzuweisen.
Gilt die Gliederung auch für Caritas, Diakonie und andere kirchliche Träger?
Die Gliederung ja, die Fundstellen wechseln: Statt der DSGVO gelten das KDG bei katholischen und das DSG-EKD bei evangelischen Trägern. Die Tabelle im Abschnitt zu kirchlichen Trägern nennt die Entsprechungen. Beteiligt wird die Mitarbeitervertretung (katholisch, MAVO) oder die Mitarbeitendenvertretung (evangelisch, MVG-EKD).
Muss die Vertretung der Beschäftigten der KI-Richtlinie zustimmen?
Das hängt von der Art des Trägers und vom Inhalt ab: Es kommt der Betriebsrat in Betracht, im katholischen Recht die Mitarbeitervertretung, im evangelischen die Mitarbeitendenvertretung, bei kommunalen Trägern öffentlichen Rechts der Personalrat. Anknüpfungspunkt ist unter anderem die Einführung technischer Einrichtungen, die Verhalten oder Leistung der Beschäftigten überwachen; beim Betriebsrat genügt dafür nach dem Bundesarbeitsgericht die objektive Eignung. Die Regelwerke vergleicht der Beitrag zur Mitbestimmung bei der Einführung von KI.
Quellen
- Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026, Art. 3 Nr. 1, 4 und 60, Art. 4, 5, 6, 26, 50, 111 und 113 sowie Anhang I Abschnitt A Nr. 11 und Anhang III Nr. 1, 4 und 5. EUR-Lex, abgerufen am 21. Oktober 2026.
- Europäische Union: Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Verordnung (EU) 2024/1689 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24. Juli 2026, Art. 1 Nr. 5 (Neufassung des Art. 4), Nr. 39 (Neufassung des Art. 111 Abs. 2) und Art. 4 (Inkrafttreten). EUR-Lex, abgerufen am 21. Oktober 2026.
- Europäische Kommission: Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689, Anhang zu C(2026) 5054 vom 20. Juli 2026, Rn. 5, 131, 134, 135 und 138. PDF der Kommission, abgerufen am 21. Oktober 2026.
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 7, Art. 5, 9, 22, 24, 25, 32, 33, 35, 38 und 39. EUR-Lex, abgerufen am 21. Oktober 2026.
- Europäisches Parlament und Rat: Richtlinie 2011/93/EU zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie, Art. 2 Buchst. c und e. EUR-Lex, abgerufen am 21. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, Rn. 12, 36, 37, 41, 43, 46, 47, 49, 64 und 65. PDF der DSK, abgerufen am 21. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Seite „Über die Datenschutzkonferenz (DSK)“. datenschutzkonferenz-online.de, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch, § 203 Abs. 1. § 203 StGB auf gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Betriebsverfassungsgesetz (BetrVG), § 87 Abs. 1 Nr. 1 und 6, § 90 Abs. 1 Nr. 3 sowie § 130. § 87 BetrVG, § 90 BetrVG und § 130 BetrVG auf gesetze-im-internet.de, abgerufen am 21. Oktober 2026.
- Bundesarbeitsgericht: Beschluss vom 16. Juli 2024, 1 ABR 16/23, Rn. 25. bundesarbeitsgericht.de, abgerufen am 21. Oktober 2026.
- Arbeitsgericht Hamburg: Beschluss vom 16. Januar 2024, 24 BVGa 1/24, Rn. 39. Landesrecht Hamburg, abgerufen am 21. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Fassung des Beschlusses vom 20. November 2017, geändert durch Beschluss vom 24. November 2025, §§ 7, 11, 24, 26, 27, 33, 35 und 37. PDF des Bistums Hildesheim (in Kraft seit 1. März 2026) und der gleichlautende Text der Kirchlichen Datenschutzaufsicht der ostdeutschen Bistümer, abgerufen am 21. Oktober 2026.
- Bistum Hildesheim: 2. Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz (2. KDG-Änderungsgesetz) vom 29. Juni 2026, Kirchlicher Anzeiger für das Bistum Hildesheim Nr. 6/2026 vom 15. Juli 2026, S. 221 (in Kraft seit 1. August 2026). PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Bistum Hildesheim: Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO), vollständige Fassung vom 20. Januar 2026, § 9 Abs. 1 und 5 und § 28 (Inkrafttreten 1. März 2026). PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, in der ab 1. Mai 2025 geltenden Fassung, §§ 5, 13, 25a, 27, 28, 32, 34, 36 und 37. Kirchenrecht Online (PDF), abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: Kirchengesetz über die Mitarbeitendenvertretungen in der EKD (MVG-EKD), Neufassung vom 20. Januar 2024, zuletzt geändert am 12. Dezember 2025, § 40 Buchst. k und l. Kirchenrecht Online (PDF), abgerufen am 21. Oktober 2026.
- Bistum Hildesheim: Mitarbeitervertretungsordnung (MAVO) in der Fassung vom 1. Januar 2018, § 36 Abs. 1 Nr. 9. PDF des Bistums Hildesheim; gleichlautend im Bistum Dresden-Meißen: PDF der DiAG MAV Dresden-Meißen, abgerufen am 21. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
